365 Backup · Microsoft Entra ID

Für Benutzer gibt esdreißig Tage.Für Richtlinien nichts.

Gelöschte Benutzer und Gruppen liegen eine begrenzte Zeit im Papierkorb des Verzeichnisses. Für Richtlinien des bedingten Zugriffs, Rollenzuweisungen und App-Registrierungen gibt es gar keine Wiederherstellung. Conbool sichert das Verzeichnis nach Zeitplan und zeigt Abweichungen als lesbaren Änderungsplan.

Warum das Verzeichnis ins Backup gehört

Vier Fälle, die kein Papierkorb auffängt.

Anmelderichtlinien kennen keine Wiederherstellung

Wer eine Richtlinie des bedingten Zugriffs löscht, hat sie verloren. Das ist die Art Verlust, die am Montagmorgen die gesamte Anmeldung lahmlegt und für die es bei Microsoft keinen Rückweg gibt.

Die Frist läuft, während niemand hinsieht

Benutzer und Gruppen bleiben eine begrenzte Zeit wiederherstellbar. Wird der Verlust später bemerkt, etwa bei einer Prüfung, ist die Frist längst abgelaufen.

Eine geänderte Gruppe fällt niemandem auf

Aus einer Gruppe entfernte Mitglieder, ein geänderter Mitgliedschaftsregel-Ausdruck, eine umgestellte Sichtbarkeit: solche Änderungen erzeugen keinen Alarm und lassen sich hinterher nicht rekonstruieren.

Rollenzuweisungen sind der stille Fall

Wer administrativ berechtigt war, steht nirgends nach. Nach einem Vorfall ist genau das die Frage, die zuerst gestellt wird.

Änderungsplan Verzeichnisgegen heute
12fehlt
3geändert
47zusätzlich
Gruppe Vertrieb Nordfehlt
Richtlinie MFA externgeändert

Gelöscht wird nichts. Was es heute gibt und in der Sicherung nicht, wird gemeldet und bleibt stehen.

Erst lesen, dann schreiben

Ein Plan, den ein Mensch liest.

Der Vergleich zwischen gesichertem und heutigem Verzeichnis nennt jeden Befund einzeln: was fehlt, was abweicht und in welchen Feldern, und was zusätzlich vorhanden ist.

Abweichende Felder stehen im Klartext

Zusätzliche Objekte werden gemeldet, nicht entfernt

Zurückgeschrieben wird nur nach zwei Freigaben

Jede Änderung steht danach unter dem Namen des Menschen

Wie die Sicherung läuft

Eine Einheit je Microsoft-Mandant, im selben Zeitplan wie die übrigen Quellen.

1. Lesen

Jeder Lauf liest Benutzer, Gruppen, Verzeichnisrollen, Anwendungen, Dienstprinzipale, Verwaltungseinheiten und die Richtlinien des bedingten Zugriffs, dazu die Mitgliedschaften von Gruppen und Rollen.

2. Vergleichen

Auf Wunsch entsteht ein Änderungsplan gegen den heutigen Stand: was fehlt, was abweicht und welche Felder es sind, und was zusätzlich vorhanden ist.

3. Entscheiden

Der Plan ist zum Lesen da. Wer will, kann Benutzer und Gruppen daraus zurückschreiben lassen, nach zwei getrennten Freigaben. Vorgabe ist der Plan.

Was die Verzeichnissicherung ausmacht

Sechs Punkte, die den Unterschied machen.

Sieben Objektarten, nicht nur Benutzer

Benutzer, Gruppen, Verzeichnisrollen, Anwendungen, Dienstprinzipale, Verwaltungseinheiten und die Richtlinien des bedingten Zugriffs, jeweils mit den Feldern, die nach einem Verlust zählen.

Mitgliedschaften sind der eigentliche Inhalt

Eine Gruppe ohne ihre Mitglieder wiederherzustellen ergibt eine leere Hülle, und bei einer Rolle hieße es, dass niemand mehr Administrator ist. Die Mitgliedschaften werden deshalb mitgeführt.

Änderungsplan statt blindem Zurückschreiben

Eine Verzeichnis-Wiederherstellung ist selten und folgenreich. Es entsteht deshalb zuerst ein Plan, den ein Mensch liest, mit den abweichenden Feldern im Klartext.

Gelöscht wird nichts

Objekte, die es heute gibt und in der Sicherung nicht, werden gemeldet und ausdrücklich nicht zum Entfernen vorgeschlagen. Eine Wiederherstellung, die neuere Objekte wegräumt, wäre ein Rückschritt.

Der Weg über Microsoft zuerst

Liegt ein gelöschter Benutzer noch im Papierkorb des Verzeichnisses, wird er von dort zurückgeholt, mit seiner alten Kennung und damit samt Postfach, Lizenzen und Mitgliedschaften. Neu anlegen ist die zweite Wahl, nicht die erste.

Ohne eigenen Platz

Das Verzeichnis gehört keinem Benutzer. Es läuft als genau eine Einheit je Microsoft-Mandant und belegt keinen Lizenzplatz.

Mit und ohne eigene Sicherung

Was in beiden Fällen möglich ist.

 
Mit Conbool
Nur Microsoft 365
Gelöschte Richtlinie des bedingten Zugriffs nachlesen
ja, aus dem gesicherten Stand
nein
Benutzer nach Ablauf der Frist wiederherstellen
ja, als neues Objekt
nein
Gruppenmitgliedschaften von früher einsehen
ja
nein
Abweichungen zum heutigen Stand als Liste
ja
nein
Rollenzuweisungen eines älteren Standes
ja
nein

Angaben zu Microsoft 365 nach den öffentlich dokumentierten Wiederherstellungsfunktionen. Gelöschte Benutzer und Gruppen bleiben dort eine begrenzte Zeit wiederherstellbar.

Häufige Fragen

Was genau wird aus Entra ID gesichert?
Benutzer, Gruppen, Verzeichnisrollen, Anwendungen, Dienstprinzipale, Verwaltungseinheiten und die Richtlinien des bedingten Zugriffs. Bei Gruppen und Rollen kommen die Mitgliedschaften dazu. Je Art wird eine bewusst knappe Feldauswahl gesichert, nämlich die Felder, die jemand nach einem Verlust wiederherstellen oder nachlesen will.
Schreibt Conbool von sich aus ins Verzeichnis?
Nein. Vorgabe ist der Änderungsplan. Eine Anwendung mit Schreibrecht auf das Verzeichnis könnte Konten anlegen, Rollen vergeben und Anmelderichtlinien abschalten, sie wäre das lohnendste Ziel im ganzen Produkt. Wer das Zurückschreiben trotzdem will, braucht zwei getrennte Freigaben: eine Einstellung im Mandanten und eine eigene Zustimmung je Microsoft-Organisation.
Was passiert beim Zurückschreiben eines gelöschten Benutzers?
Zuerst wird nachgesehen, ob er noch im Papierkorb des Verzeichnisses liegt. Von dort zurückgeholt behält er seine Kennung und damit Postfach, Lizenzen und Mitgliedschaften. Ist die Frist abgelaufen, entsteht ein neues Objekt mit neuer Kennung. Weg sind dann Gruppenmitgliedschaften, Lizenzen, das Postfach und jede Berechtigung, die an der alten Kennung hing. Das Konto bekommt ein Einmalkennwort, das niemand kennt und das der Administrator ersetzt.
Warum werden Richtlinien und Rollenzuweisungen nicht zurückgeschrieben?
Weil ihre Wiederherstellung gefährlicher ist als ihr Verlust. Wer eine vor drei Wochen bewusst gelöschte Anmelderichtlinie zurückholt, sperrt am Montag die halbe Belegschaft aus. Sie stehen im gesicherten Stand und im Änderungsplan und lassen sich nachlesen, angelegt werden sie von einem Menschen.
Was passiert mit Objekten, die es nur heute gibt?
Sie werden im Plan als zusätzlich gemeldet und nicht zum Entfernen vorgeschlagen. Gelöscht wird bei einer Wiederherstellung nichts.
Welche Berechtigungen braucht die Sicherung?
Lesende Rechte auf Benutzer, Gruppen und das Verzeichnis. Fehlen sie, meldet der Lauf jede betroffene Objektart ausdrücklich als nicht lesbar, statt eine leere Sicherung als Erfolg zu vermerken. Was nicht gelesen werden durfte, steht mit Grund im Bericht.
Kostet das Verzeichnis einen zusätzlichen Platz?
Nein. Das Verzeichnis gehört keinem Benutzer und läuft als eine Einheit je Microsoft-Mandant, ohne eigenen Lizenzplatz.

Verwandte Lösungen

Den Änderungsplan am eigenen Verzeichnis sehen

Wir binden einen Testmandanten an und zeigen den Vergleich zwischen gesichertem und heutigem Stand, bevor Sie sich entscheiden.