Jak znaleźć i przeanalizować tenanty shadow IT w Microsoft Entra ID

By Mirko Peters · 2026-10-25

Dowiedz się, jak znajdować i audytować zapomniane tenanty shadow IT w Microsoft Entra ID, wykorzystując automatyczne sygnały wykrywania oraz strategie zarządzania wieloma tenantami.

Automatically translated with AI from the original post. Read the English original

Dowiedz się, jak identyfikować, śledzić i zabezpieczać zapomniane tenanty shadow IT w Microsoft Entra, które Twoja organizacja utworzyła nieumyślnie. Ten przewodnik omawia automatyczne sygnały wykrywania, analizę powiązanych tenantów oraz kroki zarządzania potrzebne do zmapowania niezarządzanych środowisk chmurowych i objęcia ich centralną kontrolą.

Najważniejsze wnioski

• Organizacje często gromadzą wiele tenantów Microsoft Entra w wyniku fuzji, spółek zależnych, środowisk testowych i shadow IT w działach.
• Niezarządzane tenanty działające poza nadzorem centralnego działu IT tworzą krytyczne martwe punkty bezpieczeństwa i ryzyka związane ze zgodnością.
• Microsoft Entra wykorzystuje aktywność typu business-to-business, rejestracje aplikacji wielodzierżawnych oraz wspólne konta rozliczeniowe, aby automatycznie wskazywać powiązane tenanty.
• Formalne relacje zarządzania pozwalają organizacjom nadrzędnym zabezpieczać odrębne tenanty bez konieczności natychmiastowych, złożonych migracji.
• Monitorowanie konfiguracji zapewnia, że Twoje środowisko wielodzierżawne utrzymuje bazowe zasady bezpieczeństwa w ponad 200 typach zasobów.

Ukryte ryzyko tenantów shadow IT

W niemal każdej dużej konfiguracji Microsoft 365 kryje się zagrożenie, o którym rzadko mówi się podczas standardowych przeglądów bezpieczeństwa. Firmy często zakładają, że ich zasoby w chmurze są uporządkowane w ramach jednego katalogu. W rzeczywistości organizacje po cichu zaczynają być właścicielami kilku tenantów Microsoft Entra, nigdy tego nie planując. Gdy działy, pojedynczy pracownicy lub zewnętrzne zespoły projektowe uruchamiają szybki pilotaż, demo produktu albo środowisko testowe, opłacając je firmową kartą kredytową, na świecie pojawia się nowy tenant.

Microsoft klasyfikuje te izolowane środowiska jako tenanty shadow IT, ponieważ centralny dział IT ich nie administruje i często nie ma pojęcia, że istnieją. Zespoły bezpieczeństwa wydają miliony na obronę przed atakującymi z zewnątrz, skradzionymi hasłami i wyrafinowanymi kampaniami phishingowymi, a tymczasem boczne wejście może stać otworem z powodu zapomnianego tenanta testowego utworzonego dwa lata temu. Atakujący nie musi przełamywać silnie monitorowanych zabezpieczeń, gdy niezałatany, niemonitorowany tenant shadow działa w tle bez żadnego nadzoru administracyjnego.

Zagrożenie nie jest jedynie teoretyczne. Tenant, którym nikt nie administruje, może łatwo zostać źle skonfigurowany, co naraża poufne dane firmy na dostęp osób nieuprawnionych. Ponieważ te środowiska znajdują się poza standardowymi procesami udostępniania i audytu, nigdy nie pojawią się w kwartalnych przeglądach dostępu. Gdy zewnętrzny audytor zapyta, kto ma dostęp do konkretnego zestawu plików firmowych, wzruszenie ramionami nie spełni wymogów regulacyjnych. Możesz zabezpieczyć tylko to, co widzisz, a w tej chwili Twój inwentarz zasobów jest prawdopodobnie niepełny.

Jak Microsoft Entra wykrywa zapomniane tenanty

Na szczęście Microsoft udostępnia wbudowane mechanizmy, które pozwalają odnaleźć te ukryte środowiska, analizując sygnały połączeń, które Twój ekosystem generuje przez cały czas. Ta funkcja opiera się na wykrywaniu powiązanych tenantów, zamiast zmuszać administratorów do ręcznego tworzenia niemożliwej do zrealizowania listy wszystkich zasobów cyfrowych zarejestrowanych kiedykolwiek przez pracowników.

Sygnały aktywności business-to-business

Pierwszym istotnym sygnałem wykorzystywanym do wykrywania dzierżaw jest aktywność typu business-to-business (B2B). Microsoft Entra stale analizuje logowania gości, zewnętrzne rejestracje gości oraz przepływy dostępu administracyjnego, które kursują między głównym katalogiem a zewnętrznymi środowiskami. Jeśli użytkownicy w Twojej organizacji aktywnie współpracują z nieznaną dzierżawą, takie współdziałanie zostaje zarejestrowane jako mieralne połączenie.

Rejestracje aplikacji wielodzierżawczych

Nowoczesne architektury chmurowe w dużym stopniu opierają się na aplikacjach wykraczających poza granice organizacji. Drugi sygnał wykrywania obejmuje rejestracje aplikacji wielodzierżawczych. Dotyczy to zarówno aplikacji niestandardowych lub komercyjnych zarejestrowanych w głównej dzierżawie, które sięgają do zewnętrznych katalogów, jak i aplikacji firm trzecich spoza innych dzierżaw, które posiadają aktywne uprawnienia i tokeny API w Twoim środowisku. Te programowe mosty zostawiają wyraźny ślad w dzienniku audytu.

Wspólne konta rozliczeniowe

Być może najbardziej zaskakującym wektorem wykrywania są rozliczenia. Dwie odrębne dzierżawy Microsoft Entra mogą być strukturalnie powiązane wyłącznie dzięki wspólnemu kontu rozliczeniowemu platformy Azure lub strukturze umowy enterprise. Nikt nie musi wysyłać zaproszenia ani ręcznie logować się po drugiej stronie granicy. Jeśli niezarządzana dzierżawa opłaca usługi Azure przez Twój profil rozliczeniowy enterprise lub odwrotnie, połączenie od razu staje się widoczne dla ram zarządzania.

Objęcie niezarządzanych dzierżaw centralnym zarządzaniem

Gdy wykrywanie wskaże listę powiązanych dzierżaw, administratorzy muszą zdecydować, które środowiska zachować, które wycofać i jak zarządzać tymi, które pozostaną. Zamiast przeprowadzać uciążliwy, wieloletni projekt migracji dzierżaw, organizacje mogą ustanowić formalną relację zarządczą.

Relacja zarządcza to jednokierunkowe powiązanie, w którym dzierżawa nadrzędna zarządza, a dzierżawa podrzędna jest zarządzana. Co istotne, nie jest to pełne połączenie techniczne; zarządzana dzierżawa zachowuje własnych użytkowników, dane i lokalne obciążenia. Ustanowienie takiej relacji wymaga bezpiecznego uzgodnienia w trzech krokach:

• Dzierżawa, którą należy objąć zarządzaniem, wysyła administracyjne zaproszenie do dzierżawy nadrzędnej.
• Dzierżawa nadrzędna odpowiada żądaniem zawierającym określony szablon zasad, który opisuje dopuszczalne uprawnienia administracyjne.
• Dzierżawa podrzędna sprawdza i akceptuje szablon zasad, dzięki czemu bezpieczne połączenie zarządcze zostaje uruchomione.

Taka struktura pozwala administratorom IT zarządzać wieloma środowiskami z jednego widoku, korzystając z kont w dzierżawie zarządzającej. Eliminuje to problem bezpieczeństwa, jakim jest utrzymywanie oddzielnych, niepowiązanych poświadczeń administratorów w dziesiątkach indywidualnych portali dzierżaw.

Monitorowanie i zabezpieczanie ekosystemu wielodzierżawczego

Wykrywanie i relacje zarządcze to dopiero początek. Aby shadow IT nie wkradło się z powrotem do organizacji, należy wdrożyć aktywne monitorowanie konfiguracji oraz kontrolki bezpiecznego tworzenia dzierżaw.

Monitorowanie konfiguracji pozwala administratorom zdefiniować wzorcową bazę oczekiwanych ustawień i wykonywać ciągłe migawki rzeczywistego środowiska chmurowego. Zautomatyzowany monitor porównuje oba stany co sześć godzin dla ponad 200 typów zasobów obejmujących Microsoft Entra, Microsoft Intune, Exchange Online, Microsoft Teams, Microsoft Purview i Microsoft Defender. Gdy wystąpi odchylenie, zespoły bezpieczeństwa są natychmiast alarmowane.

Ponadto bezpieczne kontrolki tworzenia dzierżaw pozwalają organizacjom ograniczyć, kto może w ogóle utworzyć nową dzierżawę Microsoft Entra. Każda nowo zatwierdzona dzierżawa może zostać automatycznie powiązana z relacją zarządczą już w chwili utworzenia, dzięki czemu żadne nowe środowisko chmurowe nie rozpocznie swojego cyklu życia całkowicie niezarządzane.

Podsumowanie

Niezarządzane dzierżawy shadow IT stanowią ciche zagrożenie dla bezpieczeństwa firmy, prywatności danych i zgodności z przepisami. Wykorzystując wbudowane sygnały wykrywania Microsoft Entra, ustanawiając formalne relacje zarządcze i wymuszając ciągłe monitorowanie konfiguracji, liderzy IT mogą wreszcie uzyskać pełną widoczność rozproszonego chmurowego środowiska swojej organizacji. Aby zgłębić ten temat i posłuchać opinii ekspertów na temat nowoczesnej administracji chmurowej, koniecznie posłuchaj całego odcinka podcastu M365 FM.

Najczęściej zadawane pytania

Czym jest dzierżawa shadow IT w Microsoft Entra?

Dzierżawa typu shadow IT to niezarządzane środowisko Microsoft Entra, tworzone przez pracowników, działy lub zespoły projektowe bez wiedzy i nadzoru centralnego działu IT. Takie środowiska często obsługują obciążenia testowe, pilotaże lub dema działające poza korporacyjnymi bazowymi zasadami bezpieczeństwa.

Jak Microsoft Entra wykrywa nieznane dzierżawy?

Microsoft Entra wykrywa powiązane dzierżawy, analizując istniejące sygnały połączeń, w tym aktywność gości typu business-to-business, uprawnienia aplikacji wielodzierżawczych oraz wspólne konta rozliczeniowe lub umowy enterprise.

Czy relacja zarządzania wymaga pełnej migracji dzierżawy?

Nie. Relacja zarządzania ustanawia bezpieczne, jednokierunkowe połączenie administracyjne między dzierżawą nadrzędną a dzierżawą podrzędną, bez konieczności przenoszenia użytkowników, skrzynek pocztowych ani danych do jednego katalogu.

Jak często monitorowanie konfiguracji sprawdza ustawienia dzierżawy?

Monitorowanie konfiguracji automatycznie porównuje rzeczywiste środowisko chmurowe z definiowanymi bazowymi zasadami co sześć godzin, obejmując setki typów zasobów.