Entra ID Governance: Azure AD-Zugriffssteuerung die wirklich funktioniert

Edouard Jacques

Managing Director, Cyber Culture

Microsoft hat in den letzten zwei Jahren stark in Entra ID Governance investiert. Für M365-E5- und Entra-ID-P2-Kunden steht damit eine vollwertige IAM-Plattform bereit – ohne SailPoint oder Saviynt zu lizenzieren. Wir setzen Entra ID Governance in Mittelstandsprojekten zunehmend als Hauptplattform ein. Hier sind die fünf wichtigsten Bausteine.

Baustein 1: Access Packages

Access Packages bündeln Apps, SharePoint-Sites, Teams und Berechtigungen zu einer einheitlichen Anforderungseinheit. Mitarbeiter beantragen ein Access Package über das Self-Service-Portal, Approver genehmigen, Lifecycle steuert die Gültigkeit (z. B. Auto-Expire nach 12 Monaten).

Baustein 2: Access Reviews

Vierteljährliche Rezertifizierung wird über Access Reviews automatisiert. Manager prüfen, welche Mitarbeiter ihres Teams welche Zugriffe noch brauchen. Nicht-Bestätigungen führen automatisch zum Entzug. Auditoren lieben das Audit Log.

Baustein 3: Privileged Identity Management (PIM)

Admin-Rollen werden nicht dauerhaft, sondern Just-in-Time vergeben. Ein Global Admin meldet sich mit eingeschränkten Rechten an und aktiviert die Admin-Rolle nur für eine Aufgabe – mit MFA, Begründung und Zeit-Limit. Kein Standing Admin Right mehr.

Baustein 4: Lifecycle Workflows

Joiner-Mover-Leaver-Prozesse werden in Entra ID modelliert: Bei Eintritt automatisches Provisioning der Birth Rights, bei Position-Wechsel Anpassung der Access Packages, bei Austritt automatisches Disable und Datenzugriffsentzug nach 30 Tagen.

Baustein 5: Conditional Access Reports

Conditional Access Policies entscheiden, wer von wo mit welchem Gerät auf welche App darf. Reports zeigen Anomalien und helfen, Policies kontinuierlich zu schärfen.

Wann Entra ID Governance reicht – und wann nicht

Für Microsoft-zentrische Mittelständler bis ca. 3.000 Mitarbeiter ist Entra ID Governance meist die ökonomisch beste Wahl. Wer SAP, ServiceNow und stark dezentrale Anwendungen integrieren muss, braucht zusätzlich SailPoint oder Saviynt. Wir helfen Ihnen, die richtige Architektur zu wählen.