|
|
|
|
 RSS-Feed
|
|
|
|
|
Tauche in frisch zubereitete Artikel ein, die Dir die Grundlagen sowie fortgeschrittene Konzepte von Microsoft Azure und Microsoft 365 näherbringen.
Profitiere von anschaulichen Schritt-für-Schritt-Anleitungen und den besten Methoden, um die vielfältigen Aufgaben und Strategien für den Einsatz der Microsoft Cloud zu beherrschen.
|
|
cloud microsoft-azure microsoft-365 cloud-sicherheit
|
|
Hinzugefügt am 01.06.2024 - 18:50:36
|
|
|
|
https://www.cloudkaffee.ch/
|
|
|
|
RSS-Feed - Einträge
|
|
|
|
|
|
|
|
Generative AI Anwendungen wie ChatGPT, Claude oder Gemini verarbeiten Benutzereingaben über verschlüsselte HTTPS Verbindungen. Bei einer Prompt Injection wird versucht, ein AI Modell mit manipulierten Eingaben dazu zu bringen, seine ursprünglichen Anweisungen zu ignorieren und unerwünschte Inhalte oder Informationen auszugeben. Microsoft Entra Prompt Injection Protection erweitert Microsoft Entra Internet Access um eine Sicherheitskontrolle für generative AI Anwendungen. Der Dienst analysiert Prompts auf Netzwerkebene und kann erkannte Prompt Injection sowie Jailbreak Versuche blockieren, bevor die Anfrage das generative AI Modell erreicht. Dazu wird der HTTPS Datenverkehr über Global Secure Access geführt und mit TLS Inspection entschlüsselt. Dieser Beitrag zeigt die Konfiguration von Prompt Injection Protection in Microsoft Entra Global Secure Access anhand von ChatGPT. Für TLS Inspection wird ein von Microsoft verwaltetes Zertifikat eingesetzt. Eine eigene Public Key Infrastructure (PKI) oder Certificate Authority (CA) ist damit nicht erforderlich. TL;DR Voraussetzungen und Lizenzierung Lizenzen Prompt Injection Protection ist Bestandteil von Microsoft Entra Internet Access und benötigt damit eine der folgenden Lizenzen: Detaillierte Informationen zu den verschiedenen Plänen sind auf der Microsoft Produktwebseite Pläne und Preise für Microsoft Entra | Microsoft Security nachzulesen. Für die in diesem Beitrag verwendete Konfiguration werden folgende Lizenzen benötigt: Lizenz Verwendung Microsoft Entra ID P1 oder P2 Bedingter Zugriff und Voraussetzung für Microsoft Entra Internet Access Microsoft Entra Suite oder Microsoft Entra Internet Access Internet Access, TLS Inspection und Prompt Injection Protection Geräte Für Prompt Injection Protection wird ein Microsoft Entra joined oder Microsoft Entra hybrid joined Windows Gerät mit installiertem Global Secure Access Client benötigt. Die grundlegende Konfiguration von Microsoft Entra Internet Access und des Global Secure Access Clients ist im Beitrag Microsoft Entra Internet Access: Schutz der Benutzer durch leistungsstarke Filterung von Webinhalten – cloudkaffee.ch beschrieben. Rollen Für die Konfiguration eignen sich folgende Microsoft Entra Rollen nach dem Prinzip der geringsten Berechtigungen: Rolle Berechtigung Global Secure Access-Administrator Konfiguration von Internet Access, TLS Inspection, Promptrichtlinien und Sicherheitsprofilen Administrator für den bedingten Zugriff Erstellen und Verwalten von Richtlinien für bedingten Zugriff Anwendungsadministrator Zuweisen von Benutzern und Gruppen zum Datenverkehrsweiterleitungsprofil Internet Access Datenverkehrsprofil konfigurieren Prompt Injection Protection setzt voraus, dass der Internetdatenverkehr des Benutzers über Microsoft Entra Internet Access geführt wird. Grundlegende Konfiguration von Microsoft Entra Internet Access Die Konfiguration des Datenverkehrsweiterleitungsprofils für Internet Access, die Zuweisung von Benutzern oder Gruppen sowie die Installation und Funktionskontrolle des Global Secure Access Clients sind im Beitrag Microsoft Entra Internet Access: Schutz der Benutzer durch leistungsstarke Filterung von Webinhalten – cloudkaffee.ch beschrieben. QUIC deaktivieren Microsoft Entra Internet Access unterstützt QUIC aktuell nicht. QUIC verwendet UDP auf Port 443 und umgeht dadurch den Internet Access Tunnel. Deshalb muss der Browser für TLS Inspection und Prompt Injection Protection auf HTTPS über TCP zurückfallen. Mit Microsoft Edge kann QUIC über folgende Adresse deaktiviert werden: Experimental QUIC protocol (1) auf Disabled (2) setzen und Microsoft Edge neu starten (3). In produktiven Umgebungen lässt sich QUIC zentral mit der Microsoft Edge Richtlinie QuicAllowed deaktivieren. Die Richtlinie ist unter Dokumentation zur Microsoft Edge-Browserrichtlinie QuicAllowed | Microsoft Learn dokumentiert. TLS Inspection konfigurieren Die Inhalte eines Prompts befinden sich innerhalb der verschlüsselten HTTPS Verbindung. Ohne TLS Inspection erkennt Global Secure Access hauptsächlich Verbindungsinformationen wie Zieladresse und Server Name Indication (SNI). Um den eigentlichen Prompt Inhalt zu analysieren, entschlüsselt Global Secure Access deshalb den HTTPS Datenverkehr. Global Secure Access beendet dazu die TLS Verbindung am Microsoft Security Service Edge, analysiert den Datenverkehr und baut anschliessend eine separate verschlüsselte Verbindung zum eigentlichen Ziel auf. Für TLS Inspection wird in diesem Beitrag ein von Microsoft verwaltetes Zertifikat verwendet. Microsoft erstellt und betreibt dabei eine mandantenspezifische Root CA. Der private Schlüssel verbleibt in der sicheren Microsoft Schlüsselinfrastruktur. Hinweis: Von Microsoft verwaltete Zertifikate für TLS Inspection befinden sich zum Zeitpunkt der Erstellung dieses Beitrags in Preview. Microsoft verwaltetes Zertifikat erstellen Für die TLS Inspection wird eine vertrauenswürdige Root CA benötigt. In diesem Beispiel übernimmt Microsoft Entra Global Secure Access die Erstellung und Verwaltung dieser mandantenspezifischen Certificate Authority. Eine eigene Public Key Infrastructure (PKI) oder Certificate Authority (CA) ist damit nicht erforderlich. Microsoft Entra Admin Center > Globaler sicherer Zugriff > Sicher > TLS-Inspektionsrichtlinien > Einstellungen für die TLS-Inspektion > Zertifikat erstellen > Von Microsoft verwaltet Microsoft erstellt die mandantenspezifische Certificate Authority und Zertifikate nach Klick auf Erstellen automatisch. Zusätzliche Zertifikatsinformationen oder eine eigene PKI werden nicht benötigt. Das Zertifikat wird nach dem Erstellen mit dem Typ Verwaltet und zunächst mit dem Status Deaktiviert angezeigt. Root CA Zertifikat auf dem Client installieren Bevor TLS Inspection aktiviert wird, muss der Client der neuen Root CA vertrauen. Andernfalls entstehen Zertifikatsfehler beim Aufruf von HTTPS Websites. Beim Microsoft verwalteten Zertifikat im Aktionsmenü Stammzertifikat herunterladen auswählen und die CER Datei herunterladen. Der Einfachheit halber wird das Root Zertifikat in diesem Beispiel manuell in den Zertifikatspeicher Vertrauenswürdige Stammzertifizierungsstellen des Windows Clients importiert. In produktiven Umgebungen sollte die Verteilung zentral erfolgen, beispielsweise über Microsoft Intune mit einem Trusted Certificate Profile. Microsoft verwaltetes Zertifikat aktivieren Nach erfolgreicher Verteilung des Root Zertifikats wird das Microsoft verwaltete Zertifikat im Microsoft Entra Admin Center aktiviert. Microsoft Entra Admin Center > Globaler sicherer Zugriff > Sicher > TLS-Inspektionsrichtlinien > Einstellungen für die TLS-Inspektion > Zertifikat auswählen > Aktivieren Der Status des Zertifikats wechselt nach kurzer Zeit auf Aktiv. TLS-Inspektionsrichtlinie erstellen Nach Aktivierung des Zertifikats wird die eigentliche TLS-Inspektionsrichtlinie erstellt. Microsoft Entra Admin Center > Globaler sicherer Zugriff > Sicher > TLS-Inspektionsrichtlinien > Richtlinie erstellen Mit der Standardaktion Überprüfen wird der Datenverkehr inspiziert. Im Reiter Regeln können zusätzliche Regeln erstellt werden. Als Ziel lassen sich FQDNs oder Web Kategorien definieren. Für jede Regel kann festgelegt werden, ob der entsprechende Datenverkehr inspiziert oder von der TLS Inspection ausgenommen wird.Global Secure Access schliesst bekannte Ziele mit TLS Inkompatibilitäten standardmässig von der Inspektion aus. Eine Übersicht dieser Ziele ist in der Microsoft Dokumentation verfügbar. Einstellungen prüfen und mit Senden speichern. Die TLS-Inspektionsrichtlinie ist erfolgreich erstellt. Sicherheitsprofil erstellen Sicherheitsprofile gruppieren Sicherheitsrichtlinien. Anschliessend weist Conditional Access das entsprechende Profil bestimmten Benutzern oder Gruppen zu. Microsoft Entra Admin Center > Globaler sicherer Zugriff > Sicher > Sicherheitsprofile > Profil erstellen Unter Richtlinien verknüpfen die zuvor erstellte TLS-Inspektionsrichtlinie GSA – TLS Inspection AI verknüpfen und auf Weiter klicken. Einstellungen prüfen und mit Profil erstellen speichern. Prompt Injection Protection konfigurieren Die Promptrichtlinie definiert, welche generativen AI Anwendungen Global Secure Access analysiert und welche Aktion bei einer erkannten Prompt Injection ausgeführt wird. Microsoft Entra Admin Center > Globaler sicherer Zugriff > Sicher > Promptrichtlinien > Richtlinie erstellen Unter Regeln > Regel hinzufügen auswählen. Das Unterhaltungsschema (7) definiert die zu kontrollierende generative AI Anwendung. Anschliessend ChatGPT (8) als Typ auswählen und das Unterhaltungsschema hinzufügen (9). Zum Abschluss die Regel mit Hinzufügen (10) speichern. ChatGPT gehört zu den von Microsoft vorkonfigurierten generativen AI Anwendungen. Weitere unterstützte Modelle sind unter anderem Claude, Cohere, DeepSeek, Gemini, Grok, Meta AI, Mistral, Perplexity, Pi und Qwen.Eigene JSON basierte LLM Anwendungen können über ein benutzerdefiniertes Unterhaltungsschema mit URL und JSON Path eingebunden werden. Die Regel wurde hinzugefügt. Anschliessend auf Weiter klicken. Einstellungen prüfen und mit Erstellen speichern. Promptrichtlinie mit dem Sicherheitsprofil verknüpfen Die erstellte Promptrichtlinie muss mit dem Sicherheitsprofil GSA – AI Protection verknüpft werden. Microsoft Entra Admin Center > Globaler sicherer Zugriff > Sicher > Sicherheitsprofile > GSA – AI Protection > Richtlinien verknüpfen Richtlinie verknüpfen > Vorhandene Eingabeaufforderungsrichtlinie auswählen und die Richtlinie GSA – Prompt Injection Protection hinzufügen. Das Sicherheitsprofil enthält damit sowohl die TLS-Inspektionsrichtlinie als auch die Promptrichtlinie. Bedingten Zugriff konfigurieren Die Zuweisung des Sicherheitsprofils an Benutzer erfolgt mit Microsoft Entra Conditional Access. Microsoft Entra Admin Center > Entra ID > Bedingter Zugriff > Neue Richtlinie erstellen Name für die Microsoft Entra Conditional Access Richtlinie vergeben.Die Benennungskonventionen sind hier beschrieben: Planen einer Microsoft Entra-Bereitstellung für bedingten Zugriff – Microsoft Entra ID | Microsoft Learn. Benutzer und/oder Gruppen auswählen.Gegebenenfalls Notfallzugriffskonten (Emergency Accounts) ausschliessen. Zielressourcen auswählen und Alle Internetressourcen mit global sicherem Zugriff aktivieren. Unter Sitzung > Sicherheitsprofil für globalen sicheren Zugriff verwenden das Profil GSA – AI Protection auswählen. Richtlinie mit Ein aktivieren und mit Erstellen speichern. Conditional Access weist das Sicherheitsprofil damit den konfigurierten Benutzern oder Gruppen zu. Global Secure Access verarbeitet anschliessend den Internetdatenverkehr dieser Benutzer anhand der verknüpften TLS Inspection und Promptrichtlinien. Funktionskontrolle TLS Inspection prüfen ChatGPT (https://www.chatgpt.com) im Browser öffnen und die Zertifikatsinformationen der HTTPS Verbindung anzeigen. Bei aktiver TLS Inspection stammt das im Browser präsentierte Zertifikat nicht direkt von der ursprünglichen öffentlichen Certificate Authority der Website. Die Zertifikatskette zeigt stattdessen das von Global Secure Access für die TLS Inspection verwendete Zertifikat Microsoft Global Secure Access Intermediate CA2. Wenn weiterhin das ursprüngliche Website Zertifikat angezeigt wird, findet keine TLS Inspection statt. In diesem Fall sind insbesondere das Internet Access Profil, das Root CA Zertifikat, die TLS-Inspektionsrichtlinie, das Sicherheitsprofil, Conditional Access und die QUIC Konfiguration zu prüfen. Normalen Prompt testen Zuerst wird ein regulärer Prompt an ChatGPT gesendet: Der Prompt enthält keine erkennbare Prompt Injection und wird normal verarbeitet. Prompt Injection testen Für die Funktionskontrolle kann anschliessend ein typisches Prompt Injection Muster verwendet werden: Microsoft verwendet vergleichbare Eingaben für die Validierung von Prompt Injection Protection. Erkennt Global Secure Access die Anfrage als Prompt Injection und greift die konfigurierte Blockierungsregel, blockiert der Dienst den Prompt, bevor dieser das generative AI Modell erreicht. Dadurch verarbeitet das Modell die Anfrage nicht und erzeugt keine Antwort. Ob die Anfrage tatsächlich als Prompt Injection erkannt und blockiert wurde, lässt sich im nächsten Abschnitt anhand der Generative AI Insights nachvollziehen. Generative AI Insights prüfen Global Secure Access stellt mit Generative AI Insights eine zusätzliche Ansicht für Aktivitäten generativer AI Anwendungen bereit. Microsoft Entra Admin Center > Globaler sicherer Zugriff > Überwachen > Protokolle zu Insights generativer KI Die Ansicht kann unter anderem den Benutzer, das Ziel und den Prompt Inhalt darstellen. Prompt Logging setzt eine aktive TLS Inspection voraus. Hinweis: Generative AI Insights Logging befindet sich zum Zeitpunkt der Erstellung dieses Beitrags in Preview. Details zum Prompt lassen sich mit einem Klick auf die Transaktions ID anzeigen. Die Spalte Aktion zeigt anschliessend, ob Global Secure Access den Prompt blockiert oder zugelassen hat. Weitere Informationen sind unter Generative KI Insights im globalen sicheren Zugriff (Vorschau) – Global Secure Access | Microsoft Learn verfügbar. Gut zu wissen Unterstützte Inhalte Prompt Injection Protection unterstützt aktuell Text Prompts, analysiert jedoch keine Dateien. Global Secure Access verarbeitet Prompts bis zu einer Länge von 64’000 Zeichen. Bei längeren Eingaben berücksichtigt die Analyse nur die ersten 64’000 Zeichen. Unterstützte generative AI Anwendungen Microsoft stellt vorkonfigurierte Conversation Schemes unter anderem für folgende Dienste bereit: TLS Inspection Bypass Regeln Nicht jeder HTTPS Dienst ist mit TLS Inspection kompatibel. Anwendungen mit Certificate Pinning oder bestimmten TLS Anforderungen können die Verbindung ablehnen. Global Secure Access erstellt deshalb Systemregeln und empfohlene Bypass Regeln für bekannte inkompatible oder sensible Ziele. Weitere Informationen unter «Transport Layer Security»-Inspektion – Häufig gestellte Fragen – Global Secure Access | Microsoft Learn. Eigene Bypass Regeln sollten restriktiv eingesetzt und regelmässig überprüft werden. Eine Bypass Regel für eine generative AI Anwendung verhindert gleichzeitig, dass Prompt Injection Protection deren verschlüsselten Prompt Inhalt analysieren kann. HTTP/2 und QUIC TLS Inspection unterstützt aktuell keine HTTP/2 Aushandlung. Die meisten Websites fallen automatisch auf HTTP/1.1 zurück. Dienste, die zwingend HTTP/2 voraussetzen, benötigen gegebenenfalls eine TLS Inspection Bypass Regel. Microsoft Entra Internet Access unterstützt QUIC nicht. Deshalb sollte QUIC auf Browsern deaktiviert sein, wenn TLS Inspection und darauf basierende Sicherheitsfunktionen zum Einsatz kommen. Microsoft verwaltetes Zertifikat Das Microsoft verwaltete Zertifikat vereinfacht TLS Inspection insbesondere in Umgebungen ohne eigene PKI. Microsoft betreibt die mandantenspezifische Root CA und schützt den privaten Schlüssel innerhalb der Microsoft Infrastruktur. Auf den Endgeräten muss lediglich das öffentliche Root CA Zertifikat als vertrauenswürdig hinterlegt werden. Fazit Microsoft Entra Prompt Injection Protection erweitert Global Secure Access um eine Sicherheitskontrolle für generative AI Anwendungen. Die Analyse erfolgt auf Netzwerkebene und benötigt deshalb keine direkte Integration in die jeweilige AI Anwendung. Dabei bilden Microsoft Entra Internet Access, TLS Inspection, Security Profiles und Conditional Access die technische Grundlage. Ein von Microsoft verwaltetes Zertifikat ermöglicht TLS Inspection auch in Umgebungen ohne eigene PKI.
Der Beitrag Microsoft Entra Global Secure Access: Prompt Injection Protection für Generative AI erschien zuerst auf cloudkaffee.ch
|
|
10.10.2026 - 08:09:43
|
|
https://www.cloudkaffee.ch/microsoft-azure/microsoft-entra-prompt-injection-prot ...
|
|
|
|
|
|
|
Ein sicherer Microsoft Entra Gastzugriff endet nicht bei Authentifizierung und Zugriffskontrolle. Ebenso wichtig ist ein definierter Lebenszyklus. Es muss nachvollziehbar sein, weshalb ein Gast Zugriff erhält, wer diesen Zugriff genehmigt, wie lange er bestehen bleibt und was nach Ende der Zusammenarbeit geschieht. Bei einer direkten Einladung über Microsoft Entra B2B Collaboration erstellt Microsoft Entra ID ein Gastobjekt im Ressourcenmandanten. Anschliessend können Microsoft Teams, Microsoft 365-Gruppen, SharePoint Online-Websites oder Anwendungen zugewiesen werden. Die Einladung selbst definiert jedoch weder einen Genehmigungsprozess noch eine Laufzeit. Ohne zusätzliche Governance bleiben Gastkonto und Berechtigungen deshalb bestehen, bis Administratoren sie manuell überprüfen oder entfernen. Microsoft Entra Entitlement Management steuert diesen Prozess mit Access Packages. Ein Access Package bündelt benötigte Ressourcen und verbindet deren Zuweisung mit Richtlinien für Anforderung, Genehmigung und Laufzeit. Für externe Benutzer kann Microsoft Entra bei Bedarf automatisch das B2B-Gastobjekt erstellen und dieses nach Ablauf der letzten verwalteten Zuweisung wieder entfernen. Access Reviews ergänzen diesen Prozess um eine regelmässige Überprüfung, ob bestehende Zugriffe weiterhin erforderlich sind. Dieser Beitrag zeigt, wie Access Packages für externe Benutzer konfiguriert und für einen kontrollierten Lebenszyklus eingesetzt werden. Im Mittelpunkt stehen Anforderung, Genehmigung, Laufzeit und Entfernung von Zugriffsrechten sowie der Lifecycle des Gastkontos bis zur möglichen Sperrung und Entfernung. Access Reviews ergänzen den Prozess um eine regelmässige Überprüfung bestehender Zuweisungen. Damit ergänzt der Beitrag den ersten Teil der Serie, der die Vertrauensbeziehung und die Zugriffsbedingungen zwischen Heimmandant und Ressourcenmandant behandelt. Voraussetzungen und Lizenzierung Access Packages Access Packages sind Bestandteil von Microsoft Entra Entitlement Management. Für Gastbenutzer verwendet Microsoft ein eigenes Lizenzierungsmodell, das sich von der Lizenzierung interner Benutzer unterscheidet. Für die Governance von Gastbenutzern muss im Mandanten mindestens eine der folgenden Lizenzen für einen Administrator vorhanden sein: Die Gastbenutzer selbst benötigen keine individuell zugewiesene Microsoft Entra ID Governance-Lizenz. Für Gastbenutzer mit UserType Guest verwendet Microsoft Entra ID Governance ein nutzungsbasiertes Monthly Active User-Modell. Die aktuelle Lizenzierung für Gastbenutzer ist im Microsoft Learn-Artikel Microsoft Entra ID Governance Lizenzierung für Gastbenutzer – Microsoft Entra ID Governance | Microsoft Learn beschrieben. Access Reviews Access Reviews ergänzen den Lebenszyklus eines Access Packages um eine wiederkehrende Überprüfung bestehender Zuweisungen. Erweiterte Access Review-Funktionen für Gastbenutzer können das nutzungsbasierte Lizenzmodell für Gäste erfordern. Die aktuelle Lizenzierung für Gastbenutzer ist im Microsoft Learn-Artikel Microsoft Entra ID Governance Lizenzierung für Gastbenutzer – Microsoft Entra ID Governance | Microsoft Learn beschrieben. Die Konfiguration von Access Reviews ist im Beitrag Microsoft Entra Access Reviews: Governance für Benutzer- und Gastzugriffe – cloudkaffee.ch beschrieben. Rollen Für die Konfiguration von Access Packages ist folgende Rolle nach dem Prinzip der geringsten Berechtigungen geeignet. Rolle Berechtigung Identity Governance-Administrator Kataloge erstellen und verwaltenVerbundene Organisationen verwaltenAccess Packages und Richtlinien erstellen und verwalten Gut zu wissen: Für das Hinzufügen von Ressourcen zu einem Katalog können zusätzliche Berechtigungen auf der jeweiligen Ressource erforderlich sein. Dies betrifft beispielsweise Microsoft Entra Gruppen, Microsoft Teams, Unternehmensanwendungen und SharePoint Online Websites. Für die im Beispiel verwendete Microsoft 365 Gruppe muss die ausführende Identität deshalb zusätzlich über die erforderlichen Berechtigungen zur Verwaltung der Gruppe verfügen. Genehmiger einer Anforderung für ein Access Package benötigen keine administrative Microsoft Entra-Rolle. Zusammenspiel von Katalog, Access Package und Richtlinie Microsoft Entra Entitlement Management verwendet drei voneinander getrennte Elemente: Ressourcen, Access Packages und Richtlinien für deren Zuweisung. Ein Katalog ist ein Container für Ressourcen. Zu den möglichen Ressourcen gehören beispielsweise Microsoft Entra-Gruppen, Microsoft Teams, SharePoint Online-Websites und Unternehmensanwendungen. Ein Access Package bündelt die benötigten Ressourcen aus einem Katalog und die dazugehörigen Rollen für einen bestimmten Zugriffszweck. Eine Richtlinie gehört zu einem Access Package und legt fest, unter welchen Bedingungen ein Benutzer den Zugriff erhalten kann. Dazu gehören unter anderem: Für einen externen Benutzer kann Microsoft Entra damit den Onboarding- und Offboarding-Prozess steuern. Der Benutzer fordert das Access Package über My Access an. Nach erfolgreicher Genehmigung erstellt Microsoft Entra bei Bedarf ein B2B-Gastobjekt im Ressourcenmandanten und weist die im Access Package definierten Ressourcen zu. Endet die letzte verwaltete Access Package-Zuweisung, greifen die konfigurierten Lifecycle-Einstellungen für den externen Benutzer. Entitlement Management vorbereiten Verbundene Organisation erstellen Damit ein Access Package gezielt von Benutzern einer bekannten Partnerorganisation angefordert werden kann, muss diese Organisation in Entitlement Management als verbundene Organisation erfasst werden. Dadurch lässt sich in der Access Package Richtlinie steuern, aus welchen externen Organisationen Benutzer das Access Package anfordern dürfen. Für bekannte Partner empfiehlt sich deshalb, die externe Organisation vor der Erstellung der Access Package-Richtlinie zu erfassen. Die Konfiguration befindet sich unter: Microsoft Entra Admin Center (https://entra.microsoft.com) > ID Governance > Berechtigungsverwaltung > Verbundene Organisationen > Add connected organization Name und Description für die verbundene Organisation erfassen. Mit Add directory + domain (1) die Mandanten-ID oder den Domänennamen (2) eingeben. Die Organisation mit Add (3) und Select (4) hinterlegen. Im Register Sponsors können optional interne oder externe Ansprechpartner hinterlegt werden. Sponsors können später beispielsweise in Richtlinien eines Access Packages als Genehmiger verwendet werden.Anschliessend mit Review + create fortfahren. Konfiguration prüfen und mit Create abschliessen. Katalog für externe Benutzer erstellen Ein Katalog dient in Microsoft Entra Entitlement Management als Container für Ressourcen, die über Access Packages bereitgestellt werden. Microsoft Entra Admin Center (https://entra.microsoft.com) > ID Governance > Berechtigungsverwaltung > Kataloge > New catalog Ist ein Katalog nicht für externe Benutzer aktiviert, können externe Identitäten die darin enthaltenen Access Packages nicht anfordern. Der erstellte Katalog erscheint anschliessend in der Übersicht. Ressource zum Katalog hinzufügen Für dieses Beispiel wird die vorhandene Microsoft 365-Gruppe F1 Collaboration als Ressource zum Katalog hinzugefügt. Den vorhandenen Katalog unter Microsoft Entra Admin Center (https://entra.microsoft.com) > ID Governance > Berechtigungsverwaltung > Kataloge öffnen. Unter Resources Add resources auswählen. Groups and Teams (1) auswählen, die Microsoft 365-Gruppe F1 Collaboration (2) markieren und mit Select (3) hinzufügen. Ein Access Package kann mehrere Ressourcen gleichzeitig enthalten und beispielsweise Microsoft 365-Gruppen, Microsoft Teams, SharePoint Online-Websites und Unternehmensanwendungen gemeinsam bereitstellen. Access Package konfigurieren Access Package erstellen Für das Beispiel wird nun ein Access Package erstellt, das die zuvor im Katalog hinterlegte Microsoft 365-Gruppe bereitstellt. Das Access Package wird unter folgendem Pfad erstellt: Microsoft Entra Admin Center (https://entra.microsoft.com) > ID Governance > Berechtigungsverwaltung > Zugriffspakete > Neues Zugriffspaket Ressourcenrollen hinzufügen Im Register Resource roles die Ressourcen auswählen, die das Access Package bereitstellt. Für jede Ressource zusätzlich die Rolle festlegen, die der Benutzer nach erfolgreicher Zuweisung erhält. Groups and Teams auswählen, die Microsoft 365-Gruppe F1 Collaboration hinzufügen und als Rolle Member festlegen. Nach erfolgreicher Zuweisung des Access Packages wird der externe Benutzer Mitglied der Microsoft 365-Gruppe. Anforderung und Genehmigung konfigurieren Im Register Requests wird festgelegt, wer das Access Package anfordern darf.Für dieses Beispiel For users not in your directory (1) auswählen.Anschliessend Specific connected organizations (2) auswählen und die zuvor konfigurierte Partnerorganisation (3) hinzufügen.Damit können nur Benutzer aus den ausgewählten verbundenen Organisationen das Access Package anfordern. Unter Who can request access die Option Self aktivieren, damit berechtigte Benutzer das Access Package selbst anfordern können. Unter Approval die Option Require approval (4) aktivieren. Als Genehmiger (5) eine Person oder Gruppe auswählen, die beurteilen kann, ob der externe Benutzer den Zugriff tatsächlich benötigt. Geeignet sind beispielsweise: Die Genehmigung sollte nicht durch das IT-Team erfolgen. Der fachliche Ressourcenverantwortliche kennt Zweck und Dauer der Zusammenarbeit und kann den Zugriffsbedarf beurteilen. Microsoft Entra unterstützt auch mehrstufige Genehmigungsprozesse sowie alternative Genehmiger, falls innerhalb der definierten Frist keine Entscheidung erfolgt. Laufzeit und Access Reviews konfigurieren Im Register Lifecycle die Gültigkeitsdauer der Access Package-Zuweisung festlegen. Access Package-Zuweisungen laufen ab (1): Anzahl TageAnzahl Tage (2): 90 Die Zuweisung endet damit 90 Tage nach Beginn des Zugriffs. Alternativ lässt sich ein fixes Ablaufdatum festlegen oder auf eine Ablaufzeit verzichten. Für externe Benutzer empfiehlt sich grundsätzlich eine definierte Laufzeit. Die Dauer sollte sich am fachlichen Zweck der Zusammenarbeit orientieren. Eine Verlängerung (3) lässt sich ebenfalls zulassen. Erfordert die Verlängerung eine Genehmigung (4), muss der Genehmiger den weiteren Zugriff vor Ablauf erneut bestätigen. Zusätzlich lassen sich Access Reviews (5) für die Zuweisungen des Access Packages aktivieren. Ein Access Review prüft bei länger dauernden Zuweisungen regelmässig, ob der Zugriff weiterhin erforderlich ist. Als Reviewer empfiehlt sich eine Person, die den fachlichen Bedarf beurteilen kann. Die vollständige Konfiguration von Access Reviews ist im Beitrag Microsoft Entra Access Reviews: Governance für Benutzer- und Gastzugriffe – cloudkaffee.ch beschrieben und wird an dieser Stelle nicht wiederholt. Nach Abschluss der Konfiguration unter Review + create die Einstellungen kontrollieren und das Access Package mit Create anlegen. Access Package anfordern und genehmigen Anforderungslink bereitstellen Nach dem Erstellen steht in der Übersicht des Access Packages ein Link zum Portal My Access zur Verfügung. Das Access Package unter Microsoft Entra Admin Center (https://entra.microsoft.com) > ID Governance > Berechtigungsverwaltung > Zugriffspakete öffnen. Unter Overview ist der Anforderungslink sichtbar. Diesen Link den berechtigten Benutzern der Partnerorganisation bereitstellen. Soll ein Access Package nur über einen gezielt bereitgestellten Link erreichbar sein, lässt sich in den Eigenschaften die Option Hidden aktivieren. Dadurch blendet My Access das Access Package aus der Suche aus. Benutzer mit dem direkten Link können es weiterhin öffnen und anfordern. Access Package als externer Benutzer anfordern Der externe Benutzer öffnet den Anforderungslink und authentifiziert sich mit seiner vorhandenen Identität. Unter My Access > Access packages werden die verfügbaren Access Packages angezeigt. Das benötigte Access Package mit Request auswählen. Nach der Auswahl werden die Zugriffsdetails angezeigt. Mit Continue mit der Anforderung fortfahren. Begründung eingeben und die Anforderung mit Submit request abschliessen. Nach dem Absenden wird die Anforderung an den konfigurierten Genehmiger weitergeleitet. Access Package genehmigen Die offene Anforderung wird dem konfigurierten Genehmiger im My Access Portal angezeigt. My Access > Approvals Die Anforderung prüfen und den Genehmigungsprozess mit Approve oder Deny abschliessen. Funktionskontrolle Zuweisungen zu einem Access Package werden im Microsoft Entra Admin Center (https://entra.microsoft.com) unter ID Governance > Berechtigungsverwaltung > Zugriffspakete > Auswahl des Zugriffspakets > Zuweisungen angezeigt. Jeder externe Benutzer wird mit dem Status (1) der Zuweisung und dem Ablaufdatum (2) angezeigt. Existierte das erforderliche Gastobjekt vor der Genehmigung noch nicht, erstellt Entitlement Management dieses automatisch. Bei Microsoft Entra B2B-Collaboration besitzt das Benutzerobjekt den Benutzertyp Gast. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Benutzer > Alle Benutzer Anschliessend die im Access Package enthaltene Ressource kontrollieren.Im Beispiel muss der externe Benutzer Mitglied der Microsoft 365-Gruppe F1 Collaboration sein. Damit sind die drei zentralen Bestandteile der Bereitstellung überprüft: Lebenszyklus externer Benutzer konfigurieren Entitlement Management kann neben den Ressourcenzuweisungen auch den Lebenszyklus externer Benutzer verwalten, die über Entitlement Management in den Mandanten aufgenommen wurden. Microsoft Entra Admin Center (https://entra.microsoft.com) > ID Governance > Berechtigungsverwaltung > Control Configurations > Lifecycle of external users In den Einstellungen lässt sich festlegen: Standardmässig blockiert Entitlement Management einen über Entitlement Management eingeladenen externen Benutzer nach Ende seiner letzten Access Package-Zuweisung für die Anmeldung. Nach 30 Tagen entfernt Microsoft Entra das Gastkonto aus dem Verzeichnis. Der Ablauf sieht damit folgendermassen aus: Gut zu wissen Bereits vorhandene Gäste werden nicht automatisch verwaltet Der automatische Lebenszyklus gilt nicht für jedes bereits vorhandene Gastkonto im Microsoft Entra-Mandanten. Entitlement Management verwaltet den Lifecycle externer Benutzer, die über Entitlement Management eingeladen oder nachträglich in diesen Lifecycle aufgenommen wurden. War ein Gast bereits vor seiner ersten Access Package-Zuweisung im Mandanten vorhanden, bleibt das Benutzerobjekt nach Ende der Zuweisung grundsätzlich bestehen. Bestehende Gastkonten können unter bestimmten Voraussetzungen mit der Funktion Mark guest as governed nachträglich in den durch Entitlement Management gesteuerten Lifecycle aufgenommen werden. Die Funktion gehört zu den erweiterten Funktionen von Microsoft Entra ID Governance und besitzt zusätzliche Lizenzierungs- und Nutzungsvoraussetzungen. Weitere Informationen sind im Microsoft Learn-Artikel Lebenszyklus von Gastbenutzern in der Berechtigungsverwaltung konvertieren – Microsoft Entra – Microsoft Entra ID Governance | Microsoft Learn beschrieben. Für neu über Entitlement Management eingeladene Gäste ist die Funktion nicht erforderlich. Direkte Berechtigungen werden nicht Teil des Access Packages Das Ende einer Access Package-Zuweisung entfernt die Ressourcenrollen, die über dieses Access Package bereitgestellt wurden. Eine zusätzlich direkt vergebene Gruppenmitgliedschaft, Applikationszuweisung oder andere Berechtigung wird dadurch nicht automatisch Bestandteil des Access Package-Lifecycles. Direkte Berechtigungen sollten deshalb möglichst vermieden werden. Ein Gast kann mehrere Access Packages besitzen Ein externer Benutzer kann gleichzeitig mehrere Access Package-Zuweisungen besitzen. Das Ende einer einzelnen Zuweisung führt deshalb nicht automatisch zum Lifecycle des Gastkontos. Massgebend ist das Ende der letzten verwalteten Access Package-Zuweisung. Verbundene Organisationen ersetzen keine mandantenübergreifenden Zugriffseinstellungen Verbundene Organisationen legen innerhalb von Entitlement Management fest, welche externen Organisationen in Richtlinien eines Access Packages berücksichtigt werden...
Der Beitrag Microsoft Entra Gastzugriff absichern: Lebenszyklus mit Access Packages und Access Reviews steuern erschien zuerst auf cloudkaffee.ch
|
|
05.09.2026 - 20:30:00
|
|
https://www.cloudkaffee.ch/microsoft-365/microsoft-entra-gastzugriff-access-pack ...
|
|
|
|
|
|
|
Microsoft Entra Gastzugriff absichern bedeutet, externe Benutzer kontrolliert zu authentifizieren und den Zugriff auf die eigenen Ressourcen klar zu regeln. Microsoft 365 unterstützt dafür unterschiedliche Zusammenarbeitsmodelle. Im Mittelpunkt dieses Beitrags steht Microsoft Entra B2B Zusammenarbeit. Dabei repräsentiert ein Benutzerobjekt im Ressourcenmandanten die externe Identität und ermöglicht den Zugriff auf Microsoft Teams, SharePoint Online oder weitere Anwendungen. Bei der B2B Zusammenarbeit sind Authentifizierung und Ressourcenzugriff auf zwei Mandanten verteilt. Der externe Benutzer authentifiziert sich im Heimmandanten, der auch seine Anmeldeinformationen verwaltet. Der Ressourcenmandant stellt die Anwendung bereit und entscheidet, unter welchen Bedingungen er den Zugriff erlaubt. Er verwaltet somit keine separaten Anmeldeinformationen für den externen Benutzer, sondern die Zugriffsbedingungen und Berechtigungen für seine Ressourcen. Standardmässig erlauben die mandantenübergreifenden Zugriffseinstellungen die B2B-Zusammenarbeit mit Benutzern aus anderen Microsoft Entra-Organisationen. Der Ressourcenmandant akzeptiert MFA-Nachweise und Gerätestatus aus fremden Mandanten hingegen nicht automatisch. Diese Standardwerte erleichtern die Zusammenarbeit, erfordern in produktiven Mandanten jedoch eine bewusste Prüfung. Dieser Beitrag zeigt, wie mandantenübergreifende Zugriffseinstellungen, MFA-Vertrauenseinstellungen, Authentifizierungsstärken und bedingter Zugriff den Microsoft Entra Gastzugriff absichern. Voraussetzungen und Lizenzierung Microsoft Entra External ID Mandantenübergreifende Zugriffseinstellungen sind Bestandteil von Microsoft Entra External ID. Für Vertrauenseinstellungen und Einschränkungen auf bestimmte Benutzer, Gruppen oder Anwendungen benötigt der Ressourcenmandant mindestens: Bedingter Zugriff Für die beschriebenen Richtlinien für bedingten Zugriff ist mindestens folgende Lizenz erforderlich: Mandantenübergreifende Zugriffsaktivitäten analysieren Die Analyse bestehender mandantenübergreifender Anmeldeaktivitäten mit der Arbeitsmappe Mandantenübergreifende Zugriffsaktivität setzt Folgendes voraus: Die Konfiguration ist im Microsoft Learn-Artikel Integration von Microsoft Entra ID-Protokollen in Azure Monitor-Protokolle beschrieben. Eine Übersicht der Lizenzpakete von Microsoft mit ihren Funktionen kann unter https://m365maps.com/ abgerufen werden. Rollen Für die Konfiguration und Funktionskontrolle sind folgende Rollen nach dem Prinzip der geringsten Berechtigungen geeignet. Rolle Berechtigung Sicherheitsadministrator Mandantenübergreifende Zugriffseinstellungen verwalten,Richtlinien für bedingten Microsoft Entra-Zugriff erstellen und verwalten,Anmeldeprotokolle anzeigen,Arbeitsmappen anzeigen Log Analytics-Leser Protokolldaten im Log Analytics-Arbeitsbereich lesen Zusammenspiel von Heim- und Ressourcenmandant Bei Microsoft Entra B2B-Zusammenarbeit übernimmt der Heimmandant die Authentifizierung des externen Benutzers. Der Heimmandant verwaltet auch die Anmeldeinformationen des externen Benutzers. Der Ressourcenmandant stellt die Microsoft 365-Dienste oder weitere Anwendungen bereit. Er enthält ein B2B-Benutzerobjekt, das die externe Identität im eigenen Verzeichnis repräsentiert. Dieses Objekt besitzt im Ressourcenmandanten kein separat verwaltetes Kennwort. Der Ressourcenmandant legt mit Richtlinien für bedingten Zugriff fest, unter welchen Bedingungen externe Benutzer auf seine Ressourcen zugreifen dürfen. Eine Basisrichtlinie erzwingt in der Regel MFA für alle externen Benutzer. Für besonders schützenswerte Anwendungen kann eine separate Richtlinie eine phishingresistente Authentifizierungsstärke verlangen. Anschliessend bestimmen die Berechtigungen, auf welche Ressourcen der Benutzer zugreifen und welche Aktionen er ausführen darf. Massgebend sind beispielsweise die Mitgliedschaft in einem Team, die Berechtigungen auf einer SharePoint-Website oder die Zuweisung zu einer Unternehmensanwendung. Der Ressourcenmandant kontrolliert somit nicht die Anmeldeinformationen des externen Benutzers. Er kontrolliert die Zugriffsbedingungen sowie die Berechtigungen auf die Ressourcen. Mandantenübergreifende Zugriffseinstellungen vorbereiten Bestehende mandantenübergreifende Zugriffe ermitteln Vor einer Einschränkung der Standardeinstellungen sollten die tatsächlich verwendeten Partnerorganisationen und Anwendungen ermittelt werden. Andernfalls können bestehende Geschäftsprozesse unterbrochen werden. Dafür steht die Arbeitsmappe Mandantenübergreifende Zugriffsaktivität zur Verfügung. Die notwendige Log Analytics-Integration ist im Abschnitt Voraussetzungen und Lizenzierung beschrieben. Die Arbeitsmappe befindet sich unter: Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Überwachung und Integrität > Arbeitsmappen > Mandantenübergreifende Zugriffsaktivität Die Arbeitsmappe zeigt die im ausgewählten Zeitraum protokollierten eingehenden und ausgehenden Anmeldeaktivitäten nach Mandanten-ID, Anwendung, Benutzer und weiteren Kriterien. Der auswählbare Zeitraum beträgt bis zu 90 Tage. Angezeigt werden jedoch nur Daten, die an den Log Analytics-Arbeitsbereich übertragen wurden und dort noch vorhanden sind. Standardwerte der mandantenübergreifenden Zugriffseinstellungen prüfen Die mandantenübergreifenden Zugriffseinstellungen befinden sich im Microsoft Entra Admin Center unter: Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Externe Identitäten > Mandantenübergreifende Zugriffseinstellungen Unter Standardeinstellungen werden die Richtlinien für alle externen Microsoft Entra-Organisationen angezeigt, für die keine organisationsspezifische Konfiguration besteht. Die anfänglichen Standardwerte sind: Die Standardwerte erleichtern die Zusammenarbeit, entsprechen aber nicht automatisch den eigenen Sicherheits- und Compliance-Anforderungen. Sie sollten deshalb in jedem produktiven Mandanten geprüft werden. Partnerorganisation konfigurieren Partnerorganisation hinzufügen Für bekannte Partner empfiehlt sich eine organisationsspezifische Konfiguration. Diese überschreibt die Standardwerte ausschliesslich für die ausgewählte Partnerorganisation. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Externe Identitäten > Mandantenübergreifende Zugriffseinstellungen > Organisationseinstellungen Organisation hinzufügen auswählen und die Mandanten-ID oder den vollständigen Domänennamen der Partnerorganisation eingeben. Nach dem Hinzufügen erbt die Organisation zunächst alle Standardeinstellungen. Über die Links in den Spalten Eingehender Zugriff, Ausgehender Zugriff oder Mandanteneinschränkungen wird eine abweichende Konfiguration erstellt. Dieser Beitrag konzentriert sich auf den eingehenden Zugriff der B2B-Zusammenarbeit und die zugehörigen Vertrauenseinstellungen. Damit wird der Zugriff externer Benutzer auf die eigenen Ressourcen abgesichert. Der ausgehende Zugriff und die Mandanteneinschränkungen bleiben unverändert und übernehmen die Standardeinstellungen. Eingehenden Zugriff für B2B-Zusammenarbeit konfigurieren Der eingehende Zugriff für B2B-Zusammenarbeit bestimmt, welche Benutzer der Partnerorganisation auf welche Anwendungen im eigenen Mandanten zugreifen dürfen. Bei der hinzugefügten Organisation unter Zugriff auf eingehenden Datenverkehr > B2B-Zusammenarbeit die Option Einstellungen anpassen auswählen. Im Register Externe Benutzer und Gruppen auswählen, ob alle externen Benutzer oder nur bestimmte Benutzer und Gruppen Zugriff erhalten. Für einzelne Objekte sind deren Objekt-IDs aus dem Partnermandanten erforderlich. Anschliessend im Register Anwendungen festlegen, ob alle internen Anwendungen oder nur bestimmte Anwendungen erreichbar sind. Vertrauenseinstellungen konfigurieren Unter Zugriff auf eingehenden Datenverkehr > Vertrauenseinstellungen wird festgelegt, welchen Nachweisen des Partnermandanten vertraut wird: Alle drei Einstellungen sind standardmässig deaktiviert. Wird das Vertrauen in MFA aktiviert, kann der MFA-Nachweis des Heimmandanten die MFA-Anforderung einer Richtlinie für bedingten Zugriff im Ressourcenmandanten erfüllen. Wurde im Heimmandanten noch keine MFA durchgeführt, wird sie dort ausgelöst. Der Ressourcenmandant verlangt weiterhin MFA, akzeptiert jedoch den Nachweis des Partners. Die Unterschiede zwischen den MFA Varianten sind im Abschnitt MFA für Gäste: zwei unterschiedliche Modelle beschrieben. Wird konformen Geräten vertraut, übernimmt der Ressourcenmandant den Gerätestatus aus dem Partnermandanten. Massgebend sind damit die vom Partner definierten Konformitätsrichtlinien in Microsoft Intune. Dasselbe gilt für Microsoft Entra hybrid eingebundene Geräte. Vertrauenseinstellungen sollten nur für bekannte Partner aktiviert werden, deren Sicherheitsniveau geprüft und dokumentiert ist. MFA für Gäste: zwei unterschiedliche Modelle MFA ohne Vertrauen Der Ressourcenmandant verlangt MFA, akzeptiert jedoch keinen Nachweis einer bereits im Heimmandanten durchgeführten MFA. Der Gast muss MFA im Ressourcenmandanten erfüllen und dafür gegebenenfalls eine zusätzliche Methode registrieren. Vorteile: Nachteile: MFA mit Vertrauen Der Ressourcenmandant verlangt MFA und akzeptiert den Nachweis des Heimmandanten. Der Gast verwendet die MFA seiner eigenen Organisation und muss im Ressourcenmandanten weder eine zusätzliche Methode registrieren noch eine separate MFA durchführen. Falls im Heimmandanten noch keine MFA erfolgt ist, löst Microsoft Entra ID sie dort aus. Vorteile: Nachteile: MFA ohne Vertrauen ist der sichere Standard. MFA-Vertrauen sollte nur für bekannte Partner aktiviert werden, deren MFA-Sicherheitsniveau geprüft und regelmässig kontrolliert wird. Richtlinien für bedingten Zugriff auf externe Benutzer Bedingten Zugriff konfigurieren In Richtlinien für bedingten Zugriff lassen sich externe Identitäten nach sechs Typen auswählen: Damit lassen sich verwendete externe Benutzertypen absichern und nicht benötigte Typen blockieren. Eine MFA-Basisrichtlinie für B2B Collaboration-Gastbenutzer wird unter folgendem Pfad erstellt: Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Bedingter Zugriff > Richtlinien > Neue Richtlinie erstellen Einen Namen für die Richtlinie vergeben.Die Benennungskonventionen sind hier beschrieben: Planen einer Microsoft Entra-Bereitstellung für bedingten Zugriff – Microsoft Entra ID | Microsoft Learn Unter Benutzer oder Agents > Benutzer und Gruppen > Gastbenutzer oder externe Benutzer den Typ B2B Collaboration-Gastbenutzer auswählen. Je nach Umgebung zusätzlich verwendete Identitätstypen auswählen. Unter Zielressourcen > Ressourcen die benötigten Anwendungen auswählen. Unter Gewähren > Zugriff gewähren die Option Authentifizierungsstärke erfordern und anschliessend die benötigte Authentifizierungsstärke auswählen. Neue Richtlinien vor der Aktivierung im Modus Nur Bericht, mit dem What-If-Tool für bedingten Zugriff und einem Testbenutzer prüfen. Ein geeigneter Richtliniensatz für externe Benutzer besteht aus mehreren Richtlinien: Authentifizierungsstärken für sensible Ressourcen Mit einer Authentifizierungsstärke wird festgelegt, welche Authentifizierungsmethoden eine MFA-Anforderung erfüllen dürfen. Für Standardzugriffe kann eine beliebige MFA genügen. Für sensible oder privilegierte Anwendungen kann eine phishingresistente Authentifizierungsstärke mit FIDO2-Sicherheitsschlüssel, Passkey, Windows Hello for Business oder zertifikatbasierter Authentifizierung eingesetzt werden. Bei externen Microsoft Entra-Benutzern hängt die Auswertung der Authentifizierungsstärke davon ab, ob dem MFA-Nachweis des Heimmandanten vertraut wird. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Authentifizierungsmethoden > Authentifizierungsstärken Authentifizierungsstärken lassen sich aktuell nur auf externe Benutzer anwenden, die sich mit Microsoft Entra ID authentifizieren. Gut zu wissen Einstellungen für externe Zusammenarbeit bleiben relevant Mandantenübergreifende Zugriffseinstellungen ersetzen die Einstellungen für externe Zusammenarbeit nicht. Dort wird weiterhin gesteuert, welche Rollen Gäste einladen dürfen, welche Domänen für Einladungen erlaubt oder blockiert sind und vieles mehr. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Externe Identitäten > Einstellungen für externe Zusammenarbeit Die direkte B2B-Verbindung ist ein eigener Zugriffstyp Die direkte B2B-Verbindung wird für freigegebene Kanäle in Microsoft Teams verwendet und erstellt kein Gastobjekt im Ressourcenmandanten. Sie ist standardmässig blockiert und muss von beiden Organisationen freigegeben werden. Eine ausführliche Konfiguration ist im Beitrag Azure AD B2B Direct Connect für freigegebene Kanäle in Microsoft Teams – cloudkaffee.ch beschrieben. Ausgehenden Zugriff ebenfalls prüfen Der eingehende Zugriff schützt die eigenen Ressourcen. Der ausgehende Zugriff steuert, welche internen Benutzer auf Anwendungen in fremden Mandanten zugreifen dürfen. Eine zu breite Freigabe kann unkontrollierte Zusammenarbeit und Datenabfluss ermöglichen. Der ausgehende Zugriff sollte deshalb ebenfalls regelmässig geprüft werden. M365Con Session Die Inhalte dieser Artikelserie basieren auf meiner Session zum Thema Microsoft Entra Gastzugriff an der M365Con. Die vollständige Session mit den behandelten Konzepten, Konfigurationsbeispielen sowie weiteren Themen rund um Conditional Access und Monitoring ist auf YouTube verfügbar. Fazit Microsoft Entra Gastzugriff lässt sich nicht mit einer einzelnen Richtlinie für bedingten Zugriff absichern. Die mandantenübergreifenden Zugriffseinstellungen steuern, welche Partnerorganisationen, Benutzer und Anwendungen zugelassen sind. Die Vertrauenseinstellungen bestimmen, ob MFA und Gerätestatus aus dem Heimmandanten akzeptiert werden. Richtlinien für bedingten Zugriff erzwingen zusätzliche Anforderungen wie MFA für die Basisrichtlinie oder phishingresistente Authentifizierungsstärke bei besonders schützenswerten Daten. Als sicherer Standard empfiehlt sich MFA ohne Vertrauen. Für bekannte Partner kann MFA-Vertrauen gezielt aktiviert werden, sofern deren MFA-Sicherheitsniveau geprüft und die Vertrauensstellung regelmässig kontrolliert wird. Nicht benötigte externe Benutzertypen sollten blockiert werden.
Der Beitrag Microsoft Entra Gastzugriff absichern: Mandantenübergreifende Zugriffseinstellungen und MFA-Vertrauensstellung erschien zuerst auf cloudkaffee.ch
|
|
07.08.2026 - 05:38:07
|
|
https://www.cloudkaffee.ch/microsoft-365/microsoft-entra-gastzugriff-absichern/
|
|
|
|
|
|
|
Microsoft hat angekündigt, die Basic Authentication für SMTP AUTH in Exchange Online schrittweise zu deaktivieren. Bestehende Tenants werden die Funktion zunächst weiterhin verwenden können, langfristig ist jedoch eine vollständige Deaktivierung vorgesehen. Details zur aktuellen Roadmap und zur geplanten Abschaltung sind im Exchange Team Blog veröffentlicht: Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline | Microsoft Community Hub Als Ersatz für SMTP AUTH Basic Authentication wird die moderne Authentifizierung mit OAuth vorgeschlagen. Viele Geräte und Anwendungen unterstützen jedoch keine moderne Authentifizierung mit OAuth. Typische Beispiele sind Multifunktionsgeräte, Scanner oder Legacy Anwendungen. Für diese Szenarien stellt Microsoft weiterhin den Versand über SMTP Relay zur Verfügung. Bei der Verwendung eines Exchange Online-SMTP Relays ist keine Authentifizierung mittels Benutzername oder Passwort erforderlich. Stattdessen wird die Verbindung über einen Exchange Online Connector mittels statischer öffentlicher IP-Adresse oder über ein Zertifikat authentifiziert. Dieser Artikel zeigt, wie sich ein Exchange Online SMTP Relay mit statischer öffentlicher IP-Adresse über einen Connector konfigurieren lässt. Voraussetzungen und Lizenzierung Exchange Online vorhanden Für SMTP Relay muss Exchange Online im Microsoft Tenant vorhanden sein.Ein eigenes Postfach für den Absender ist nicht erforderlich. Die Absenderadresse muss jedoch zu einer akzeptierten Domäne im Exchange Online gehören. Geeignete Pläne für Exchange Online sind zum Beispiel: Eine Übersicht der Microsoft Lizenzpakete mit ihren Features kann unter https://m365maps.com/ abgerufen werden. Statische öffentliche IP-Adresse Die Authentifizierung am SMTP Relay erfolgt über die Quell-IP-Adresse. Vorausgesetzt wird deshalb eine statische öffentliche IPv4-Adresse. Port 25 TCP erreichbar SMTP Relay über Exchange Online verwendet Port 25 TCP. Die Firewall und der Internet Provider müssen ausgehende Verbindungen über Port 25 zulassen. DNS Konfiguration Für eine erfolgreiche Zustellung an externe Empfänger sollte die statische öffentliche IP-Adresse per SPF autorisiert sein. Optional können zusätzlich DKIM und DMARC verwendet werden. Weitere Informationen sind im folgenden Blogpost nachzulesen: Einrichten von SPF, DKIM und DMARC in Exchange Online – cloudkaffee.ch Rollen Für die Konfiguration eines Exchange Online SMTP Relay ist nach dem Prinzip der geringsten Berechtigungen folgende Rolle geeignet: Rolle Berechtigung Exchange Administrator Verwaltung von Exchange Online, Mailflow und Connectoren Exchange Online Connector für SMTP Relay erstellen Für SMTP Relay mit statischer öffentlicher IP-Adresse ist in Exchange Online ein Connector erforderlich. Dieser Connector legt fest, von welchen öffentlichen Quell-IP-Adressen Exchange Online Nachrichten ohne Authentifizierung annimmt. Die Konfiguration erfolgt im Exchange Admin Center (https://admin.exchange.microsoft.com) > E-Mail-Fluss > Connectors > Connector hinzufügen E-Mail-Server Ihrer Organisation auswählen, Weiter klicken. Name des Connectors eingeben, z. B. SMTP Relay – Static Public IPOption Aktivieren auswählen und Weiter klicken. Authentifizierungstyp Durch überprüfen, ob die IP-Adresse des sendenden Servers mit einer der folgenden IP-Adressen übereinstimmt, die exklusiv zu Ihrer Organisation gehören auswählen und die statische öffentliche IP-Adresse eingeben. Weiter klicken. Eingaben prüfen und den Connector mit Connector erstellen anlegen. Der Exchange Online Connector ist erfolgreich erstellt und aktiviert. SMTP Einstellungen für Geräte und Anwendungen MX-Endpunkt der eigenen Domäne ermitteln Der SMTP-Server für das Relay ist nicht wie fälschlicherweise oft angenommen smtp.office365.com, sondern der MX-Endpunkt der eigenen Domäne. Der MX-Endpunkt kann im Microsoft 365 Admin Center ermittelt werden:Microsoft 365 Admin Center (https://admin.microsoft.com) > Einstellungen > Domänen > Domäne auswählen > DNS-Einträge > MX-Wert (1)Beispiel eines MX-Endpunkts: cloudcoffee-ch.mail.protection.outlook.comDieser Wert wird auf dem Gerät oder in der Anwendung als SMTP-Server eingetragen. SMTP Konfiguration für Geräte und Anwendungen Geräte und Anwendungen können mit den nachfolgenden Angaben auf den Exchange Online SMTP Relay zugreifen. Für die Authentifizierung wird kein Benutzername oder Passwort benötigt. Die Authentifizierung erfolgt über die statische öffentliche IPv4-Adresse. SMTP-Server MX-Endpunkt der eigenen Domänez.B. cloudcoffee-ch.mail.protection.outlook.com Port 25 TCP TLS / StartTLS Aktiviert Authentifizierung Keine Absenderadresse Adresse einer von Exchange Online akzeptierten Domänez.B. scanner@cloudcoffee.ch Die Absenderadresse muss kein eigenes Postfach besitzen. Sie muss jedoch Teil einer akzeptierten Domäne im Microsoft 365 Tenant sein. SMTP Relay Test mit PowerShell durchführen Zur Überprüfung der SMTP Relay Konfiguration kann eine Testnachricht per PowerShell gesendet werden. Das nachfolgende Skript verwendet den Exchange Online SMTP Relay Connector und ermittelt anhand der Absenderadresse automatisch den MX-Endpunkt der Senderdomäne. Im Skript müssen folgende Werte angepasst werden: Der Versand muss von einem Client erfolgen, dessen ausgehende Verbindung über die statische öffentliche IP-Adresse aufgebaut wird, die im Exchange Online Connector hinterlegt ist. Zusätzlich muss Port 25 TCP für die ausgehende Verbindung erreichbar sein. Ausgabe des PowerShell Skripts: Die Testnachricht wurde erfolgreich über den Exchange Online SMTP Relay Connector versendet.Falls der Versand fehlschlägt, sind im folgenden Abschnitt bekannte Probleme und entsprechende Lösungsansätze beschrieben: Typische Fehler bei SMTP Relay Typische Fehler bei SMTP Relay 550 Relay Denied Die sendende öffentliche IP-Adresse stimmt nicht mit der im Connector hinterlegten IP-Adresse überein.Siehe Exchange Online Connector für SMTP Relay erstellen 5.7.64 Tenant Not Authorized Der Connector ist nicht korrekt konfiguriert oder die Quell-IP-Adresse kann keinem gültigen Connector zugeordnet werden.Siehe Exchange Online Connector für SMTP Relay erstellen Timeout oder Verbindungsfehler Port 25 TCP ist auf der Firewall oder beim Internet Provider blockiert.Der SMTP-Server ist falsch hinterlegt.Siehe SMTP Einstellungen für Geräte und Anwendungen Nachrichten werden als Spam erkannte Der SPF-Eintrag fehlt oder enthält die sendende öffentliche IP-Adresse nicht. Siehe dazu: Einrichten von SPF, DKIM und DMARC in Exchange Online – cloudkaffee.chZusätzlich kann auch die Reputation der öffentlichen IP-Adresse eine Rolle spielen. Gut zu wissen Geräte und Anwendungen mit Basic Authentication erkennen Geräte und Anwendungen im eigenen Tenant, die bisher SMTP AUTH Basic Authentication verwenden, lassen sich über das Anmeldeprotokoll in Microsoft Entra ID identifizieren. Das Vorgehen ist im Blogbeitrag Microsoft Entra: Legacy Authentication mit bedingtem Zugriff blockieren – cloudkaffee.ch beschrieben. Fazit Mit der schrittweisen Abschaltung von SMTP AUTH Basic Authentication gewinnt SMTP Relay über Exchange Online Connector weiter an Bedeutung. Ein Exchange Online SMTP Relay eignet sich insbesondere für Geräte und Anwendungen ohne moderne Authentifizierung. Für diese Szenarien ist die Authentifizierung über eine statische öffentliche IP-Adresse eine robuste und weiterhin unterstützte Methode.
Der Beitrag Exchange Online SMTP Relay mit statischer öffentlicher IP?Adresse konfigurieren erschien zuerst auf cloudkaffee.ch
|
|
06.07.2026 - 17:17:12
|
|
https://www.cloudkaffee.ch/microsoft-365/exchange-online-smtp-relay-statische-ip ...
|
|
|
|
|
|
|
Standardmässig können Benutzer in Microsoft Entra ID Geräte selbst registrieren. Jedes dieser Geräte wird als Objekt in Microsoft Entra ID geführt und steht für Authentifizierung und Zugriff zur Verfügung. Nach der Kompromittierung eines Benutzerkontos können Angreifer eigene Geräte registrieren und so dauerhaft Zugriff erhalten. Geräteregistrierung ist damit ein sicherheitskritischer Vorgang und muss abgesichert sein. Es muss definiert werden, wer Geräte registrieren darf, unter welchen Bedingungen dies geschieht und welche Gerätetypen zugelassen sind. Microsoft Entra ID und Microsoft Intune stellen dafür mehrere Kontrollmechanismen bereit und ermöglichen deren kombinierte Nutzung. Erst wenn die Geräteregistrierung kontrolliert erfolgt, lassen sich Gerätekonformität und bedingter Zugriff sinnvoll umsetzen. Der Beitrag zeigt, wie Microsoft Entra ID und Microsoft Intune die Geräteregistrierung absichert und eine kontrollierte Geräteaufnahme durchsetzt. Absicherung der Geräteregistrierung in Microsoft Entra ID Ohne entsprechende Konfiguration dürfen Benutzer Geräte selbst registrieren. Diese Einstellung sollte überprüft und eingeschränkt werden. Die Kontrolle beschränkt sich dabei auf den Benutzer, nicht auf das Gerät selbst. Einschränkung der Benutzer für die Geräteregistrierung Die Geräteeinstellungen in Microsoft Entra ID legen fest, wer Geräte registrieren darf. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Geräte > Geräteeinstellungen aufrufen. Option Benutzer können Geräte mit Microsoft Entra verknüpfen auf Ausgewählt ändern und Benutzergruppe auswählen. Multi-Faktor-Authentifizierung für Geräteregistration aktivieren Bei der Geräteregistrierung soll ein Benutzer immer eine Multi-Faktor-Authentifizierungsabfrage durchführen. Hierzu gibt es folgende Möglichkeiten. MFA in den Geräteeinstellungen (nicht empfohlen) Option Multi-Faktor-Authentifizierung zum Registrieren oder Beitreten von Geräten bei Microsoft Entra erforderlich unter Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Geräte > Geräteeinstellungen aktivieren. MFA über bedingten Zugriff (empfohlen) Bei der Geräteregistrierung eine Multi-Faktor-Authentifizierung über den bedingten Zugriff in Microsoft Entra zu erzwingen, ist die empfohlene Variante. Dadurch lassen sich zusätzliche Bedingungen definieren, unter denen eine Geräteregistrierung erfolgen darf, beispielsweise bekannte Netzwerke, verwendete Authentifizierungsmethoden oder Benutzer- und Anmelderisiko. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > bedingter Zugriff > neue Richtlinie aufrufen. Zusätzliche Bedingungen lassen sich nach Bedarf integrieren. WichtigWird die Multi-Faktor-Authentifizierung über den bedingten Zugriff in Microsoft Entra erzwungen, sollte die Option Multi Faktor Authentifizierung zum Registrieren oder Beitreten von Geräten deaktiviert werden. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Geräte > Geräteeinstellungen Registrierungseinschränkungen in Microsoft Intune konfigurieren Registrierungseinschränkungen für Geräteplattform Die Registrierungstypen unterscheiden sich in Bezug auf Verwaltung, Steuerbarkeit und Integration in Sicherheitsmechanismen. Microsoft Entra unterscheidet zwischen: Insbesondere Microsoft Entra Registered Geräte bieten nur eingeschränkte Kontrollmöglichkeiten und sollten nur bewusst zugelassen werden. Welche Typen von Geräteanbindung und Plattformen zugelassen sind, lässt sich über Registrierungseinschränkungen in Microsoft Intune kontrollieren. Beispielsweise lassen sich private Geräte oder bestimmte Plattformen ausschliessen. Dadurch verhindert die Konfiguration die Aufnahme unerwünschter Plattformen oder Microsoft Entra Registered Geräte. Microsoft Intune Admin Center (https://intune.microsoft.com) > Geräte > Registrierung > Geräteplattformeinschränkung Im folgenden Beispiel wird die Aufnahme von privaten Windows Geräten (BYOD) in Microsoft Intune verhindert. Dazu wird eine neue Registrierungseinschränkung mit höherer Priorität erstellt. Die vorhandene Standardrichtlinie bleibt unverändert. Windows Einstellungen > Einschränkung erstellen Name für die Registrierungseinschränkung vergeben, z.B. Win-AllUsers-DenyPersonalDevices In den Plattformeinstellungen die Option Geräte mit Privatbesitz auf Blockieren setzen Bereichstags bei Bedarf konfigurieren Unter Zuweisungen Benutzergruppen oder Alle Benutzer hinzufügen auswählen Registrierungseinschränkung nochmals prüfen und mit Erstellen speichern Die neu erstellte Registrierungseinschränkung ist jetzt mit höherer Priorität gegenüber der Standardrichtlinie erstellt und aktiviert. Für Android, macOS und iOS erfolgt die Konfiguration der Registrierungseinschränkungen auf die gleiche Weise. Registrierungseinschränkungen für Gerätelimits Die Anzahl Geräte, die ein Benutzer in Microsoft Intune aufnehmen darf, lässt sich über Registrierungseinschränkungen für Gerätelimits steuern. Damit wird verhindert, dass Benutzer eine grosse Anzahl Geräte in die Verwaltung aufnehmen. Der Standardwert liegt bei 5 Geräten pro Benutzer. In vielen Umgebungen ist es sinnvoll, diesen Wert zu reduzieren. Eine Begrenzung auf 3 Geräte pro Benutzer hat sich in der Praxis bewährt. Typische Szenarien mit Notebooks und Smartphones werden damit gut abgedeckt. Gleichzeitig wird verhindert, dass kompromittierte Konten oder Fehlkonfigurationen zu einer unkontrollierten Geräteaufnahme führen. Microsoft Intune Admin Center (https://intune.microsoft.com) > Geräte > Registrierung > Gerätelimiteinschränkung Im folgenden Beispiel wird die Standardrichtlinie für das Gerätelimit pro Benutzer auf 3 reduziert. Standardrichtlinie All users and all devices auswählen Eigenschaften > Bearbeiten auswählen Gerätelimit auf 3 setzen Speichern wählen Die Standardrichtlinie lässt jetzt noch 3 Geräteregistrationen pro Benutzer zu. Bonus Tipp Geräteregistrierung mit befristetem Zugriffspass absichern Die Geräteregistrierung erfolgt in vielen Umgebungen direkt durch den Benutzer. Der Einsatz eines befristeten Zugriffspasses ermöglicht es, diesen Prozess besser zu kontrollieren. Die Ausstellung eines befristeten Zugriffspasses erfolgt durch einen berechtigten Benutzer und kann zeitlich eingeschränkt werden. Dadurch wird die Geräteregistrierung an eine zusätzliche Freigabe gebunden. Auf diese Weise lässt sich ein Vier-Augen-Prinzip umsetzen. Eine Geräteregistrierung ist nur möglich, wenn ein zweiter Benutzer den Prozess aktiv unterstützt, indem ein befristeter Zugriffspass ausgestellt wird. Gleichzeitig wird der Zeitraum der Geräteregistrierung auf die Gültigkeitsdauer des befristeten Zugriffspasses begrenzt. Dies reduziert das Risiko missbräuchlicher Registrierungen und schafft zusätzliche Kontrolle über die Geräteaufnahme. Diese Umsetzung erfolgt über eine Kombination aus Authentifizierungsstärken und bedingtem Zugriff in Microsoft Entra. Befristeten Zugriffspass als Authentifizierungsmethode aktivieren Ist die Authentifizierungsmethode befristeter Zugriffspass in Microsoft Entra noch nicht aktiviert, wird das Vorgehen im folgenden Blogpost beschrieben: Befristeter Zugriffspass in Microsoft Entra: Konfiguration und Einsatz – cloudkaffee.ch Authentifizierungsstärke konfigurieren In den nächsten Schritten wird eine Authentifizierungsstärke konfiguriert, die ausschliesslich den befristeten Zugriffspass als Anmeldemethode zulässt. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Authentifizierungsmethoden > Authentifizierungsstärken > Neue Authentifizierungsstärke auswählen Eingaben Überprüfen und mit Erstellen speichern. Die Authentifizierungsstärke ist erstellt und kann verwendet werden. Bedingter Zugriff für Geräteregistrierung mit befristetem Zugriffspass erstellen Die soeben erstellte Authentifizierungsstärke kann nun im bedingten Zugriff in Microsoft Entra als Anforderung für die Geräteregistrierung verwendet werden. Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > bedingter Zugriff > neue Richtlinie aufrufen. Geräteregistrierungen sind ab diesem Zeitpunkt nur noch mit einem befristeten Zugriffspass möglich. Fazit Die Geräteregistrierung in Microsoft Entra ist ein sicherheitskritischer Prozess. Erst die Einschränkung auf definierte Benutzergruppen, die erzwungene Multi-Faktor-Authentifizierung über bedingten Zugriff und Registrierungseinschränkungen in Microsoft Intune ermöglichen eine kontrollierte und sichere Geräteaufnahme. Ergänzende Massnahmen wie Gerätelimits und befristete Zugriffspässe reduzieren das Risiko zusätzlich.
Der Beitrag Geräteregistrierung in Microsoft Entra und Microsoft Intune absichern erschien zuerst auf cloudkaffee.ch
|
|
08.06.2026 - 17:36:38
|
|
https://www.cloudkaffee.ch/microsoft-365/geraeteregistrierung-microsoft-entra-ab ...
|
|
|
|
|
|
|
|
|
