Verzeichnis zurückschreiben: Benutzer und Gruppen aus Entra ID
Wie der Änderungsplan entsteht, warum ein Objekt aus dem Papierkorb mehr behält als ein neu angelegtes, und was in jedem Fall Vorschau bleibt.
Der Verzeichnisabzug sichert Benutzer und Gruppen aus Microsoft Entra ID. Diese Seite beschreibt den Weg zurück.
Nicht zu verwechseln mit dem Verzeichnis-Agenten, der Personen aus einem lokalen Active Directory oder LDAP an Conbool meldet. Der Agent versorgt die Plattform mit Personen; diese Seite handelt vom Zurückschreiben eines gesicherten Entra-Stands. Siehe Verzeichnis.
Der Änderungsplan
Vor jedem Schreiben entsteht ein Plan. Er vergleicht den gesicherten Stand mit dem heutigen und zeigt Zeile für Zeile, was entstehen und was sich ändern würde.
Was dazugekommen ist, wird nie entfernt. Der Plan legt an und ändert, er räumt nicht auf. Ein Konto, das nach dem Sicherungszeitpunkt angelegt wurde, bleibt unberührt.
Der heutige Stand wird dafür live bei Microsoft gelesen. Bei mehreren tausend Konten dauert das einige Minuten.
Papierkorb oder Neuanlage: der entscheidende Unterschied
Ein Objekt, das noch im Microsoft-Papierkorb liegt, wird wiederhergestellt und behält dabei seine Kennung, sein Postfach, seine Lizenzen und seine Mitgliedschaften.
Ein Objekt, das dort nicht mehr liegt, entsteht neu. Es bekommt eine neue Kennung und verliert damit alles, was an der alten hing: das Postfach, die Lizenzzuweisungen, die Gruppenmitgliedschaften, die Berechtigungen auf Dateien und Websites.
Microsoft hält gelöschte Objekte dreißig Tage im Papierkorb. Wer innerhalb dieser Frist handelt, bekommt die Person zurück; danach bekommt er einen gleichnamigen Eintrag.
Was immer Vorschau bleibt
Drei Objektarten werden nie geschrieben, auch nicht bei erteilter Freigabe:
- Anmelderichtlinien
- Rollenzuweisungen
- App-Registrierungen
Sie erscheinen im Plan mit ihrem Sollzustand, damit ein Administrator sie von Hand nachziehen kann. Automatisch geschrieben werden sie nicht: eine falsch wiederhergestellte Rollenzuweisung oder Anmelderichtlinie kann einen ganzen Mandanten aussperren.
Ohne Freigabe nur Vorschau
Das Anlegen von Konten verlangt Rechte, mit denen sich jeder Benutzer des Microsoft-Mandanten ändern ließe. Ohne die entsprechende Zustimmung entsteht ausschließlich ein Plan, den ein Administrator selbst umsetzt.
Ist die Zustimmung erteilt, wird sie nur nach Änderungsplan und ausdrücklicher Freigabe genutzt. Jeder Vorgang steht im Protokoll.