Governance dei proprietari dei gruppi Entra ID: scadenza

Che cos’è la governance dei proprietari dei gruppi Entra ID?

La governance dei proprietari dei gruppi Entra ID inizia con una domanda sull’accesso: chi può modificare le persone ammesse tramite un gruppo e chi resta responsabile quando cambia la sua finalità? Microsoft distingue la proprietà degli oggetti dai ruoli di directory. Un proprietario di gruppo può gestire proprietà, proprietari e membri del proprio gruppo; l’aggiunta e la rimozione manuale dei membri si applicano all’appartenenza Assigned. La proprietà non conferisce a quella persona diritti di gestione su tutti i gruppi. Microsoft Learn: autorizzazioni utente predefinite.

Questa autorità conta quando un gruppo controlla una risorsa reale. Microsoft documenta l’assegnazione delle applicazioni aziendali tramite gruppi, con accesso per gli utenti del gruppo assegnato e senza propagazione ai gruppi nidificati. L’assegnazione delle applicazioni basata sui gruppi richiede Entra ID P1 o P2. La deduzione operativa è semplice: chi può modificare i membri di quel gruppo può modificare la popolazione che riceve l’accesso all’applicazione assegnata. Accertare prima l’effettiva assegnazione dell’applicazione; la proprietà di un gruppo non correlato non dimostra tale accesso. Microsoft Learn: assegnare utenti e gruppi alle applicazioni.

Per un gruppo Microsoft 365 collegato a un sito del team SharePoint, i proprietari diventano proprietari del sito e i membri diventano membri del sito. SharePoint può anche mantenere autorizzazioni separate dal gruppo collegato. La revisione deve quindi registrare sia la relazione con il gruppo sia le altre autorizzazioni del sito. Rimuovere un membro dal gruppo non è una prova sufficiente che tutte le vie indipendenti di accesso al sito siano scomparse. Microsoft Learn: condivisione e autorizzazioni SharePoint.

Questa guida distingue sei segnali da esaminare: un proprietario ospite, nessun proprietario, nessun membro e nessun elemento padre, visibilità Public, assenza di copertura della scadenza per l’intero tenant e un numero elevato di membri raccolti. Rispondono a domande diverse. Nessuno dimostra una compromissione, un ruolo amministrativo per l’intero tenant o una decisione aziendale di eliminare un gruppo. I predicati esatti di EtcSec sono riportati più avanti con le posizioni nel codice sorgente.

Come funzionano proprietà, impostazioni degli ospiti e scadenza

La proprietà di un ospite è condizionata

Per i gruppi Microsoft 365, l’impostazione Group.Unified AllowGuestsToBeGroupOwner controlla se un ospite può essere proprietario. AllowGuestsToAccessGroups riguarda l’accesso ai gruppi e ai loro dati; AllowToAddGuests riguarda l’appartenenza degli ospiti. Trattare queste decisioni separatamente, senza interpretare un’impostazione come autorizzazione per tutte e tre le operazioni. La panoramica delle impostazioni identifica l’ambito Microsoft 365 e il requisito di licenza P1 per l’impostazione della proprietà. Microsoft Learn: impostazioni dei gruppi.

Il riferimento di configurazione Microsoft assegna a AllowGuestsToBeGroupOwner il valore predefinito False. Un tenant non consente automaticamente agli ospiti di essere proprietari di gruppi Microsoft 365 solo perché supporta la collaborazione. Esaminare insieme la configurazione effettiva e l’assegnazione reale della proprietà. Quando non esiste un oggetto di impostazioni personalizzato, consultare i valori predefiniti del modello invece di interpretare l’assenza dell’oggetto come un’autorizzazione. Microsoft Learn: configurare le impostazioni dei gruppi.

Non estendere questo controllo Group.Unified a una regola generale per tutti i gruppi di sicurezza. Graph documenta separatamente l’aggiunta di utenti o entità servizio come proprietari di gruppi Microsoft 365 o di sicurezza. Per un gruppo associato a Teams, la sincronizzazione dei proprietari può richiedere fino a due ore e alcune modifiche del team richiedono anche che il proprietario sia membro. Microsoft Learn: aggiungere proprietari di gruppo.

Le restrizioni degli ospiti influiscono anche sulle funzionalità di gestione disponibili. Con autorizzazioni ospite limitate, My Apps non espone l’elenco dei gruppi di cui un ospite è proprietario o membro. SharePoint e Teams mantengono i propri controlli sugli ospiti. Una relazione di proprietà osservata è quindi un segnale da esaminare, non una prova che ogni azione di gestione riesca tramite ogni interfaccia. Convalidare l’operazione e il servizio specifici in un ambiente di test autorizzato. Microsoft Learn: limitare le autorizzazioni degli ospiti.

Consideriamo un’esposizione esemplificativa: un gruppo Assigned concede accesso a un’applicazione di progetto e un ospite è un proprietario autorizzato. Una modifica dei membri potrebbe cambiare l’accesso a quell’applicazione se l’operazione pertinente è consentita. È una deduzione dalla proprietà e dall’assegnazione delle applicazioni documentate, non un incidente osservato né un’elevazione dimostrata a Global Administrator. Documentare la risorsa e le restrizioni applicabili prima di trattare lo scenario come un percorso di accesso su cui intervenire. Autorizzazioni di proprietà, assegnazione delle applicazioni.

Senza proprietario, vuoto e inutilizzato sono stati diversi

Un gruppo può avere membri senza un proprietario. Un altro può avere un proprietario senza membri. Un terzo può essere vuoto ma ancora necessario per un flusso di lavoro pianificato. Mantenere proprietà, appartenenza, relazioni con elementi padre e finalità aziendale in campi di revisione separati. Il file group-no-owner.go:37 del collector esamina i proprietari; group-orphaned.go:39 esamina i membri e gli elementi padre. Nessuna delle due funzioni misura la necessità aziendale.

I criteri Microsoft per i gruppi senza proprietario si applicano ai gruppi Microsoft 365 e sono disponibili solo nei cloud pubblici. Inviano ai membri idonei inviti che consentono di accettare la proprietà, con durata delle notifiche configurabile e idoneità tramite gruppi di sicurezza. È un flusso di recupero che richiede l’accettazione del membro, non un’assegnazione automatica della responsabilità. Microsoft Learn: risorsa ownerlessGroupPolicy.

Se nessuno accetta durante il periodo di notifica, le notifiche cessano e gli amministratori devono trovare e assegnare un proprietario. La guida amministrativa Microsoft documenta anche i prerequisiti di licenza e casella di posta per le notifiche. Includere questa coda di casi irrisolti nella procedura operativa; abilitare i criteri da soli non dimostra che tutti i gruppi senza proprietario abbiano acquisito proprietari responsabili. Microsoft Learn: gestire gruppi e team senza proprietario.

La scadenza riguarda i gruppi Microsoft 365

I criteri di scadenza si applicano ai gruppi Microsoft 365, non a tutti i gruppi di sicurezza. I gruppi attivi possono rinnovarsi automaticamente vicino alla scadenza tramite l’attività documentata in Outlook, SharePoint, Teams o Viva Engage. I gruppi non rinnovati vengono eliminati, con un periodo di ripristino di 30 giorni. Un gruppo longevo può quindi essere rinnovato ripetutamente in presenza di criteri validi. La sola età non dimostra l’assenza di copertura della scadenza. Microsoft Learn: scadenza dei gruppi Microsoft 365.

La risorsa groupLifecyclePolicy separa durata e copertura: groupLifetimeInDays definisce l’intervallo rinnovabile, mentre managedGroupTypes è All, Selected o None. Selected richiede di verificare l’inclusione del gruppo specifico. alternateNotificationEmails fornisce gli indirizzi di notifica per i gruppi senza proprietario. Trattare una data di scadenza rinnovata come prova del ciclo di vita, non come attestazione aziendale. Microsoft Learn: risorsa dei criteri del ciclo di vita.

La visibilità Public merita una revisione delle risorse

Microsoft descrive Public come un’opzione che consente agli utenti di unirsi senza l’autorizzazione del proprietario, mentre Private la richiede. L’appartenenza privata non è automaticamente nascosta; HiddenMembership è un valore distinto. La visibilità pubblica del gruppo deve attivare una revisione delle condizioni di ammissione previste e delle risorse collegate. Da sola non dimostra accesso anonimo da Internet né recupero riuscito di dati. Microsoft Learn: opzioni di visibilità dei gruppi.

Rilevamento: misurare la directory prima di interpretare i risultati

I blocchi seguenti riproducono la sintassi delle richieste o esempi di Microsoft Learn. I percorsi relativi appartengono alla documentazione Graph v1.0. Gli identificatori tra parentesi graffe devono essere risolti negli oggetti effettivi; l’identificatore fisso nell’esempio di conteggio è l’esempio Microsoft. Nessuna richiesta qui riportata è stata eseguita su un tenant. Conservare l’ambito delle richieste, gli errori di raccolta e la paginazione insieme all’inventario risultante.

1. Stabilire il tipo di gruppo e l’ambito della raccolta

La pagina List groups di Microsoft fornisce letteralmente questo filtro Microsoft 365:

GET https://graph.microsoft.com/v1.0/groups?$filter=groupTypes/any(c:c+eq+'Unified')

Usarlo per l’inventario Microsoft 365, non come l’intera revisione dei gruppi di sicurezza. La stessa pagina documenta dimensioni di pagina predefinite e massime di 100 e 999, oltre ai ritardi di replica dopo le modifiche. Seguire ogni @odata.nextLink restituito; una singola pagina o un risultato divenuto recentemente obsoleto non deve chiudere un rilievo. Microsoft Learn: elencare i gruppi.

Per ciascun gruppo selezionato, la sintassi documentata di Get group è:

GET /groups/{id}

L’API supporta $select per proprietà specifiche. Conservare ID del gruppo, tipo di appartenenza e stato di sincronizzazione nel registro di revisione e mantenere la risposta grezza, così da distinguere gli attributi mancanti dalle risposte negative. Microsoft Learn: ottenere un gruppo.

La risorsa group attuale di v1.0 documenta groupTypes contenente Unified per i gruppi Microsoft 365 e expirationDateTime come il relativo timestamp di scadenza definito dai criteri. Questa data è null per i gruppi di sicurezza. Non segnalare la data null di un gruppo di sicurezza come un rilievo di ciclo di vita Microsoft 365 senza copertura. Microsoft Learn: proprietà dei gruppi.

2. Esaminare i proprietari e risolverne il tipo di identità

Leggere la relazione dei proprietari usando la sintassi di Learn:

GET /groups/{id}/owners

La relazione può contenere utenti o entità servizio. Graph non espone i proprietari per gruppi creati in Exchange, gruppi di distribuzione o gruppi sincronizzati dall’ambiente locale. La pagina v1.0 documenta anche proprietari di tipo entità servizio mancanti e oggetti con informazioni limitate quando il chiamante non può leggere un tipo di risorsa. In questi oggetti, gli attributi possono essere null mentre ID e tipo rimangono disponibili. Seguire la paginazione e conservare le identità non risolte; gli attributi mancanti non possono dimostrare che un gruppo non abbia proprietari o che un proprietario sia ospite. Microsoft Learn: elencare i proprietari.

Risolvere esplicitamente i proprietari di tipo utente e ispezionare il userType raccolto. L’API Get user di Microsoft supporta la selezione di proprietà non predefinite; il riferimento delle autorizzazioni predefinite distingue utenti Member e Guest. Non sostituire l’attributo di identità con domini e-mail o stringhe #EXT# e non dedurre una compromissione dalla classificazione Guest. Microsoft Learn: ottenere un utente, tipi di utente.

Se si usa un filtro avanzato sul numero di proprietari durante l’indagine, applicare i requisiti documentati di ConsistencyLevel: eventual e di conteggio. Le query avanzate usano un indice separato e non supportano la combinazione di questi filtri sulle relazioni con $expand. Tenere l’elenco dei candidati senza proprietario separato dalle letture confermate dei proprietari per ciascun gruppo. Microsoft Learn: funzionalità di query avanzate.

3. Verificare separatamente membri, dimensione ed elementi padre diretti

Learn fornisce la richiesta dei membri diretti:

GET /groups/{id}/members

Il suo esempio di conteggio è:

GET https://graph.microsoft.com/v1.0/groups/02bd9fd6-8f93-4758-87c3-1fb73740a315/members/$count
ConsistencyLevel: eventual

Si tratta di oggetti di directory diretti, non di un conteggio transitivo di persone distinte. L’API members documenta un’omissione di entità servizio in v1.0 e l’appartenenza nascosta richiede Member.Read.Hidden. Per la convalida, enumerare tutte le pagine e deduplicare gli ID; registrare le restrizioni invece di presentare un elenco incompleto come un totale completo dei membri. Microsoft Learn: elencare i membri.

Leggere la relazione con gli elementi padre in una richiesta separata:

GET /groups/{id}/memberOf

L’API restituisce appartenenze dirette invece di un grafo transitivo. La risposta può includere gruppi, unità amministrative o ruoli amministrativi secondo il tipo di gruppo. Identificare i tipi di oggetti restituiti quando si confermano i gruppi padre. Una lettura della relazione non riuscita non è un risultato zero ottenuto correttamente. Microsoft Learn: elencare memberOf.

4. Leggere i criteri del ciclo di vita e della proprietà

Riprodurre l’esempio di elenco dei criteri del ciclo di vita:

GET https://graph.microsoft.com/v1.0/groupLifecyclePolicies

L’API documenta Directory.Read.All per accesso delegato o applicativo. Conservare la modalità di copertura restituita e confrontarla con i criteri previsti. Una risposta Selected richiede di verificare l’insieme dei gruppi selezionati; la sola esistenza di un oggetto di criteri non dimostra la copertura di tutti i gruppi. Microsoft Learn: elencare i criteri del ciclo di vita, proprietà di copertura.

Leggere le impostazioni a livello di tenant usando l’esempio documentato:

GET https://graph.microsoft.com/v1.0/groupSettings

Esaminare Group.Unified e i suoi valori invece di trattare l’intera risposta come un valore booleano. Learn indica GroupSettings.Read.All come autorizzazione di lettura con privilegio minimo e spiega i requisiti aggiuntivi di ruolo utente per le chiamate delegate, incluso il diverso comportamento con autorizzazioni delegate di lettura dell’intera directory. Microsoft Learn: elencare le impostazioni dei gruppi.

Quando mancano impostazioni personalizzate, la panoramica delle impostazioni fornisce questa richiesta del modello:

GET https://graph.microsoft.com/v1.0/groupSettingTemplates

Usare i valori predefiniti documentati del modello per interpretare l’assenza dell’oggetto personalizzato. Non interpretare l’assenza come un’abilitazione della proprietà degli ospiti. Microsoft Learn: modelli e valori predefiniti delle impostazioni dei gruppi.

Infine, leggere i criteri dei gruppi senza proprietario con l’esempio di Learn:

GET https://graph.microsoft.com/v1.0/policies/ownerlessGroupPolicy

Questo endpoint supporta Group.Read.All delegato, con un utente chiamante assegnato a Groups Administrator o Exchange Administrator. L’autorizzazione applicativa non è supportata. Un 404 documentato indica che i criteri non esistono; un errore di autorizzazione richiede un’interpretazione diversa. Non promettere che un collector con sole autorizzazioni applicative possa esaminare questi criteri attraverso lo stesso endpoint. Microsoft Learn: ottenere ownerlessGroupPolicy.

Come EtcSec rileva queste situazioni

Le descrizioni seguenti derivano dall’ispezione statica di etc-collector al commit b767fc1ef7ea4cf52d797d5aea1dd4c2d3d07d7c. Le posizioni dei file sono relative a public/internal/audit/detectors/. Sono criteri di implementazione, non misurazioni di un tenant.

I limiti della raccolta cambiano il successivo passo di convalida

Per NO_EXPIRY, una configurazione non sondata restituisce un rilievo Info etichettato come non determinabile, con Count=1. Quel valore non è un gruppo senza copertura. La funzione non esamina attività, expirationDateTime o una soglia di durata. Criteri Selected possono essere legittimi anche quando questa implementazione segnala i relativi gruppi Unified; confermare la copertura effettiva prima di descrivere questi gruppi come gruppi che non scadono mai. Fonte: unified-group-no-expiry.go:43 e :56.

L’attuale provider Azure assegna lo stesso elenco di ID dei membri sia a Members sia a Member. LARGE somma poi entrambe le lunghezze. Su quel percorso riuscito, con raccolta completa e senza ID duplicati, 2 × n > 500 diventa n > 250: 250 non soddisfa la condizione, 251 sì. È aritmetica ricavata dal codice, non un risultato di tenant o di test Go. 500 è la soglia scritta del rilevatore, non un limite Microsoft alle dimensioni dei gruppi. Fonti: public/internal/providers/azure/client.go:1115, group-large-membership.go:29.

Il provider popola effettivamente MemberOf, nonostante un commento obsoleto in ORPHANED sostenga il contrario. Memorizza gli ID della risposta diretta memberOf senza filtrare il tipo di oggetto, quindi un elemento padre registrato non è necessariamente un altro gruppo. Microsoft Learn: tipi di oggetto memberOf.

Gli errori dei membri e degli elementi padre non hanno la distinzione esplicita successo/errore del marcatore di sondaggio dei proprietari. Quel marcatore non garantisce dati completi dei proprietari: l’arricchimento memorizza UPN o nome visualizzato e scarta un oggetto quando entrambi mancano, anche dopo una risposta riuscita. Ha un tempo massimo di cinque minuti e non segue la paginazione dei proprietari in questo percorso di codice. Un limite di gruppi può anche provocare un ritorno prima dell’arricchimento. Esaminare gli avvisi di raccolta e le relazioni grezze prima di fidarsi di conteggi pari a zero. Fonti: public/internal/providers/azure/client.go:1142, :1158, :1170, :1184, :1235, :1253, :1264, :1345.

Correzione: ripristinare la responsabilità e verificare l’accesso (Remediation)

1. Attestare la proprietà prima di modificare le autorizzazioni

Raccomandiamo di iniziare con una revisione basata sulle risorse: registrare finalità, referente interno responsabile, applicazioni assegnate o siti collegati, proprietari attuali, eccezioni approvate e autorità responsabile dell’appartenenza. Chiedere al responsabile della risorsa di confermare se il gruppo è ancora necessario. Per i gruppi da mantenere, assegnare proprietari responsabili prima di rimuovere la proprietà obsoleta.

Microsoft documenta il percorso nel centro di amministrazione Entra ID → Gruppi → Tutti i gruppi → selezionare il gruppo → Proprietari → Aggiungi, e la rimozione tramite l’elenco dei proprietari. Usare i requisiti di ruolo documentati e conservare le relazioni prima e dopo. Per i gruppi associati a Teams, includere nelle verifiche di accettazione i requisiti di appartenenza e sincronizzazione descritti in precedenza. Microsoft Learn: gestire i proprietari, aggiunta di proprietari con Graph.

2. Limitare deliberatamente la proprietà degli ospiti

Per i gruppi Microsoft 365 i cui criteri richiedono proprietà interna, mantenere o ripristinare AllowGuestsToBeGroupOwner=False in Group.Unified. Esaminare separatamente la proprietà degli ospiti esistente, senza supporre che una modifica di configurazione dimostri la scomparsa di tutte le relazioni esistenti. Preservare le altre impostazioni durante l’aggiornamento dell’oggetto; la guida di configurazione Microsoft richiede espressamente di leggere i valori attuali per evitare di sovrascrivere configurazioni non correlate. Rileggere sia le impostazioni sia i proprietari dopo la modifica. Microsoft Learn: configurare le impostazioni dei gruppi.

Documentare le eccezioni con un referente e una data di revisione. Esaminare separatamente invito, autenticazione e ciclo di vita dell’identità ospite usando la guida alla superficie di attacco degli account ospiti, che tratta autorizzazioni di invito, MFA e account inattivi. Questi controlli di identità completano la revisione della proprietà; non sostituiscono i criteri del ciclo di vita dei gruppi.

3. Gestire la coda di recupero dei gruppi senza proprietario

Nel centro di amministrazione Microsoft 365, abilitare il flusso per i gruppi senza proprietario in Impostazioni → Impostazioni dell’organizzazione → Gruppi di Microsoft 365, quindi configurare destinatari idonei, mittente, periodo di notifica e gruppi destinatari. Verificare le licenze supportate e le caselle Exchange Online: il mittente deve avere una casella utente o di gruppo, le caselle condivise del mittente non sono supportate e i destinatari devono avere caselle utente. Monitorare le accettazioni della proprietà ed effettuare l’escalation dei gruppi ancora irrisolti al termine delle notifiche. Il flusso documentato lascia l’assegnazione manuale finale agli amministratori quando nessuno accetta. Microsoft Learn: configurazione dei criteri per gruppi senza proprietario.

4. Configurare la scadenza in base alle dipendenze reali

Scegliere durata e copertura All o Selected dopo aver esaminato le dipendenze applicative e di collaborazione. Le impostazioni di scadenza di Entra supportano anche un indirizzo di notifica alternativo per i gruppi senza proprietario. Le licenze richiedono il possesso di licenze P1 o P2 per i membri dei gruppi a cui si applica la scadenza. Confermare la gestione del rinnovo prima di considerare l’eliminazione un risultato previsto. Microsoft Learn: configurazione della scadenza.

Rileggere i criteri del ciclo di vita e le prove di scadenza per ciascun gruppo. Per la copertura Selected, mantenere evidenza dei gruppi inclusi. Tenere scadenza del gruppo, conservazione dei contenuti e disattivazione degli account ospiti come decisioni separate; i criteri del ciclo di vita descrivono una durata rinnovabile del gruppo, non tutti e tre gli esiti. Microsoft Learn: definizione dei criteri del ciclo di vita.

5. Esaminare ammissione e numero elevato di membri

Per i gruppi Public, chiedere se l’ammissione senza autorizzazione del proprietario corrisponda al pubblico della risorsa. Quando è richiesta un’approvazione, esaminare la visibilità Private e verificare separatamente le autorizzazioni effettive del servizio. Per i rilievi LARGE, ottenere prima un inventario deduplicato dei membri diretti, quindi esaminare perché ogni popolazione necessita di accesso. Separare responsabilità o gruppi di accesso quando la revisione aziendale lo giustifica; non rimuovere membri solo per soddisfare il predicato numerico dell’implementazione.

Mantenere la struttura dei gruppi privilegiati come indagine separata. L’articolo sui gruppi privilegiati nidificati e assegnabili a ruoli affronta questo tema. Rispettare il suo ambito senza importare un’affermazione di elevazione di ruolo in questa revisione della proprietà.

6. Fare in modo che le revisioni dell’appartenenza producano una decisione

Creare revisioni con revisori nominati, revisori di riserva quando vengono selezionati i proprietari dei gruppi, un esito esplicito per la mancata risposta e una decisione sull’applicazione automatica dei risultati. Learn documenta la gestione dei revisori di riserva per i gruppi senza proprietario e avverte che la rimozione per mancata risposta con applicazione automatica può revocare l’accesso alle risorse. I membri di un gruppo senza proprietario non conservano inevitabilmente l’accesso dopo una revisione: l’esito dipende da queste impostazioni e dall’applicazione delle decisioni. Verificare i requisiti attuali di licenza Governance o Suite per la revisione scelta. Microsoft Learn: creare revisioni di accesso.