Access Reviews und Entitlement Management in Entra ID
Berechtigungen erteilen ist einfach – sie wieder loszuwerden nicht.Access Reviews und Entitlement Management in der Praxis
Die meisten Tenants haben kein Berechtigungsproblem beim Vergeben – sondern beim Wieder-Wegnehmen. Rechte werden erteilt, der Mensch wechselt das Team, das Projekt endet, der externe Berater ist längst weg – und der Zugriff bleibt. Entitlement Management bündelt Rechte in Pakete mit eingebautem Ablaufdatum, Access Reviews fragen regelmäßig nach: „Braucht das noch jemand?" Zusammen sind sie das Gegenmittel gegen die schleichende Rechte-Vermüllung, die jedes Audit zur Qual macht.
Skizze 1: Ein Access Package bündelt alle Rechte einer Rolle, die Policy steuert Antrag, Genehmigung und Ablauf – der Lebenszyklus läuft automatisch.
|
Info – die beiden Bausteine und ihr Preis Entitlement Management dreht sich um vier Begriffe: Ein Access Package bündelt Ressourcen (Gruppen, Apps, SharePoint-Sites, sogar eligible Entra-Rollen). Ein Catalog ist der Container, in dem Paket und Ressourcen liegen. Eine Policy legt fest, wer beantragen darf, wer genehmigt und wann der Zugriff abläuft. Access Reviews sind die wiederkehrende Kontrolle, ob bestehende Zugriffe noch berechtigt sind. Lizenz: Beides braucht Entra ID P2 bzw. Entra ID Governance – und zwar für die Personen, die geprüft werden bzw. Pakete beantragen. Ein häufiger Irrtum: P2 nur für Admins zu kaufen reicht nicht, wenn du normale Mitarbeiter oder Gäste reviewst. |
|---|
Warum „Rechte per Ticket" irgendwann kippt
Im kleinen Tenant funktioniert der manuelle Weg: Jemand braucht Zugriff, schreibt ein Ticket, ein Admin klickt das zusammen. Das Problem ist nicht das Erteilen – es ist die Halbwertszeit. Niemand schreibt ein Ticket „bitte Zugriff X wieder entfernen", wenn ein Projekt endet. Also bleibt er. Nach zwei Jahren hat die Hälfte der Belegschaft Zugriffe, die längst niemand mehr begründen kann.
Access Packages drehen das um: Der Zugriff hat von Geburt an ein Ablaufdatum. Wird er nicht verlängert (und die Verlängerung kann eine Genehmigung oder einen Access Review erfordern), entzieht ihn das System selbst. Das Aufräumen passiert nicht mehr durch Disziplin, sondern durch Mechanik.
Skizze 2: Manuelle Ticketvergabe vs. Access Packages – der Unterschied liegt fast komplett im Offboarding.
|
Achtung – der Gäste-Friedhof Cross-Tenant-Gäste sind die Altlast Nummer eins. Externe bekommen für ein Projekt Zugriff und bleiben dann jahrelang als inaktive B2B-Gäste im Verzeichnis – jeder ein potenzieller Eintritts-Vektor über einen fremden, vielleicht schlecht gesicherten Tenant. Genau dafür gibt es Access Reviews speziell für Gäste: Wer nicht innerhalb der Frist bestätigt wird, fliegt automatisch raus. Ohne das wächst dein Gäste-Verzeichnis monoton – und schrumpft nie. |
|---|
Access Reviews richtig konfigurieren
Ein Access Review steht und fällt mit drei Entscheidungen: Wer reviewt, was passiert bei Untätigkeit, und wie oft. Diese drei bestimmen, ob der Review echte Hygiene schafft oder nur ein Compliance-Häkchen ist.
|
Stellschraube |
Optionen |
Empfehlung |
|---|---|---|
|
Reviewer |
Manager / Ressourcenbesitzer / Self-Review / benannte Person |
Manager für Mitarbeiter, Self-Review nur ergänzend (Menschen bestätigen sich gern selbst alles). |
|
Bei keiner Antwort |
Keine Änderung / Zugriff entfernen / Empfehlung übernehmen |
Zugriff entfernen. Alles andere macht den Review zum Gummistempel. |
|
Begründung erzwingen |
An / Aus |
An. „Behalten" ohne Begründung ist wertlos für das Audit. |
|
Häufigkeit |
Einmalig / monatlich / quartalsweise / jährlich |
Quartalsweise für privilegierte Zugriffe, jährlich für Standardrechte. |
|
Empfehlungen anzeigen |
An / Aus |
An. Entra zeigt z. B. „seit 90 Tagen nicht angemeldet" – hilft beim Entscheiden. |
Skizze 3: Der Access-Review-Lebenszyklus – die Default-Aktion bei Untätigkeit entscheidet, ob der Review etwas bewirkt.
|
Praxis-Tipp – Manager-Reviews mit Augenmaß Manager-Reviews klingen ideal, kippen aber schnell in „alles behalten, bloß keinen Ärger". Zwei Dinge helfen: Erstens die Entra-Empfehlungen einblenden (Inaktivität sticht ins Auge). Zweitens den Review klein halten – ein Manager, der 15 Zugriffe prüfen soll, denkt nach; einer mit 300 Zeilen klickt blind auf „approve all". Lieber häufiger und kleiner als einmal jährlich und gigantisch. |
|---|
Umsetzung mit PowerShell (Microsoft Graph)
Wiederkehrende Reviews legst du am besten skriptbasiert an, damit sie reproduzierbar sind. Beispiel: ein quartalsweiser Review für eine privilegierte Gruppe, der bei Untätigkeit den Zugriff entfernt:
|
Connect-MgGraph -Scopes "AccessReview.ReadWrite.All"
$params = @{ displayName = 'Quartals-Review – Admin-Gruppe Phoenix' descriptionForAdmins = 'Vierteljaehrliche Pruefung privilegierter Mitglieder' scope = @{ '@odata.type' = '#microsoft.graph.accessReviewQueryScope' query = "/groups/$groupId/transitiveMembers" queryType = 'MicrosoftGraph' } reviewers = @( @{ query = './manager'; queryType = 'MicrosoftGraph' } ) settings = @{ mailNotificationsEnabled = $true reminderNotificationsEnabled = $true justificationRequiredOnApproval = $true defaultDecisionEnabled = $true defaultDecision = 'Deny' # keine Antwort => Zugriff entfernen autoApplyDecisionsEnabled = $true recurrence = @{ pattern = @{ type = 'absoluteMonthly'; interval = 3 } } } } New-MgIdentityGovernanceAccessReviewDefinition -BodyParameter $params |
|---|
Die zwei entscheidenden Zeilen sind defaultDecision = 'Deny' und autoApplyDecisionsEnabled = $true. Ohne sie sammelst du zwar Entscheidungen, setzt aber nichts um – der Klassiker, bei dem nach einem Jahr Reviews kein einziger Zugriff tatsächlich entzogen wurde.
Beispiel aus der Praxis
Die Musterwerk GmbH, Fertigungsmittelstand, hatte über Jahre Projektzugriffe per Mail und Ticket vergeben. Beim ISO-Audit kam die Frage, die niemand beantworten konnte: „Wer hat Zugriff auf die Konstruktionsdaten und warum?" Eine manuelle Auswertung ergab 140 Personen mit Zugriff – darunter zwei längst ausgeschiedene Mitarbeiter und sechs externe Konstrukteure aus einem zwei Jahre alten Projekt.
Der Umbau: Für die Konstruktionsdaten ein Access Package mit 90-Tage-Ablauf und Genehmigung durch den Bereichsleiter. Für die Gäste ein quartalsweiser Access Review mit Default „entfernen". Beim ersten Lauf bestätigte der Bereichsleiter 88 Zugriffe, lehnte 41 ab und ignorierte 11 – die elf flogen durch die Default-Aktion automatisch raus. Aus 140 unkontrollierten Zugriffen wurden 88 begründete, dokumentierte und ablaufende. Der nächste Auditor bekam statt Schweigen einen Bericht auf Knopfdruck.
Verwandte Artikel
Häufige Fragen (FAQ)
Frage: Was ist der Unterschied zwischen Entitlement Management und Access Reviews?
Antwort: Entitlement Management ist das Vergeben: Access Packages bündeln Rechte mit Antrag, Genehmigung und Ablauf. Access Reviews sind das Prüfen: Sie fragen wiederkehrend, ob bestehende Zugriffe noch berechtigt sind. Das eine erteilt sauber, das andere räumt regelmäßig auf – am besten kombiniert man beide.
Frage: Brauche ich für Access Reviews Entra ID P2?
Antwort: Ja. Access Reviews und Entitlement Management sind Teil von Entra ID P2 bzw. Entra ID Governance. Die Lizenz muss für die geprüften Personen vorhanden sein, nicht nur für die Admins. Wer das übersieht, baut einen Review, der lizenzrechtlich nicht abgedeckt ist.
Frage: Was passiert, wenn ein Reviewer einfach nicht reagiert?
Antwort: Das steuert die Default-Aktion. Setzt du sie auf „Zugriff entfernen", fliegt bei Untätigkeit der Zugriff automatisch raus – das ist die einzige sinnvolle Einstellung für echte Hygiene. „Keine Änderung" macht den Review wirkungslos, weil Nichtstun dann das bequeme Standardergebnis ist.
Frage: Können sich Mitarbeiter ihren Zugriff selbst bestätigen (Self-Review)?
Antwort: Technisch ja, und für rein informative Zugriffe ist das okay. Für privilegierte oder sensible Rechte ist Self-Review aber schwach: Menschen bestätigen sich im Zweifel alles. Für solche Zugriffe gehört der Manager oder Ressourcenbesitzer als Reviewer eingesetzt.
Frage: Kann ich mit Access Packages auch externe Gäste verwalten?
Antwort: Ja, und das ist einer der stärksten Anwendungsfälle. Du kannst Access Packages für externe Nutzer öffnen, sodass sie sich selbst bewerben, automatisch als B2B-Gast angelegt werden und nach Ablauf der Frist samt Gastkonto wieder verschwinden. Das hält das Gäste-Verzeichnis sauber.
Frage: Wie oft sollte ich Access Reviews laufen lassen?
Antwort: Für privilegierte Zugriffe quartalsweise, für Standardrechte jährlich – und lieber kleinere, häufigere Reviews als einen riesigen Jahres-Review. Große Reviews verleiten zum blinden „approve all", kleine zwingen zum Nachdenken. Die Frequenz sollte zum Risiko der Ressource passen.
Wie geht es weiter?
|
Dein nächster Schritt Du ahnst, dass in deinem Tenant Rechte und Gäste schlummern, die längst weg gehören, aber dir fehlt der saubere Prozess zum Aufräumen? Im Architektur- oder Redesign-Workshop entwerfen wir gemeinsam deine Catalog- und Access-Package-Struktur, definieren sinnvolle Review-Zyklen und Default-Aktionen und machen aus „wer hat eigentlich Zugriff?" einen Bericht, den du jederzeit vorlegen kannst. |
|---|