Microsoft Entra Privileged Identity Management Admin-Konten in Azure, Entra ID und Microsoft 365 schützen

Microsoft Entra Privileged Identity Management (PIM) ist ein integraler Bestandteil der Microsoft Entra-Suite. Der Fokus der Lösung besteht darin den privilegierten Zugriff innerhalb von Organisationen sicher zu verwalten.

Bei der Verwendung von Microsoft Entra Privileged Identity Management (PIM) haben Admin-Konten nach der Anmeldung zunächst die gleichen Rechte wie herkömmliche Nutzerkonten. Das stellt sicher, dass die Konten nicht von Angreifern missbraucht werden können. Ohne einen Schutz der Admin-Konten können Angreifer nach der Erbeutung der Anmeldedaten vollständigen Zugriff auf die Ressourcen erhalten, die der entsprechende Admin verwaltet.

Bildergalerie

Bildergalerie mit 8 Bildern

Das kann PIM verhindern und gleichzeitig sicherstellen, dass alle mit Admin-Rechten durchgeführte Aktionen protokolliert werden und damit jederzeit nachvollziehbar sind. In diesem Zusammenhang lassen sich für bestimmte Rechte, Rollen oder Benutzerkonten und Aktionen auch automatisierte Benachrichtigungen per E-Mail versenden. Die Benachrichtigungen lassen sich mit verschiedenen Werkzeugen auch über andere Message-Dienste versenden, zum Beispiel WhatsApp.

Entra ID P2 für einzelne Benutzer ist meistens sinnvoll

Um Microsoft Entra Privileged Identity Management zu nutzen, ist eine P2-Lizenz von Microsoft Entra ID notwendig. Neben PIM sind hier noch zahlreiche weitere Funktionen integriert, um Azure, Microsoft 365 und Entra ID zu schützen. Beispiele dafür sind der risikobasierte bedingte Zugriff, dynamische Anmeldebewertung in Echtzeit sowie die Erkennung von Sicherheitsrisiken und verdächtigen Konten. Die P2-Lizenz wird nicht für das komplette Abonnement aktiviert, sondern Unternehmen können diese für einzelne Benutzer lizenzieren. Dadurch lassen sich privilegierte und Admin-Konten schützen, ohne die Kosten für ein Abonnement nach oben zu treiben. Davon profitieren auch kleinere und mittlere Unternehmen. Um Microsoft Entra Privileged Identity Management (PIM) zu verwalten, muss der entsprechende Admin natürlich selbst über eine P2-Lizenz verfügen und die Rolle zur Verwaltung privilegierter Konten haben.

Zero-Trust in Microsoft 365 und Azure umsetzen

Conditional Access und Richtlinien für mehr Schutz in der Microsoft-Cloud

Admins beantragen Rollenzugriffe und Entra überwacht die Aktionen

Admins können den Zugriff zur Verwaltung aber selbst beantragen, und durch automatisierte Workflows lassen sich die Berechtigungen erteilen, auf Anforderung auch mit Genehmigung durch andere Admins. Das stellt sicher, dass jeder Admin nur notwendige Rechte über eine bestimmte Zeitspanne hat, um seine Aufgaben zu erledigen. Danach erlöschen die Rechte bis zur nächsten Beantragung. Natürlich können Admins auch mehrere Rollen beantragen und gleichzeitig erhalten. Diese verschiedenen Möglichkeiten erhöhen die Sicherheit von privilegierten Konten deutlich. Microsoft Entra Privileged Identity Management erkennt außerdem welche Aktionen ein Admin durchführt und weist nur die Rechte zu, die er für die aktuell notwendige Aktion benötigt. Die anderen Rechte erhält er, bei entsprechender Genehmigung, genau dann, wenn er sie braucht. PIM stellt damit sicher, dass nur die notwendigen Benutzer die geringst nötigen Berechtigungen für genau die Aufgaben erhalten, die sie durchführen wollen.

Dazu kommt die Möglich die Zugriffe mit Admin-Rechten nach dem 4-Augen-Prinzip zu sichern, zumindest für bestimmte Ressourcen und parallel noch mit Conditional Access pro Admin-Rolle zu arbeiten. So lässt sich zu Beispiel festlegen, dass die Verwaltung sensibler Ressourcen nur aus bestimmten Netzwerken aus möglich ist. Bei entsprechender Anforderung lässt sich das noch mit MFA kombinieren. Durch die Kombination dieser Möglichkeiten können Verantwortliche im Unternehmen daher detailliert steuert, welche Rechte Benutzer zur Verwaltung der Umgebung für eine bestimmte Zeit bekommen. Alle diese Aktionen werden natürlich protokolliert und sind daher jederzeit vollständig nachvollziehbar. Mit Access Reviews kann PIM darüber hinaus regelmäßig überprüfen, ob ein Benutzer Rollen und Rechte hat, die er für seine Aufgaben nicht benötigt. Außerdem erkennt PIM wie oft ein bestimmter Benutzer verschiedene Rollen aktiviert hat und kann dadurch Anomalien erkennen. Das sorgt dafür, dass Unternehmen verhindern, dass Admins mehr Rechte haben als notwendig.

Bildergalerie

Bildergalerie mit 8 Bildern

Just-in-Time-Zugriff mit Just-Enough-Access

Eine zentrale Funktion von PIM ist damit der Just-in-Time-Zugriff, der es Administratoren ermöglicht, privilegierte Rechte nur für einen festgelegten Zeitraum zu aktivieren. Diese Aktivierungsperiode kann flexibel zwischen null und 24 Stunden definiert werden. Nach Ablauf dieser Zeit erlischt der Zugriff automatisch, sodass Benutzer ihre Rechte erneut aktivieren müssen, wenn sie weiterhin auf bestimmte Ressourcen zugreifen möchten. Dadurch wird die Zeitspanne, in der privilegierte Konten aktiv sind, deutlich reduziert, was die Angriffsfläche für potenzielle Sicherheitsbedrohungen verringert.

Darüber hinaus unterstützt PIM das Prinzip des Just-Enough-Access, bei dem Benutzern nur die Rechte zugewiesen werden, die sie für ihre aktuelle Aufgabe tatsächlich benötigen. Dies minimiert das Risiko, dass dauerhaft zu viele Berechtigungen vergeben werden, und sorgt dafür, dass sensible Zugriffe stets streng kontrolliert bleiben. Nach Ablauf der festgelegten Zeit werden die entsprechenden Rechte automatisch entzogen, unabhängig davon, ob die Benutzer noch im System verbleiben. PIM bietet zudem umfangreiche Genehmigungsprozesse, die sicherstellen, dass Rollenaktivierungen nur nach Freigabe durch eine oder mehrere autorisierte Personen erfolgen.

Die Integration von Multi-Factor Authentication (MFA) in PIM stellt darüber hinaus sicher, dass nur autorisierte Benutzer auf privilegierte Konten zugreifen können. Während der Rollenaktivierung kann MFA gefordert werden, sodass Benutzer ihre Identität zusätzlich zu ihren regulären Anmeldedaten bestätigen müssen. Administratoren können darüber hinaus Benachrichtigungen einrichten, um informiert zu werden, wenn bestimmte Rollen aktiviert oder zugewiesen werden. Regelmäßige Zugriffskontrollen, die von PIM unterstützt werden, ermöglichen es, zu überprüfen, ob Benutzer weiterhin die ihnen zugewiesenen Rollen benötigen. Diese Überprüfungen können an spezielle Reviewer delegiert werden, und nicht mehr benötigte Berechtigungen werden nach Abschluss der Überprüfung automatisch entzogen.

Alle Aktivitäten innerhalb von PIM werden detailliert protokolliert. Diese Logs können für weitere Analysen und zur Einrichtung benutzerdefinierter Alarme genutzt werden, um ungewöhnliche Aktivitäten frühzeitig zu erkennen und angemessen darauf zu reagieren. PIM unterstützt eine breite Palette von Rollen, sowohl innerhalb von Entra ID als auch für Azure-Ressourcen. Dies umfasst globale Administratorrollen sowie spezifische Rollen für Ressourcen wie virtuelle Maschinen, Ressourcengruppen und Abonnements.

Sicherheit für externe Entra-ID und Active-Directory-Konten verbessern

So umgehen Sie Sicherheits­risiken bei Gast­benutzer­konten

Microsoft Entra Privileged Identity Management verwalten

Die Verwaltung von PIM erfordert eine P2-Lizenz für den Admin, der die Rolle verwaltet und die Benutzer, die durch PIM geschützt werden sollen. Die Verwaltung selbst erfolgt im Entra Admin Center (entra.microsoft.com) über den Bereich „Identity Governance -> Privileged Identity Management“. Hier sind bei „Microsoft Entra-Rollen -> Rollen“ alle Rollen aufgeführt, die mit PIM an Admins zugewiesen werden können.

Um eine bestimmte Rolle einem Admin zuzuweisen, kann man im Fenster die entsprechende Rolle suchen und deren Konfiguration öffnen. Bei „Einstellungen“ sind die generellen Einstellungen der Rolle zu finden. Dazu gehört zum Beispiel der Zeitraum, wie lange diese Rolle maximal einem Benutzer zugewiesen sein soll. In den Einstellungen lässt sich darüber hinaus noch festlegen, welche zusätzlichen Bestätigungen ein Admin angeben muss, um die Rolle zu erhalten. An dieser Stelle kann zum Beispiel der bedingte Zugriff oder MFA mit der Rolle verknüpft werden. Außerdem kann hier festgelegt werden, dass der Admin eine Begründung oder eine Ticketnummer angeben muss, um die Rolle zu erhalten. Auch eine notwendige Genehmigung durch einen anderen Mitarbeiter lässt sich an dieser Stelle festlegen. Bei „Zuweisung“ lassen sich in den Einstellungen einer Rolle weitere Anpassungen vornehmen, zum Beispiel die Möglichkeit eine Rolle dauerhaft einem Benutzer zuzuweisen. Mit „Benachrichtigung“ kann wiederum festgelegt werden, dass bestimmte Personen darüber informiert werden, wenn ein Admin eine bestimmte Rolle beantragt und erhält. Bei „Zuweisungen hinzufügen“ lassen sich Benutzerkonten der Rolle hinzufügen, die das Recht erhalten sollen die Mitgliedschaft der Rolle und deren Rechte zu beantragen.

Will der entsprechende Benutzer die zugewiesene Admin-Rolle beantragen. Das geht am schnellsten über die Adresse aka.ms/pim. Auf der Seite sieht der Admin alle Rollen, denen er zugewiesen ist und kann diese für sein Konto aktivieren. Im Fenster muss er anschließend noch angeben, warum er die Rolle nutzen will. Bei entsprechender Konfiguration muss sich der Admin vorher noch mit MFA erneut authentifizieren. Danach kann er den Zeitraum angeben, indem er die Rolle nutzen will und unter Umständen eine Begründung sowie eine Ticketnummer. Danach aktiviert das System die entsprechende Rolle und Entra verschickt die Benachrichtigungen. Die Aktivierung kann mehrere Minuten dauern, geht aber meistens sehr schnell. In PIM ist bei der entsprechenden Rolle wiederum zu sehen, welche Benutzer aktuell die Rolle aktiviert haben.

Bildergalerie

Bildergalerie mit 8 Bildern

Video-Tipp #58: Break Glass Account in Microsoft 365

Notfallzugriff für Microsoft 365 einrichten

(ID:50200981)