Directory.Read.All è un'autorizzazione di Microsoft Graph, applicativa o delegata, che consente l'accesso in lettura agli oggetti della directory, come utenti, gruppi, dispositivi e applicazioni in Microsoft Entra ID. È potente perché espone i metadati del tenant su larga scala, non solo una singola casella di posta o un singolo file.
Nel campo della sicurezza informatica, questa autorizzazione è importante perché un aggressore che ottiene un token, compromette un'app o sfrutta in modo improprio una concessione di consenso può usare Graph per enumerare la struttura dell'organizzazione. Queste informazioni supportano spearphishing, impersonificazione, mappatura dei privilegi e scoperta di account di alto valore. I difensori dovrebbero considerare l'accesso ampio in lettura alla directory come sensibile, rivedere regolarmente i consensi delle app e monitorare l'attività di Graph e i log di audit alla ricerca di letture anomale. Il privilegio minimo e un Conditional Access forte riducono la probabilità che una sola identità rubata possa trasformare la directory in una fonte di intelligence.