Microsoft heeft Hard Deletion Protection als preview toegevoegd aan Microsoft Entra. Beschermde objecten kun je nog tijdelijk verwijderen en herstellen. Definitief wissen blokkeert het systeem gedurende de eerste zeven dagen na verwijdering. Voor de functie is geen aanvullende licentie nodig.
De functie valt onder het onderdeel Backup and recovery van Microsoft Entra. Microsoft beoogt hiermee identiteitsbeheerders extra tijd te geven om incidenten, menselijke fouten of kwaadwillende acties te onderzoeken en terug te draaien voordat objecten definitief verdwijnen. De configuratie staat beschreven in de documentatie van Microsoft over Hard Deletion Protection.
Zo werkt de blokkadeperiode
Zodra je een beschermd object tijdelijk verwijdert (soft delete), start een periode van zeven dagen. Volgens Microsoft houdt het systeem in dat tijdvak elke poging tegen om het object definitief te wissen. Dat geldt ook als het object deel uitmaakt van een grotere selectie die je in één handeling verwijdert.
Herstel je het object binnen de termijn, dan blijft de bescherming actief. Verwijder je het daarna opnieuw, dan begint er weer een wachtperiode van zeven dagen.
Vier objecttypen ondersteund
Hard Deletion Protection werkt in deze preview voor vier typen cloudobjecten: gebruikers, cloud-only groepen, applicaties en service principals. Gebruikersaccounts die vanuit een on-premises omgeving worden gesynchroniseerd, vallen buiten de bescherming. Beheer je een hybride omgeving, dan geldt de functie dus alleen voor accounts die uitsluitend in de cloud bestaan.
Microsoft geeft aan dat ook Microsoft Entra Agent ID-objecten onder de bescherming vallen, via hun onderliggende gebruikers-, applicatie- of service principal-structuur.
Voor gebruik van de functie is geen aanvullende licentie vereist. Om de bescherming in te stellen heb je wel de rol Microsoft Entra Backup Administrator nodig.
Bescherming niet terug te draaien
Microsoft waarschuwt beheerders dat de instelling onomkeerbaar is. Heb je Hard Deletion Protection voor een object geactiveerd, dan kun je die bescherming niet meer uitschakelen of ongedaan maken.
Zet je de functie per ongeluk aan op een object dat wel weg moet, dan blijft er volgens Microsoft maar één route over: het object tijdelijk verwijderen en zeven dagen wachten tot definitieve verwijdering weer mogelijk is. Bij opruimacties, zoals het afvoeren van testaccounts of het uitfaseren van applicaties, moet je met die vertraging rekening houden.
Inschakelen via het beheercentrum
Je activeert de bescherming in het Microsoft Entra-beheercentrum onder Backup and recovery. Per handeling kun je maximaal twintig objecten van hetzelfde type tegelijk selecteren. Wil je een grotere set objecten beschermen, dan doe je dat dus in meerdere rondes.
Alle wijzigingen rond het activeren van de bescherming worden vastgelegd in de auditlogs van Microsoft Entra. Zo kun je achteraf nagaan wanneer en door wie objecten onder de bescherming zijn gebracht.
Het volledige rapport is te lezen via documentatie van Microsoft over Hard Deletion Protection.
