قابلیت Hard Deletion Protection در سرویس مایکروسافت Entra که اکنون در مرحله پیش‌نمایش (Preview) قرار دارد، به مدیران سیستمی این امکان را می‌دهد تا در یک بازه زمانی هفت‌روزه، هویت‌های منتخب را پیش از حذف دائمی و بازگشت‌ناپذیر، بازیابی کنند.
هدف و کاربرد
این ویژگی برای کمک به سازمان‌ها در مواجهه با حذف‌های تصادفی یا مخرب اشیاء حیاتی در دایرکتوری (Directory Objects) طراحی شده است. این قابلیت از موارد زیر پشتیبانی می‌کند:
- کاربرانی که از سیستم‌های On-premises همگام‌سازی نشده‌اند (Cloud-only users)
- گروه‌های ابری (Cloud-only groups)
- اپلیکیشن‌ها (Applications)
- اصول خدمات (Service Principals)
همچنین اشیاء Entra Agent ID از طریق انواع هویت‌های زیرساختی خود تحت پوشش این قابلیت قرار می‌گیرند.
تفاوت با حذف نرم (Soft-Delete)
به طور معمول، مایکروسافت Entra اشیاء حذف‌شده را به مدت ۳۰ روز در حالت Soft-deleted نگه می‌دارد تا امکان بازیابی آن‌ها وجود داشته باشد. با این حال، عملیات حذف دائمی (Permanent Deletion) می‌تواند این فرصت بازیابی را زودتر از موعد به پایان برساند.
قابلیت Hard Deletion Protection مانع از حذف دائمی در هفت روز نخست پس از Soft-delete می‌شود. لازم به ذکر است که این ویژگی جلوی حذف اولیه را نمی‌گیرد؛ بنابراین شیء همچنان غیرفعال شده و ممکن است دسترسی به سرویس‌های وابسته مختل شود، اما امکان بازگرداندن آن تا هفت روز باقی می‌ماند.
محدودیت‌ها و نکات مدیریتی
پس از گذشت هفت روز، حذف دائمی مجاز خواهد بود. اگر یک شیء بازیابی شود، محافظت از آن تمدید شده و در صورت حذف مجدد، بازه هفت‌روزه دوباره از ابتدا آغاز می‌شود. نکته بسیار حیاتی این است که سرویس Microsoft Entra Backup and Recovery قادر به بازیابی اشیاء حذف‌شده به صورت Hard-deleted نیست و در چنین حالتی، شیء باید مجدداً ایجاد و پیکربندی شود که این امر مستلزم تعریف شناسه‌های جدید و بازسازی روابط دسترسی است.
نحوه پیکربندی
برای فعال‌سازی این قابلیت، داشتن نقش Microsoft Entra Backup Administrator الزامی است. مدیران باید در مرکز مدیریت Entra به مسیر زیر مراجعه کنند:
Backup and recovery → Hard deletion protection → Add protection
در هر عملیات می‌توان حداکثر ۲۰ شیء از یک نوع پشتیبانی‌شده را محافظت کرد. فعال‌سازی این ویژگی در لاگ‌های حسابرسی (Audit Logs) ثبت می‌شود و برای انواع پشتیبانی‌شده فعلی، نیاز به لایسنس اضافی نیست.
توصیه‌های امنیتی
با توجه به اینکه محافظت پس از فعال‌سازی غیرقابل غیرفعال کردن است، مدیران باید در انتخاب اشیاء دقت کنند. در صورت نیاز به حذف دائمی یک شیء محافظت‌شده، ابتدا باید Soft-delete شده و سپس دوره انتظار هفت‌روزه سپری شود.
این تحلیل توصیه می‌کند که رویدادهای حذف در لاگ‌های Entra رصد شده و به یک پلتفرم مدیریت رویدادهای امنیتی و اطلاعات (SIEM) مانند Microsoft Sentinel ارسال شوند. همچنین می‌توان از Conditional Access برای اعمال الزامات سخت‌گیرانه‌تر بر روی مجوزهای حساس، از جمله حذف دائمی اشیاء دایرکتوری، استفاده کرد.
