從刪除中復原
本文說明從 Microsoft Entra 租用戶的虛刪除和實刪除中復原。 如果您尚未這麼做，請先閱讀可復原性最佳做法，以了解基本知識。
監視刪除情形
Microsoft Entra 稽核記錄包含租用戶中所執行所有刪除作業的相關資訊。 將這些記錄匯出至安全性資訊和事件管理工具，例如 Microsoft Sentinel。
您也可以使用 Microsoft Graph 來稽核變更，並建置自訂解決方案來監視一段時間內的差異。 如需如何使用 Microsoft Graph 尋找已刪除項目的詳細資訊，請參閱列出已刪除的項目 - Microsoft Graph v1.0。
稽核記錄
稽核記錄在租用戶中的物件遭到虛刪除或實刪除，而從主動狀態中移除時，一律會記錄「刪除<物件>」事件。
應用程式、使用者和 Microsoft 365 群組的刪除事件為虛刪除。 對於任何其他物件類型，則為實刪除。 藉由比較「刪除<物件>」事件與已刪除的物件類型，來追蹤實刪除事件的發生次數。 請注意不支援虛刪除的事件。 也請注意「實刪除<物件>」事件。
| Object type | 記錄中的活動 | 結果 |
|---|---|---|
| 申請 | 刪除應用程式 | 已虛刪除 |
| 申請 | 實刪除應用程式 | 已實刪除 |
| User | 刪除使用者 | 已虛刪除 |
| User | 實刪除使用者 | 已實刪除 |
| Microsoft 365 群組 | 刪除群組 | 已虛刪除 |
| Microsoft 365 群組 | 實刪除群組 | 已實刪除 |
| 所有其他物件 | 刪除 “objectType” | 已實刪除 |
注意
稽核記錄不會區分已刪除群組的群組類型。 只會將 Microsoft 365 群組虛刪除。 如果您看到 [刪除群組] 項目，可能是 Microsoft 365 群組的虛刪除，或是另一種群組類型的實刪除。
您已知良好狀態的文件必須包含組織中每個群組的群組類型。 若要深入了解如何記錄已知的良好狀態，請參閱復原性最佳做法。
監視支援票證
有關存取特定物件的支援票證突然增加，可能表示已發生刪除。 由於某些物件具有相依性，因此將用來存取應用程式、應用程式本身或以應用程式為目標的條件式存取原則的群組刪除，可能會造成廣泛的突然影響。 如果您看到類似這樣的趨勢，請檢查以確定存取所需的物件全都未遭到刪除。
虛刪除
當使用者、Microsoft 365 群組或應用程式註冊等物件虛刪除時，這些物件會進入暫止狀態，使其他服務無法使用這些物件。 在此狀態中，項目會保留其屬性，並可還原 30 天。 在 30 天後，狀態為已虛刪除的物件會永久刪除或實刪除。
注意
無法從實刪除的狀態還原物件。 必須將物件重新建立並重新設定。
發生虛刪除時
請務必了解在您環境中發生物件刪除的原因，以準備刪除物件。 本節概述依物件類別進行虛刪除的常見案例。 您可能會看到組織特有的案例，因此探索程序是準備的關鍵。
使用者
每當使用 Azure 入口網站、Microsoft Graph 或 PowerShell 刪除使用者物件時，使用者就會進入虛刪除狀態。
使用者刪除最常見的案例為：
- 系統管理員為回應要求或在例行使用者維護期間，會刻意刪除 Azure 入口網站中的使用者。
- Microsoft Graph 或 PowerShell 中的自動化指令碼會觸發刪除。 例如，您可能有一個指令碼，可將指定時間內未登入的使用者移除。
- 已將使用者移出範圍，以便與 Microsoft Entra Connect 進行同步處理。
- 使用者會從 HR 系統中移除，並透過自動化工作流程取消佈建。
Microsoft 365 群組
所刪除 Microsoft 365 群組最常見的案例為：
- 系統管理員刻意刪除群組，例如為了回應支援要求。
- Microsoft Graph 或 PowerShell 中的自動化指令碼會觸發刪除。 例如，您可能會有一個指令碼，可將指定時間內群組擁有者尚未存取或證明的群組刪除。
- 非系統管理員意外將其擁有的群組刪除。
應用程式物件與服務主體
最常見的應用程式刪除案例為：
- 系統管理員刻意刪除應用程式，例如為了回應支援要求。
- Microsoft Graph 或 PowerShell 中的自動化指令碼會觸發刪除。 例如，您可能需要一個程序來刪除不再使用或管理的已放棄應用程式。 一般而言，請為應用程式建立下架程序，而不是編寫指令碼，以避免意外刪除。
當您刪除應用程式時，應用程式註冊預設會進入虛刪除狀態。 若要了解應用程式註冊與服務主體之間的關聯性，請參閱 Microsoft Entra ID 中的應用程式與服務主體 - Microsoft 身分識別平台。
管理單位
最常見的刪除案例是在仍需要的情況下意外刪除管理單位(AU)。
從虛刪除中復原
您可以在系統管理入口網站中或使用 Microsoft Graph，還原虛刪除的項目。 並非所有物件類別都可以在入口網站中管理虛刪除功能，只會使用 deletedItems Microsoft Graph API 列出、檢視、實刪除或還原某些類別。
使用虛刪除維護的屬性
| Object type | 所維護的重要屬性 |
|---|---|
| 使用者 (包括外部使用者) | 所維護的所有屬性，包括 ObjectID、群組成員資格、角色、授權和應用程式指派 |
| Microsoft 365 群組 | 所維護的所有屬性，包括 ObjectID、群組成員資格、授權和應用程式指派 |
| 應用程式註冊 | 所維護的所有屬性。 請參閱此資料表之後的詳細資訊。 |
| 服務主體 | 所維護的所有屬性 |
| 管理單位 (AU) | 所維護的所有屬性 |
使用者
您可以在 Azure 入口網站中的 [使用者 | 已刪除的使用者] 頁面上看到已虛刪除的使用者。
如需如何還原使用者的詳細資訊，請參閱下列文件：
- 若要從 Azure 入口網站還原，請參閱還原或永久移除最近刪除的使用者。
- 若要使用 Microsoft Graph 還原，請參閱還原已刪除的項目 – Microsoft Graph v1.0。
群組
您可以在 Azure 入口網站的 [群組 | 已刪除的群組] 頁面中看到已虛刪除的 Microsoft 365 群組。
如需如何還原虛刪除 Microsoft 365 群組的詳細資訊，請參閱下列文件：
- 若要從 Azure 入口網站還原，請參閱還原已刪除的 Microsoft 365 群組。
- 若要使用 Microsoft Graph 還原，請參閱還原已刪除的項目 – Microsoft Graph v1.0。
應用程式與服務主體
應用程式有兩個物件：應用程式註冊和服務主體。 如需有關註冊與服務主體之間差異的詳細資訊，請參閱 Microsoft Entra ID 中的應用程式與服務主體。
若要從 Azure 入口網站還原應用程式，請選取 [應用程式註冊] > [已刪除的應用程式]。 選取要還原的應用程式註冊，然後選取 [還原應用程式註冊]。
目前可以透過 deletedItems Microsoft Graph API 列出、檢視、實刪除或還原服務主體。 若要使用 Microsoft Graph 還原應用程式，請參閱還原已刪除的項目 – Microsoft Graph 1.0 版。
管理單位
您可以透過 deletedItems Microsoft Graph API 列出、檢視或還原 AU。 若要使用 Microsoft Graph 還原 AU，請參閱還原已刪除的項目 – Microsoft Graph 1.0 版。 一旦刪除 AU，其就會保持虛刪除狀態，而且可以在 30 天內還原，但在此期間無法進行實刪除。 虛刪除的 AU 會在 30 天後自動刪除。
實刪除
實刪除是從 Microsoft Entra 租用戶中永久移除物件。 以這種方式將不支援虛刪除的物件移除。 同樣地，在刪除時間 30 天之後，虛刪除的物件就會實刪除。 支援虛刪除的唯一物件類型為：
- 使用者
- Microsoft 365 群組
- 應用程式註冊
- 服務主體
- 系統管理單位
重要
所有其他項目類型都會實刪除。 項目實刪除之後，就無法還原。 必須重新建立。 系統管理員或 Microsoft 都無法還原已實刪除的項目。 請確定您有程序和文件可將來自實刪除的可能中斷情況降到最低，以準備好應付這種情況。
如需關於如何準備及記錄目前狀態的詳細資訊，請參閱復原性最佳做法。
通常發生實刪除時
在下列情況下，可能會發生實刪除。
從虛刪除移至實刪除：
- 虛刪除的物件未在 30 天內還原。
- 系統管理員刻意將處於虛刪除狀態的物件刪除。
已直接實刪除：
- 已刪除的物件類型不支援虛刪除。
- 系統管理員選擇使用入口網站永久刪除項目，通常是為了回應要求而發生。
- 自動化指令碼會使用 Microsoft Graph 或 PowerShell 來觸發刪除物件。 使用自動化指令碼來清除過時的物件並不常見。 租用戶中的物件使用強固離線程序，可協助您避免發生可能導致大量刪除重要物件的錯誤。
從實刪除中復原
必須重新建立及重新設定實刪除的項目。 盡可能避免不必要的實刪除。
檢閱虛刪除的物件
請確定您有一個程序可經常檢閱處於虛刪除狀態的項目，並視需要加以還原。 若要這樣做，您應該：
- 經常列出已刪除的項目。
- 請確定您有應還原項目的特定準則。
- 請確定您已指派特定角色或使用者，以視需要評估及還原項目。
- 開發及測試持續性管理方案。 如需詳細資訊，請參閱企業業務持續性管理方案的考量。
如需關於如何避免不必要刪除的詳細資訊，請參閱復原性最佳做法中的下列文章：
- 商務持續性性和災害規劃
- 記錄已知的良好狀態
- 監視和資料保留