Entra ID Auditor 是一款专为 Microsoft Entra ID（原 Azure AD）设计的身份与访问安全审计工具，旨在帮助组织全面识别和评估其云身份环境中的潜在安全风险。随着企业越来越多地将关键业务迁移至云端，身份管理已成为新的安全边界，任何权限配置不当或安全策略缺失都可能导致严重的数据泄露或服务中断。该工具通过自动化分析租户内的角色分配、条件访问策略和应用注册权限等核心数据，快速定位过度授权、弱认证机制及高危访问模式等问题。它并非直接执行操作，而是基于用户提供的导出数据进行深度分析，为安全团队提供清晰的风险评分与可落地的修复建议。无论是大型企业还是中小型企业，只要拥有适当的只读权限，均可利用此工具显著提升其云身份治理水平。
核心功能特点
- 自动检测永久全局管理员账户，识别未启用即时特权访问管理（PIM）的高危权限分配
- 扫描所有用户是否启用多因素认证（MFA），特别关注管理员账户使用短信或语音等低安全性验证方式
- 分析应用注册和服务主体权限，发现具有目录读写等高敏感权限的第三方集成
- 检查遗留认证协议是否被禁用，防止基本身份验证导致的凭证填充攻击
- 评估来宾账户权限，识别外部用户对敏感资源的非必要访问
- 生成符合 MITRE ATT&CK 框架的安全事件映射，辅助威胁建模与响应规划
适用场景
Entra ID Auditor 特别适合在多种关键场景下部署，以强化企业的云身份安全防护能力。首先，在企业进行年度合规审计或准备 SOC2、ISO 27001 等认证时，该工具能快速输出标准化的风险报告，涵盖角色滥用、MFA 覆盖率和特权账户管理状况，极大减轻人工排查工作量。其次，当组织经历重大人事变动（如高管离职或部门重组）后，可立即使用该工具重新审视相关账户权限，确保最小权限原则得到严格执行，避免因权限残留带来的长期隐患。此外，对于频繁引入新 SaaS 应用或开发自定义集成的技术团队而言，Entra ID Auditor 能有效监控这些服务主体的 API 权限范围，防止因过度授权导致供应链式安全风险。最后，在遭遇疑似身份入侵事件后的应急响应阶段，该工具可作为取证辅助手段，帮助安全分析师追溯异常登录行为背后的权限配置根源，加速根本原因分析与遏制措施实施。