Microsoft Entra Account Discovery zamyka luki w widoczności tożsamości

Wprowadzenie

Identity governance działa skutecznie tylko wtedy, gdy administratorzy widzą, kto już ma dostęp. Microsoft odpowiada na ten problem poprzez Account Discovery w Microsoft Entra ID Governance — nową funkcję w public preview, zaprojektowaną do ujawniania istniejących kont w połączonych aplikacjach SaaS i lokalnych.

To ważne, ponieważ wiele aplikacji wdrożono na długo przed włączeniem nowoczesnych mechanizmów governance. W efekcie organizacje często dziedziczą niezarządzany dostęp, osierocone konta i bezpośrednie przypisania aplikacji, które pozostają poza zakresem Conditional Access, access reviews i polityk cyklu życia.

Co nowego

Account Discovery łączy się z aplikacją docelową, pobiera konta użytkowników i ich właściwości, a następnie porównuje je z tożsamościami w Microsoft Entra przy użyciu konfigurowalnych atrybutów dopasowania, takich jak:

• User principal name
• Adres e-mail

Następnie sprawdza, czy dopasowani użytkownicy są już przypisani do aplikacji przedsiębiorstwa w Entra, i generuje raport wykrywania z trzema klasyfikacjami:

• Dopasowane i przypisane: użytkownicy istnieją w Entra i są już przypisani do aplikacji
• Dopasowane, ale nieprzypisane: użytkownicy istnieją w Entra, ale dostęp został nadany bezpośrednio w aplikacji
• Konta osierocone lub lokalne: dla konta aplikacji nie istnieje pasująca tożsamość Entra

Daje to zespołom IT szybki punkt odniesienia do zrozumienia, które konta są już objęte governance, a które wymagają działań naprawczych.

Dlaczego to ważne dla administratorów

Dla zespołów ds. tożsamości i bezpieczeństwa największą korzyścią jest widoczność jeszcze przed egzekwowaniem polityk. Podczas onboardingu aplikacji administratorzy mogą używać Account Discovery do znajdowania użytkowników, którzy już mają dostęp dzięki starszym procesom, ręcznemu provisioningowi lub bezpośredniej rejestracji.

Przykład Microsoftu dotyczy Salesforce, gdzie funkcja wykrywania może ujawnić:

• Pracowników z prawidłowymi tożsamościami, ale bez przypisania aplikacji Entra
• Lokalne lub osierocone konta, które mogą wymagać usunięcia lub zbadania
• Konta usługowe i testowe wymagające odrębnego przeglądu

Po ich zidentyfikowaniu administratorzy mogą przenieść uprawnionych użytkowników do pakietów dostępu Entitlement Management oraz zastosować zatwierdzenia, reguły wygaśnięcia i cykliczne access reviews. Mogą też analizować konta lokalne, które mogą omijać MFA i Conditional Access.

Bieżące governance i kolejne kroki

Account Discovery nie służy wyłącznie do początkowego onboardingu. Microsoft przedstawia tę funkcję jako stały punkt kontrolny governance, który pozwala wykrywać odchylenia w czasie, takie jak:

• Nowe konta lokalne tworzone poza zatwierdzonymi workflow
• Pominięte przypadki offboardingu
• Tymczasowe konta kontraktorów lub testowe, które pozostają aktywne dłużej, niż powinny

Co zespoły IT powinny zrobić teraz

• Sprawdzić, które aplikacje przedsiębiorstwa mają starszy lub ręcznie zarządzany dostęp
• Uruchamiać Account Discovery podczas onboardingu nowo obejmowanych governance aplikacji
• Wykorzystać wyniki do mapowania użytkowników do workflow governance w Entra
• Zbadać i naprawić konta osierocone, usługowe i lokalne
• Zaplanować okresowe przeglądy wykrywania, aby identyfikować dryf dostępu

Dostępność

Account Discovery jest dostępne w public preview dla organizacji posiadających licencje:

• Microsoft Entra ID Governance
• Microsoft Entra Suite
• Microsoft E7

Funkcja jest dostępna przez Microsoft Entra admin center oraz Microsoft Graph APIs.