Microsoft Entra使用者及群組生命週期如何管理？

生命週期事件與控制措施

身分生命週期要把入職、職務調動、長期休假、離職及外部協作連接到權限變更。Microsoft Entra使用者與群組管理若只處理建立帳戶，而沒有定期覆核和終止程序，權限便會持續累積。企業應把設計原則轉化為可執行的標準、批准流程、監察指標及定期覆核，並先在測試環境驗證重大變更。

建議實施步驟

1. 定義權威人員資料來源及每類事件的觸發時間、批准者與完成時限。——定義權威人員資料來源及每類事件的觸發時間、批准者與完成時限。
2. 以職務群組分配一般權限——把特權、敏感資料及例外另行審批。
3. 為外部使用者及臨時群組設定贊助人、到期日及存取覆核。——為外部使用者及臨時群組設定贊助人、到期日及存取覆核。
4. 持續監察閒置帳戶、無擁有人群組、直接指派及失敗的離職撤權工作。——持續監察閒置帳戶、無擁有人群組、直接指派及失敗的離職撤權工作。

執行期間應保存設定、測試結果、例外原因、責任人與回復方法。重要設定須採用最小權限及職責分離，並把告警連接到明確工單與處理時限。

香港企業部署與營運要點

企業常見混合雲、外判支援及多個辦公地點，設計時須同時確認資料擁有人、服務時段、網絡依賴及供應商責任。所有例外應有到期日及補償控制；重大變更宜分批實施，並在維護窗口完成驗證。

技術控制亦要配合資產清冊、變更管理、備份、日誌及事故應變。單一設定顯示正常，並不等於整個服務鏈已具備安全性及可恢復性。

常見問題

延伸閱讀

權威資料來源

Microsoft Learn：Microsoft Entra群組概念；NIST SP 800-63-4：數碼身分指引。