Przejdź do treści
Infrastruktura

Account Discovery w Entra ID – jak nie zarządzać dostępem, którego nie widać

W Microsoft Entra ID wiele kont może pozostawać niewidocznych dla administratorów. Brak pełnego wglądu w tożsamości zwiększa ryzyko nieautoryzowanego dostępu. Wyjaśniamy, jakie konta umykają uwadze i jak poprawić widoczność.

4 min read
An abstract composition of a cloudy sky over a city of translucent servers, with a magnifying glass floating above revealing faint human silhouettes hidden among the structures.

Zarządzanie tożsamością w Microsoft Entra ID opiera się na procedurach: wnioskowanie o uprawnienia, okresowe przeglądy, odbieranie dostępu po odejściu pracownika. Problem pojawia się, gdy zadamy pytanie: czy naprawdę widzimy wszystkie konta w aplikacjach? Jak wskazuje analiza opublikowana przez Kapitan Hack, w typowym środowisku Entra ID wiele tożsamości pozostaje poza zasięgiem standardowych narzędzi administracyjnych. Nie chodzi tylko o konta użytkowników, ale także o konta usługowe, aplikacje zapisane w kodzie źródłowym czy tożsamości zewnętrzne. Bez ich pełnej widoczności zarządzanie dostępem staje się fikcją.

Jakie konta najczęściej umykają administratorom?

W Entra ID funkcjonuje kilka rodzajów tożsamości, które nie zawsze są ujęte w regularnych przeglądach. Po pierwsze, service principal – konta aplikacji zarejestrowanych w dzierżawie. Nawet jeśli aplikacja nie jest już używana, jej jednostka usługi może wciąż mieć nadane uprawnienia do zasobów, np. do SharePoint Online czy Microsoft Graph. Po drugie, konta gości (B2B) – często zapraszane jednorazowo, ale nigdy nie usuwane. Po trzecie, tożsamości zarządzane (managed identities) – tworzone automatycznie przez platformę, łatwo o ich zagubienie w dużej infrastrukturze. Jak podkreśla autor analizy,

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

„W wielu organizacjach nie ma żadnego procesu, który pozwalałby odpowiedzieć na pytanie: jakie konta aplikacji mają dostęp do Microsoft Graph i jakie zakresy uprawnień otrzymały”.

Dlaczego brak widoczności to realne ryzyko?

Każde nieodkryte konto to potencjalna ścieżka ataku. Nawet jeśli konto nie jest używane, może mieć stare uprawnienia, które przestępca mógłby przejąć lub wykorzystać. Ryzyko wzrasta w przypadku ciągłej integracji i wdrażania (CI/CD), gdzie sekrety aplikacji (hasła, tokeny) bywają przechowywane w kodzie źródłowym lub plikach konfiguracyjnych. Standardowy przegląd użytkowników nie obejmuje tych zasobów. Ponadto, w przypadku przejęcia konta usługi z szerokimi uprawnieniami (np. Application.ReadWrite.All), atakujący może dodać własną aplikację i uzyskać trwały dostęp do całej dzierżawy. Eksperci z branży wielokrotnie ostrzegali, że zaniedbane konta aplikacji są częstą przyczyną wycieków danych.

Jak poprawić widoczność tożsamości w Entra ID?

Rozwiązaniem jest proces Account Discovery – systematyczne identyfikowanie wszystkich kont w środowisku, niezależnie od ich typu. Microsoft udostępnia narzędzia, choć nie zawsze są one domyślnie włączone. W Entra ID warto skorzystać z:

  • List kontroli dostępu (access reviews) – okresowe przeglądy nie tylko użytkowników, ale także jednostek usługi i grup z przypisanymi rolami.
  • Raportów dotyczących aplikacji – w portalu Entra można wyświetlić listę wszystkich zarejestrowanych aplikacji i ich uprawnień.
  • Microsoft Graph API – umożliwia programowe wyliczenie wszystkich jednostek usługi, tożsamości zarządzanych i przypisanych zakresów.
  • Narzędzi innych firm – wyspecjalizowane rozwiązania do zarządzania stanem tożsamości (CSPM, CIEM) potrafią wykrywać konta-shadow i pomijać ręczne przeszukiwanie logów.

Warto też wprowadzić regułę: żadne konto nie powinno mieć uprawnień bez udokumentowanego celu biznesowego. Każda jednostka usługi, aplikacja czy tożsamość zarządzana powinna przypadać na konkretne zadanie i podlegać corocznemu przeglądowi.

Od teorii do praktyki – pierwszy krok

Administratorzy Entra ID powinni zacząć od audytu istniejących kont. Można to zrobić, analizując opisany w analizie Kapitan Hack zestaw pytań kontrolnych: czy w dzierżawie istnieją aplikacje z uprawnieniami do odczytu wszystkich skrzynek pocztowych? Czy jakaś jednostka usługi ma globalne prawa administratora? Czy konta gości z ostatnich dwóch lat są nadal aktywne? Samo postawienie tych pytań często ujawnia luki. W dalszej kolejności warto wdrożyć automatyczne skanowanie uprawnień przy użyciu dostępnych narzędzi, aby zapobiec sytuacji, w której „nie da się zarządzać dostępem, którego nie widać”.

Systematyczne odkrywanie i porządkowanie tożsamości to proces ciągły, nie jednorazowy. W dynamicznym środowisku chmurowym nowe konta powstają codziennie, często bez wiedzy zespołu IT. Dlatego regularne przeglądy i automatyzacja stają się nie tyle opcją, co koniecznością dla każdej poważnie traktującej bezpieczeństwo organizacji.

#Account Discovery #chmura #cyberbezpieczeństwo #IAM #Microsoft Entra ID #zarządzanie tożsamością
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Photorealistic image of a worried man looking at his smartphone on a Berlin street, with subtle surveillance cameras in the background, natural daylight, depth of field, 16:9, photojournalistic style, slight grain, no text or logos. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

Niemcy będą gromadzić adresy IP przez 3 miesiące. Co to znaczy dla Twojej prywatności?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: młoda kobieta około 30 lat, siedzi przy stole w polskim mieszkaniu, trzyma smartfona w dłoni, twarz zaniepokojona, patrzy na ekran telefonu (widok od tyłu telefonu, bez widocznego interfejsu). Na stole leży portfel i karta płatnicza (bez widocznych napisów). Naturalne światło dzienne wpadające przez okno. Głębia ostrości: twarz i telefon ostre, tło lekko rozmyte. Kadr 16:9, zbliżenie na twarz i dłonie. Styl jak zdjęcie reporterskie z Getty Images, lekki szum, wysoki kontrast. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

75 milionów rekordów Revolut na czarnym rynku. Czy twoje dane są bezpieczne?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: młoda kobieta trzyma w dłoni banknot 20 euro, patrzy na niego z zaskoczeniem i uśmiechem. Naturalne światło dzienne, wnętrze mieszkania, na stole leżą inne banknoty i monety. Niewyraźny fragment banknotu (bez czytelnych napisów), twarz kobiety wyraża dumę i ciekawość. Kadr zbliżony, głębia ostrości, lekki szum. Styl Getty Images. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

Nowy banknot euro z Polką? EBC pokazał projekt. Skłodowska-Curie na 20 euro

27 lipca, 2026 3 min read