heise+ | Entra-Housekeeping: Ungenutzte Konten im Tenant finden und aufräumen

In vielen Entra-ID-Tenants sammeln sich über die Jahre Objekte an, bei denen irgendwann niemand mehr so genau weiß, warum sie eigentlich noch da sind. Das können eingeladene Gäste ohne Ansprechpartner sein, alte Benutzerkonten, Gruppen ohne Owner, Enterprise Applications ohne erkennbare Nutzung oder App Registrations mit alten Secrets und Conditional-Access-Richtlinien, die zwar noch greifen, aber keinen Zweck mehr erfüllen.

Das ist erst einmal nichts Ungewöhnliches. Ein Tenant lebt. Benutzer kommen und gehen, Firmen werden gekauft oder verkauft, Projekte starten und enden, Anwendungen lösen einander ab. Parallel vergeben Administratoren Rollen, legen Gruppen an, laden Gäste ein und passen Richtlinien an. Zum Problem werden solche Objekte erst, wenn später kein Prozess mehr prüft, ob sie noch jemand braucht.

• Gastkonten, Gruppen und Anwendungen brauchen einen benannten Owner oder Sponsor. Fehlt er, kann niemand fachlich bestätigen, ob ein Zugriff noch nötig ist, und Access Reviews laufen ins Leere.

• Beim Aufräumen von Conditional-Access-Richtlinien und privilegierten Rollen heißt „nicht verwendet“ nicht unbedingt „nicht benötigt“. Löschung braucht daher einen dokumentierten Grund – und einen getesteten Rollback-Weg.

• Das Entra Admin Center liefert mit Groups Insights, Empfehlungen und Filtern erste Anhaltspunkte. Für wiederholbare Auswertungen und Exporte eignen sich PowerShell und Microsoft Graph besser, Access Reviews und Lifecycle Workflows übernehmen die regelmäßige Prüfung.
• Security Copilot und diverse Agenten können Entra durchleuchten und auch Abfragen über Claude Desktop lassen sich zusammenbasteln – sollten aber nur als Entscheidungshilfe für den Admin dienen.

Klaus Bierschenk arbeitet als Technologieberater bei CGI Deutschland. Er beschäftigt sich seit den frühen Tagen von Active Directory mit Identitäten und ist auf Entra ID und hybride Set-ups spezialisiert.

„Entra-Housekeeping“ meint deshalb keine jährliche Großaktion. Es geht vielmehr darum, regelmäßig Transparenz zu schaffen, Verantwortlichkeiten zu klären und überflüssige Objekte kontrolliert aus dem Tenant zu entfernen. Das Ziel ist kein hübsch aufgeräumter Tenant, sondern eine kleinere Angriffsfläche, weniger unbekannte Abhängigkeiten und eine Umgebung, die sich noch sinnvoll verwalten lässt.