Entra ID: Identitätsverwaltung in der Microsoft-Cloud

Entra ID ist der Verzeichnis- und Identitätsdienst von Microsoft für Cloud-Anwendungen und trug bis 2023 den Namen Azure Active Directory. Er verwaltet Benutzerkonten, Gruppen, Geräte und Anwendungsregistrierungen und entscheidet, wer sich an Microsoft 365 und angebundenen Diensten anmelden darf. Trotz Namensähnlichkeit ist er kein Cloud-Abbild des lokalen Active Directory, sondern ein eigenständiger Dienst mit anderer Struktur und anderen Mechanismen.

Unterschiede zum lokalen Active Directory

Das klassische Active Directory arbeitet mit Domänen, Organisationseinheiten, Gruppenrichtlinien und den Protokollen Kerberos und LDAP innerhalb eines Firmennetzes. Entra ID kennt keine Organisationseinheiten und keine Gruppenrichtlinien im herkömmlichen Sinn. Es nutzt internetfähige Protokolle wie OAuth 2.0, OpenID Connect und SAML und ist grundsätzlich aus dem Internet erreichbar.

Diese Erreichbarkeit ist der zentrale sicherheitstechnische Unterschied. Ein Konto im lokalen Verzeichnis ist nur angreifbar, wer Zugang zum Netz hat. Ein Entra-ID-Konto ist weltweit erreichbar, sobald Benutzername und Kennwort bekannt sind. Deshalb ist Mehrfaktor-Authentifizierung hier keine optionale Härtung, sondern Grundvoraussetzung.

Relevanz für den Mittelstand

Sobald ein Unternehmen Microsoft 365 einsetzt, betreibt es Entra ID, auch wenn es dies nicht bewusst so benennt. Damit verlagert sich ein wesentlicher Teil der Zugriffssteuerung in die Cloud. In der Praxis existieren häufig hybride Aufbauten: Konten werden lokal gepflegt und über Entra Connect in die Cloud synchronisiert, während die Authentifizierung je nach Konfiguration lokal oder in der Cloud stattfindet.

Diese Mischform verdient Aufmerksamkeit, denn Fehler in der Synchronisation wirken in beide Richtungen. Ein versehentlich gelöschtes lokales Konto entfernt auch den Cloud-Zugriff samt Postfach, und Rechte, die lokal großzügig vergeben wurden, wirken nach der Synchronisation in einem aus dem Internet erreichbaren Kontext weiter.

Praktische Absicherung und Verwaltung

Für einen tragfähigen Betrieb haben sich einige Maßnahmen als grundlegend erwiesen:

• Mehrfaktor-Authentifizierung für alle Konten, ausnahmslos für administrative Rollen
• Bedingter Zugriff, um Anmeldungen nach Gerätezustand, Standort und Risiko zu bewerten
• Getrennte administrative Konten ohne Postfach und ohne Alltagsnutzung
• Deaktivierung veralteter Authentifizierungsverfahren, die keine zweite Stufe unterstützen
• Regelmäßige Überprüfung von Gastkonten und von Anwendungen mit erteilten Berechtigungen
• Auswertung der Anmeldeprotokolle, insbesondere auf fehlgeschlagene Versuche aus untypischen Regionen

Ein häufig übersehener Bereich sind Anwendungsregistrierungen und Zustimmungen. Nutzer können Drittanwendungen Zugriff auf Postfächer und Dateien erteilen. Ohne Beschränkung dieser Zustimmung entsteht ein dauerhafter Zugriffsweg, der von einer Kennwortänderung unberührt bleibt.

Typische Fehler und Grenzen

Der verbreitetste Fehler ist die Übertragung lokaler Denkmuster auf den Cloud-Dienst. Wer erwartet, dass Gruppenrichtlinien greifen oder dass ein Konto nach Deaktivierung sofort überall wirkungslos ist, unterschätzt die Eigenheiten tokenbasierter Anmeldung: Bereits ausgestellte Zugriffstoken behalten bis zum Ablauf ihre Gültigkeit, weshalb bei einem Vorfall Sitzungen ausdrücklich widerrufen werden müssen.

• Globale Administratorrechte großzügig vergeben, statt aufgabenbezogene Rollen zu nutzen
• Kein Notfallzugangskonto, sodass eine fehlerhafte Richtlinie den gesamten Zugang sperrt
• Annahme, Microsoft sichere die Inhalte, obwohl Postfächer und Dateien eine eigene Sicherung benötigen
• Austrittsprozess ohne Widerruf aktiver Sitzungen und angemeldeter Geräte

Entra ID löst die Zugriffsverwaltung für Cloud-Dienste zuverlässig, ersetzt aber weder das lokale Verzeichnis für klassische Datei- und Druckdienste noch eine Datensicherung. Wer beides sauber trennt und die Rechtevergabe regelmäßig überprüft, betreibt den Dienst mit vertretbarem Aufwand. Bei der Planung solcher hybriden Umgebungen unterstützt DESATIV® mittelständische Unternehmen im Raum München.

• Entra ID ist kein Cloud-Active-Directory, sondern ein eigenständiger Dienst mit anderen Protokollen
• Konten sind weltweit erreichbar, Mehrfaktor-Authentifizierung ist deshalb Grundvoraussetzung
• Administrative Rollen aufgabenbezogen und getrennt vom Alltagskonto vergeben
• Anwendungszustimmungen und Gastkonten regelmäßig überprüfen, sie überdauern Kennwortänderungen
• Notfallzugangskonto einrichten und Microsoft-365-Inhalte gesondert sichern