EntraWatch Architecture & Operations

Version 1.2 | Stand: September 2026

1. Systemarchitektur

EntraWatch fungiert als Serverless-Proxy-Applikation auf Basis von Cloudflare Pages und Workers. Das Frontend (Single Page Application) fragt Metadaten nicht direkt bei Microsoft an, sondern routet diese durch die Backend-Funktion /api/entra-data.ts. Dies verhindert die Offenlegung sensibler OAuth2-Secrets (Client ID & Secret) im DOM.

2. API Limitations & Fallbacks

Das System ist auf den Microsoft Entra ID Free Tier optimiert. Es nutzt die Graph API (v1.0), um Basis-Verzeichnisdaten auszulesen.

User signInActivity: Das Property lastSignInDateTime wird vom Backend explizit via $select angefordert. Liegt jedoch keine Entra ID P1/P2 Lizenz im Tenant vor, gibt die Microsoft Graph API diesen Wert als null zurück. Das Frontend fängt dies ab und zeigt "N/A (P1/P2 req.)" an.
Risk Events & Conditional Access: Diese Sicherheitsmetriken sind Bestandteil von Identity Protection und werden in der Free-Architektur nicht gerendert.

3. Dynamisches Icon-Mapping

Im Modul "Geräte" analysiert der Client den String des operatingSystem-Attributs und mappt diesen dynamisch auf die korrekten Material Symbols Ligaturen (android, ios, laptop_windows, laptop_mac, computer_cancel für Linux).

4. Enterprise Apps

Im Tab "Enterprise Apps" werden Application Registrations abgefragt. Gelesen werden die Felder appId (Client Identifier) sowie die signInAudience (z.B. AzureADMyOrg), um Fehlkonfigurationen (z.B. versehentliche Multi-Tenant-Freigaben) schnell zu sichten.