Рекомендации по обеспечению возможности восстановления
Могут возникать ситуации непреднамеренного удаления данных и неправильной настройки клиента. Чтобы свести к минимуму влияние этих непреднамеренных событий, необходимо подготовиться к ним.
Возможность восстановления — это подготовительные процессы и функции, позволяющие возвращать службы в предыдущее состояние работы после непреднамеренного изменения. Непреднамеренные изменения включают обратимое или жесткое удаление или неправильное настройку приложений, групп, пользователей, политик и других объектов в клиенте Microsoft Entra.
Возможность восстановления помогает вашей организации повысить устойчивость. Устойчивость при этом отличается. Устойчивость — это способность противостоять сбоям системных компонентов и восстанавливать нормальную работу с минимальными последствиями для бизнеса, пользователей, клиентов и операций. Дополнительные сведения о том, как сделать системы более устойчивыми, см. в статье "Создание устойчивости в управлении удостоверениями и доступом с помощью идентификатора Microsoft Entra".
В этой статье описываются рекомендации по подготовке к ошибочному удалению и неправильной настройке, чтобы свести к минимуму непредвиденные последствия для работы вашей организации.
Удаление и неправильные настройки
Удаление и неправильные настройки по-разному влияют на ваш клиент.
удаления
Влияние удаления зависит от типа объекта.
Пользователи, группы Microsoft 365 и приложения могут быть "обратимо удалены". Обратимо удаленные элементы отправляются в корзину идентификатора Microsoft Entra ID. Элементы, находящиеся в корзине, недоступны для использования. Однако они сохраняют все свои свойства и могут быть восстановлены с помощью вызова API Microsoft Graph или в портал Azure. Элементы в состоянии обратимого удаления, которые не восстанавливаются в течение 30 дней, удаляются окончательно, то есть становятся необратимо удаленными.
Внимание
Все остальные типы объектов необратимо удаляются при их выборе для удаления. После такого удаления объект невозможно восстановить. Их необходимо создать и настроить заново.
Дополнительные сведения об удалении и способах восстановления после удаления см. в разделе Восстановление после удаления.
Неверные настройки
Неправильные конфигурации — это конфигурации ресурса или политики, которые расходятся с политиками или планами организации и приводят к непредвиденным или нежелательным последствиям. Неправильная конфигурация параметров на уровне арендатора или политик условного доступа может серьезно повлиять на безопасность и общественный имидж вашей организации. Неправильные конфигурации могут привести к следующему:
- изменение способа взаимодействия администраторов, пользователей арендатора и внешних пользователей с ресурсами в арендаторе;
- изменение возможности пользователей взаимодействовать с другими арендаторами и внешними пользователями для взаимодействия с вашим арендатором;
- отказ в обслуживании;
- нарушение зависимостей между данными, системами и приложениями.
Дополнительные сведения о неправильных настройках и способах восстановления после них см. в разделе Восстановление после неправильной настройки.
Общая ответственность
Ответственность за возможность восстановления несет как корпорации Майкрософт как поставщик облачных служб, так и ваша организация.
Для подготовки к восстановлению после удаления и неправильной настройки можно использовать инструменты и службы, предоставляемые корпорацией Майкрософт.
Планирование для обеспечения непрерывности бизнес-процессов и аварийного восстановления
Восстановление безвозвратно удаленного или неправильно настроенного элемента является ресурсоемким процессом. Уменьшить количество требуемых ресурсов позволяет предварительное планирование. Можно создать отдельную команду администраторов, отвечающих за восстановление.
Тестирование процесса восстановления
Отрепетируйте процесс восстановления для разных типов объектов, а также взаимодействие различных специалистов. Репетиции следует выполнять с тест-объектами, в идеале в тестовом арендаторе.
Тестирование плана поможет определить:
- Достоверность и полноту документации по состоянию объекта.
- Стандартное время решения проблемы.
- Передачу соответствующей информации и ее получателей.
- Ожидаемые успехи и потенциальные проблемы.
Создание процесса обмена информацией
Создайте процесс обмена предварительно определенной информацией, чтобы другие знали о проблеме и ожидаемом времени восстановления. Добавьте в план обмена информацией по восстановлению следующие элементы:
Типы отправляемых сообщений. Можно создать готовые шаблоны.
Заинтересованные лица, которые будут получать эту информацию. Укажите следующие группы, если применимо:
- затронутые владельцы предприятий;
- операционные администраторы, которые будут выполнять восстановление;
- утверждающие из числа руководства и технических специалистов;
- затронутые пользователи.
Определите события, которые активируют отправку сообщений, например:
- первоначальное удаление;
- оценка влияния;
- время решения проблем;
- восстановление.
Описание известных исправных состояний
Регулярно документируйте состояние арендатора и его объектов. Если будет случайно выполнено необратимое удаление или применена неправильная конфигурация, задокументированные сведения помогут при восстановлении. Следующие инструменты могут помочь вам задокументировать текущее состояние:
- API Microsoft Graph можно использовать для экспорта текущего состояния многих конфигураций Microsoft Entra.
- Microsoft Entra Export — это инструмент, который можно использовать для экспорта параметров конфигурации.
- Microsoft 365 Desired State Configuration — это модуль платформы PowerShell Desired State Configuration. Вы можете использовать его для экспорта конфигураций для справки и применения предыдущего состояния многих параметров.
- API-интерфейсы условного доступа можно использовать для управления политиками условного доступа как кодом.
Часто используемые API-интерфейсы Microsoft Graph
API Microsoft Graph можно использовать для экспорта текущего состояния многих конфигураций Microsoft Entra. API охватывают большинство сценариев, в которых справочные материалы о предыдущем состоянии или возможность применить это состояние из экспортированной копии может стать жизненно важной для поддержания работы вашей компании.
API-интерфейсы Microsoft Graph предоставляют широкие возможности настройки в зависимости от потребностей вашей организации. Чтобы реализовать решение для резервных копий или справочных материалов, разработчики должны создать код для запроса, хранения и отображения данных. Во многих реализациях этой функции используются интернет-репозитории кода.
Полезные интерфейсы API для восстановления
| Типы ресурсов | Справочные ссылки |
|---|---|
| Пользователи, группы и другие объекты каталогов | directoryObject API |
| Роли каталога | directoryRole API |
| Политики условного доступа | API политики условного доступа |
| . | API устройств |
| Домены | API доменов |
| Административные единицы | API административных единиц) |
| Удаленные элементы* | deletedItems API |
* Безопасное хранение этих экспортов конфигурации с предоставлением доступа ограниченному количеству администраторов.
Экспортер Microsoft Entra может предоставить большую часть необходимой документации:
- Убедитесь, что вы реализовали нужную конфигурацию.
- Используйте средство экспорта для записи текущих конфигураций.
- Просмотрите экспорт, найдите параметры клиента, которые не были экспортированы, и задокументируйте их вручную.
- Храните выходные данные в безопасном месте с ограниченным доступом.
Примечание.
Параметры на устаревшем портале многофакторной проверки подлинности для параметров прокси приложения и федерации может не экспортироваться с помощью экспортера Microsoft Entra или с ПОМОЩЬЮ API Microsoft Graph. Модуль конфигурации требуемого состояния Microsoft 365 использует Microsoft Graph и PowerShell для получения состояния многих конфигураций в идентификаторе Microsoft Entra ID. Эти сведения можно использовать в качестве справочной информации или для повторного применения известного состояния с помощью скриптов PowerShell Desired State Configuration.
Для управления политиками как кодом используйте API условного доступа Graph. Автоматизируйте утверждения для переноса политик из предварительных сред, резервного копирования и восстановления, отслеживания изменений и планирования на случай чрезвычайных ситуаций.
Сопоставление зависимостей между объектами
Удаление некоторых объектов может вызвать цепную реакцию по причине зависимостей. Например, удаление группы безопасности, используемой для назначения приложений, приведет к тому, что пользователи, являющиеся членами этой группы, не смогут получить доступ к приложениям, которым назначена группа.
Общие зависимости
| Тип объекта | Потенциальные зависимости |
|---|---|
| Объект приложения | Субъект-служба (корпоративное приложение). Группы, назначенные приложению. Политики условного доступа, влияющие на приложение. |
| Субъекты-службы | Объект приложения. |
| Политики условного доступа | Пользователи, назначенные политике. Группы, назначенные для политики. Субъект-служба (корпоративное приложение), для которого предназначена политика. |
| Группы, отличные от групп Microsoft 365 | Пользователи, назначенные группе. Политики условного доступа, которым назначена группа. Приложения, для которых назначен доступ группой. |
Мониторинг и хранение данных
Журнал аудита Microsoft Entra содержит сведения обо всех операциях удаления и конфигурации, выполняемых в клиенте. Рекомендуем экспортировать эти журналы в средство управления информационной безопасностью и событиями безопасности, например Microsoft Sentinel. Вы также можете использовать Microsoft Graph для проверки изменений и создать собственное решение для отслеживания различий. Дополнительные сведения о поиске удаленных элементов с помощью Microsoft Graph см. в разделе "Список удаленных элементов " Microsoft Graph версии 1.0".
Журналы аудита
Журнал аудита всегда записывает событие "Удаление <объекта>", когда объект в арендаторе удаляется из активного состояния (из активного в обратимо удаленное или из активного в необратимо удаленное).
Для приложений, субъектов-служб, пользователей и Групп Microsoft 365 событие удаления является обратимым. Для любых других типов объекта удаление является необратимым.
| Тип объекта | Действие в журнале | Результат |
|---|---|---|
| Приложение | Удаление приложений и субъектов-служб | Обратимо удалено |
| Приложение | Необратимое удаление приложения | Необратимое удаление |
| Субъект-служба | Удаление субъектов-служб. | Обратимо удалено |
| Субъект-служба | Необратимое удаление субъектов-служб. | Необратимое удаление |
| User | Удаление пользователя | Обратимо удалено |
| User | Необратимое удаление пользователя | Необратимое удаление |
| Microsoft 365 Groups | Удалить группу | Обратимо удалено |
| Microsoft 365 Groups | Необратимое удаление группы | Необратимое удаление |
| Все прочие объекты | Удаление “objectType” | Необратимое удаление |
Примечание.
В журнале аудита не различается тип удаленной группы. Обратимым является только удаление групп Microsoft 365. Если вы видите запись "Удаление группы", это может быть обратимое удаление группы Microsoft 365 или необратимое удаление группы другого типа. Документация по известному хорошему состоянию должна включать тип для каждой группы в вашей организации.
Сведения о мониторинге изменений конфигурации см. в разделе Восстановление после неправильной настройки.
Отслеживание изменений конфигурации с помощью книг
Книги Azure Monitor могут помочь отслеживать изменения конфигурации.
Книга отчетов о конфиденциальных операциях помогает выявлять подозрительные действия приложений и субъектов-служб, которые могут указывать на компрометацию, включая:
- Измененные учетные данные или методы проверки подлинности приложения и субъекта-службы.
- Новые разрешения, предоставленные субъектам-службам.
- Обновления роли каталога и членства в группе для субъектов-служб.
- Измененные параметры федерации.
Книга действий доступа между клиентами помогает отслеживать доступ к приложениям во внешних клиентах, к которым обращаются пользователи, а также к приложениям во внешних пользователях клиента. Эта книга используется для поиска аномальных изменений во входящем или исходящем доступе к приложениям на клиентах.
Операционная безопасность
Предотвратить нежелательные изменения гораздо проще, чем повторно создавать и перенастраивать объекты. Включите следующие задачи в процессы управления изменениями, чтобы свести инциденты к минимуму:
- Используйте модель с минимальными привилегиями. Убедитесь, что каждому члену вашей команды предоставлены минимальные привилегии, необходимые для выполнения его стандартных задач. Внедрите процесс, в рамках которого для выполнения более нестандартных задач будет требоваться повышение привилегий.
- Настройка и удаления санкционируются посредством административного контроля над объектом. Используйте менее привллегированные роли, такие как средство чтения безопасности, для задач, которые не требуют операций для создания, обновления или удаления (CRUD). Если требуются операции CRUD, по возможности используйте роли, настроенные для конкретного объекта. Например, администраторы пользователей могут удалять только пользователей, а администраторы приложений могут удалять только приложения. Используйте эти более ограниченные роли, когда это возможно.
- Использование управления привилегированными пользователями (PIM). PIM обеспечивает возможность JIT-эскалации привилегий для выполнения таких задач, как необратимое удаление. Вы можете настроить PIM для отображения уведомлений и получения утверждений для повышения привилегий.