Design von Identität und Zugriff in Unternehmen

In Azure-Unternehmensumgebungen müssen Identitäts- und Zugriffsverwaltung auf Hunderte von Abonnements, Tausende von Benutzern und Dutzende von Teams skalieren – alle mit unterschiedlichen Anforderungen an den Ressourcenzugriff. Ein gut konzipiertes Identitätsmodell verhindert sowohl eine übermäßige Berechtigungsvergabe (Benutzer mit zu weitreichendem Zugriff) als auch eine unzureichende Berechtigungsvergabe (Benutzer, die ihre Aufgaben nicht erledigen können). Die Grundlage bilden Microsoft Entra ID in Verbindung mit Azure RBAC und Governance-Tools wie Privileged Identity Management (PIM).

Azure Role-Based Access Control (RBAC) gewährt Zugriff über drei Komponenten:

• Sicherheitsprinzipal – wer (Benutzer, Gruppe, Dienstprinzipal oder verwaltete Identität)
• Rollendefinition – was (eine Gruppe zulässiger Aktionen, z. B. 'Contributor')
• Bereich – wo (Verwaltungsgruppe, Abonnement, Ressourcengruppe oder einzelne Ressource)

Durch die Kombination dieser drei Elemente entsteht eine Rollenzuweisung. Rollen werden in der Hierarchie vererbt – eine auf einer Verwaltungsgruppe zugewiesene Rolle gilt für alle darunterliegenden Abonnements.

Azure stellt über 100 integrierte Rollen für gängige Szenarien bereit (Owner, Contributor, Reader und dienstspezifische Rollen). Für die meisten Anwendungsfälle in Unternehmen sind integrierte Rollen ausreichend. Wenn Sie jedoch Berechtigungen benötigen, die keiner integrierten Rolle entsprechen – beispielsweise eine Rolle, die VMs lesen, aber nicht löschen kann –, können Sie eine benutzerdefinierte Rolle mit genau den erforderlichen Berechtigungen erstellen und dabei dem Prinzip der geringsten Berechtigungen folgen.

Weisen Sie Rollen nach Möglichkeit Entra ID-Gruppen statt einzelnen Benutzern zu. Wenn Sie einer Gruppe eine Rolle zuweisen, erben alle Mitglieder diese Rolle. Das Hinzufügen oder Entfernen von Zugriff beschränkt sich dann darauf, einen Benutzer zur Gruppe hinzuzufügen oder daraus zu entfernen, anstatt Rollenzuweisungen über mehrere Bereiche hinweg zu ändern. Dies reduziert den Verwaltungsaufwand erheblich und stellt einen einheitlichen Zugriff für Teammitglieder mit derselben Funktion sicher.

Privileged Identity Management (PIM) ist ein Entra ID-Dienst, der Just-in-Time-(JIT)-Zugriff mit erhöhten Berechtigungen auf Azure-Ressourcen und Entra ID-Rollen bereitstellt. Statt dauerhaft über Owner- oder Global-Administrator-Zugriff zu verfügen, sind Benutzer für privilegierte Rollen berechtigt und müssen deren Aktivierung anfordern, wenn sie erweiterten Zugriff benötigen. Für die Aktivierung können MFA, eine Begründung und die Genehmigung durch einen designierten Genehmiger erforderlich sein.

PIM bietet mehrere Sicherheitsvorteile für Unternehmensumgebungen:

• Reduzierte Angriffsfläche – keine dauerhaften Administratorkonten, die kompromittiert werden könnten
• Prüfpfad – jede Aktivierung wird mit Zeitstempel, Begründung und Genehmiger protokolliert
• Zugriffsüberprüfungen – PIM unterstützt regelmäßige Überprüfungen, bei denen Manager bestätigen, welche Benutzer weiterhin berechtigt sein sollen
• Zeitlich begrenzter Zugriff – auch genehmigter Zugriff läuft automatisch ab, sodass vergessene erhöhte Berechtigungen verhindert werden

Ein gut konzipiertes RBAC-Modell für Unternehmen umfasst typischerweise folgende Ebenen:

• Ebene der Verwaltungsgruppe – umfassender Lesezugriff für Governance-Teams; Richtlinienzuweisungen
• Abonnementebene – Contributor-Zugriff auf Teamebene für Anwendungsteams, die ein Abonnement verwalten
• Ressourcengruppenebene – dienstspezifische Rollen (z. B. Storage Blob Contributor für eine Anwendung, die nur Blob-Zugriff benötigt)
• Ressourcenebene – nur für Ausnahmefälle, in denen eine detaillierte Steuerung erforderlich ist

Anwendungen und automatisierte Prozesse sollten keine Benutzerkonten zur Authentifizierung bei Azure verwenden. Verwenden Sie stattdessen:

• Dienstprinzipale — Anwendungsregistrierungen in Entra ID mit einer Client-ID und einem geheimen Clientschlüssel oder Zertifikat; werden von CI/CD-Pipelines und der lokalen Automatisierung verwendet
• Verwaltete Identitäten — automatisch verwaltete Anmeldeinformationen für in Azure gehostete Ressourcen (VMs, App Service, AKS); keine Geheimnisse, die verwaltet oder regelmäßig erneuert werden müssen

Weisen Sie Dienstprinzipalen und verwalteten Identitäten die mindestens erforderlichen RBAC-Rollen zu.

Richtlinien für bedingten Zugriff in Entra ID erweitern Authentifizierungsentscheidungen um intelligente Kriterien. Für die Verwaltung von Azure-Ressourcen können Sie festlegen, dass der Administratorzugriff (Azure-Portal, CLI) nur von folgenden Orten oder unter folgenden Bedingungen zulässig ist:

• Konformen Geräten (von Intune verwaltet)
• Benannten Standorten (Unternehmensnetzwerk oder VPN)
• Nach einer MFA-Authentifizierung (bei privilegierten Aktionen immer erforderlich)

Die Kombination aus bedingtem Zugriff und PIM schafft eine sehr starke Sicherheitslage für den administrativen Zugriff auf Azure.

Zugriffsüberprüfungen in Entra ID ermöglichen es Administratoren, regelmäßig zu überprüfen, ob Benutzer den ihnen gewährten Zugriff weiterhin benötigen. Überprüfungen können an Ressourcenbesitzer oder Manager delegiert werden. Diese beantworten für jeden Benutzer „Ja, diese Person benötigt weiterhin Zugriff“ oder „Nein, diesen Zugriff entfernen“. Zugriffsüberprüfungen können vierteljährlich geplant werden und den nicht mehr genehmigten Zugriff automatisch entfernen, sodass sich Berechtigungen im Laufe der Zeit nicht unkontrolliert ausweiten.

Jedes Unternehmen sollte mindestens zwei Notfallzugriffskonten (Break-Glass-Konten) unterhalten — Konten mit der Rolle „Globaler Administrator“, die nicht durch Richtlinien für bedingten Zugriff oder MFA-Anforderungen geschützt sind (stattdessen werden Hardware-FIDO2-Schlüssel verwendet). Diese Konten werden nur verwendet, wenn Entra ID oder MFA-Systeme nicht verfügbar sind und nicht auf normale Administratorkonten zugegriffen werden kann. Die Verwendung eines Notfallzugriffskontos sollte sofortige Sicherheitswarnungen auslösen und rigoros überwacht und protokolliert werden.

Testen Sie Ihr Verständnis der Konzepte aus Microsoft Azure Fundamentals (AZ-900), die in dieser Lektion behandelt wurden.

In dieser Lektion haben Sie gelernt: Für unternehmensweites RBAC werden gruppenbasierte Zuweisungen auf der Ebene von Verwaltungsgruppen, Abonnements und Ressourcengruppen verwendet; Privileged Identity Management ermöglicht Just-in-Time-Zugriff, um dauerhaft vergebene Administratorrollen zu vermeiden; und verwaltete Identitäten sowie Dienstprinzipale sollten anstelle von Benutzerkonten für die Authentifizierung von Anwendungen verwendet werden. Herzlichen Glückwunsch — Sie haben den Abschnitt zur Unternehmensarchitektur und Governance des AZ-900-Lernpfads abgeschlossen!