为 Entra ID 访客帐户添加到期日期

微软为来宾帐户添加到期日期的速度很慢，所以让我们看看 PowerShell 能带来什么

我长期以来一直赞同每年审查访客帐户以删除过时的帐户以清理目录的想法。微软通常的回应是，组织应该使用 Azure AD 帐户审查，该功能可以使用，但需要 Azure AD Premium P2 许可证。

许多人指出，如果 Azure AD 支持来宾帐户过期（能够为来宾帐户分配过期日期），那就太好了，因为本地 Active Directory 帐户也可以这样做。六年前，微软的社区建议门户就有一个很受欢迎的请求。工程部门的最后回复（2022 年 10 月）指出，该建议“我们正在考虑，但尚未确定时间表”。 Microsoft 技术社区中也讨论了该主题，但没有解决方案。

有志者事竟成。至少，只要有 PowerShell，我们就可以实现一些目标。解决方案的概要可能是这样的：

• 组织为来宾帐户设置默认有效期。
• 后台作业会查找新的来宾帐户，并在其上标记到期日期，该日期是通过将到期期限添加到帐户创建日期来计算的。
• 后台作业每周检查访客帐户，以查找在接下来的两周内到期的帐户。
• 如果来宾帐户处于活动状态（存在 Azure AD 登录记录），则到期日期将延长六个月。您可以在此处添加其他活动检查。例如，该脚本可以检查该帐户是否是至少一个 Microsoft 365 组（团队）的成员。
• 如果来宾帐户处于非活动状态，则会将其标记为删除，并且其详细信息将包含在发送给管理员的报告中。如果管理员不采取任何操作，则后续运行的后台作业会在帐户过期后自动删除该帐户。

这是一个用于访客帐户自动过期的简单框架。您可以根据需要添加额外的功能。让我们讨论一下如何实现这个难题的不同部分。

Active Directory 的网络安全风险管理

了解如何通过这些网络安全风险管理解决方案预防 AD 攻击并从中恢复。

设置访客有效期

首先，我们需要设置访客有效期。我决定使用 Azure Key Vault 来实现此目的，因为我不想在脚本中对值进行硬编码。本文介绍如何将 Azure Key Vault 与 PowerShell 结合使用。将值填充到保管库中后，我可以随时使用以下命令检索它：

$GuestExpirationPeriod = Get-AzKeyVaultSecret -VaultName "Office365ITPros" -Name "GuestExpirationPeriod" -AsPlainText

为新访客帐户盖上有效期标记

可用于 Azure AD 帐户的 15 个扩展属性之一似乎是存储过期日期的好地方。在此示例中，我使用自定义属性 15。

第一项工作的目标是确保每个访客帐户都有到期日期。为此，工作：

• 搜索没有到期日期的访客帐户。
• 使用到期日期更新搜索找到的访客帐户。

使用 PowerShell 搜索属性中具有 null 值的对象通常很容易，因为为此目的存在特殊的 $Null 变量。但是，Microsoft Graph PowerShell SDK cmdlet 无法正确处理 $Null 变量（这是 SDK 的几个缺点之一）。解决方案是使用复杂的查询来查找属性大于或等于 null（而不是 $Null）的对象。 此命令有效并查找自定义属性 15 中没有值的来宾帐户：

[array]$Guests = Get-MgUser -Filter "onPremisesExtensionAttributes/extensionAttribute15 eq null and userType eq 'Guest'" -CountVariable CountVar -ConsistencyLevel eventual -All -Property id, createdDateTime, displayName

将到期日期写入访客帐户非常简单。作业第一次在租户内运行时，它将处理所有来宾帐户。某些帐户可能相当旧，因此为了确保帐户收到合理的到期日期，脚本确保计算出的到期日期至少为未来 30 天。

[datetime]$Now = Get-Date
ForEach ($Guest in $Guests) {
  Write-Host ("Updating guest account {0}" -f $Guest.displayName)
  [datetime]$CreatedDate = $Guest.createdDateTime
  [datetime]$ExpirationDate = $CreatedDate.AddDays($GuestExpirationPeriod)
  If ($ExpirationDate -le $Now) { $ExpirationDate = $Now.AddDays(30) }
  Update-MgUser -UserId $Guest.Id -OnPremisesExtensionAttributes @{'extensionAttribute15' = (Get-Date $ExpirationDate -format s)}
}

要检查分配的到期日期，此命令按日期顺序对来宾帐户进行排序，以报告用户名和到期日期。

[array]$Guests = Get-MgUser -Filter "userType eq 'Guest'" -All
$Guests | Sort-Object {$_.OnPremisesExtensionAttributes.extensionattribute15 -as [datetime]} | ft displayname,@{e={Get-Date($_.OnPremisesExtensionAttributes.extensionattribute15) -format g}; n="Expiration Date"}

寻找过期客人

主要来宾过期作业有两个目的：

• 查找并删除标记为过期的访客帐户，并删除任何超过过期日期 7 天或以上的帐户。
• 查找将在未来 14 天内到期的访客帐户集。

本质上，其想法是删除过期的帐户，然后查找并标记下一次作业运行时要删除的候选帐户集。为了将帐户标记为准备删除，该脚本将“已过期”写入自定义属性 14。为了确保管理员有时间审查潜在的删除，该脚本仅在帐户被标记为过期且过期日期超过 7 时才删除帐户。几天前。该脚本执行以下操作：

• 运行 Get-MgUser cmdlet 查找所有来宾帐户，然后循环访问该组帐户。
• 检查帐户的自定义属性 14 中是否有“已过期”。如果有，脚本会检查帐户的过期日期，以查看该帐户是否已在 7 天前达到过期日期。如果这是真的，脚本将删除该帐户。已删除的来宾帐户将在 Azure AD 回收站中保留 30 天。管理员可以根据需要使用 Entra 管理中心或 PowerShell 恢复帐户。
• 检查剩余帐户以查找已过期的帐户。
• 检查每个过期帐户的最新登录活动。如果上次登录时间不到 30 天，则假定该帐户处于活动状态，并将其到期日期延长 183 天（六个月）。如果上次登录时间超过 30 天，请将自定义属性 14 更新为“已过期”，以使该帐户成为下次作业运行时删除的候选帐户。
• 通过电子邮件向租户管理员发送所采取操作的报告。

使用 Azure 自动化

Azure 自动化是此类后台处理作业的不错选择。在之前的文章中，我们介绍了通过 Microsoft Graph PowerShell SDK 使用托管标识的基础知识（用于 Azure AD 帐户操作和发送电子邮件）。使此方案正常运行所需的两个后台作业都可以使用 Azure 自动化计划来确保它们按预期运行：

• 每日：后台作业 1（查找新的访客帐户并在其上标记到期日期）。上面描述了查找并标记新帐户的代码。
• 每周：后台作业 2（查找并标记过期的访客帐户并清除过期帐户超过过期日期 7 天的帐户）。 GitHub 上提供了我演示这些操作原理的示例运行手册。请记住，此代码不是生产质量的。它可以工作，但需要增强才能符合租户的编码标准。

图 1 显示了 Azure 自动化 Runbook 生成的电子邮件示例。

删除访客帐户的影响

请记住，当 Azure AD 删除来宾帐户时，这些帐户的所有者将停止其租户内 Microsoft 365 组和团队的成员身份。这意味着他们立即失去对这些组拥有的资源的访问权限。此外，为帐户创建的任何共享链接都将失效。

如果您决定用访客帐户替换邮件联系人，正如我最近讨论的那样，这些帐户不太可能有任何登录活动，因此很快就会过期。在这种情况下，您可以使用另一个自定义属性将这些帐户排除在过期处理之外。

来吧微软

此练习证明，引入 Azure AD 来宾帐户的到期日期并不涉及真正的火箭科学。鉴于微软对该功能的客户请求响应缓慢，客户到期可能在工程投资的优先级列表中排在后面。这很遗憾，但如果你真的想在一段时间后过期并删除来宾帐户，至少可以构建一个 DIY 版本。