Một nhân viên chuyển từ kinh doanh sang marketing nhưng vẫn mở được tài liệu khách hàng của phòng cũ. Một người đã nghỉ việc vẫn còn tài khoản đăng nhập. Những tình huống này cho thấy quản lý tài khoản cần đi cùng quản lý quyền trong suốt quá trình nhân viên làm việc tại công ty.
Microsoft Entra ID hỗ trợ quản lý danh tính và truy cập trong môi trường Microsoft 365. Để sử dụng hiệu quả, doanh nghiệp cần phân biệt ai đang đăng nhập, người đó có quyền gì và trong điều kiện nào họ được phép truy cập.
Microsoft Entra ID là gì trong Microsoft 365?
Microsoft Entra ID là dịch vụ quản lý danh tính và truy cập trên nền tảng đám mây. Tổ chức dùng Microsoft 365 đã sử dụng một tenant Microsoft Entra để quản lý các danh tính liên quan. Đây là nơi quản trị viên có thể quản lý người dùng, nhóm, vai trò và những chính sách truy cập được cấp phép.
Có thể hình dung tài khoản công ty là danh tính của nhân viên trong hệ thống. Khi mở một dịch vụ, hệ thống cần xác thực người đang dùng tài khoản. Sau đó, quyền và chính sách của tài nguyên quyết định người đó được thực hiện những việc nào.
Entra ID không thay thế toàn bộ việc phân quyền trong từng ứng dụng. Một nhân viên đăng nhập Microsoft 365 thành công vẫn có thể không được mở một thư viện SharePoint vì chưa được cấp quyền tại đó.
Ba lớp cần phân biệt khi cấp quyền
Danh tính và xác thực: tài khoản thuộc về ai, trạng thái có được phép đăng nhập không, phương thức xác minh đã đăng ký là gì.
Quyền đối với tài nguyên: nhân viên được tham gia nhóm nào, sử dụng ứng dụng nào hoặc xem và sửa tài liệu nào. Quyền ở SharePoint, Teams và các ứng dụng cần được quản lý theo cơ chế của từng dịch vụ.
Điều kiện truy cập: trong những môi trường được cấp phép và cấu hình phù hợp, chính sách Conditional Access có thể đánh giá các tín hiệu để yêu cầu MFA hoặc áp dụng điều kiện khác trước khi cho truy cập.
Ví dụ, nhân viên có quyền đọc tài liệu phòng nhân sự nhưng đang dùng thiết bị không đáp ứng chính sách công ty. Quyền đọc tài liệu và điều kiện được truy cập là hai việc khác nhau; IT cần kiểm tra cả hai khi xử lý yêu cầu hỗ trợ.
Quản lý theo nhóm giúp giảm thao tác thủ công
Doanh nghiệp có thể tổ chức nhóm theo nhu cầu công việc thay vì cấp từng quyền rời rạc cho từng người. Khi nhân viên đổi vị trí, quản trị viên rà soát nhóm cũ và nhóm mới theo danh sách quyền đã thống nhất.
Ví dụ, phòng marketing có nhóm cộng tác cho chiến dịch. Nhân viên mới được thêm vào nhóm phù hợp, nhưng chỉ những người phụ trách mới được cấp quyền quản lý. Quyền quản trị hệ thống cần được tách khỏi quyền sử dụng tài liệu hằng ngày.
Không nên suy luận rằng đưa một tài khoản vào một nhóm bất kỳ sẽ tự cấp mọi quyền cần thiết. Nhóm phải được gắn đúng với ứng dụng hoặc tài nguyên. Những quyền chia sẻ trực tiếp trước đó cũng có thể còn tồn tại và cần được kiểm tra riêng.
Sau khi xác định nhóm truy cập, doanh nghiệp nên thống nhất nơi lưu tài liệu. Bài OneDrive hay SharePoint: Nên lưu tài liệu ở đâu? giúp phân biệt tài liệu cá nhân với tài liệu chung cần duy trì khi thay đổi nhân sự.
Thiết bị được kiểm soát ra sao?
Entra ID có thể sử dụng thông tin thiết bị trong quyết định truy cập khi chính sách hỗ trợ. Việc một thiết bị đã được đăng ký với tổ chức không tự chứng minh thiết bị đó đáp ứng mọi yêu cầu bảo mật.
Nếu cần yêu cầu thiết bị tuân thủ, doanh nghiệp thường phải kết hợp chính sách Conditional Access với hệ thống quản lý và đánh giá thiết bị như Microsoft Intune. Các thành phần này cần được cấp phép, cấu hình và kiểm thử phù hợp.
Ví dụ, công ty cho phép xem email trên thiết bị đáp ứng chính sách đã thiết lập. IT cần xác định tiêu chí tuân thủ trong hệ thống quản lý thiết bị, rồi kiểm tra việc áp dụng khi người dùng mở dịch vụ. Chỉ gắn nhãn “máy công ty” trong danh sách tài sản chưa tạo ra kiểm soát kỹ thuật tương ứng.
Nhân viên nghỉ việc: cần xử lý cả tài khoản lẫn dữ liệu
Quy trình nghỉ việc nên bắt đầu từ thời điểm và phạm vi thu hồi được người có trách nhiệm phê duyệt. IT không nên xóa tài khoản ngay khi nhận một thông báo chưa đầy đủ, vì email và tài liệu có thể cần bàn giao hoặc lưu giữ.
Một checklist vận hành có thể gồm:
- Xác nhận thời điểm ngừng truy cập và người tiếp nhận công việc.
- Chặn đăng nhập, thu hồi phiên theo công cụ và hướng dẫn phù hợp. Việc có hiệu lực với phiên đang mở phụ thuộc cơ chế của ứng dụng, không nên hứa mọi truy cập dừng tức thì.
- Rà soát nhóm, vai trò quản trị, quyền ứng dụng và quyền chia sẻ tài nguyên.
- Bàn giao email và dữ liệu theo chính sách của doanh nghiệp; kiểm tra người nhận mở được nội dung cần thiết.
- Xử lý giấy phép và tài khoản theo yêu cầu lưu giữ sau khi việc bàn giao đã được xác nhận.
Quyền truy cập có thể còn nằm ở liên kết chia sẻ hoặc tài khoản riêng của ứng dụng khác. Vì vậy, checklist cần bao phủ các hệ thống thực tế nhân viên đã sử dụng, không chỉ danh sách người dùng Microsoft 365.
Để đặt quy trình này trong bức tranh bảo vệ tài khoản, bạn có thể xem thêm bài bảo mật tài khoản Microsoft 365 cho doanh nghiệp.
Giấy phép ảnh hưởng thế nào đến khả năng quản lý?
Không phải tính năng nào mang tên Entra cũng nằm trong cùng một gói. Conditional Access cần Entra ID P1 hoặc P2 phù hợp; các khả năng quản trị vòng đời, rà soát truy cập hoặc xử lý rủi ro nâng cao có điều kiện cấp phép riêng.
Doanh nghiệp nên liệt kê nhu cầu cụ thể trước khi chọn gói: quản lý người dùng cơ bản, yêu cầu MFA theo điều kiện, kiểm soát thiết bị hay tự động hóa quy trình nhân sự. Từ đó, IT đối chiếu giấy phép và phần cấu hình đang có, thay vì chỉ dựa vào tên sản phẩm.
Bắt đầu từ một danh sách quyền dễ kiểm tra
Microsoft Entra ID giúp tập trung quản lý danh tính và chính sách, nhưng hiệu quả phụ thuộc vào cách doanh nghiệp tổ chức quyền. Mỗi nhóm quyền cần có mục đích, người chịu trách nhiệm và thời điểm rà soát, đặc biệt khi nhân viên đổi vị trí hoặc nghỉ việc.
Nếu đang chuẩn hóa hệ thống, hãy tìm hiểu giải pháp Microsoft 365 tại Vinaweb và trao đổi rõ nhu cầu quản lý tài khoản, dữ liệu, thiết bị cùng phạm vi triển khai mong muốn.
