Как найти и проверить теневые клиенты ИТ в Microsoft Entra ID

By Mirko Peters · 2026-10-25

Узнайте, как находить и проверять забытые теневые клиенты ИТ в Microsoft Entra ID с помощью автоматизированных сигналов обнаружения и стратегий управления несколькими клиентами.

Automatically translated with AI from the original post. Read the English original

Узнайте, как выявлять, отслеживать и защищать забытые теневые клиенты Microsoft Entra ID, которые ваша организация создала непреднамеренно. В этом руководстве рассматриваются автоматизированные сигналы обнаружения, анализ связанных клиентов и шаги управления, необходимые для того, чтобы увидеть неуправляемые облачные среды и поставить их под централизованный контроль.

Главное

• Организации часто накапливают несколько клиентов Microsoft Entra в результате слияний, создания дочерних компаний, тестовых сред и теневого ИТ в отделах.
• Неуправляемые клиенты, работающие вне контроля центрального ИТ-отдела, создают критические слепые зоны в безопасности и риски для соответствия требованиям.
• Microsoft Entra использует активность B2B, регистрации многоклиентских приложений и общие платёжные учётные записи, чтобы автоматически выявлять связанные клиенты.
• Формальные управленческие связи позволяют родительским организациям защищать отдельные клиенты без необходимости немедленной сложной миграции.
• Мониторинг конфигурации обеспечивает соблюдение базовых требований безопасности в многоклиентской среде для более чем 200 типов ресурсов.

Скрытый риск теневых клиентов ИТ

Практически в каждой крупной установке Microsoft 365 скрыта угроза, о которой редко говорят на обычных проверках безопасности. Компании часто полагают, что их облачная инфраструктура аккуратно ограничена одним каталогом. На самом деле организации незаметно начинают владеть несколькими клиентами Microsoft Entra, даже не планируя этого. Когда отделы, отдельные сотрудники или внешние проектные команды быстро развёртывают пилотный проект, демонстрацию продукта или тестовую среду с помощью корпоративной карты, появляется новый клиент.

Microsoft классифицирует такие изолированные среды как теневые клиенты ИТ, поскольку центральный ИТ-отдел их не администрирует и часто даже не знает об их существовании. Пока команды безопасности тратят миллионы на защиту от внешних атакующих, украденных паролей и изощрённых фишинговых кампаний, «чёрный ход» может быть открыт через забытый тестовый клиент, созданный два года назад. Злоумышленнику не нужно прорываться через хорошо отслеживаемые защиты, если непатченный, неконтролируемый теневой клиент работает в фоновом режиме без какого-либо административного надзора.

Опасность не только теоретическая. Клиент, которым никто не управляет, легко может быть неправильно настроен, и тогда конфиденциальные данные компании станут доступны посторонним. Поскольку такие среды находятся вне стандартных процессов подготовки и аудита, они никогда не появятся в ваших ежеквартальных проверках доступа. Когда внешний аудитор спросит, кто имеет доступ к определённому набору корпоративных файлов, пожатие плечами не удовлетворит требования регуляторов. Защитить можно только то, что видишь, а сейчас ваш реестр активов, скорее всего, неполон.

Как Microsoft Entra выявляет забытых клиентов

К счастью, Microsoft предоставляет встроенные механизмы для поиска этих скрытых сред путём анализа сигналов подключения, которые ваша экосистема всё это время генерировала. Эта возможность основана на обнаружении связанных клиентов, а не на том, что администраторам вручную составлять невозможный список всех цифровых ресурсов, когда-либо зарегистрированных сотрудниками.

Сигналы активности B2B

Первым крупным сигналом для обнаружения клиентов является активность типа «бизнес-бизнес» (B2B). Microsoft Entra постоянно отслеживает входы гостевых пользователей, регистрации внешних гостей и потоки административного доступа между вашим основным каталогом и внешними средами. Если пользователи вашей организации активно работают с неизвестным клиентом, такая перекрестная активность фиксируется как измеримая связь.

Регистрации многоклиентских приложений

Современные облачные архитектуры во многом опираются на приложения, которые выходят за пределы организаций. Второй сигнал обнаружения отслеживает регистрации многоклиентских приложений. Сюда относятся пользовательские или коммерческие приложения, зарегистрированные в вашем основном клиенте и обращающиеся к внешним каталогам, а также сторонние приложения из внешних клиентов, которые имеют активные разрешения и API-токены в вашей среде. Такие программные связи оставляют понятный журнал аудита.

Общие платежные аккаунты

Пожалуй, самым неожиданным каналом обнаружения является биллинг. Два отдельных клиента Microsoft Entra могут быть структурно связаны только благодаря общему платежному аккаунту Azure или структуре корпоративного соглашения. Никому не нужно отправлять приглашение, и никому не нужно вручную входить через границы клиентов. Если неуправляемый клиент оплачивает службы Azure через ваш корпоративный платежный профиль или наоборот, связь сразу становится видна системе управления.

Подчинение неуправляемых клиентов централизованному управлению

Как только обнаружение выявляет список связанных клиентов, администраторы должны решить, какие среды сохранить, какие вывести из эксплуатации и как управлять оставшимися. Вместо болезненного многолетнего проекта миграции клиентов организации могут установить формальные отношения управления.

Отношения управления — это направленная связь, в которой родительский клиент управляет, а дочерний клиент находится под управлением. Важно, что это не полное техническое слияние: управляемый клиент сохраняет собственных пользователей, данные и локальные рабочие нагрузки. Настройка включает защищенное рукопожатие из трех шагов:

• Клиент, которым нужно управлять, отправляет административное приглашение родительскому клиенту.
• Родительский клиент отвечает запросом, содержащим шаблон политики с перечнем допустимых административных разрешений.
• Дочерний клиент проверяет и принимает шаблон политики, после чего защищенная связь управления вступает в силу.

Такая структура позволяет ИТ-администраторам управлять несколькими средами из единой панели с помощью учетных записей управляющего клиента. Это устраняет проблему безопасности, связанную с хранением разрозненных, не связанных между собой учетных данных администратора в десятках отдельных порталов клиентов.

Мониторинг и защита вашей многоклиентской экосистемы

Отношения обнаружения и управления — это только начало. Чтобы теневой ИТ не вернулся в организацию, необходимо внедрить активный мониторинг конфигурации и средства контроля безопасного создания.

Мониторинг конфигурации позволяет администраторам задать базовый набор ожидаемых параметров и делать непрерывный снимок фактической облачной среды. Автоматизированный монитор сравнивает эти два состояния каждые шесть часов по более чем 200 типам ресурсов из Microsoft Entra, Microsoft Intune, Exchange Online, Microsoft Teams, Microsoft Purview и Microsoft Defender. Если происходит отклонение, службы безопасности получают немедленное оповещение.

Кроме того, средства контроля безопасного создания клиентов позволяют организациям ограничить круг лиц, которые могут вообще создавать новый клиент Microsoft Entra. Любой вновь одобренный клиент можно автоматически подключить к отношениям управления сразу при создании, гарантируя, что ни одна новая облачная среда не начнет свой жизненный цикл полностью неуправляемой.

Заключение

Неуправляемые теневые ИТ-клиенты представляют собой скрытую угрозу для корпоративной безопасности, конфиденциальности данных и соответствия требованиям. Используя встроенные сигналы обнаружения Microsoft Entra, устанавливая формальные отношения управления и обеспечивая непрерывный мониторинг конфигурации, ИТ-руководители наконец могут получить полную видимость разветвленной облачной инфраструктуры своей организации. Чтобы глубже разобраться в этой теме и услышать мнение экспертов о современном администрировании облачных сред, обязательно послушайте полный выпуск подкаста M365 FM Podcast.

Часто задаваемые вопросы

Что такое теневой ИТ-клиент в Microsoft Entra?

Теневой клиент (shadow IT tenant) — это неуправляемая среда Microsoft Entra, которую создают сотрудники, подразделения или проектные команды без ведома и контроля центрального ИT-отдела. Такие среды часто используются для тестовых нагрузок, пилотов или демонстраций и находятся за пределами корпоративных базовых требований безопасности.

Как Microsoft Entra обнаруживает неизвестные клиенты?

Microsoft Entra находит связанные клиенты, анализируя существующие сигналы подключения: активность гостевых пользователей в сценариях «бизнес для бизнеса» (B2B), разрешения многоклиентских приложений, а также общие платёжные учётные записи или корпоративные соглашения.

Нужна ли полная миграция клиента для установления связи управления?

Нет. Связь управления создаёт защищённую однонаправленную связь между родительским и дочерним клиентом, и при этом не требуется переносить пользователей, почтовые ящики или данные в один каталог.

Как часто мониторинг конфигурации проверяет параметры клиента?

Мониторинг конфигурации автоматически каждые шесть часов сравнивает фактическую облачную среду с определёнными базовыми политиками для сотен типов ресурсов.