Darum geht es
Der Globale Administrator kann im Tenant alles: Konten anlegen, Daten exportieren, Schutzfunktionen abschalten. Mit Privileged Identity Management wird diese Rolle nur bei Bedarf für kurze Zeit aktiviert. Muss zusätzlich eine zweite Person zustimmen, kann ein gestohlenes Admin-Konto allein keinen Schaden anrichten.
Was passieren kann
Ohne Genehmigungsschritt kann ein Angreifer mit einem übernommenen Admin-Konto die höchste Rolle sofort aktivieren und den Tenant vollständig übernehmen.
Schritt für Schritt
Prüfen Sie die Lizenz: Privileged Identity Management erfordert Microsoft Entra ID P2 oder Microsoft Entra ID Governance.
Richten Sie zuerst zwei Notfallkonten (Break-Glass) mit dauerhaft aktiver Rolle ein, damit Sie sich nicht aussperren.
Öffnen Sie ID Governance > Privileged Identity Management > Microsoft Entra-Rollen > Rollen > Globaler Administrator > Rolleneinstellungen > Bearbeiten.
Aktivieren Sie die Genehmigungspflicht („Genehmigung für die Aktivierung erforderlich“) und wählen Sie mindestens zwei Genehmigende aus. Speichern Sie mit „Aktualisieren“.
Wandeln Sie dauerhaft aktive Zuweisungen der Rolle (außer Notfallkonten) in berechtigte Zuweisungen um, damit die Genehmigung überhaupt greift.
Testen Sie eine Aktivierung mit einem berechtigten Konto und prüfen Sie, ob die Genehmigungsanfrage bei den Genehmigenden ankommt.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- ID Governance
- Privileged Identity Management
- Microsoft Entra-Rollen
- Rollen
- Globaler Administrator
- Rolleneinstellungen
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Die Aktivierung der Rolle „Globaler Administrator" muss von einer zweiten Person genehmigt werden
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Fehlt Ihrem Tenant die nötige Lizenz, bewertet der Bericht die Prüfung nicht als Mangel, sondern nennt sie als „Lizenz fehlt“.
Für Ihre IT: per PowerShell nachsehen
Graph: GET /v1.0/policies/roleManagementPolicyAssignments?$filter=scopeId eq '/' and scopeType eq 'DirectoryRole' and roleDefinitionId eq '62e90394-69f5-4237-9190-012177145e10'&$expand=policy($expand=rules). Regel Approval_EndUser_Assignment: isApprovalRequired = true.
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.7.6v1: Aktivierung des Globalen Administrators erfordert Genehmigung
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A24: Vier-Augen-Prinzip für administrative TätigkeitenOPS.1.1.2.A17: IT-Administration im Vier-Augen-Prinzip
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.