Procedure consigliate per la recuperabilità

Le eliminazioni impreviste e le configurazioni errate verranno eseguite nel tenant. Per ridurre al minimo l'impatto di questi eventi imprevisti, è necessario prepararsi per la loro occorrenza.

La recuperabilità è il processo e le funzionalità preliminari che consentono di restituire i servizi a uno stato di funzionamento precedente dopo una modifica imprevista. Le modifiche indesiderate includono l'eliminazione soft o hard o la configurazione errata di applicazioni, gruppi, utenti, criteri e altri oggetti nel tenant di Microsoft Entra.

La recuperabilità aiuta l'organizzazione a essere più resiliente. La resilienza, mentre è correlata, è diversa. La resilienza è la capacità di tollerare le interruzioni dei componenti di sistema e di recuperare con un impatto minimo sull'azienda, sugli utenti, sui clienti e sulle operazioni. Per altre informazioni su come rendere i sistemi più resilienti, vedere Creazione di resilienza nella gestione delle identità e degli accessi con Microsoft Entra ID.

Questo articolo descrive le migliori pratiche per prepararsi a eliminazioni e errori di configurazione al fine di ridurre al minimo le conseguenze non intenzionali per le attività aziendali della tua organizzazione.

Eliminazioni e configurazioni errate

Le eliminazioni e le configurazioni errate hanno effetti diversi sul tenant.

Eliminazioni

L'impatto delle eliminazioni dipende dal tipo di oggetto.

È possibile eliminare temporaneamente i tipi di oggetti che includono utenti, Gruppi di Microsoft 365, gruppi di sicurezza cloud e applicazioni. Gli elementi eliminati temporaneamente vanno nel Cestino di Microsoft Entra ID. Quando si trovano nel Cestino, gli elementi non sono utilizzabili, ma mantengono tutte le loro proprietà. È possibile ripristinarli con una chiamata di Microsoft API Graph o dal Interfaccia di amministrazione di Microsoft Entra. Se non si ripristinano elementi nello stato di eliminazione temporanea entro 30 giorni, Microsoft Entra ID li elimina definitivamente definitivamente. Ripristinare gli elementi eliminati in Microsoft Entra ID contiene una tabella degli oggetti che supportano l'eliminazione temporanea.

Errori di configurazione

Le configurazioni errate sono configurazioni di una risorsa o di un criterio che differiscono dai criteri o dai piani dell'organizzazione e causano conseguenze impreviste o indesiderate. La configurazione errata delle impostazioni a livello di tenant o dei criteri di Accesso condizionale può influire seriamente sulla sicurezza e sull'immagine pubblica dell'organizzazione. Le configurazioni errate possono:

• Modificare il modo in cui gli amministratori, gli utenti tenant e gli utenti esterni interagiscono con le risorse nel tenant.
• Modificare la capacità degli utenti di interagire con altri tenant e utenti esterni di interagire con il tuo tenant.
• Causa negazione del servizio.
• Interrompere le dipendenze tra dati, sistemi e applicazioni.

Per altre informazioni sulle configurazioni errate e su come eseguire il recupero da tali configurazioni, vedere Recupero da configurazioni errate.

A differenza delle eliminazioni, le configurazioni errate modificano gli oggetti direttamente anziché spostarli nel Cestino. Per i tipi di oggetti interessati supportati, usa i report delle differenze di Microsoft Entra Backup and Recovery per identificare gli attributi modificati e le modifiche ai collegamenti. È quindi possibile eseguire un processo di ripristino per eseguire il rollback di un oggetto a uno stato precedente. Per le configurazioni che Microsoft Entra Backup e ripristino non supporta, riapplica le impostazioni dallo stato valido noto documentato.

Responsabilità condivisa

La recuperabilità è una responsabilità condivisa tra Microsoft come provider di servizi cloud e l'organizzazione.

È possibile usare gli strumenti e i servizi forniti da Microsoft per preparare le eliminazioni e le configurazioni errate.

Continuità aziendale e pianificatore di emergenza

Il ripristino di un elemento eliminato o non configurato correttamente è un processo a elevato utilizzo di risorse. È possibile ridurre al minimo le risorse necessarie pianificando in anticipo. Prendere in considerazione la possibilità di avere un team specifico di amministratori responsabili dei ripristini.

Testare il processo di ripristino

Esercita il tuo processo di ripristino per diversi tipi di oggetto e la comunicazione che verrà inviata di conseguenza. Assicurati di esercitarti con oggetti di test, preferibilmente in un tenant di test.

Il test del piano può aiutare a determinare:

• Validità e completezza della documentazione sullo stato dell'oggetto.
• Tempo tipico per la risoluzione.
• Comunicazioni appropriate e destinatari.
• I successi previsti e le potenziali sfide.

Creare il processo di comunicazione

Creare un processo di comunicazioni predefinite per rendere altri consapevoli del problema e delle sequenze temporali per il ripristino. Includere i punti seguenti nel piano di comunicazione di ripristino:

• Tipi di comunicazioni da inviare. Si consiglia di creare modelli predefiniti.

• Le parti interessate riceveranno le comunicazioni. Includere i gruppi seguenti, come applicabile:

  • Proprietari dell'azienda interessati.
  • Amministratori operativi che eseguiranno il ripristino.
  • Responsabili dell'approvazione aziendale e tecnica.
  • Utenti interessati.

• Definire gli eventi che attivano le comunicazioni, ad esempio:

  • Eliminazione iniziale.
  • Valutazione dell'impatto.
  • Tempo di risoluzione.
  • Ripristino.

Documentare gli stati validi noti

Documentare regolarmente e mantenere lo stato del tenant e dei relativi oggetti in un repository con controllo delle versioni esterno. Se si verifica un'eliminazione o una configurazione errata, la documentazione funge da roadmap per il ripristino.

Selezionare le API necessarie ed esportare la tecnologia in base alle risorse distribuite. Anche se è possibile chiamare direttamente API di Microsoft Graph specifiche delle risorse, altre opzioni di Microsoft e non Microsoft possono astrarre e semplificare i processi di esportazione e download della configurazione.

• Snapshot di configurazione: le API per gli snapshot nelle API di gestione unificata della configurazione del tenant (TCM) in Microsoft Graph semplificano l'estrazione delle configurazioni correnti tra più carichi di lavoro all'interno di un tenant, ad esempio Microsoft Entra, Microsoft Intune ed Exchange Online. Il tenant archivia gli snapshot per sette giorni in modo che sia possibile scaricarli per la conservazione esterna. Lo schema TCM supporta un sottoinsieme di risorse e proprietà di Microsoft Entra. Esaminare l'elenco di subset per determinare se TCM fornisce una copertura sufficiente anziché chiamare direttamente Microsoft Graph API.
• * Microsoft Graph API: usare le API Microsoft Graph per esportare regolarmente le configurazioni di tutti gli oggetti directory critici non ancora supportati da TCM. Per esportare le impostazioni di configurazione, usare lo strumento open source Microsoft Entra Exporter.
• Soluzioni di terze parti: per esportare, normalizzare e archiviare le configurazioni Microsoft Entra in formati dichiarativi, valutare la gestione della configurazione non Microsoft e gli strumenti di infrastruttura come codice. Queste soluzioni potrebbero astrarre le API sottostanti, semplificare l'acquisizione delle configurazioni su larga scala e supportare confronti ripetibili e la riapplicazione delle impostazioni nell'ambito dei flussi di lavoro di ripristino.

Archiviare le baseline di configurazione in un repository controllato dalla versione (ad esempio Azure DevOps o GitHub) con un periodo di conservazione sufficiente. Separa logicamente e gestisci in modo indipendente gli estratti della configurazione ottenuti tramite diversi meccanismi di acquisizione. Ad esempio, sebbene gli snapshot TCM e le esportazioni dirette dell'API Microsoft Graph possano contribuire a uno stato complessivo noto come valido, non combinarle, anche quando hanno lo stesso formato (come JSON). Il motivo è che l'ambito dello snapshot TCM li limita alle risorse e alle proprietà supportate su cui non è possibile fare affidamento per ricreare o riapplicare la configurazione all'esterno dell'ambito supportato.

API Microsoft Graph di uso comune

È possibile usare le API Microsoft Graph per esportare lo stato corrente di molte configurazioni di Microsoft Entra. Le API riguardano la maggior parte degli scenari in cui il materiale di riferimento sullo stato precedente o la possibilità di applicare tale stato da una copia esportata potrebbe diventare fondamentale per mantenere in esecuzione l'azienda.

Le API Microsoft Graph sono altamente personalizzabili in base alle esigenze dell'organizzazione. Per implementare una soluzione per i backup o il materiale di riferimento, i developer possono progettare codice per eseguire query, archiviare e visualizzare i dati. Molte implementazioni usano repository di codice online come parte di questa funzionalità.

API utili per il ripristino

*Archiviare in modo sicuro queste esportazioni di configurazione con l'accesso fornito a un numero limitato di amministratori.

Microsoft Entra Exporter può fornire la maggior parte della documentazione necessaria:

• Verificare di aver implementato la configurazione desiderata.
• Usare l'utilità di esportazione per acquisire le configurazioni correnti.
• Prendere in esame l'esportazione, comprendere le impostazioni per il tenant che non vengono esportate e documentarle manualmente.
• Archiviare l'output in una posizione sicura con accesso limitato.

Usare le API Graph per l'Accesso condizionale per gestire le policy come se fosse codice.

Eseguire il mapping delle dipendenze tra gli oggetti

L'eliminazione di alcuni oggetti può causare un effetto a cascata a causa delle dipendenze. Ad esempio, l'eliminazione di un gruppo di sicurezza cloud usato per l'assegnazione dell'applicazione comporta l'impossibilità di accedere alle applicazioni a cui è stato assegnato il gruppo.

Dipendenze comuni

Monitoraggio e conservazione dei dati

Il log di audit di Microsoft Entra contiene informazioni su tutte le operazioni di eliminazione e configurazione effettuate nel tenant. Consigliamo di esportare questi log in uno strumento di gestione degli eventi e informazioni di sicurezza, come ad esempio Microsoft Sentinel. È anche possibile usare Microsoft Graph per controllare le modifiche e creare una soluzione personalizzata per monitorare le differenze nel tempo. Per altre informazioni su come trovare elementi eliminati tramite Microsoft Graph, vedere Elencare gli elementi eliminati - Microsoft Graph v1.0.

Per identificare le modifiche per gli oggetti supportati da Microsoft Entra Backup and Recovery, creare un report delle differenze. I report differenze integrano i log di controllo e gli snapshot di configurazione visualizzando aggiunte recuperabili, modifiche degli attributi, modifiche dei collegamenti ed eliminazioni software dall'ultimo backup. I report sulle differenze non mostrano gli oggetti eliminati definitivamente.

Log di audit

Il log di audit registra sempre un evento "Elimina <oggetto>" quando un oggetto nel tenant passa dallo stato attivo a eliminazione temporanea o definitiva.

Un evento Delete per i tipi di oggetto che supportano l'eliminazione temporanea , ad esempio applicazioni, entità servizio, utenti, Gruppi di Microsoft 365 e gruppi di sicurezza cloud, indica un'eliminazione temporanea. Per altri tipi di oggetto, un evento Delete è un'eliminazione complessa.

Per informazioni sul monitoraggio delle modifiche alla configurazione, vedere Recuperare da configurazioni errate.

Usare le cartelle di lavoro per tenere traccia delle modifiche di configurazione

Le cartelle di lavoro di Monitoraggio di Azure possono aiutare a monitorare le modifiche alla configurazione.

La cartella di lavoro del report sulle operazioni sensibili può aiutare a identificare le attività sospette delle applicazioni e dei principal del servizio che potrebbero indicare una compromissione, tra cui:

• Metodi di autenticazione o credenziali di applicazioni o principale del servizio modificati.
• Nuove autorizzazioni concesse ai principali del servizio.
• Aggiornamenti del ruolo di directory e dell'appartenenza ai gruppi per le entità del servizio.
• Impostazioni di federazione modificate.

La cartella di lavoro Attività di accesso tra tenant può aiutare a monitorare a quali applicazioni nei tenant esterni accedono i tuoi utenti e a quali applicazioni nel tuo tenant accedono gli utenti esterni. Usare questa cartella di lavoro per cercare modifiche anomale nell'accesso alle applicazioni in ingresso o in uscita tra i tenant.

Microsoft Entra Backup e ripristino è una funzionalità integrata che fornisce il percorso di ripristino che richiede il minimo sforzo e garantisce la massima fedeltà per i tipi di oggetti supportati e per le modifiche alla configurazione entro il periodo di conservazione. Microsoft Entra Backup e ripristino supporta un insieme di tipi di oggetto del tenant e proprietà ripristinabili. Crea automaticamente backup di oggetti supportati a intervalli fissi definiti Microsoft. È possibile visualizzare i backup disponibili, creare report di differenza, oggetti di ripristino ed esaminare la cronologia di ripristino.

Sicurezza operativa

La prevenzione delle modifiche indesiderate è molto meno difficile rispetto alla necessità di ricreare e riconfigurare gli oggetti. Includere le attività seguenti nei processi di gestione delle modifiche per ridurre al minimo gli incidenti:

• Usare un modello con privilegi minimi. Assicurarsi che ogni membro del team disponga dei privilegi minimi necessari per completare le normali attività. È necessario un processo per innalzare i privilegi per compiti più insoliti.
• Il controllo amministrativo di un oggetto consente la configurazione e l'eliminazione. Usare ruoli con privilegi inferiori, ad esempio Ruolo con autorizzazioni di lettura per la sicurezza, per le attività che non richiedono operazioni per creare, aggiornare o eliminare (CRUD). Quando sono necessarie operazioni CRUD, usare ruoli specifici dell'oggetto quando possibile. Ad esempio, gli amministratori utenti possono eliminare solo gli utenti e gli amministratori di applicazioni possono eliminare solo le applicazioni. Usare questi ruoli più limitati quando possibile.
• Usare Gestione delle identità privilegiate (PIM). PIM consente l'escalation just-in-time dei privilegi per eseguire attività come l'eliminazione definitiva. È possibile configurare PIM per ricevere notifiche o approvazioni per l'escalation dei privilegi.
• Usare le azioni protette in Microsoft Entra ID per applicare un livello aggiuntivo di protezione dei criteri di accesso condizionale, indipendentemente dal ruolo usato o dal modo in cui l'utente ha concesso l'autorizzazione. Le azioni protette devono essere applicate a operazioni sensibili come l'eliminazione rigida, le modifiche del contesto di autenticazione e le modifiche all'accesso condizionale.

Passaggi successivi

• Ripristinare dalle eliminazioni
• Recupero da configurazioni errate