Notebook, který před rokem odešel s bývalým kolegou. Telefon, který skončil v šuplíku po výměně za nový model. Počítač přeinstalovaný dvakrát, a proto v seznamu třikrát. Neaktivní zařízení se v Microsoft Intune a Entra ID hromadí v každé firmě a časem z přehledu zařízení udělají nepřehlednou hromadu, ve které se špatně hledá skutečný problém. V článku vysvětlíme, proč se úklid neaktivních zařízení vyplatí, jak fungují pravidla čištění zařízení v Intune, jak bezpečně odstranit zastaralá zařízení z Entra ID a na co si dát pozor, abyste si omylem nesmazali obnovovací klíče BitLockeru.

Proč se neaktivní zařízení vůbec hromadí

Každé zařízení, které se přihlásí do Microsoft 365, si v Entra ID vytvoří vlastní záznam (device object). Pokud je navíc spravované přes Intune, vznikne druhý záznam v Intune. Oba záznamy žijí nezávisle na tom, jestli zařízení ještě fyzicky existuje.

Typické zdroje „mrtvých duší” v seznamu zařízení jsou:

• Přeinstalace a reset Windows. Po čisté instalaci se zařízení zaregistruje znovu a starý záznam zůstane. Výsledek jsou duplicity se stejným názvem.
• Odchod zaměstnance. Pokud při offboardingu nikdo zařízení neodebere, zůstane v seznamu klidně roky.
• Výměna telefonů. Zaměstnanec si koupí nový iPhone, starý prodá nebo dá dětem a jeho záznam v Intune nikdo neřeší.
• Soukromá zařízení. Registrace osobního telefonu nebo domácího počítače kvůli Outlooku či Teams, které se pak přestanou používat.
• Ztracená a ukradená zařízení. Ta se už nikdy neozvou, ale v seznamu zůstanou.

Ve firmě s 15 zaměstnanci tak po třech letech provozu běžně najdeme 60 až 80 zařízení, z nichž je aktivní sotva polovina.

Co vás zastaralá zařízení stojí

Neaktivní záznam sám o sobě nic nerozbije. Problém je v tom, co způsobuje nepřímo:

• Zkreslené reporty. Přehled dodržování zásad (compliance) ukazuje desítky „nevyhovujících” zařízení, která už neexistují. Skutečný problém, například notebook bez aktualizací, se v tom šumu ztratí.
• Těžší podpora. Když má technik v seznamu tři zařízení „NB-NOVAK”, musí nejdřív zjistit, které je to pravé. Vzdálená akce poslaná na špatný záznam nedělá nic.
• Bezpečnostní riziko. Zařízení, které už firma nemá pod kontrolou, ale v Entra ID je stále povolené a vyhovující, může dál splňovat podmínky podmíněného přístupu. U ztraceného nebo neodevzdaného notebooku to je otevřená zadní vrátka.
• Nepřesná inventura. Seznam zařízení v Intune je pro malou firmu často jediná evidence techniky. Pokud v něm jsou duchové, nesedí ani pojištění, ani plán obnovy hardwaru.

Udržování přehledu o majetku je proto jedna z prvních položek všech bezpečnostních rámců. CIS Control 1 (Inventory and Control of Enterprise Assets) doporučuje inventář pravidelně revidovat a neautorizovaná nebo nepoužívaná zařízení odebírat. Podobně to popisuje i americký NIST SP 1800-5 o správě IT majetku.

Dva seznamy, dvě různé akce: Intune vs. Entra ID

Nejčastější omyl je představa, že smazáním zařízení v Intune je hotovo. Intune a Entra ID ale mají každý svůj záznam a úklid je potřeba řešit v obou.

Kde	Co záznam znamená	Jak se uklízí
Microsoft Intune	Zařízení je ve správě (MDM), dostává zásady, aplikace a profily	Pravidla čištění zařízení (automaticky skryje), případně ruční akce Vyřadit / Odstranit
Microsoft Entra ID	Identita zařízení, podle které se vyhodnocuje podmíněný přístup a na které jsou uložené klíče BitLocker a heslo LAPS	Zakázat a po ochranné lhůtě odstranit, ručně nebo skriptem

Pravidla čištění v Intune podle dokumentace Microsoftu záznam pouze skryjí z portálu a reportů. Na zařízení nespouštějí žádnou akci (ani vymazání, ani vyřazení) a v Entra ID nic neodstraňují. Proto je potřeba mít pro Entra ID samostatný postup.

Pravidla čištění zařízení v Intune

Pravidla čištění (device cleanup rules) najdete v Intune admin centru v části Zařízení → Uspořádat zařízení → Pravidla čištění zařízení. Fungují jednoduše: zařízení, které se do Intune neohlásilo po nastavený počet dní, se automaticky skryje.

Co je dobré vědět:

• Rozsah je 30 až 270 dní. Pro malé firmy doporučujeme začít na 90 dnech. Kratší lhůta je riziková kvůli dlouhým dovoleným a nemocenským.
• Pravidlo jde nastavit pro každou platformu zvlášť. Windows, iOS/iPadOS, macOS a jednotlivé typy Androidu můžou mít jinou lhůtu. Pokud existuje pravidlo pro konkrétní platformu i pro „všechny platformy”, uplatní se to s kratší lhůtou.
• Skryté zařízení se může vrátit. Pokud se ohlásí dřív, než vyprší jeho certifikát správy, objeví se znovu. Po vypršení certifikátu je nutná nová registrace.
• Před uložením použijte náhled. Tlačítko „Preview affected devices” ukáže, kterých zařízení se pravidlo dotkne. Ideální chvíle zkontrolovat, jestli v seznamu nejsou zařízení, která ve firmě reálně fungují.
• Vše je v auditu. V auditních protokolech Intune hledejte aktivitu „Device set to be hidden from admin by Device Cleanup Rule”.

Pravidla čištění jsou bezpečná první volba: nic nemažou a nic nevratně nemění. Řeší ale jen pořádek v Intune.

Vyřadit, vymazat, nebo odstranit?

U zařízení, o kterých víte, že už ve firmě nejsou, je lepší použít ruční akci. Intune nabízí tři základní možnosti a každá dělá něco jiného:

• Vyřadit (Retire) – odebere firemní data, aplikace a profily, osobní data nechá. Vhodné pro soukromé telefony odcházejících zaměstnanců.
• Vymazat (Wipe) – obnoví zařízení do továrního nastavení. Vhodné pro firemní notebook, který se předává dalšímu kolegovi nebo jde k prodeji. Podrobnosti najdete v popisu akcí Wipe a Retire.
• Odstranit (Delete) – odebere záznam z Intune. Použijte u zařízení, které se už nikdy neozve (ztracené, rozbité, zlikvidované).

Pořadí je důležité: zařízení ve správě Intune nejdřív vyřaďte nebo vymažte a teprve potom řešte jeho záznam v Entra ID. Přesně tak to doporučuje i Microsoft.

Úklid zastaralých zařízení v Entra ID

V Entra ID je měřítkem neaktivity tzv. časové razítko aktivity (sloupec Activity v seznamu zařízení, v PowerShellu vlastnost ApproximateLastSignInDateTime). Zařízení ho aktualizuje při přihlášení, při ohlášení do Intune nebo při vyhodnocení podmíněného přístupu.

Razítko se ale nepřepisuje při každém přihlášení, jen když je starší než zhruba 14 dní (s odchylkou kolem pěti dní). Proto Microsoft v návodu na správu zastaralých zařízení výslovně upozorňuje, že zařízení s aktivitou mladší než 21 dní nelze považovat za neaktivní.

Pro malé firmy se osvědčuje tento model:

1. 90 dní bez aktivity – zařízení se dostane na seznam ke kontrole.
2. Zakázání – zařízení se zakáže (nesmaže). Zakázané zařízení se nemůže přihlásit, ale záznam včetně klíčů zůstává.
3. Ochranná lhůta 30 až 60 dní – pokud se mezitím někdo ozve, že mu nefunguje notebook, zařízení jednoduše znovu povolíte.
4. Odstranění – teprve potom záznam definitivně smažete.

Proč ten mezikrok se zakázáním? Odstranění zařízení v Entra ID nejde vrátit zpět. Neexistuje koš, ze kterého byste ho obnovili.

Na co si dát pozor, než cokoli smažete

Úklid zařízení je jedna z mála administrátorských činností, kde se dá snadno přijít o data. Před odstraněním záznamu v Entra ID projděte tento kontrolní seznam:

• Obnovovací klíče BitLockeru. Klíče uložené v Entra ID jsou navázané na záznam zařízení a smažou se s ním. Pokud je disk zašifrovaný a zařízení ještě fyzicky existuje (třeba leží ve skladu), klíč si nejdřív zálohujte. Jinak data z disku už nikdy nedostanete. Více v našem článku o šifrování disků BitLocker přes Intune.
• Heslo lokálního správce (LAPS). Také je uložené u záznamu zařízení. Po smazání záznamu se k zařízení jako správce nepřihlásíte. Princip popisuje přehled Windows LAPS.
• Zařízení z Autopilotu. Záznamy vytvořené Windows Autopilotem (system-managed) v Entra ID nemažte. Autopilot zařízení se uklízejí v Intune v sekci registrace Windows Autopilot, jinak je nepůjde znovu nasadit. Viz náš návod na Windows Autopilot pro malé firmy.
• Dlouhodobé nepřítomnosti. Mateřská, sabbatical, dlouhá nemoc. Před zakázáním zařízení si projděte, komu patří.
• Záložní a sdílená zařízení. Rezervní notebook ve skříni nebo počítač v zasedačce se zapíná jen občas. Takovým zařízením je dobré dát v názvu nebo popisu jasné označení, ať je nikdo omylem nesmaže.

Nastavení krok za krokem

Následující postup zvládne správce malé firmy za jedno odpoledne. Počítá s Microsoft 365 Business Premium (Intune a Entra ID P1).

1. Udělejte si výchozí přehled

V Entra admin centru otevřete Zařízení → Všechna zařízení, přidejte sloupec Activity a seřaďte podle něj. Seznam si exportujte do CSV. Stejně to udělejte v Intune admin centru u Zařízení → Všechna zařízení se sloupcem „Poslední synchronizace”. Takto získáte první představu, kolik zařízení je skutečně neaktivních.

2. Porovnejte se skutečností

Seznam projděte s vedením nebo s tím, kdo eviduje techniku. U každého zařízení starého více než 90 dní rozhodněte: existuje a jen se nepoužívá, nebo už ve firmě není? Pokud máte vedenou IT inventarizaci, porovnání je otázka pár minut.

3. Zálohujte klíče

U Windows zařízení, která ještě fyzicky existují, uložte obnovovací klíč BitLockeru a případně heslo LAPS do firemního správce hesel nebo do zabezpečené dokumentace.

4. Vyřaďte zařízení v Intune

Zařízení, která už ve firmě nejsou, vyřaďte (Retire) nebo odstraňte (Delete) v Intune. Firemní notebooky, které jdou dalšímu kolegovi, vymažte (Wipe) a znovu nasaďte.

5. Zakažte zařízení v Entra ID

Zastaralá zařízení v Entra ID zakažte. Pokud jich je víc, pomůže PowerShell s modulem Microsoft Graph a příkazem Get-MgDevice filtrovaným podle ApproximateLastSignInDateTime. Zakázaná zařízení si poznamenejte i s datem.

6. Po ochranné lhůtě odstraňte

Po 30 až 60 dnech zkontrolujte, jestli se nikdo neozval, a zakázaná zařízení odstraňte. Zařízení z Autopilotu přeskočte.

7. Zapněte pravidla čištění v Intune

Nastavte pravidlo pro všechny platformy na 90 dní, případně kratší lhůtu pro mobilní telefony. Před uložením zkontrolujte náhled dotčených zařízení.

8. Naplánujte pravidelnou kontrolu

Úklid v Entra ID opakujte jednou za čtvrtletí a přidejte ho do checklistu offboardingu zaměstnance. Pokud zařízení odeberete hned při odchodu, čtvrtletní kontrola zabere pár minut.

Úklid jako součást bezpečnosti

Čistý seznam zařízení má přímý dopad na bezpečnost. Pokud v podmíněném přístupu vyžadujete vyhovující nebo spravované zařízení, je dobré mít jistotu, že „vyhovující” znamená skutečně používané firemní zařízení, ne notebook, který před rokem zmizel s bývalým zaměstnancem. Zakázané zařízení se k firemním datům nepřihlásí, i kdyby se k němu někdo dostal.

Navíc platí, že čím menší a přesnější je seznam, tím rychleji si v něm všimnete anomálie. Nové zařízení zaregistrované na účet, který ho mít nemá, je v seznamu 20 zařízení vidět okamžitě. V seznamu 80 zařízení zapadne.

Nejčastější chyby při úklidu zařízení

• Mazání bez zakázání. Okamžité odstranění nejde vrátit. Vždy nejdřív zakázat.
• Příliš krátká lhůta. 30 dní je na hraně. Dovolená plus nemoc a notebook je pryč.
• Smazání bez zálohy klíče BitLocker. Nejdražší chyba, protože data na disku jsou pak nenávratně ztracená.
• Úklid jen v Intune. Záznamy v Entra ID dál existují a dál se vyhodnocují v podmíněném přístupu.
• Jednorázová akce. Bez pravidelné kontroly je za rok seznam zase plný.

Často kladené otázky

Smaže pravidlo čištění v Intune zařízení i z Entra ID?

Ne. Pravidlo čištění zařízení v Intune záznam pouze skryje z portálu a reportů a na zařízení nespouští žádnou akci. Záznam v Entra ID zůstává a je potřeba ho uklidit samostatně.

Jakou lhůtu neaktivity zvolit?

Pro malé firmy doporučujeme 90 dní pro zařazení na seznam ke kontrole a dalších 30 až 60 dní ochranné lhůty mezi zakázáním a odstraněním. Kratší lhůty než 21 dní nemají smysl, protože Entra ID časové razítko aktivity neaktualizuje při každém přihlášení.

Můžu smazané zařízení v Entra ID obnovit?

Ne. Odstranění zařízení v Entra ID je nevratné a spolu se záznamem zmizí i uložené obnovovací klíče BitLockeru a heslo LAPS. Proto se zařízení nejdřív zakazují a teprve po ochranné lhůtě mažou.

Co se stane, když zakážu zařízení, které někdo ještě používá?

Uživatel se na zařízení nepřihlásí k firemním službám, které ověřují stav zařízení. Stačí zařízení v Entra ID znovu povolit a vše začne fungovat. Proto je zakázání bezpečný mezikrok.

Musím uklízet i zařízení z Windows Autopilotu?

Záznamy Autopilotu v Entra ID nemažte ručně. Pokud zařízení definitivně vyřazujete, odeberte ho nejdřív z registrace Windows Autopilot v Intune, jinak by ho nešlo znovu nasadit.

Shrnutí

Úklid neaktivních zařízení v Intune a Entra ID není jednorázový projekt, ale pravidelná údržba. V Intune ho za vás z velké části udělají pravidla čištění zařízení, v Entra ID je potřeba postup zakázat – počkat – odstranit a před smazáním vždy zálohovat klíče BitLockeru a LAPS. Výsledkem jsou přesné reporty, rychlejší podpora a menší riziko, že se k firemním datům dostane zařízení, které už firma nemá pod kontrolou.

Nechcete úklid zařízení a další správu Microsoft 365 řešit sami? V rámci správy IT pro malé firmy pravidelně kontrolujeme Intune i Entra ID a hlídáme, aby seznam zařízení odpovídal skutečnosti. Ozvěte se nám a domluvíme se, jak vám můžeme pomoct.