Shadow tenanty w Microsoft Entra: ukryte ryzyko dla firm i jak je opanować

W świecie zarządzania tożsamością (IAM) wiele uwagi poświęca się odpornemu na phishing uwierzytelnianiu wieloskładnikowemu czy agentom AI. Jednak – jak wskazują analitycy – w praktyce wiele organizacji boryka się z dużo bardziej przyziemnym problemem: nie wiedzą, ile naprawdę mają tenantów w Microsoft Entra i kto nimi zarządza. To zjawisko określane mianem „shadow tenantów” (cieniowych dzierżaw) stwarza poważne ryzyko dla bezpieczeństwa i zgodności z regulacjami, zwłaszcza w kontekście nadchodzących wymogów dyrektywy NIS2.

Czym są shadow tenanty i dlaczego powstają?

Shadow tenant to dzierżawa Microsoft Entra (dawniej Azure AD) utworzona poza kontrolą centralnego zespołu IT – często przez dział marketingu, sprzedaży, a nawet pojedynczego pracownika, który potrzebował szybkiego dostępu do usług chmurowych. Jak zauważa Kapitan Hack w swoim artykule, takie tenanty powstają „zakładane poza kontrolą centralnego zespołu tożsamości”. Każdy z nich może mieć własne polityki dostępu, własne konta użytkowników i własne, często słabe, zabezpieczenia. Dla zespołu IT stają się one niewidzialnym wektorem ataku – punktem, przez który atakujący mogą przedostać się do wrażliwych danych firmy.

Microsoft Entra Tenant Governance – odpowiedź na chaos

25 marca 2026 roku Microsoft opublikował na oficjalnym blogu wpis oraz powiązaną dokumentację dotyczącą nowego zestawu funkcji o nazwie Microsoft Entra Tenant Governance. Jak czytamy w źródle, chodzi o „zestaw funkcji do wykrywania, obejmowania nadzorem i utrzymywania spójnych polityk w środowiskach multi-tenant”. To nie tylko marketingowa nakładka, ale próba uporządkowania realnego bałaganu. Narzędzia te mają umożliwić administratorom:

• wykrywanie wszystkich tenantów powiązanych z organizacją,
• audytowanie ich konfiguracji i poziomu zabezpieczeń,
• egzekwowanie jednolitych polityk (np. wymogu MFA, warunkowego dostępu) we wszystkich dzierżawach.

Dzięki temu firmy mogą odzyskać kontrolę nad rozproszonym środowiskiem tożsamości i zamknąć luki, które dotychczas pozostawały w cieniu.

Ryzyko biznesowe i regulacyjne

Shadow tenanty to nie tylko problem techniczny – to realne ryzyko biznesowe. Niezarządzana dzierżawa może stać się furtką dla atakujących, którzy po przejęciu jednego konta w słabo chronionym tenancie uzyskają dostęp do danych firmowych. W kontekście polskich firm objętych dyrektywą NIS2 (m.in. sektory energetyki, transportu, zdrowia, administracji) brak kontroli nad tenantami może skutkować naruszeniem obowiązku zgłaszania incydentów i odpowiedniego zabezpieczenia systemów. Microsoft w swoim cyklicznym podsumowaniu bezpieczeństwa podkreśla, że zarządzanie tożsamością jest fundamentem cyberodporności – a shadow tenanty są jednym z najczęściej przeoczanych zagrożeń.

Jak bezpiecznie reagować?

Dla administratorów i działów IT pierwszym krokiem powinno być przeprowadzenie audytu istniejących tenantów. Narzędzia dostępne w ramach Entra Tenant Governance pozwalają na automatyczne wykrywanie dzierżaw, ale warto też:

• wprowadzić procedurę zatwierdzania tworzenia nowych tenantów,
• skonfigurować alerty dla każdej nowej dzierżawy powiązanej z domeną firmową,
• regularnie przeglądać uprawnienia gościnne i role w istniejących tenantach.

Wdrożenie tych praktyk nie tylko zmniejsza ryzyko incydentu, ale także przygotowuje organizację na wymogi raportowania wynikające z NIS2. Warto obserwować dalszy rozwój funkcji Tenant Governance – Microsoft zapowiada ich rozszerzanie, a dla firm korzystających z chmury to jedna z najważniejszych zmian w obszarze bezpieczeństwa tożsamości w 2026 roku.