Cara Menemukan dan Mengaudit Penyewa Shadow IT di Microsoft Entra ID

By Mirko Peters · 2026-10-25

Pelajari cara menemukan dan mengaudit penyewa shadow IT yang terlupakan di Microsoft Entra ID dengan memanfaatkan sinyal penemuan otomatis dan strategi tata kelola multi-penyewa.

Automatically translated with AI from the original post. Read the English original

Pelajari cara mengidentifikasi, melacak, dan mengamankan penyewa shadow IT Microsoft Entra yang terlupakan dan dibuat organisasi Anda secara tidak sengaja. Panduan ini membahas sinyal penemuan otomatis, analisis penyewa terkait, dan langkah tata kelola yang diperlukan untuk memetakan lingkungan cloud yang tidak dikelola serta menempatkannya di bawah kendali pusat.

Poin Penting

• Organisasi sering kali memiliki banyak penyewa Microsoft Entra akibat merger, anak perusahaan, lingkungan uji coba, dan shadow IT departemen.
• Penyewa tidak terkelola yang beroperasi di luar pengawasan TI pusat menciptakan titik buta keamanan yang kritis dan risiko kepatuhan.
• Microsoft Entra memanfaatkan aktivitas business-to-business, pendaftaran aplikasi multi-penyewa, dan akun penagihan bersama untuk menampilkan penyewa terkait secara otomatis.
• Membangun hubungan tata kelola formal memungkinkan organisasi induk mengamankan penyewa terpisah tanpa harus langsung melakukan migrasi yang rumit.
• Pemantauan konfigurasi memastikan lingkungan multi-penyewa Anda tetap memenuhi baseline keamanan di lebih dari 200 jenis sumber daya.

Risiko Tersembunyi dari Penyewa Shadow IT

Ada risiko yang tersembunyi di hampir setiap pengaturan Microsoft 365 berskala besar, dan risiko ini jarang dibahas dalam tinjauan keamanan standar. Perusahaan sering berasumsi bahwa jejak cloud mereka hanya terbatas pada satu direktori. Kenyataannya, organisasi diam-diam memiliki beberapa penyewa Microsoft Entra tanpa pernah merencanakannya. Ketika departemen, karyawan individu, atau tim proyek eksternal membuat pilot cepat, demo produk, atau lingkungan pengujian menggunakan kartu kredit perusahaan, sebuah penyewa baru pun lahir.

Microsoft mengklasifikasikan lingkungan terisolasi ini sebagai penyewa shadow IT karena TI pusat tidak mengelolanya dan sering kali tidak tahu bahwa lingkungan tersebut ada. Sementara tim keamanan menghabiskan dana besar untuk melindungi pintu depan dari penyerang eksternal, kata sandi yang dicuri, dan kampanye phishing yang canggih, pintu samping bisa saja terbuka lebar melalui penyewa uji coba yang terlupakan dan dibuat dua tahun lalu. Penyerang tidak perlu menembus pertahanan yang dipantau ketat ketika penyewa shadow yang tidak ditambal dan tidak dipantau sudah berjalan di latar belakang tanpa pengawasan administratif sama sekali.

Bahayanya bukan sekadar teori. Penyewa yang tidak ada yang mengelola dapat dengan mudah salah dikonfigurasi, sehingga membuka data perusahaan yang sensitif kepada pihak yang tidak berwenang. Karena lingkungan ini berada di luar proses penyediaan dan audit standar, lingkungan ini tidak akan pernah muncul dalam tinjauan akses triwulanan Anda. Ketika auditor eksternal menanyakan siapa saja yang dapat mengakses kumpulan file perusahaan tertentu, jawaban mengangkat bahu tidak akan memenuhi persyaratan regulasi. Anda hanya dapat mengamankan apa yang bisa Anda lihat, dan saat ini, inventaris aset Anda kemungkinan besar belum lengkap.

Cara Microsoft Entra Menampilkan Penyewa yang Terlupakan

Untungnya, Microsoft menyediakan mekanisme bawaan untuk menemukan lingkungan tersembunyi ini dengan menganalisis sinyal koneksi yang sudah dihasilkan ekosistem Anda sejak awal. Kemampuan ini mengandalkan penemuan penyewa terkait, alih-alih memaksa administrator menyusun daftar manual yang mustahil berisi setiap aset digital yang pernah didaftarkan oleh karyawan.

Sinyal Aktivitas Business-to-Business

Sinyal utama yang digunakan untuk menemukan penyewa adalah aktivitas business-to-business (B2B). Microsoft Entra terus memindai masuk tamu, pendaftaran tamu eksternal, dan alur akses administratif yang bergerak bolak-balik antara direktori utama Anda dan lingkungan eksternal. Jika pengguna di organisasi Anda aktif berkolaborasi dengan penyewa yang tidak dikenal, interaksi lintas batas tersebut tercatat sebagai koneksi yang dapat diukur.

Registrasi Aplikasi Multi-Tenant

Arsitektur cloud modern sangat bergantung pada aplikasi yang melintasi batas organisasi. Sinyal penemuan kedua melacak registrasi aplikasi multi-tenant. Ini mencakup aplikasi kustom atau komersial yang terdaftar di penyewa utama Anda dan menjangkau direktori eksternal, serta aplikasi pihak ketiga dari penyewa luar yang memiliki izin aktif dan token API di dalam lingkungan Anda. Jembatan terprogram ini meninggalkan jejak audit yang jelas.

Akun Penagihan Bersama

Mungkin jalur penemuan yang paling mengejutkan adalah penagihan. Dua penyewa Microsoft Entra yang terpisah dapat terhubung secara struktural hanya karena akun penagihan Azure bersama atau struktur perjanjian enterprise yang sama. Tidak ada yang perlu mengirim undangan, dan tidak ada pengguna yang perlu masuk secara manual melintasi batas. Jika penyewa yang tidak dikelola membayar layanan Azure melalui profil penagihan enterprise Anda, atau sebaliknya, koneksi tersebut langsung terlihat oleh kerangka tata kelola.

Membawa Penyewa Tak Terkelola ke Bawah Tata Kelola Terpusat

Setelah penemuan menghasilkan daftar penyewa terkait, administrator harus memutuskan lingkungan mana yang dipertahankan, mana yang dihentikan secara bertahap, dan bagaimana mengatur lingkungan yang tersisa. Alih-alih menjalani proyek migrasi penyewa bertahun-tahun yang mengganggu, organisasi dapat membangun hubungan tata kelola formal.

Hubungan tata kelola adalah tautan searah, di mana satu penyewa induk melakukan tata kelola dan penyewa anak diatur. Yang penting, ini bukan penggabungan teknis penuh; penyewa yang diatur tetap memiliki pengguna, data, dan beban kerja lokalnya sendiri. Penyiapannya melibatkan jabat tangan keamanan tiga langkah:

• Penyewa yang perlu diatur mengirimkan undangan administratif ke penyewa induk.
• Penyewa induk merespons dengan permintaan yang berisi templat kebijakan tertentu yang menguraikan izin administratif yang diperbolehkan.
• Penyewa anak meninjau dan menerima templat kebijakan tersebut, sehingga tautan manajemen yang aman menjadi aktif.

Struktur ini memungkinkan administrator TI mengelola beberapa lingkungan dari satu panel kendali terpadu menggunakan akun di penyewa induk. Cara ini menghilangkan masalah keamanan dalam memelihara kredensial administrator yang terpisah dan tidak terhubung di puluhan portal penyewa individual.

Memantau dan Mengamankan Ekosistem Multi-Tenant Anda

Hubungan penemuan dan tata kelola hanyalah permulaan. Agar shadow IT tidak kembali merayap ke dalam organisasi Anda, Anda harus menerapkan pemantauan konfigurasi aktif dan kontrol pembuatan yang aman.

Pemantauan konfigurasi memungkinkan administrator menetapkan baseline pengaturan yang diharapkan dan mengambil snapshot berkelanjutan dari lingkungan cloud yang sebenarnya. Pemantau otomatis membandingkan keduanya setiap enam jam di lebih dari 200 jenis sumber daya yang mencakup Microsoft Entra, Microsoft Intune, Exchange Online, Microsoft Teams, Microsoft Purview, dan Microsoft Defender. Jika terjadi penyimpangan, tim keamanan langsung diberi tahu.

Selain itu, kontrol pembuatan penyewa yang aman memungkinkan organisasi membatasi siapa yang boleh membuat penyewa Microsoft Entra baru sejak awal. Penyewa baru yang disetujui dapat otomatis dihubungkan ke hubungan tata kelola sejak dibuat, sehingga tidak ada lingkungan cloud baru yang memulai siklus hidupnya dalam kondisi sepenuhnya tidak terkelola.

Kesimpulan

Penyewa shadow IT yang tidak terkelola merupakan ancaman senyap bagi keamanan perusahaan, privasi data, dan postur kepatuhan. Dengan memanfaatkan sinyal penemuan bawaan Microsoft Entra, membangun hubungan tata kelola formal, dan menerapkan pemantauan konfigurasi berkelanjutan, para pemimpin TI akhirnya dapat memperoleh visibilitas penuh atas jejak cloud organisasi yang tersebar luas. Untuk mendalami topik ini dan mendengar wawasan para ahli tentang administrasi cloud modern, pastikan Anda Dengarkan episode lengkapnya di M365 FM Podcast.

Pertanyaan Umum

Apa itu penyewa shadow IT di Microsoft Entra?

Tenant shadow IT adalah lingkungan Microsoft Entra yang tidak dikelola, dibuat oleh karyawan, departemen, atau tim proyek tanpa sepengetahuan atau pengawasan IT pusat. Lingkungan ini sering menjalankan beban kerja pengujian, pilot, atau demo di luar baseline keamanan perusahaan.

Bagaimana Microsoft Entra menemukan tenant yang tidak dikenal?

Microsoft Entra menemukan tenant terkait dengan menganalisis sinyal koneksi yang sudah ada, termasuk aktivitas tamu business-to-business, izin aplikasi multi-tenant, serta akun penagihan bersama atau perjanjian enterprise.

Apakah hubungan tata kelola memerlukan migrasi tenant penuh?

Tidak. Hubungan tata kelola membangun tautan manajemen yang aman dan searah antara tenant induk dan tenant anak tanpa mengharuskan Anda memindahkan pengguna, kotak surat, atau data ke dalam satu direktori.

Seberapa sering pemantauan konfigurasi memeriksa pengaturan tenant?

Pemantauan konfigurasi secara otomatis membandingkan lingkungan cloud Anda yang sebenarnya dengan baseline kebijakan yang Anda tentukan setiap enam jam di ratusan jenis sumber daya.