tos-akibaのブログ

主に Microsoft 365 Security について

Microsoft Entra ID のオブジェクト削除の追跡と復旧

Microsoft Entra ID のオブジェクト削除に関する情報がありました。
Keeping track of object deletions in Microsoft Entra ID - Microsoft Community Hub

 

Microsoft Entra ID におけるオブジェクトを削除した場合は、作り直しだと思って慎重に行うのが常でしたが、論理的な削除をサポートしているものが多くあるのですね。
「論理的な削除」: 削除済みとマークされ、ごみ箱に移動される。30日以内は回復できる。
「物理的な削除」: オブジェクトは完全に削除され、復元できない。


論理的な削除をサポートしているもの

Microsoft Entra 管理センターと、Microsoft Graph API で復元可能
 ・ ユーザー
 ・ Microsoft 365 グループ(セキュリティグループ、配布グループでなく)
 ・ アプリケーションの登録

Microsoft Graph API のみで復元可能
 ・ サービスプリンシパル
 ・ 管理単位(AU:Administrative Units)

オンプレの Active Directory と同期したハイブリッド構成の場合は、ソース側の Active Directory でバックアップ、復元する必要があるので、ここは注意です。
再同期により論理削除されたオブジェクトがごみ箱から自動的に復元されるそうです。

 

Entra ID 監査ログでオブジェクト削除の追跡についても触れられていますが、いくつか注意点が挙げられています。
・ KQL の照会では、大文字と小文字が区別されるので、厳密な検索(== とか)に注意
・ 論理的な削除をサポートしていないオブジェクト種類(例:条件付きアクセスポリシー)については、物理的な削除にみがログ記録される
csv など一括操作の場合は、開始と終了に関する追加イベントと、個々のオブジェクトに対する個別イベントが存在
Active Directory と同期されたオブジェクトが、同期から外れたり削除されると、Microsoft Entra ID で論理的に削除される

 

(参考)
Microsoft Entra ID での削除からの回復 - Microsoft Entra | Microsoft Learn