Was ist Microsoft Entra ID?

Microsoft Entra ID (früher Azure Active Directory) ist der cloudbasierte Dienst von Microsoft für Identitäts- und Zugriffsverwaltung. Er bildet die Identitätsgrundlage von Azure und Microsoft 365 und übernimmt weltweit die Authentifizierung und Autorisierung von Millionen von Benutzern und Anwendungen. Jedes Azure-Abonnement ist einem Entra-ID-Mandanten zugeordnet, der Benutzeridentitäten speichert und den Zugriff auf Ressourcen verwaltet.

Herkömmliche lokale Active Directory Domain Services (AD DS) verwalten Identitäten mithilfe der Protokolle Kerberos und LDAP und eignen sich für in eine Domäne eingebundene Windows-Computer in einem Unternehmensnetzwerk. Entra ID ist cloudnativ und verwendet moderne Protokolle — OAuth 2.0, OpenID Connect und SAML —, um Benutzer bei Web-Apps, SaaS-Diensten und APIs von jedem Gerät und überall zu authentifizieren. Beide Systeme können über Microsoft Entra Connect koexistieren, das lokale Identitäten mit der Cloud synchronisiert.

Ein Mandant ist eine dedizierte Instanz von Entra ID, die eine Organisation bei der Registrierung für Azure oder Microsoft 365 erhält. Er verfügt über ein eigenes Verzeichnis mit Benutzern, Gruppen und Anwendungen. Ihr Mandant hat einen Domänennamen wie yourcompany.onmicrosoft.com, und Sie können benutzerdefinierte Domänen wie yourcompany.com hinzufügen. Jedes Azure-Abonnement vertraut für die Authentifizierung genau einem Mandanten.

Ein Azure-Abonnement ist eine Abrechnungs- und Ressourcengrenze — es enthält Azure-Ressourcen wie VMs, Datenbanken und Speicherkonten. Ein Abonnement vertraut einem Entra ID-Mandanten. Das bedeutet, dass nur Identitäten aus diesem Mandanten (oder föderierte Identitäten) Zugriff auf Ressourcen im Abonnement erhalten können. Mehrere Abonnements können demselben Mandanten vertrauen. So verwalten große Unternehmen viele Umgebungen unter einem gemeinsamen Identitätsspeicher.

Das Verständnis dieses Unterschieds ist grundlegend. Bei der Authentifizierung (AuthN) wird nachgewiesen, wer Sie sind — Entra ID überprüft Ihren Benutzernamen und Ihr Kennwort (oder MFA-Token). Bei der Autorisierung (AuthZ) wird bestimmt, was Sie tun dürfen — Azure RBAC überprüft Ihre Rollenzuweisungen, um zu entscheiden, welche Vorgänge Ihre Identität nach erfolgreicher Authentifizierung für Azure-Ressourcen ausführen darf.

Entra ID ist in drei Haupteditionen verfügbar. Free (in jedem Azure-Abonnement enthalten) bietet eine grundlegende Verwaltung von Benutzern und Gruppen, SSO für bis zu 10 Apps sowie grundlegende Sicherheitsberichte. P1 ergänzt den bedingten Zugriff, hybride Identitäten mit lokalem AD und die Self-Service-Gruppenverwaltung. P2 ergänzt den Identitätsschutz mit risikobasiertem bedingtem Zugriff und Privileged Identity Management (PIM) für die zeitlich begrenzte Aktivierung von Rollen.

Entra ID unterstützt Cloudbenutzer (direkt im Verzeichnis erstellt) und synchronisierte Benutzer (über Entra Connect aus dem lokalen AD synchronisiert). Sie können Benutzer über das Azure-Portal, das Microsoft 365 Admin Center, die Azure CLI oder PowerShell erstellen. Jedes Benutzerobjekt speichert Attribute wie Anzeigename, E-Mail-Adresse, Berufsbezeichnung, Abteilung und Vorgesetzte sowie Authentifizierungsanmeldeinformationen.

Entra ID unterstützt zwei Gruppentypen. Security-Gruppen werden zur Zuweisung von Berechtigungen verwendet — fügen Sie einen Benutzer einer Security-Gruppe hinzu und weisen Sie der Gruppe eine RBAC-Rolle zu, anstatt einzelne Zuweisungen zu verwalten. Microsoft 365-Gruppen bündeln ein freigegebenes Postfach, einen Kalender, eine SharePoint-Website und einen Teams-Arbeitsbereich für die Zusammenarbeit. Gruppen können dynamisch anhand von Benutzerattributen mit Mitgliedschaften versehen werden, wodurch der manuelle Verwaltungsaufwand sinkt.

Wenn eine Anwendung Benutzer über Entra ID authentifizieren soll, erstellen Sie eine App Registration. Diese stellt Ihre Anwendung im Verzeichnis dar und weist ihr eine Client-ID zu. Anschließend konfigurieren Sie die zulässigen Umleitungs-URIs und API-Berechtigungen und erstellen (bei vertraulichen Clients) ein Clientgeheimnis oder laden ein Zertifikat hoch. Die App verwendet OAuth 2.0- bzw. OIDC-Flows, um Zugriffstoken im Namen von Benutzern abzurufen.

Eine verwaltete Identität ist eine automatisch verwaltete Identität in Entra ID, die einer Azure-Ressource wie einer VM oder einem App Service zugewiesen ist. Die Ressource kann Token von Entra ID abrufen, ohne gespeicherte Anmeldeinformationen oder deren regelmäßige Erneuerung verwalten zu müssen. Vom System zugewiesene verwaltete Identitäten bestehen nur so lange wie die Ressource; benutzerseitig zugewiesene verwaltete Identitäten sind eigenständige Objekte, die mehreren Ressourcen zugeordnet werden können.

Mit der Self-Service Password Reset (SSPR) können Benutzer ihre Entra ID-Kennwörter selbst zurücksetzen, ohne den IT-Helpdesk anzurufen. Dazu verwenden sie Überprüfungsmethoden wie eine Authenticator-App, ein Telefon, eine E-Mail-Adresse oder Sicherheitsfragen. SSPR reduziert die Anzahl der Helpdesk-Tickets erheblich und ermöglicht es Benutzern, sich auch außerhalb der Geschäftszeiten selbst wieder Zugriff zu verschaffen. Die Funktion ist in Entra ID P1 und P2 verfügbar und kann Kennwörter in hybriden Umgebungen in das lokale AD zurückschreiben.

Testen Sie Ihr Verständnis der Konzepte aus Microsoft Azure Fundamentals (AZ-900) in dieser Lektion.

In dieser Lektion haben Sie gelernt: Entra ID ist der cloudnative Identitätsdienst von Azure und verwendet OAuth 2.0 und OpenID Connect, Mandanten sind dedizierte Verzeichnisinstanzen, denen Abonnements für die Authentifizierung vertrauen, und verwaltete Identitäten ermöglichen die Authentifizierung von Azure-Ressourcen ohne gespeicherte Anmeldeinformationen. Als Nächstes sehen wir uns Benutzer, Gruppen und RBAC-Rollenzuweisungen in Entra ID an.