在 Microsoft Entra 预配服务中启用意外删除防护

可以使用意外删除来指定删除阈值。 只要超出所设阈值，管理员就需要显式允许处理删除操作。

配置意外删除防护

若要启用意外删除防护，请执行以下操作：

1. 在“设置”下，选中“防止意外删除”复选框并指定删除阈值。
2. 务必填写“通知电子邮件”地址。 如果达到删除阈值，系统会发送电子邮件。
3. 选择“保存”，保存更改。

达到删除阈值时，作业会进入隔离区，并且系统会发送通知电子邮件。 然后可以允许或拒绝已隔离的作业。 若要详细了解隔离行为，请参阅隔离状态下的应用程序预配。

在意外删除后进行恢复

遇到意外删除问题时，预配状态页上会指出该问题。 内容是 Provisioning has been quarantined. See quarantine details for more information。

可以单击“允许删除”或“查看预配日志” 。

允许删除

“允许删除”操作将删除触发意外删除阈值的对象。 请按照该过程接受删除。

1. 选择“允许删除”。
2. 对于确认单击“是”以允许删除。
3. 查看接受删除的确认。 状态在下一个周期会恢复为正常。

拒绝删除

根据需要调查和拒绝删除：

• 调查发生删除的原因。 可以使用预配日志来了解详细信息。
• 通过再次将用户/组分配到应用程序（或配置）、还原用户/组或更新预配配置，来防止删除。
• 进行必要的更改以防止删除用户/组后，重新开始预配。 在进行必要的更改以防止删除用户/组之前，不要重新开始预配。

测试删除防护

可通过以下方式测试该功能：将阈值设置为一个较小的数字（例如 3）以触发禁用/删除事件，然后更改范围筛选器，取消分配用户，并从目录中删除用户（请参阅下一部分中的常见场景）。

让预配作业运行 20 – 40 分钟，然后导航回到预配页。 查看隔离区中的预配作业，并选择允许删除或查看预配日志，以了解发生删除的原因。

要测试的常见取消预配方案

• 删除用户/将用户放入回收站。
• 阻止用户登录。
• 从应用程序（或配置）中将用户或组取消分配。
• 从为用户提供应用程序（或配置）访问权限的组中移除用户。

要详细了解取消预配方案，请参阅应用程序预配的工作原理。

常见问题

在计算是否达到删除阈值时，哪些场景会计入？

如果用户设置为从目标应用程序（或目标租户）中删除，那么这就会算作一次删除。 可能导致从目标应用程序（或目标租户）中删除用户的场景可包括：从应用程序（或配置）中取消分配用户，以及软删除/硬删除目录中的用户。 在计算是否达到删除阈值时，将计入已评估为要删除的组。 此功能除了适用于删除之外，也适用于禁用。

删除阈值的评估间隔是多少？

每个周期都会评估删除阈值。 如果在单个周期内删除次数不超过阈值，则不会触发“断路器”。 如果需要完成多个周期才能进入稳定状态，则会在每个周期评估删除阈值。

这些删除事件是如何记录的？

可以查找应该禁用/删除但由于删除阈值的原因而未禁用/删除的用户。 导航到“预配日志”，然后使用“StagedAction”或“StagedDelete”筛选“操作” 。

后续步骤

• 应用程序预配工作原理
• 规划应用程序预配部署