Microsoft hat Hard Deletion Protection als Preview zu Microsoft Entra hinzugefügt. Geschützte Objekte können Sie weiterhin vorläufig löschen und wiederherstellen. Das endgültige Löschen blockiert das System jedoch in den ersten sieben Tagen nach dem Löschvorgang. Für die Funktion ist keine zusätzliche Lizenz erforderlich.
Die Funktion gehört zum Bereich Backup and recovery von Microsoft Entra. Microsoft will Identitätsadministratoren damit mehr Zeit verschaffen, um Vorfälle, menschliche Fehler oder böswillige Aktionen zu untersuchen und rückgängig zu machen, bevor Objekte endgültig verschwinden. Die Konfiguration ist in der Dokumentation von Microsoft zu Hard Deletion Protection beschrieben.
So funktioniert die Sperrfrist
Sobald Sie ein geschütztes Objekt vorläufig löschen (Soft Delete), beginnt eine Frist von sieben Tagen. Laut Microsoft unterbindet das System in diesem Zeitraum jeden Versuch, das Objekt endgültig zu löschen. Das gilt auch dann, wenn das Objekt Teil einer größeren Auswahl ist, die Sie in einem einzigen Vorgang löschen.
Stellen Sie das Objekt innerhalb dieser Frist wieder her, bleibt der Schutz aktiv. Löschen Sie es danach erneut, beginnt wieder eine Wartezeit von sieben Tagen.
Vier Objekttypen unterstützt
Hard Deletion Protection funktioniert in dieser Preview für vier Typen von Cloud-Objekten: Benutzer, Cloud-only-Gruppen, Anwendungen und Service Principals. Benutzerkonten, die aus einer On-Premises-Umgebung synchronisiert werden, sind vom Schutz ausgenommen. Verwalten Sie eine hybride Umgebung, gilt die Funktion also nur für Konten, die ausschließlich in der Cloud existieren.
Laut Microsoft fallen auch Microsoft Entra Agent ID-Objekte unter den Schutz, und zwar über ihre zugrunde liegende Benutzer-, Anwendungs- oder Service-Principal-Struktur.
Für die Nutzung der Funktion ist keine zusätzliche Lizenz erforderlich. Um den Schutz einzurichten, benötigen Sie allerdings die Rolle Microsoft Entra Backup Administrator.
Schutz lässt sich nicht rückgängig machen
Microsoft weist Administratoren darauf hin, dass die Einstellung unumkehrbar ist. Haben Sie Hard Deletion Protection für ein Objekt aktiviert, können Sie diesen Schutz nicht mehr deaktivieren oder rückgängig machen.
Aktivieren Sie die Funktion versehentlich für ein Objekt, das eigentlich entfernt werden soll, bleibt laut Microsoft nur ein Weg: das Objekt vorläufig löschen und sieben Tage warten, bis das endgültige Löschen wieder möglich ist. Bei Aufräumaktionen, etwa beim Entfernen von Testkonten oder beim Ausmustern von Anwendungen, müssen Sie diese Verzögerung einplanen.
Aktivierung über das Admin Center
Sie aktivieren den Schutz im Microsoft Entra Admin Center unter Backup and recovery. Pro Vorgang können Sie maximal zwanzig Objekte desselben Typs gleichzeitig auswählen. Möchten Sie eine größere Anzahl von Objekten schützen, erledigen Sie das also in mehreren Durchgängen.
Alle Änderungen im Zusammenhang mit der Aktivierung des Schutzes werden in den Audit-Logs von Microsoft Entra protokolliert. So können Sie im Nachhinein nachvollziehen, wann und von wem Objekte unter den Schutz gestellt wurden.
Den vollständigen Bericht können Sie in der Dokumentation von Microsoft zu Hard Deletion Protection nachlesen.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
