|
|
 RSS-Feed
|
|
|
|
|
Tauche in frisch zubereitete Artikel ein, die Dir die Grundlagen sowie fortgeschrittene Konzepte von Microsoft Azure und Microsoft 365 näherbringen.
Profitiere von anschaulichen Schritt-für-Schritt-Anleitungen und den besten Methoden, um die vielfältigen Aufgaben und Strategien für den Einsatz der Microsoft Cloud zu beherrschen.
|
|
cloud microsoft-azure microsoft-365 cloud-sicherheit
|
|
Hinzugefügt am 01.06.2024 - 18:50:36
|
|
|
|
https://www.cloudkaffee.ch/
|
|
|
|
RSS-Feed - Einträge
|
|
|
|
|
|
|
|
Microsoft Entra Gastzugriff absichern bedeutet, externe Benutzer kontrolliert zu authentifizieren und den Zugriff auf die eigenen Ressourcen klar zu regeln. Microsoft 365 unterstützt dafür unterschiedliche Zusammenarbeitsmodelle. Im Mittelpunkt dieses Beitrags steht Microsoft Entra B2B Zusammenarbeit. Dabei repräsentiert ein Benutzerobjekt im Ressourcenmandanten die externe Identität und ermöglicht den Zugriff auf Microsoft Teams, SharePoint Online oder weitere Anwendungen. Bei der B2B Zusammenarbeit sind Authentifizierung und Ressourcenzugriff auf zwei Mandanten verteilt. Der externe Benutzer authentifiziert sich im Heimmandanten, der auch seine Anmeldeinformationen verwaltet. Der Ressourcenmandant stellt die Anwendung bereit und entscheidet, unter welchen Bedingungen er den Zugriff erlaubt. Er verwaltet somit keine separaten Anmeldeinformationen für den externen Benutzer, sondern die Zugriffsbedingungen und Berechtigungen für seine Ressourcen. Standardmässig erlauben die mandantenübergreifenden Zugriffseinstellungen die B2B-Zusammenarbeit mit Benutzern aus anderen Microsoft Entra-Organisationen. Der Ressourcenmandant akzeptiert MFA-Nachweise und Gerätestatus aus fremden Mandanten hingegen nicht automatisch. Diese Standardwerte erleichtern die Zusammenarbeit, erfordern in produktiven Mandanten jedoch eine bewusste Prüfung. Dieser Beitrag zeigt, wie mandantenübergreifende Zugriffseinstellungen, MFA-Vertrauenseinstellungen, Authentifizierungsstärken und bedingter Zugriff den Microsoft Entra Gastzugriff absichern. Voraussetzungen und Lizenzierung Microsoft Entra External ID Mandantenübergreifende Zugriffseinstellungen sind Bestandteil von Microsoft Entra External ID. Für Vertrauenseinstellungen und Einschränkungen auf bestimmte Benutzer, Gruppen oder Anwendungen benötigt der Ressourcenmandant mindestens: Bedingter Zugriff Für die beschriebenen Richtlinien für bedingten Zugriff ist mindestens folgende Lizenz erforderlich: Mandantenübergreifende Zugriffsaktivitäten analysieren Die Analyse bestehender mandantenübergreifender Anmeldeaktivitäten mit der Arbeitsmappe Mandantenübergreifende Zugriffsaktivität setzt Folgendes voraus: Die Konfiguration ist im Microsoft Learn-Artikel Integration von Microsoft Entra ID-Protokollen in Azure Monitor-Protokolle beschrieben. Eine Übersicht der Lizenzpakete von Microsoft mit ihren Funktionen kann unter https://m365maps.com/ abgerufen werden. Rollen Für die Konfiguration und Funktionskontrolle sind folgende Rollen nach dem Prinzip der geringsten Berechtigungen geeignet. Rolle Berechtigung Sicherheitsadministrator Mandantenübergreifende Zugriffseinstellungen verwalten,Richtlinien für bedingten Microsoft Entra-Zugriff erstellen und verwalten,Anmeldeprotokolle anzeigen,Arbeitsmappen anzeigen Log Analytics-Leser Protokolldaten im Log Analytics-Arbeitsbereich lesen Zusammenspiel von Heim- und Ressourcenmandant Bei Microsoft Entra B2B-Zusammenarbeit übernimmt der Heimmandant die Authentifizierung des externen Benutzers. Der Heimmandant verwaltet auch die Anmeldeinformationen des externen Benutzers. Der Ressourcenmandant stellt die Microsoft 365-Dienste oder weitere Anwendungen bereit. Er enthält ein B2B-Benutzerobjekt, das die externe Identität im eigenen Verzeichnis repräsentiert. Dieses Objekt besitzt im Ressourcenmandanten kein separat verwaltetes Kennwort. Der Ressourcenmandant legt mit Richtlinien für bedingten Zugriff fest, unter welchen Bedingungen externe Benutzer auf seine Ressourcen zugreifen dürfen. Eine Basisrichtlinie erzwingt in der Regel MFA für alle externen Benutzer. Für besonders schützenswerte Anwendungen kann eine separate Richtlinie eine phishingresistente Authentifizierungsstärke verlangen. Anschliessend bestimmen die Berechtigungen, auf welche Ressourcen der Benutzer zugreifen und welche Aktionen er ausführen darf. Massgebend sind beispielsweise die Mitgliedschaft in einem Team, die Berechtigungen auf einer SharePoint-Website oder die Zuweisung zu einer Unternehmensanwendung. Der Ressourcenmandant kontrolliert somit nicht die Anmeldeinformationen des externen Benutzers. Er kontrolliert die Zugriffsbedingungen sowie die Berechtigungen auf die Ressourcen. Mandantenübergreifende Zugriffseinstellungen vorbereiten Bestehende mandantenübergreifende Zugriffe ermitteln Vor einer Einschränkung der Standardeinstellungen sollten die tatsächlich verwendeten Partnerorganisationen und Anwendungen ermittelt werden. Andernfalls können bestehende Geschäftsprozesse unterbrochen werden. Dafür steht die Arbeitsmappe Mandantenübergreifende Zugriffsaktivität zur Verfügung. Die notwendige Log Analytics-Integration ist im Abschnitt Voraussetzungen und Lizenzierung beschrieben. Die Arbeitsmappe befindet sich unter: Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Überwachung und Integrität > Arbeitsmappen > Mandantenübergreifende Zugriffsaktivität Die Arbeitsmappe zeigt die im ausgewählten Zeitraum protokollierten eingehenden und ausgehenden Anmeldeaktivitäten nach Mandanten-ID, Anwendung, Benutzer und weiteren Kriterien. Der auswählbare Zeitraum beträgt bis zu 90 Tage. Angezeigt werden jedoch nur Daten, die an den Log Analytics-Arbeitsbereich übertragen wurden und dort noch vorhanden sind. Standardwerte der mandantenübergreifenden Zugriffseinstellungen prüfen Die mandantenübergreifenden Zugriffseinstellungen befinden sich im Microsoft Entra Admin Center unter: Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Externe Identitäten > Mandantenübergreifende Zugriffseinstellungen Unter Standardeinstellungen werden die Richtlinien für alle externen Microsoft Entra-Organisationen angezeigt, für die keine organisationsspezifische Konfiguration besteht. Die anfänglichen Standardwerte sind: Die Standardwerte erleichtern die Zusammenarbeit, entsprechen aber nicht automatisch den eigenen Sicherheits- und Compliance-Anforderungen. Sie sollten deshalb in jedem produktiven Mandanten geprüft werden. Partnerorganisation konfigurieren Partnerorganisation hinzufügen Für bekannte Partner empfiehlt sich eine organisationsspezifische Konfiguration. Diese überschreibt die Standardwerte ausschliesslich für die ausgewählte Partnerorganisation. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Externe Identitäten > Mandantenübergreifende Zugriffseinstellungen > Organisationseinstellungen Organisation hinzufügen auswählen und die Mandanten-ID oder den vollständigen Domänennamen der Partnerorganisation eingeben. Nach dem Hinzufügen erbt die Organisation zunächst alle Standardeinstellungen. Über die Links in den Spalten Eingehender Zugriff, Ausgehender Zugriff oder Mandanteneinschränkungen wird eine abweichende Konfiguration erstellt. Dieser Beitrag konzentriert sich auf den eingehenden Zugriff der B2B-Zusammenarbeit und die zugehörigen Vertrauenseinstellungen. Damit wird der Zugriff externer Benutzer auf die eigenen Ressourcen abgesichert. Der ausgehende Zugriff und die Mandanteneinschränkungen bleiben unverändert und übernehmen die Standardeinstellungen. Eingehenden Zugriff für B2B-Zusammenarbeit konfigurieren Der eingehende Zugriff für B2B-Zusammenarbeit bestimmt, welche Benutzer der Partnerorganisation auf welche Anwendungen im eigenen Mandanten zugreifen dürfen. Bei der hinzugefügten Organisation unter Zugriff auf eingehenden Datenverkehr > B2B-Zusammenarbeit die Option Einstellungen anpassen auswählen. Im Register Externe Benutzer und Gruppen auswählen, ob alle externen Benutzer oder nur bestimmte Benutzer und Gruppen Zugriff erhalten. Für einzelne Objekte sind deren Objekt-IDs aus dem Partnermandanten erforderlich. Anschliessend im Register Anwendungen festlegen, ob alle internen Anwendungen oder nur bestimmte Anwendungen erreichbar sind. Vertrauenseinstellungen konfigurieren Unter Zugriff auf eingehenden Datenverkehr > Vertrauenseinstellungen wird festgelegt, welchen Nachweisen des Partnermandanten vertraut wird: Alle drei Einstellungen sind standardmässig deaktiviert. Wird das Vertrauen in MFA aktiviert, kann der MFA-Nachweis des Heimmandanten die MFA-Anforderung einer Richtlinie für bedingten Zugriff im Ressourcenmandanten erfüllen. Wurde im Heimmandanten noch keine MFA durchgeführt, wird sie dort ausgelöst. Der Ressourcenmandant verlangt weiterhin MFA, akzeptiert jedoch den Nachweis des Partners. Die Unterschiede zwischen den MFA Varianten sind im Abschnitt MFA für Gäste: zwei unterschiedliche Modelle beschrieben. Wird konformen Geräten vertraut, übernimmt der Ressourcenmandant den Gerätestatus aus dem Partnermandanten. Massgebend sind damit die vom Partner definierten Konformitätsrichtlinien in Microsoft Intune. Dasselbe gilt für Microsoft Entra hybrid eingebundene Geräte. Vertrauenseinstellungen sollten nur für bekannte Partner aktiviert werden, deren Sicherheitsniveau geprüft und dokumentiert ist. MFA für Gäste: zwei unterschiedliche Modelle MFA ohne Vertrauen Der Ressourcenmandant verlangt MFA, akzeptiert jedoch keinen Nachweis einer bereits im Heimmandanten durchgeführten MFA. Der Gast muss MFA im Ressourcenmandanten erfüllen und dafür gegebenenfalls eine zusätzliche Methode registrieren. Vorteile: Nachteile: MFA mit Vertrauen Der Ressourcenmandant verlangt MFA und akzeptiert den Nachweis des Heimmandanten. Der Gast verwendet die MFA seiner eigenen Organisation und muss im Ressourcenmandanten weder eine zusätzliche Methode registrieren noch eine separate MFA durchführen. Falls im Heimmandanten noch keine MFA erfolgt ist, löst Microsoft Entra ID sie dort aus. Vorteile: Nachteile: MFA ohne Vertrauen ist der sichere Standard. MFA-Vertrauen sollte nur für bekannte Partner aktiviert werden, deren MFA-Sicherheitsniveau geprüft und regelmässig kontrolliert wird. Richtlinien für bedingten Zugriff auf externe Benutzer Bedingten Zugriff konfigurieren In Richtlinien für bedingten Zugriff lassen sich externe Identitäten nach sechs Typen auswählen: Damit lassen sich verwendete externe Benutzertypen absichern und nicht benötigte Typen blockieren. Eine MFA-Basisrichtlinie für B2B Collaboration-Gastbenutzer wird unter folgendem Pfad erstellt: Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Bedingter Zugriff > Richtlinien > Neue Richtlinie erstellen Einen Namen für die Richtlinie vergeben.Die Benennungskonventionen sind hier beschrieben: Planen einer Microsoft Entra-Bereitstellung für bedingten Zugriff – Microsoft Entra ID | Microsoft Learn Unter Benutzer oder Agents > Benutzer und Gruppen > Gastbenutzer oder externe Benutzer den Typ B2B Collaboration-Gastbenutzer auswählen. Je nach Umgebung zusätzlich verwendete Identitätstypen auswählen. Unter Zielressourcen > Ressourcen die benötigten Anwendungen auswählen. Unter Gewähren > Zugriff gewähren die Option Authentifizierungsstärke erfordern und anschliessend die benötigte Authentifizierungsstärke auswählen. Neue Richtlinien vor der Aktivierung im Modus Nur Bericht, mit dem What-If-Tool für bedingten Zugriff und einem Testbenutzer prüfen. Ein geeigneter Richtliniensatz für externe Benutzer besteht aus mehreren Richtlinien: Authentifizierungsstärken für sensible Ressourcen Mit einer Authentifizierungsstärke wird festgelegt, welche Authentifizierungsmethoden eine MFA-Anforderung erfüllen dürfen. Für Standardzugriffe kann eine beliebige MFA genügen. Für sensible oder privilegierte Anwendungen kann eine phishingresistente Authentifizierungsstärke mit FIDO2-Sicherheitsschlüssel, Passkey, Windows Hello for Business oder zertifikatbasierter Authentifizierung eingesetzt werden. Bei externen Microsoft Entra-Benutzern hängt die Auswertung der Authentifizierungsstärke davon ab, ob dem MFA-Nachweis des Heimmandanten vertraut wird. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Authentifizierungsmethoden > Authentifizierungsstärken Authentifizierungsstärken lassen sich aktuell nur auf externe Benutzer anwenden, die sich mit Microsoft Entra ID authentifizieren. Gut zu wissen Einstellungen für externe Zusammenarbeit bleiben relevant Mandantenübergreifende Zugriffseinstellungen ersetzen die Einstellungen für externe Zusammenarbeit nicht. Dort wird weiterhin gesteuert, welche Rollen Gäste einladen dürfen, welche Domänen für Einladungen erlaubt oder blockiert sind und vieles mehr. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Externe Identitäten > Einstellungen für externe Zusammenarbeit Die direkte B2B-Verbindung ist ein eigener Zugriffstyp Die direkte B2B-Verbindung wird für freigegebene Kanäle in Microsoft Teams verwendet und erstellt kein Gastobjekt im Ressourcenmandanten. Sie ist standardmässig blockiert und muss von beiden Organisationen freigegeben werden. Eine ausführliche Konfiguration ist im Beitrag Azure AD B2B Direct Connect für freigegebene Kanäle in Microsoft Teams – cloudkaffee.ch beschrieben. Ausgehenden Zugriff ebenfalls prüfen Der eingehende Zugriff schützt die eigenen Ressourcen. Der ausgehende Zugriff steuert, welche internen Benutzer auf Anwendungen in fremden Mandanten zugreifen dürfen. Eine zu breite Freigabe kann unkontrollierte Zusammenarbeit und Datenabfluss ermöglichen. Der ausgehende Zugriff sollte deshalb ebenfalls regelmässig geprüft werden. Fazit Microsoft Entra Gastzugriff lässt sich nicht mit einer einzelnen Richtlinie für bedingten Zugriff absichern. Die mandantenübergreifenden Zugriffseinstellungen steuern, welche Partnerorganisationen, Benutzer und Anwendungen zugelassen sind. Die Vertrauenseinstellungen bestimmen, ob MFA und Gerätestatus aus dem Heimmandanten akzeptiert werden. Richtlinien für bedingten Zugriff erzwingen zusätzliche Anforderungen wie MFA für die Basisrichtlinie oder phishingresistente Authentifizierungsstärke bei besonders schützenswerten Daten. Als sicherer Standard empfiehlt sich MFA ohne Vertrauen. Für bekannte Partner kann MFA-Vertrauen gezielt aktiviert werden, sofern deren MFA-Sicherheitsniveau geprüft und die Vertrauensstellung regelmässig kontrolliert wird. Nicht benötigte externe Benutzertypen sollten blockiert werden.
Der Beitrag Microsoft Entra Gastzugriff absichern: Mandantenübergreifende Zugriffseinstellungen und MFA-Vertrauensstellung erschien zuerst auf cloudkaffee.ch
|
|
07.08.2026 - 05:38:07
|
|
https://www.cloudkaffee.ch/microsoft-365/microsoft-entra-gastzugriff-absichern/
|
|
|
|
|
|
|
Microsoft hat angekündigt, die Basic Authentication für SMTP AUTH in Exchange Online schrittweise zu deaktivieren. Bestehende Tenants werden die Funktion zunächst weiterhin verwenden können, langfristig ist jedoch eine vollständige Deaktivierung vorgesehen. Details zur aktuellen Roadmap und zur geplanten Abschaltung sind im Exchange Team Blog veröffentlicht: Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline | Microsoft Community Hub Als Ersatz für SMTP AUTH Basic Authentication wird die moderne Authentifizierung mit OAuth vorgeschlagen. Viele Geräte und Anwendungen unterstützen jedoch keine moderne Authentifizierung mit OAuth. Typische Beispiele sind Multifunktionsgeräte, Scanner oder Legacy Anwendungen. Für diese Szenarien stellt Microsoft weiterhin den Versand über SMTP Relay zur Verfügung. Bei der Verwendung eines Exchange Online-SMTP Relays ist keine Authentifizierung mittels Benutzername oder Passwort erforderlich. Stattdessen wird die Verbindung über einen Exchange Online Connector mittels statischer öffentlicher IP-Adresse oder über ein Zertifikat authentifiziert. Dieser Artikel zeigt, wie sich ein Exchange Online SMTP Relay mit statischer öffentlicher IP-Adresse über einen Connector konfigurieren lässt. Voraussetzungen und Lizenzierung Exchange Online vorhanden Für SMTP Relay muss Exchange Online im Microsoft Tenant vorhanden sein.Ein eigenes Postfach für den Absender ist nicht erforderlich. Die Absenderadresse muss jedoch zu einer akzeptierten Domäne im Exchange Online gehören. Geeignete Pläne für Exchange Online sind zum Beispiel: Eine Übersicht der Microsoft Lizenzpakete mit ihren Features kann unter https://m365maps.com/ abgerufen werden. Statische öffentliche IP-Adresse Die Authentifizierung am SMTP Relay erfolgt über die Quell-IP-Adresse. Vorausgesetzt wird deshalb eine statische öffentliche IPv4-Adresse. Port 25 TCP erreichbar SMTP Relay über Exchange Online verwendet Port 25 TCP. Die Firewall und der Internet Provider müssen ausgehende Verbindungen über Port 25 zulassen. DNS Konfiguration Für eine erfolgreiche Zustellung an externe Empfänger sollte die statische öffentliche IP-Adresse per SPF autorisiert sein. Optional können zusätzlich DKIM und DMARC verwendet werden. Weitere Informationen sind im folgenden Blogpost nachzulesen: Einrichten von SPF, DKIM und DMARC in Exchange Online – cloudkaffee.ch Rollen Für die Konfiguration eines Exchange Online SMTP Relay ist nach dem Prinzip der geringsten Berechtigungen folgende Rolle geeignet: Rolle Berechtigung Exchange Administrator Verwaltung von Exchange Online, Mailflow und Connectoren Exchange Online Connector für SMTP Relay erstellen Für SMTP Relay mit statischer öffentlicher IP-Adresse ist in Exchange Online ein Connector erforderlich. Dieser Connector legt fest, von welchen öffentlichen Quell-IP-Adressen Exchange Online Nachrichten ohne Authentifizierung annimmt. Die Konfiguration erfolgt im Exchange Admin Center (https://admin.exchange.microsoft.com) > E-Mail-Fluss > Connectors > Connector hinzufügen E-Mail-Server Ihrer Organisation auswählen, Weiter klicken. Name des Connectors eingeben, z. B. SMTP Relay – Static Public IPOption Aktivieren auswählen und Weiter klicken. Authentifizierungstyp Durch überprüfen, ob die IP-Adresse des sendenden Servers mit einer der folgenden IP-Adressen übereinstimmt, die exklusiv zu Ihrer Organisation gehören auswählen und die statische öffentliche IP-Adresse eingeben. Weiter klicken. Eingaben prüfen und den Connector mit Connector erstellen anlegen. Der Exchange Online Connector ist erfolgreich erstellt und aktiviert. SMTP Einstellungen für Geräte und Anwendungen MX-Endpunkt der eigenen Domäne ermitteln Der SMTP-Server für das Relay ist nicht wie fälschlicherweise oft angenommen smtp.office365.com, sondern der MX-Endpunkt der eigenen Domäne. Der MX-Endpunkt kann im Microsoft 365 Admin Center ermittelt werden:Microsoft 365 Admin Center (https://admin.microsoft.com) > Einstellungen > Domänen > Domäne auswählen > DNS-Einträge > MX-Wert (1)Beispiel eines MX-Endpunkts: cloudcoffee-ch.mail.protection.outlook.comDieser Wert wird auf dem Gerät oder in der Anwendung als SMTP-Server eingetragen. SMTP Konfiguration für Geräte und Anwendungen Geräte und Anwendungen können mit den nachfolgenden Angaben auf den Exchange Online SMTP Relay zugreifen. Für die Authentifizierung wird kein Benutzername oder Passwort benötigt. Die Authentifizierung erfolgt über die statische öffentliche IPv4-Adresse. SMTP-Server MX-Endpunkt der eigenen Domänez.B. cloudcoffee-ch.mail.protection.outlook.com Port 25 TCP TLS / StartTLS Aktiviert Authentifizierung Keine Absenderadresse Adresse einer von Exchange Online akzeptierten Domänez.B. scanner@cloudcoffee.ch Die Absenderadresse muss kein eigenes Postfach besitzen. Sie muss jedoch Teil einer akzeptierten Domäne im Microsoft 365 Tenant sein. SMTP Relay Test mit PowerShell durchführen Zur Überprüfung der SMTP Relay Konfiguration kann eine Testnachricht per PowerShell gesendet werden. Das nachfolgende Skript verwendet den Exchange Online SMTP Relay Connector und ermittelt anhand der Absenderadresse automatisch den MX-Endpunkt der Senderdomäne. Im Skript müssen folgende Werte angepasst werden: Der Versand muss von einem Client erfolgen, dessen ausgehende Verbindung über die statische öffentliche IP-Adresse aufgebaut wird, die im Exchange Online Connector hinterlegt ist. Zusätzlich muss Port 25 TCP für die ausgehende Verbindung erreichbar sein. Ausgabe des PowerShell Skripts: Die Testnachricht wurde erfolgreich über den Exchange Online SMTP Relay Connector versendet.Falls der Versand fehlschlägt, sind im folgenden Abschnitt bekannte Probleme und entsprechende Lösungsansätze beschrieben: Typische Fehler bei SMTP Relay Typische Fehler bei SMTP Relay 550 Relay Denied Die sendende öffentliche IP-Adresse stimmt nicht mit der im Connector hinterlegten IP-Adresse überein.Siehe Exchange Online Connector für SMTP Relay erstellen 5.7.64 Tenant Not Authorized Der Connector ist nicht korrekt konfiguriert oder die Quell-IP-Adresse kann keinem gültigen Connector zugeordnet werden.Siehe Exchange Online Connector für SMTP Relay erstellen Timeout oder Verbindungsfehler Port 25 TCP ist auf der Firewall oder beim Internet Provider blockiert.Der SMTP-Server ist falsch hinterlegt.Siehe SMTP Einstellungen für Geräte und Anwendungen Nachrichten werden als Spam erkannte Der SPF-Eintrag fehlt oder enthält die sendende öffentliche IP-Adresse nicht. Siehe dazu: Einrichten von SPF, DKIM und DMARC in Exchange Online – cloudkaffee.chZusätzlich kann auch die Reputation der öffentlichen IP-Adresse eine Rolle spielen. Gut zu wissen Geräte und Anwendungen mit Basic Authentication erkennen Geräte und Anwendungen im eigenen Tenant, die bisher SMTP AUTH Basic Authentication verwenden, lassen sich über das Anmeldeprotokoll in Microsoft Entra ID identifizieren. Das Vorgehen ist im Blogbeitrag Microsoft Entra: Legacy Authentication mit bedingtem Zugriff blockieren – cloudkaffee.ch beschrieben. Fazit Mit der schrittweisen Abschaltung von SMTP AUTH Basic Authentication gewinnt SMTP Relay über Exchange Online Connector weiter an Bedeutung. Ein Exchange Online SMTP Relay eignet sich insbesondere für Geräte und Anwendungen ohne moderne Authentifizierung. Für diese Szenarien ist die Authentifizierung über eine statische öffentliche IP-Adresse eine robuste und weiterhin unterstützte Methode.
Der Beitrag Exchange Online SMTP Relay mit statischer öffentlicher IP?Adresse konfigurieren erschien zuerst auf cloudkaffee.ch
|
|
06.07.2026 - 17:17:12
|
|
https://www.cloudkaffee.ch/microsoft-365/exchange-online-smtp-relay-statische-ip ...
|
|
|
|
|
|
|
Standardmässig können Benutzer in Microsoft Entra ID Geräte selbst registrieren. Jedes dieser Geräte wird als Objekt in Microsoft Entra ID geführt und steht für Authentifizierung und Zugriff zur Verfügung. Nach der Kompromittierung eines Benutzerkontos können Angreifer eigene Geräte registrieren und so dauerhaft Zugriff erhalten. Geräteregistrierung ist damit ein sicherheitskritischer Vorgang und muss abgesichert sein. Es muss definiert werden, wer Geräte registrieren darf, unter welchen Bedingungen dies geschieht und welche Gerätetypen zugelassen sind. Microsoft Entra ID und Microsoft Intune stellen dafür mehrere Kontrollmechanismen bereit und ermöglichen deren kombinierte Nutzung. Erst wenn die Geräteregistrierung kontrolliert erfolgt, lassen sich Gerätekonformität und bedingter Zugriff sinnvoll umsetzen. Der Beitrag zeigt, wie Microsoft Entra ID und Microsoft Intune die Geräteregistrierung absichert und eine kontrollierte Geräteaufnahme durchsetzt. Absicherung der Geräteregistrierung in Microsoft Entra ID Ohne entsprechende Konfiguration dürfen Benutzer Geräte selbst registrieren. Diese Einstellung sollte überprüft und eingeschränkt werden. Die Kontrolle beschränkt sich dabei auf den Benutzer, nicht auf das Gerät selbst. Einschränkung der Benutzer für die Geräteregistrierung Die Geräteeinstellungen in Microsoft Entra ID legen fest, wer Geräte registrieren darf. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Geräte > Geräteeinstellungen aufrufen. Option Benutzer können Geräte mit Microsoft Entra verknüpfen auf Ausgewählt ändern und Benutzergruppe auswählen. Multi-Faktor-Authentifizierung für Geräteregistration aktivieren Bei der Geräteregistrierung soll ein Benutzer immer eine Multi-Faktor-Authentifizierungsabfrage durchführen. Hierzu gibt es folgende Möglichkeiten. MFA in den Geräteeinstellungen (nicht empfohlen) Option Multi-Faktor-Authentifizierung zum Registrieren oder Beitreten von Geräten bei Microsoft Entra erforderlich unter Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Geräte > Geräteeinstellungen aktivieren. MFA über bedingten Zugriff (empfohlen) Bei der Geräteregistrierung eine Multi-Faktor-Authentifizierung über den bedingten Zugriff in Microsoft Entra zu erzwingen, ist die empfohlene Variante. Dadurch lassen sich zusätzliche Bedingungen definieren, unter denen eine Geräteregistrierung erfolgen darf, beispielsweise bekannte Netzwerke, verwendete Authentifizierungsmethoden oder Benutzer- und Anmelderisiko. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > bedingter Zugriff > neue Richtlinie aufrufen. Zusätzliche Bedingungen lassen sich nach Bedarf integrieren. WichtigWird die Multi-Faktor-Authentifizierung über den bedingten Zugriff in Microsoft Entra erzwungen, sollte die Option Multi Faktor Authentifizierung zum Registrieren oder Beitreten von Geräten deaktiviert werden. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Geräte > Geräteeinstellungen Registrierungseinschränkungen in Microsoft Intune konfigurieren Registrierungseinschränkungen für Geräteplattform Die Registrierungstypen unterscheiden sich in Bezug auf Verwaltung, Steuerbarkeit und Integration in Sicherheitsmechanismen. Microsoft Entra unterscheidet zwischen: Insbesondere Microsoft Entra Registered Geräte bieten nur eingeschränkte Kontrollmöglichkeiten und sollten nur bewusst zugelassen werden. Welche Typen von Geräteanbindung und Plattformen zugelassen sind, lässt sich über Registrierungseinschränkungen in Microsoft Intune kontrollieren. Beispielsweise lassen sich private Geräte oder bestimmte Plattformen ausschliessen. Dadurch verhindert die Konfiguration die Aufnahme unerwünschter Plattformen oder Microsoft Entra Registered Geräte. Microsoft Intune Admin Center (https://intune.microsoft.com) > Geräte > Registrierung > Geräteplattformeinschränkung Im folgenden Beispiel wird die Aufnahme von privaten Windows Geräten (BYOD) in Microsoft Intune verhindert. Dazu wird eine neue Registrierungseinschränkung mit höherer Priorität erstellt. Die vorhandene Standardrichtlinie bleibt unverändert. Windows Einstellungen > Einschränkung erstellen Name für die Registrierungseinschränkung vergeben, z.B. Win-AllUsers-DenyPersonalDevices In den Plattformeinstellungen die Option Geräte mit Privatbesitz auf Blockieren setzen Bereichstags bei Bedarf konfigurieren Unter Zuweisungen Benutzergruppen oder Alle Benutzer hinzufügen auswählen Registrierungseinschränkung nochmals prüfen und mit Erstellen speichern Die neu erstellte Registrierungseinschränkung ist jetzt mit höherer Priorität gegenüber der Standardrichtlinie erstellt und aktiviert. Für Android, macOS und iOS erfolgt die Konfiguration der Registrierungseinschränkungen auf die gleiche Weise. Registrierungseinschränkungen für Gerätelimits Die Anzahl Geräte, die ein Benutzer in Microsoft Intune aufnehmen darf, lässt sich über Registrierungseinschränkungen für Gerätelimits steuern. Damit wird verhindert, dass Benutzer eine grosse Anzahl Geräte in die Verwaltung aufnehmen. Der Standardwert liegt bei 5 Geräten pro Benutzer. In vielen Umgebungen ist es sinnvoll, diesen Wert zu reduzieren. Eine Begrenzung auf 3 Geräte pro Benutzer hat sich in der Praxis bewährt. Typische Szenarien mit Notebooks und Smartphones werden damit gut abgedeckt. Gleichzeitig wird verhindert, dass kompromittierte Konten oder Fehlkonfigurationen zu einer unkontrollierten Geräteaufnahme führen. Microsoft Intune Admin Center (https://intune.microsoft.com) > Geräte > Registrierung > Gerätelimiteinschränkung Im folgenden Beispiel wird die Standardrichtlinie für das Gerätelimit pro Benutzer auf 3 reduziert. Standardrichtlinie All users and all devices auswählen Eigenschaften > Bearbeiten auswählen Gerätelimit auf 3 setzen Speichern wählen Die Standardrichtlinie lässt jetzt noch 3 Geräteregistrationen pro Benutzer zu. Bonus Tipp Geräteregistrierung mit befristetem Zugriffspass absichern Die Geräteregistrierung erfolgt in vielen Umgebungen direkt durch den Benutzer. Der Einsatz eines befristeten Zugriffspasses ermöglicht es, diesen Prozess besser zu kontrollieren. Die Ausstellung eines befristeten Zugriffspasses erfolgt durch einen berechtigten Benutzer und kann zeitlich eingeschränkt werden. Dadurch wird die Geräteregistrierung an eine zusätzliche Freigabe gebunden. Auf diese Weise lässt sich ein Vier-Augen-Prinzip umsetzen. Eine Geräteregistrierung ist nur möglich, wenn ein zweiter Benutzer den Prozess aktiv unterstützt, indem ein befristeter Zugriffspass ausgestellt wird. Gleichzeitig wird der Zeitraum der Geräteregistrierung auf die Gültigkeitsdauer des befristeten Zugriffspasses begrenzt. Dies reduziert das Risiko missbräuchlicher Registrierungen und schafft zusätzliche Kontrolle über die Geräteaufnahme. Diese Umsetzung erfolgt über eine Kombination aus Authentifizierungsstärken und bedingtem Zugriff in Microsoft Entra. Befristeten Zugriffspass als Authentifizierungsmethode aktivieren Ist die Authentifizierungsmethode befristeter Zugriffspass in Microsoft Entra noch nicht aktiviert, wird das Vorgehen im folgenden Blogpost beschrieben: Befristeter Zugriffspass in Microsoft Entra: Konfiguration und Einsatz – cloudkaffee.ch Authentifizierungsstärke konfigurieren In den nächsten Schritten wird eine Authentifizierungsstärke konfiguriert, die ausschliesslich den befristeten Zugriffspass als Anmeldemethode zulässt. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Authentifizierungsmethoden > Authentifizierungsstärken > Neue Authentifizierungsstärke auswählen Eingaben Überprüfen und mit Erstellen speichern. Die Authentifizierungsstärke ist erstellt und kann verwendet werden. Bedingter Zugriff für Geräteregistrierung mit befristetem Zugriffspass erstellen Die soeben erstellte Authentifizierungsstärke kann nun im bedingten Zugriff in Microsoft Entra als Anforderung für die Geräteregistrierung verwendet werden. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > bedingter Zugriff > neue Richtlinie aufrufen. Geräteregistrierungen sind ab diesem Zeitpunkt nur noch mit einem befristeten Zugriffspass möglich. Fazit Die Geräteregistrierung in Microsoft Entra ist ein sicherheitskritischer Prozess. Erst die Einschränkung auf definierte Benutzergruppen, die erzwungene Multi-Faktor-Authentifizierung über bedingten Zugriff und Registrierungseinschränkungen in Microsoft Intune ermöglichen eine kontrollierte und sichere Geräteaufnahme. Ergänzende Massnahmen wie Gerätelimits und befristete Zugriffspässe reduzieren das Risiko zusätzlich.
Der Beitrag Geräteregistrierung in Microsoft Entra und Microsoft Intune absichern erschien zuerst auf cloudkaffee.ch
|
|
08.06.2026 - 17:36:38
|
|
https://www.cloudkaffee.ch/microsoft-365/geraeteregistrierung-microsoft-entra-ab ...
|
|
|
|
|
|
|
Microsoft Entra Global Secure Access (GSA) stellt den sicheren Zugriff auf Microsoft 365 Dienste, Internet Ressourcen und private Applikationen über einen einheitlichen Client für Endgeräte und eine zentrale Konfiguration bereit. Fehlverhalten im Betrieb von Microsoft Entra Global Secure Access kann auf unterschiedlichen Ebenen entstehen: im Client, bei der Verarbeitung der Datenverkehrsweiterleitungsprofile, in der Namensauflösung, durch Proxy Konfigurationen oder im Zusammenspiel mit Authentifizierung und bedingter Zugriff. Das Troubleshooting von Microsoft Entra Global Secure Access erfordert daher eine Analyse der zugrunde liegenden Ursachen. Dieser Beitrag zeigt dazu Schritte auf Client Seite und im Microsoft Entra Admin Center und beschreibt, wie sich Ursachen identifizieren und beheben lassen. Neue Erkenntnisse aus der Praxis fliessen regelmässig in diesen Beitrag ein. Troubleshooting auf Client Seite Grundlegende Funktionsprüfung des Clients Client Status prüfen Status des Icons in der Taskleiste prüfen: Das Icon zeigt den aktuellen Status des Microsoft Entra Global Secure Access (GSA) Clients an. Im Normalzustand wird das Icon mit einem grünen Statusindikator dargestellt und zeigt beim Überfahren mit der Maus den Status Connected. Ist das Icon grau oder zeigt Disabled by your organization an: DNS Funktionalität sicherstellen Der Microsoft Entra Global Secure Access (GSA) Client verwendet die im Windows Netzwerkadapter konfigurierten DNS Server zur Namensauflösung. Eine funktionierende DNS Auflösung ist Voraussetzung, damit der Client FQDN basierten Datenverkehr korrekt erkennt und verarbeitet. Schlägt die Auflösung fehl, folgende Punkte zu prüfen: Dienste prüfen Die Dienste Global Secure Access Client Manager Service, Global Secure Access Engine Service, Global Secure Access Forwarding Profile Service und Global Secure Access Tunneling Service müssen im Status Gestartet sein. Der Status lässt sich über die Eingabeaufforderung prüfen: Jeder Dienst muss den Status STATE: 4 RUNNING zurückgeben. Ist ein Dienst gestoppt, lässt er sich über die Diensteverwaltung (services.msc) neu starten. Startet ein Dienst nicht, sollten die entsprechenden Ereignisse in der Ereignisanzeige > Windows-Protokolle > System geprüft werden. Netzwerkkonnektivität zu den Microsoft Entra Global Secure Access Endpunkten Die folgenden Endpunkte müssen über TCP Port 443 erreichbar sein, damit der Microsoft Entra Global Secure Access (GSA) Client Verbindungen aufbauen kann. Endpoint Verwendungszweck login.microsoftonline.com Entra ID Authentifizierung graph.microsoft.com Download Datenverkehrsweiterleitungsprofile *.globalsecureaccess.microsoft.com GSA Service Edge *.edgediagnostic.globalsecureaccess.microsoft.com Diagnostikendpunkte für Datenverkehrsweiterleitungsprofile Konnektivität testen (PowerShell): Diagnostic Endpunkte für Microsoft 365 und Private Access testen (PowerShell): Bei TcpTestSucceeded: False oder fehlgeschlagenem Zugriff auf die Diagnostic Endpunkte sollten folgende Punkte geprüft werden: Der Microsoft Entra Global Secure Access Dienst verwendet Anycast Netzwerke. Dadurch stehen keine statischen IP-Adressen pro Region bereit. Eine Einschränkung auf einzelne IP-Adressen oder Regionen ist daher nicht möglich. Für Firewall Regeln müssen die globalen Anycast IP Bereiche freigegeben werden. Die aktuellen Bereiche sind in der Microsoft Learn Dokumentation unter Anwesenheitspunkte und IP-Adressen in Global Secure Access – Global Secure Access | Microsoft Learn aufgeführt. Datenverkehrsweiterleitungsprofile überprüfen Microsoft Entra Global Secure Access (GSA) verwendet drei Datenverkehrsweiterleitungsprofile, die festlegen, welcher Netzwerkverkehr durch den Tunnel läuft: Profil Verwendung Microsoft 365 Exchange Online, SharePoint Online und weitere Microsoft 365 Dienste Private Access Zugriff auf interne Applikationen und Ressourcen Internet Access Allgemeiner Internetverkehr und Web Content Filtering Die Profile werden vom Microsoft Entra Global Secure Access (GSA) Client als JSON Dateien in der Windows Registry gespeichert und über Microsoft Graph bezogen. Der Registry Key ForwardingProfileTimestamp zeigt an, wann das Profil zuletzt vom Service aktualisiert wurde (UTC). Damit lässt sich prüfen, ob Änderungen aus den Microsoft Entra Global Secure Access Profilen bereits auf dem Client angekommen sind. Nach Änderungen benötigt der Client bis zu einer Stunde, um ein aktualisiertes Profil anzuwenden. Alternativ lässt sich der Status im Microsoft Entra Global Secure Access (GSA) Client prüfen:Microsoft Entra Global Secure Access Client > Rechtsklick auf das Symbol in der Taskleiste > Advanced Diagnostics > OverviewDas Feld Forwarding profile last checked zeigt an, wann der Client zuletzt beim Service nachgefragt hat (UTC). Ist kein Datenverkehrsweiterleitungsprofil vorhanden oder ist der Zeitstempel veraltet, sind folgende Punkte zu prüfen: Gerätestatus und Primary Refresh Token (PRT) Das Gerät muss Microsoft Entra joined oder Microsoft Entra hybrid joined sein. Dies ist die Voraussetzung für die Nutzung von Microsoft Entra Global Secure Access. Szenarien mit rein Microsoft Entra registered Geräten (BYOD) werden für Microsoft Entra Private Access in Public Preview unterstützt. Weitere Details unter: Microsoft Entra Private Access BYOD: Zugriff auf interne Ressourcen mit Entra Registered Geräten – cloudkaffee.ch Gerätestatus und Primary Refresh Token (PRT) prüfen: Relevante Felder in der Ausgabe: Attribut Erwarteter Wert Bedeutung AzureAdJoined Yes Gerät ist Microsoft Entra Joined DomainJoined Yes (bei Hybrid) Gerät ist Microsoft Entra Hybrid Joined AzureAdPrt Yes Primary Refresh Token vorhanden TenantId Tenant-GUID Zeigt den verbundenen Tenant Steht AzureAdPrt: NO, ist kein gültiges Primary Refresh Token (PRT) vorhanden und der Microsoft Entra Global Secure Access (GSA) Client kann sich nicht authentifizieren. Typische Ursachen sind ein nicht korrekt eingebundenes Gerät, fehlende Netzwerkverbindung zu den Microsoft Entra Authentifizierungsendpunkten oder bedingte Zugriffsrichtlinien, welche die Anmeldung blockieren. Proxy Konfiguration prüfen Ist ein Proxy konfiguriert, müssen die Microsoft Entra Global Secure Access Endpunkte als Ausnahmen definiert sein. Die erforderlichen Endpunkte und IP Bereiche sind im folgenden Microsoft Learn Artikel aufgeführt: Anwesenheitspunkte und IP-Adressen in Global Secure Access – Global Secure Access | Microsoft Learn Proxy Konfiguration prüfen: Advanced Diagnostics Tools Der Microsoft Entra Global Secure Access (GSA) Client stellt mit den Advanced Diagnostics Tools eine integrierte Analyseumgebung zur Verfügung. Diese ermöglicht die Überprüfung von Konnektivität, Policy Verarbeitung, DNS Verhalten sowie des tatsächlichen Netzwerkverkehrs direkt auf dem Client. Das Tool ist über das Symbol des Microsoft Entra Global Secure Access Clients in der Taskleiste erreichbar: Microsoft Entra Global Secure Access Client > Rechtsklick auf das Symbol in der Taskleiste > Advanced Diagnostics Die folgenden Abschnitte beschreiben die Funktionen des Tools und deren Einsatz im Troubleshooting. Health Check Der Health Check im Advanced Diagnostics Tool führt automatisierte Prüfungen zur Konnektivität und Funktion des Microsoft Entra Global Secure Access (GSA) Clients durch. Die einzelnen Prüfungen bauen teilweise aufeinander auf. Zuerst sollte der jeweils erste erkannte Fehler behoben werden, anschliessend kann die Auswertung über Refresh erneut ausgeführt werden. Forwarding Profile Im Register Forwarding profile werden alle aktiven Regeln des Microsoft Entra Global Secure Access (GSA) Clients angezeigt. Die Darstellung erfolgt gruppiert nach den Datenverkehrsweiterleitungsprofilen Microsoft 365, Private Access und Internet Access. Pro Regel sind die Zieladresse (IP oder FQDN), das Protokoll, der Port sowie die Aktion (Tunnel oder Bypass) ersichtlich. Mit dem Policy tester kann geprüft werden, welche Regel für ein bestimmtes Ziel angewendet wird. Nach Eingabe einer Zieladresse (FQDN oder IP) zeigt der Client an, ob der Datenverkehr getunnelt oder direkt weitergeleitet wird. Über Refresh details werden die angezeigten Daten aus dem Client Cache aktualisiert, falls sich das Datenverkehrsweiterleitungsprofil seit der letzten Anzeige geändert hat. Hostname Acquisition Im Register Hostname acquisition wird in Echtzeit angezeigt, welche FQDNs vom Microsoft Entra Global Secure Access (GSA) Client erfasst werden. Grundlage dafür sind die in den Datenverkehrsweiterleitungsprofilen definierten FQDN Regeln. Für jeden erfassten Hostnamen werden folgende Informationen angezeigt: Traffic Im Register Traffic wird in Echtzeit angezeigt, welche Verbindungen aufgebaut und wie diese verarbeitet werden. Zur Analyse kann die Erfassung gestartet und ein Szenario gezielt reproduziert werden: Für jede Verbindung stehen unter anderem folgende Informationen zur Verfügung: Die erfassten Daten können anschliessend als CSV Datei exportiert werden. Advanced Log Collection Die Advanced Log Collection ermöglicht die Erfassung detaillierter Diagnoseinformationen des Microsoft Entra Global Secure Access (GSA) Clients. Die aufgezeichneten Daten dienen der Analyse komplexer Szenarien und können für weiterführende Untersuchungen oder Support Cases verwendet werden. Ablauf: Die aufgezeichneten Daten werden als ZIP Datei unter C:Program FilesGlobal Secure Access ClientLogs gespeichert. Der Inhalt der ZIP Datei ist im folgenden Microsoft Learn Artikel beschrieben Problembehandlung des Global Secure Access Clients für Windows: Erweiterte Diagnose – Global Secure Access | Microsoft Learn Typische Inhalte der ZIP Datei: Ereignisanzeige analysieren Die Windows Ereignisanzeige stellt detaillierte Protokolle für den Microsoft Entra Global Secure Access (GSA) Client bereit. Die Protokolle sind unter folgendem Pfad verfügbar: Ereignisanzeige > Anwendungs- und Dienstprotokolle > Microsoft > Windows > Global Secure Access Client Es stehen zwei Log Typen zur Verfügung: TraceRT Analyse im Client Ab Version 2.24.117 enthält der Microsoft Entra Global Secure Access (GSA) Client ein eigenes Traceroute Tool zur Analyse von Verbindungswegen und Latenzen. Das Tool zeigt zusätzlich den Latenz Engpass im Verbindungsweg (RTT bottleneck) sowie den verwendeten Global Secure Access Edge Standort (PoP location).Speicherort: C:Program FilesGlobal Secure Access ClientGSATracertGsaTracert.exe Das Tool kann über verschiedene Parameter gesteuert werden: Troubleshooting im Microsoft Entra Admin Center Datenverkehrsprotokolle Die Datenverkehrsprotokolle zeigen den Netzwerkverkehr, der über den Microsoft Entra Global Secure Access (GSA) Dienst verarbeitet wurde. Sie ermöglichen die Analyse von Verbindungen und liefern Informationen zur Verarbeitung von Requests durch den GSA Dienst. Microsoft Entra Admin Center (https://entra.microsoft.com) > Global sicherer Zugriff > Überwachen > Datenverkehrsprotokolle Authentifizierung und bedingter Zugriff Die Microsoft Entra Anmeldeprotokolle ermöglichen die Analyse von Authentifizierungsereignissen. Sie liefern detaillierte Informationen zu erfolgreichen und fehlgeschlagenen Anmeldungen sowie zur Auswertung von bedingten Zugriffsrichtlinien. Die Anmeldeprotokolle sind im Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Überwachung und Integrität > Anmeldeprotokolle verfügbar: Netzwerkkonformität für bedingten Zugriff Damit der Netzwerkverkehr über Microsoft Entra Global Secure Access in den bedingten Zugriffsrichtlinien als Netzwerkkonform (Compliant Network) gilt, muss ZS Signalisierung aktiviert sein. Microsoft Entra Admin Center (https://entra.microsoft.com) > Global sicherer Zugriff > Einstellungen > Sitzungsverwaltung > Adaptiver Zugriff aufrufen und Conditional Access-Signalisierung für Microsoft Entra ID aktivieren. Fazit Microsoft Entra Global Secure Access stellt Diagnosewerkzeuge zur gezielten Analyse von unerwartetem Verhalten bereit. Typische Ursachen sind nicht erreichbare Endpunkte, inkonsistente Datenverkehrsweiterleitungsprofile, Probleme bei der Authentifizierung sowie fehlerhafte Proxy Konfigurationen. Die Advanced Diagnostics Tools sowie die Datenverkehrs- und Anmeldeprotokolle im Microsoft Entra Admin Center liefern die notwendigen Informationen, um Fehlerursachen einzugrenzen.
Der Beitrag Microsoft Entra Global Secure Access Troubleshooting Guide erschien zuerst auf cloudkaffee.ch
|
|
04.05.2026 - 18:34:49
|
|
https://www.cloudkaffee.ch/microsoft-azure/microsoft-entra-global-secure-access- ...
|
|
|
|
|
|
|
Microsoft Entra Backup and Recovery ist eine nativ in Microsoft Entra integrierte Sicherungs- und Wiederherstellungsfunktion für Verzeichnisobjekte. Unterstützte Objekte werden automatisch einmal täglich gesichert und fünf Tage aufbewahrt (Sicherungshistorie). Microsoft Entra Backup and Recovery hilft, unbeabsichtigte oder unerwünschte Änderungen an Identitätsobjekten, Richtlinien und Anwendungsobjekten schneller auf einen zuvor bekannten Zustand wiederherzustellen zu können. Fehlkonfigurationen an Benutzern, Gruppen, Anwendungen, Dienstprinzipalen oder Conditional Access Richtlinien wirken sich oft unmittelbar auf Anmeldung, Autorisierung und Betrieb aus. Microsoft Entra Backup and Recovery schliesst hier eine Lücke, weil der Dienst Entra Objekte direkt sichert, vergleicht und wiederherstellt. Wichtig zu wissen: Es handelt sich nicht um eine vollständige Sicherung des gesamten Mandanten, sondern um eine Wiederherstellungsfunktion für unterstützte Verzeichnisobjekte inklusive ihrer Attribute. In diesem Beitrag werden Voraussetzungen, Funktionsumfang sowie die Wiederherstellung mit Microsoft Entra Backup and Recovery im Detail gezeigt. Schritt für Schritt wird erläutert, welche Objekte gesichert werden, wie Differenzberichte erstellt werden und wie eine Wiederherstellung durchgeführt werden kann. Voraussetzungen und Lizenzierung Lizenzen Microsoft Entra Backup and Recovery erfordert die folgende Lizenz: Eine Übersicht der Microsoft Lizenzpakete mit ihren Features kann unter https://m365maps.com/ abgerufen werden. Rollen Für Konfiguration, Betrieb und Unterhalt sind folgende Rollen nach dem Prinzip der geringsten Berechtigungen vorgesehen. Rolle Berechtigung Entra Backup Administrator Alle Berechtigungen des Backup Reader sowie Starten von Wiederherstellungen aus Backups Entra Backup Reader Anzeigen von Backups, Erstellen von Differenzberichten, Anzeigen von Job Status und Vergleichen von Verzeichnisobjekten Zum Zeitpunkt der Erstellung dieses Beitrags sind die Rollen im Microsoft Entra Admin Center zwar vorhanden, zeigen in Tests jedoch noch keine Wirkung. Aktionen erfordern weiterhin höhere Berechtigungen, wie zum Beispiel Globaler Administrator. Was Microsoft Entra Backup and Recovery sichert Technische Eigenschaften Microsoft Entra Backup and Recovery erstellt automatisch einmal pro Tag ein Backup und hält diese fünf Tage vor. In der Praxis stehen damit fünf Wiederherstellungspunkte zur Verfügung. Die Sicherungen sind immutable und können weder verändert, gelöscht noch deaktiviert werden, auch nicht durch hochprivilegierte Administratoren oder Anwendungen. Unterstützte Objekte in Microsoft Entra Backup and Recovery Microsoft Entra Backup and Recovery sichert nicht den kompletten Mandanten. Der Umfang der gesicherten Objekte wird laufend erweitert und umfasst bereits zahlreiche Objekte in Microsoft Entra: Eine detaillierte und stets aktuelle Auflistung ist im Microsoft Learn Artikel unter Unterstützte Objekte und wiederherstellbare Eigenschaften in Microsoft Entra Backup and Recovery – Microsoft Entra | Microsoft Learn nachzulesen. Wichtige HinweiseFür on-premises synchronisierte Objekte bleibt das lokale Active Directory die Quellinstanz. Diese Objekte lassen sich nicht über Microsoft Entra Backup and Recovery in der Cloud wiederherstellen. Bei Benutzern und Authentifizierungsmethoden ist zu beachten, dass Passwörter nicht Bestandteil des Backups sind. Nach einer Wiederherstellung kann es erforderlich sein, Authentifizierungsmethoden neu zu registrieren und ein neues Passwort zu setzen. Wiederherstellung mit Microsoft Entra Backup and Recovery Für die Wiederherstellung stehen zwei Varianten zur Verfügung.Empfohlen wird die Wiederherstellung über einen Differenzbericht, da die geplanten Änderungen vor der Ausführung angezeigt und geprüft werden können.Alternativ kann ein Restore direkt aus einem Backup gestartet werden. Dieser ist schneller, zeigt die Änderungen jedoch nicht vorab im Detail. Wiederherstellung aus Differenzbericht Ein Differenzbericht vergleicht den aktuellen Zustand des Mandanten mit einer ausgewählten Sicherung und zeigt alle Änderungen seit diesem Zeitpunkt. Der Bericht dient als Vorschau vor einer Wiederherstellung. Ein Differenzbericht ist ein Punkt-in-Time Vergleich. Änderungen, die nach der Erstellung des Berichts im Mandanten vorgenommen werden, sind im Bericht nicht enthalten und werden bei der Wiederherstellung nicht berücksichtigt. Der Differenzbericht wird im Microsoft Entra Admin Center (https://entra.microsoft.com) unter Entra ID > Sicherung und Wiederherstellung > Sicherungen erstellt. Sicherungszeitpunkt auswählen und Differenzbericht erstellen anklicken. Je nach Bedarf können alle Objekte (1) oder nur ausgewählte Objekte (2) in den Differenzbericht aufgenommen werden. Der Bericht wird mit Differenzbericht erstellen (3) gestartet. Der Fortschritt der Erstellung des Differenzberichts ist unter Differenzberichte sichtbar. Nach Abschluss den erstellten Differenzbericht auswählen. Filter (1) verwenden, um die gewünschten Objekte (2) zu filtern und zu prüfen. Anschliessend Wiederherstellen (3) auswählen.Hinweis: Wenn der Differenzbericht bereits mit einem Filter erstellt wurde, kann hier kein zusätzlicher Filter gesetzt werden. Für die Wiederherstellung stehen folgende Optionen zur Verfügung: Anschliessend den Vorgang mit Wiederherstellen (4) starten. Der Fortschritt und Status der Wiederherstellung sind unter Wiederherstellungsverlauf ersichtlich. Direkte Wiederherstellung aus Sicherung Bei der direkten Wiederherstellung wird kein Differenzbericht erstellt, sondern die ausgewählten Verzeichnisobjekte werden direkt aus einer Sicherung wiederhergestellt. Die Änderungen werden dabei ohne Vorschau angewendet. Die direkte Wiederherstellung aus einem Backup wird im Microsoft Entra Admin Center (https://entra.microsoft.com) unter Entra ID > Sicherung und Wiederherstellung > Sicherungen durchgeführt. Sicherungszeitpunkt auswählen und Sicherung wiederherstellen anklicken. Hinweis auf die empfohlene Variante Differenzbericht mit Sicherung wiederherstellen überspringen. Folgende Optionen stehen für die Wiederherstellung zur Verfügung: Anschliessend Wiederherstellen (4) anklicken. Der Status der Wiederherstellung ist unter Wiederherstellungsverlauf sichtbar. Gut zu Wissen Warnmeldungen und Überwachung Microsoft Entra Backup and Recovery stellt im Bereich Übersicht aktuelle Statusinformationen bereit. Einschränkungen bei gelöschten Objekten Endgültig gelöschte Objekte können aktuell mit Microsoft Entra Backup and Recovery nicht wiederhergestellt werden. Fazit Microsoft Entra Backup and Recovery schliesst eine wichtige Lücke im Betrieb von Microsoft Entra, da Verzeichnisobjekte erstmals nativ in Microsoft Entra gesichert und wiederhergestellt werden können. Besonders bei unbeabsichtigten oder unerwünschten Änderungen an Benutzern, Gruppen, Anwendungen oder Conditional Access Richtlinien ermöglicht die Funktion eine schnelle Wiederherstellung. Der aktuelle Funktionsumfang ist noch begrenzt und wird laufend erweitert. Es handelt sich nicht um ein vollständiges Backup des Mandanten, sondern um die Wiederherstellung unterstützter Verzeichnisobjekte und deren Attribute.
Der Beitrag Microsoft Entra Backup and Recovery im Detail: Voraussetzungen, Sicherung und Wiederherstellung erschien zuerst auf cloudkaffee.ch
|
|
02.04.2026 - 05:00:00
|
|
https://www.cloudkaffee.ch/microsoft-365/microsoft-entra-backup-and-recovery/
|
|
|
|
|
|
|
|
|
