Wer sich bei Microsoft 365, Teams oder Azure anmeldet, meldet sich bei Microsoft Entra ID an. Der Dienst hieß bis 2023 Azure Active Directory (Azure AD) und bildet das Identitätsverzeichnis jedes Microsoft-365-Mandanten. Microsoft Entra ist zugleich der Oberbegriff für mehrere Identitäts- und Zugriffsprodukte, deren zentraler Baustein Entra ID ist.
Weil hier entschieden wird, wer worauf zugreifen darf, ist Entra ID ein bevorzugtes Angriffsziel. Ein übernommenes Konto öffnet oft gleichzeitig den Zugang zu E-Mail, Dateien und weiteren Anwendungen.
Wie funktioniert Microsoft Entra ID?
- Identitäten: Benutzerkonten, Gruppen und Gastkonten für externe Personen sowie Identitäten für Anwendungen und Dienste.
- Anmeldung: Neben dem Passwort stehen Multi-Faktor-Authentifizierung und passwortlose Verfahren wie Passkeys zur Verfügung.
- Anwendungen: Über Standards wie SAML und OpenID Connect lassen sich auch Anwendungen anderer Hersteller anbinden, sodass ein Konto für viele Dienste genügt, siehe Single Sign-On.
- Richtlinien: Mit Conditional Access werden Anmeldungen je nach Person, Gerät, Standort und Risiko erlaubt, an Bedingungen geknüpft oder blockiert.
- Rollen und Geräte: Administrative Rollen grenzen Rechte ab. Geräte werden registriert oder eingebunden, damit ihr Zustand in Zugriffsentscheidungen einfließt.
- Protokolle: Anmelde- und Überwachungsprotokolle zeigen, wer sich wann angemeldet und was geändert hat.
Gibt es zusätzlich ein lokales Active Directory, werden Konten meist mit einem Synchronisationswerkzeug von Microsoft abgeglichen. Mitarbeitende nutzen dann eine Identität für lokale Ressourcen und Cloud-Dienste.
Typische Beispiele
- Eine neue Mitarbeiterin erhält ein Konto und wird Gruppen zugeordnet. Damit hat sie Zugriff auf Postfach, Teams und die benötigten Anwendungen. Beim Austritt wird das Konto gesperrt, und alle angebundenen Zugänge enden zentral.
- Eine Buchhaltungssoftware aus der Cloud wird per Single Sign-On angebunden, ein eigenes Passwort dafür entfällt.
- Externe Partner erhalten als Gäste Zugriff auf ein Team, ohne ein eigenes Firmenkonto zu brauchen.
Worauf Unternehmen achten sollten
- Multi-Faktor-Authentifizierung für alle Konten erzwingen, für administrative Rollen möglichst mit phishing-resistenten Verfahren.
- Administrative Rollen sparsam vergeben und getrennte Admin-Konten nutzen, nach dem Prinzip Least Privilege.
- Notfallkonten vorsehen und besonders absichern, damit eine Fehlkonfiguration nicht alle aussperrt.
- Gastkonten und Berechtigungen von Anwendungen regelmäßig prüfen und nicht mehr benötigte entfernen.
- Anmeldeprotokolle auswerten und bei Bedarf länger aufbewahren, da die standardmäßige Aufbewahrung zeitlich begrenzt ist.
Abgrenzung
Entra ID ist kein Active Directory in der Cloud. Das klassische Active Directory arbeitet im lokalen Netzwerk mit Domänen, Gruppenrichtlinien und Protokollen wie Kerberos und LDAP. Entra ID ist ein Cloud-Dienst und nutzt Webstandards wie OAuth 2.0, OpenID Connect und SAML. Viele Unternehmen betreiben beide parallel und verbinden sie über die Synchronisation.
Identitäten und Geräte gemeinsam einführen
Zugriffsregeln sollten zu den vorhandenen Geräten, Anwendungen und Lizenzen passen. Ein abgegrenzter Pilot hilft, Anmeldung und vereinbarte Anwendungen vor einem größeren Rollout zu prüfen. Zuständigkeiten, Ausnahmen und Freigabekriterien gehören in die Planung.
Der TOMORIS-Einstieg Intune und Entra Einführung beschreibt dafür Voraussetzungen, Leistungen und Grenzen. Für weitergehende Härtung lässt sich Cyber Security im passenden Umfang ergänzen.
Intune und Entra einführen