已禁用的MS Entra用户仍显示最近访问ADO，原因何在？

• 身份令牌未过期：在用户被Entra禁用前，已获取的有效访问令牌/刷新令牌在过期前仍可用于访问ADO。Entra的禁用操作不会主动回收已颁发的令牌，需等待令牌自然失效（默认访问令牌有效期1小时，刷新令牌最长可到90天）。
• ADO本地权限未同步撤销：Entra禁用用户不会自动移除该用户在ADO中的直接权限或组成员身份。如果用户在ADO中被单独授予了项目、团队的访问权限，即使Entra账号禁用，这些未清理的权限可能导致存在访问路径。
• 访问记录显示异常：ADO的访问日志可能存在缓存延迟或显示偏差，比如记录的是用户最后一次有效访问的缓存时间，而非实际近期访问行为；或是日志识别错误，将其他用户的访问误关联到禁用账号。
• 同步机制延迟/异常：Entra与ADO之间的身份状态同步任务若出现延迟或失败，ADO可能未及时接收到用户禁用的状态更新，导致系统仍判定用户为可访问状态，直到同步完成。
• 存在独立访问身份：若禁用用户同时拥有未关联Entra的ADO本地账号，或通过外部协作身份（如来宾账号）获得ADO访问权限，Entra账号的禁用不会影响这些独立身份的访问。

内容的提问来源于stack exchange，提问作者Bavanari