Ασφάλεια στο Microsoft Entra ID: Τι είναι και πώς λειτουργεί το Hard Deletion Protection

Το Hard Deletion Protection για το Microsoft Entra ID είναι μια νέα λειτουργία ασφαλείας (σε φάση Public Preview από τον Νοέμβριο του 2026) που εμποδίζει την άμεση οριστική διαγραφή (hard deletion) κρίσιμων αντικειμένων καταλόγου για 7 ημέρες μετά την αρχική τους διαγραφή (soft deletion).

Αποτελεί μέρος της σουίτας Microsoft Entra Backup and Recovery και έχει σχεδιαστεί για να προστατεύει τους οργανισμούς από κακόβουλες ενέργειες ή ανθρώπινα λάθη διαχειριστών.

Πώς λειτουργεί

• Περίοδος αναμονής 7 ημερών. Όταν ένα προστατευμένο αντικείμενο διαγραφεί (soft delete), μεταφέρεται στον κάδο ανακύκλωσης (Deleted items). Κατά τις πρώτες επτά ημέρες, κανένας διαχειριστής δεν μπορεί να πατήσει «Delete Permanently» για να το εξαφανίσει οριστικά.

• Δυνατότητα επαναφοράς. Κατά τη διάρκεια αυτού του επταημέρου, το αντικείμενο μπορεί να επαναφερθεί κανονικά (restore) ανά πάσα στιγμή. Αν επαναφερθεί και διαγραφεί ξανά στο μέλλον, η προστασία παραμένει ενεργή.

• Μόνιμη ενεργοποίηση. Μόλις ενεργοποιηθεί το Hard Deletion Protection για ένα αντικείμενο, δεν μπορεί να απενεργοποιηθεί ή να αναιρεθεί ποτέ, ούτε καν από τους ίδιους τους διαχειριστές.

• Απαιτούμενος ρόλος. Για να ενεργοποιήσει κάποιος αυτή την προστασία, χρειάζεται τον ρόλο Microsoft Entra Backup Administrator.

Γιατί είναι σημαντικό

Σε περίπτωση κυβερνοεπίθεσης και όταν ένας εισβολέας αποκτήσει δικαιώματα διαχειριστή, μια συνηθισμένη τακτική είναι να διαγράψει οριστικά τους λογαριασμούς ανάκτησης (break-glass) ώστε να κλειδώσει έξω τους νόμιμους διαχειριστές.

Το χαρακτηριστικό αυτό, δίνει στην ομάδα ασφαλείας ένα εγγυημένο παράθυρο 7 ημερών για να εντοπίσει την παραβίαση και να ανακτήσει την πρόσβαση.

Μπορείς να ενεργοποιήσεις το Hard Deletion Protection οπτικά μέσω του Microsoft Entra admin center (για έως 20 αντικείμενα τη φορά), ή μαζικά και αυτοματοποιημένα μέσω του Microsoft Graph API/PowerShell.
Για οποιαδήποτε από τις δύο μεθόδους, θα χρειαστείς τον ρόλο Microsoft Entra Backup Administrator. Δεν απαιτείται επιπλέον άδεια χρήσης (license) για τα υποστηριζόμενα αντικείμενα.

1. Ενεργοποίηση μέσω του Microsoft Entra Portal

Είναι ο πιο άμεσος τρόπος για να προστατεύσεις μεμονωμένους λογαριασμούς έκτακτης ανάγκης (break-glass) ή κρίσιμες εφαρμογές:

Συνδέσου στο Microsoft Entra admin center με λογαριασμό που διαθέτει τον ρόλο Microsoft Entra Backup Administrator.
Από το αριστερό μενού, πήγαινε στην ενότητα Backup and recovery και επίλεξε Hard deletion protection.
Πάτησε το κουμπί Add protection στην κορυφή της σελίδας.
και επέλεξε τον τύπο αντικειμένου (Users, Groups, Applications ή Service Principals). Στη συνέχεια αναζήτησε και επίλεξε έως 20 αντικείμενα ανά ενέργεια.
Διάβασε προσεκτικά την προειδοποίηση ότι η προστασία είναι μόνιμη και πάτησε Save.

2. Ενεργοποίηση μέσω Microsoft Graph (PowerShell)

Αν θέλεις να εφαρμόσεις την προστασία σε πολλά αντικείμενα ταυτόχρονα ή να την εντάξεις σε κάποιο script αυτοματισμού, μπορείς να ενημερώσεις την ιδιότητα isHardDeleteProtectionEnabled μέσω του Microsoft Graph Beta API :

• Σύνδεση στο Graph.Τρέξε την παρακάτω εντολή στο PowerShell για να συνδεθείς με τα απαραίτητα δικαιώματα (ανάλογα με το αντικείμενο που θέλεις να επεξεργαστείς, π.χ. User.ReadWrite.All):

Connect-MgGraph -Scopes "User.ReadWrite.All", "Group.ReadWrite.All", "Application.ReadWrite.All"

• Ενεργοποίηση σε χρήστη (User). Χρησιμοποίησε το cmdlet Update-MgBetaUser

Update-MgBetaUser -UserId "breakglass@yourdomain.com" -IsHardDeleteProtectionEnabled:$true

• Ενεργοποίηση μέσω απευθείας κλήσης API (PATCH). Για οποιοδήποτε υποστηριζόμενο αντικείμενο (χρήστη, ομάδα, εφαρμογή ή service principal), μπορείς να στείλεις ένα αίτημα PATCH στο beta endpoint του Graph:

$Body = @{
    isHardDeleteProtectionEnabled = $true
} | ConvertTo-Json

Invoke-MgGraphRequest -Method PATCH -Uri "https://microsoft.com<Object-ID>" -Body $Body

(Για ομάδες ή εφαρμογές, απλώς αντικαθιστάς το /users/ με /groups/, /applications/ ή /servicePrincipals/).

Σημαντική υπενθύμιση: Όποια μέθοδο κι αν επιλέξεις, μόλις η τιμή γίνει true, δεν μπορείς να την επαναφέρεις σε false. Ο μόνος τρόπος να διαγράψεις οριστικά ένα προστατευμένο αντικείμενο στο μέλλον είναι να το κάνεις soft-delete και να περιμένεις υποχρεωτικά 7 ημέρες.

×Πρωτότυπο ↗