Microsoft Entra Account Discovery schließt Lücken bei der Identity-Transparenz

Einführung

Identity Governance funktioniert nur, wenn Administratoren sehen können, wer bereits Zugriff hat. Microsoft adressiert dieses Problem mit Account Discovery in Microsoft Entra ID Governance, einer neuen Funktion in der Public Preview, die vorhandene Konten in verbundenen SaaS- und On-Premises-Apps sichtbar macht.

Das ist wichtig, weil viele Anwendungen lange vor der Einführung moderner Governance-Kontrollen bereitgestellt wurden. Dadurch übernehmen Unternehmen oft unverwaltete Zugriffe, verwaiste Konten und direkte App-Zuweisungen, die außerhalb von Conditional Access, Access Reviews und Lifecycle-Richtlinien liegen.

Was ist neu

Account Discovery verbindet sich mit einer Zielanwendung, ruft Benutzerkonten und Eigenschaften ab und vergleicht sie mit Identitäten in Microsoft Entra anhand konfigurierbarer Abgleichsattribute wie:

• User principal name
• Email address

Anschließend wird geprüft, ob übereinstimmende Benutzer der Enterprise Application in Entra bereits zugewiesen sind, und es wird ein Discovery-Bericht mit drei Klassifizierungen erstellt:

• Matched and assigned: Benutzer existieren in Entra und sind der App bereits zugewiesen
• Matched but unassigned: Benutzer existieren in Entra, aber der Zugriff wurde direkt in der Anwendung gewährt
• Orphaned or local accounts: Für das App-Konto existiert keine passende Entra-Identität

Dadurch erhalten IT-Teams schnell eine belastbare Ausgangsbasis, um zu verstehen, welche Konten bereits verwaltet werden und welche Maßnahmen erfordern.

Warum das für Administratoren wichtig ist

Für Identity- und Security-Teams ist der größte Vorteil die Transparenz, bevor Richtlinien erzwungen werden. Beim Onboarding von Apps können Administratoren Account Discovery nutzen, um Benutzer zu finden, die bereits über Legacy-Prozesse, manuelle Provisioning-Abläufe oder direkte Registrierung Zugriff erhalten haben.

Microsofts Beispiel nutzt Salesforce, wo Discovery Folgendes aufdecken kann:

• Mitarbeiter mit gültigen Identitäten, aber ohne Entra-App-Zuweisung
• Lokale oder verwaiste Konten, die entfernt oder untersucht werden sollten
• Service- und Testkonten, die eine separate Prüfung erfordern

Nach der Identifizierung können Administratoren berechtigte Benutzer in Entitlement Management-Access-Pakete überführen und Genehmigungen, Ablaufregeln und wiederkehrende Access Reviews anwenden. Außerdem können sie lokale Konten untersuchen, die MFA und Conditional Access umgehen könnten.

Laufende Governance und nächste Schritte

Account Discovery ist nicht nur für das erste Onboarding gedacht. Microsoft positioniert die Funktion auch als fortlaufenden Governance-Kontrollpunkt, um Abweichungen im Zeitverlauf zu erkennen, zum Beispiel:

• Neue lokale Konten, die außerhalb genehmigter Workflows erstellt wurden
• Übersehene Offboarding-Fälle
• Temporäre Contractor- oder Testkonten, die länger aktiv bleiben als erwartet

Was IT-Teams jetzt tun sollten

• Prüfen, welche Enterprise Applications Legacy- oder manuell verwalteten Zugriff haben
• Account Discovery beim Onboarding neu verwalteter Apps ausführen
• Erkenntnisse nutzen, um Benutzer in Entra-Governance-Workflows zu überführen
• Verwaiste, Service- und lokale Konten untersuchen und bereinigen
• Regelmäßige Discovery-Reviews planen, um Zugriffsabweichungen zu erkennen

Verfügbarkeit

Account Discovery ist in der Public Preview für Organisationen verfügbar, die lizenziert sind mit:

• Microsoft Entra ID Governance
• Microsoft Entra Suite
• Microsoft E7

Die Funktion ist über das Microsoft Entra admin center und Microsoft Graph APIs zugänglich.