Rechte in Azure hängen an Konten, und diese Konten leben im Verzeichnis, nicht in der Ressourcengruppe. Wer Azure betreibt, legt deshalb Benutzer und Gruppen an, ändert ihre Angaben und räumt sie wieder auf. Diese Lektion zeigt das mit dem Microsoft Entra Admin Center und mit Befehlen.
Die Nordlicht Reisen GmbH stellt zwei neue Mitarbeitende im Buchungsteam ein. Die IT soll sie anlegen, in eine Gruppe „Buchung“ aufnehmen und später Rechte an die Gruppe vergeben, nicht an Personen. Genau das üben Sie, mit erfundenen Personen.
Vorwissen: Was Microsoft Entra ID und ein Mandant sind und wie Anmeldung funktioniert, steht in „AZ-900 kompakt“, Lektion 2.6. Das Verhältnis von Entra-Rollen und Azure-Rollen und ein Skript, das eine Gruppe mit deaktivierten Testbenutzern anlegt, zeigt K3, Lektion 3.1.4. Hier steht die Verwaltung im Einzelnen, wie die Prüfung sie nennt. Lizenzen, Gäste und die Kennwortzurücksetzung folgen in Lektion 1.2.
Benutzertypen
Ein Konto in einem Mandanten für Beschäftigte (workforce tenant) ist eines von vier Typen:
| Typ | Beschreibung |
|---|---|
| Interner Mitgliedsbenutzer (internal member) | meist festangestellte Mitarbeitende, Zugangsdaten im eigenen Mandanten |
| Interner Gast (internal guest) | Konto im eigenen Mandanten, aber mit Gastrechten; oft älter als die Gastzusammenarbeit |
| Externes Mitglied (external member) | meldet sich mit einem externen Konto an, hat aber Mitgliedsrechte; typisch in Organisationen mit mehreren Mandanten |
| Externer Gast (external guest) | echter Gast, meldet sich mit externer Methode an, hat Gastrechte |
Die Zugangsdaten unterscheiden sich: Interne Benutzer haben Anmeldedaten im eigenen Mandanten, die Administratoren verwalten. Externe Gäste legen ihr Kennwort über den Link in der Einladung selbst fest. Externe Mitglieder melden sich in ihrem Heimatmandanten an; vergessen sie ihr Kennwort, setzt es dort die Administration zurück. Gäste und Einladungen sind Thema von Lektion 1.2. Hier legen Sie interne Mitglieder an.
Welche Rolle Sie dafür brauchen, nennt Microsoft nach dem Prinzip der geringsten Rechte:
| Aufgabe | Mindestens nötige Rolle |
|---|---|
| Benutzer anlegen | User Administrator |
| externen Gast einladen | Guest Inviter |
| Entra-Rollen zuweisen | Privileged Role Administrator |
| Gruppen verwalten | Groups Administrator oder User Administrator |
Das sind Entra-Rollen, keine Azure-Rollen. Mit einem eigenen Testkonto sind Sie im eigenen Mandanten Administrator. In einem Firmenverzeichnis dürfen Sie das meist nicht; dort legen Sie die Übungen in einem eigenen Testmandanten an (Microsoft beschreibt das unter „Create a new tenant“, Weiterlesen).