Microsoft Entra Account Discovery colma i gap nella visibilità identity

Introduzione

L'identity governance funziona solo quando gli amministratori possono vedere chi ha già accesso. Microsoft affronta questo problema con Account Discovery in Microsoft Entra ID Governance, una nuova funzionalità in public preview progettata per far emergere gli account esistenti nelle app SaaS connesse e nelle app on-premises.

Questo è importante perché molte applicazioni sono state distribuite molto prima dell'attivazione dei moderni controlli di governance. Di conseguenza, le organizzazioni spesso ereditano accessi non gestiti, account orfani e assegnazioni dirette alle app che restano fuori da Conditional Access, access review e policy del ciclo di vita.

Novità

Account Discovery si connette a un'applicazione di destinazione, recupera account utente e proprietà e li confronta con le identità in Microsoft Entra usando attributi di corrispondenza configurabili come:

• User principal name
• Indirizzo email

Successivamente verifica se gli utenti corrispondenti sono già assegnati all'enterprise application in Entra e produce un report di individuazione con tre classificazioni:

• Matched and assigned: gli utenti esistono in Entra e sono già assegnati all'app
• Matched but unassigned: gli utenti esistono in Entra, ma l'accesso è stato concesso direttamente nell'applicazione
• Orphaned or local accounts: non esiste alcuna identità Entra corrispondente per l'account dell'app

Questo offre ai team IT una base rapida per capire quali account sono già governati e quali richiedono interventi correttivi.

Perché è importante per gli amministratori

Per i team identity e security, il vantaggio principale è la visibilità prima dell'applicazione delle policy. Durante l'onboarding delle app, gli amministratori possono usare Account Discovery per trovare utenti che hanno già accesso tramite processi legacy, provisioning manuale o registrazione diretta.

L'esempio di Microsoft usa Salesforce, dove la funzionalità può rivelare:

• Dipendenti con identità valide ma senza assegnazione dell'app Entra
• Account locali o orfani che potrebbero richiedere rimozione o indagine
• Account di servizio e di test che richiedono una revisione separata

Una volta identificati, gli amministratori possono inserire gli utenti legittimi in access package di Entitlement Management e applicare approvazioni, regole di scadenza e access review ricorrenti. Possono inoltre analizzare gli account locali che potrebbero aggirare MFA e Conditional Access.

Governance continua e passaggi successivi

Account Discovery non serve solo per l'onboarding iniziale. Microsoft la presenta come un checkpoint continuo di governance per rilevare derive nel tempo, come:

• Nuovi account locali creati al di fuori dei flussi di lavoro approvati
• Casi di offboarding non rilevati
• Account temporanei di contractor o di test che restano attivi più a lungo del previsto

Cosa dovrebbero fare ora i team IT

• Verificare quali enterprise application hanno accessi legacy o gestiti manualmente
• Eseguire Account Discovery durante l'onboarding delle app appena governate
• Usare i risultati per inserire gli utenti nei flussi di governance di Entra
• Analizzare e correggere account orfani, di servizio e locali
• Pianificare revisioni periodiche di Account Discovery per rilevare derive negli accessi

Disponibilità

Account Discovery è disponibile in public preview per le organizzazioni con licenza:

• Microsoft Entra ID Governance
• Microsoft Entra Suite
• Microsoft E7

La funzionalità è accessibile tramite Microsoft Entra admin center e Microsoft Graph APIs.