Lizenzen, externe Benutzer und Self-Service-Kennwortzurücksetzung

In Lektion 1.1 haben Sie Benutzer und Gruppen angelegt. Heute geht es um drei Dinge, die an diesen Konten hängen: Lizenzen, die sie zu etwas berechtigen, Gäste von außerhalb, die Zugriff auf einzelne Dinge bekommen, und die Möglichkeit, dass Benutzer ihr vergessenes Kennwort selbst zurücksetzen.

Die Nordlicht Reisen GmbH hat dafür drei Fälle. Das Buchungsteam braucht Lizenzen für Dienste, die eine Lizenz verlangen. Eine Partneragentur soll ein Dokument einsehen, ohne dass die IT für jede Person ein Konto anlegt. Und die Hotline soll nicht jeden Montag Kennwörter zurücksetzen.

Vorwissen: Externe Identitäten (B2B-Zusammenarbeit) und die Stufen von Microsoft Entra ID erklärt „AZ-900 kompakt“, Lektion 2.6. Das Anlegen von Gruppen und Benutzern steht in Lektion 1.1; die Einordnung von Lizenzstufen und Kennwörtern in K3, Lektion 3.1.4. Diese Lektion zeigt die Verwaltung.

Lizenzen verwalten

Manche Dienste sind erst nutzbar, wenn dem Benutzer eine Lizenz zugewiesen ist. Welche Funktionen eine Lizenz freischaltet, hängt vom Produkt ab. Für die Verwaltung gelten drei Regeln.

Der Standort kommt zuerst. Nicht jeder Microsoft-Dienst ist in jedem Land verfügbar. Bevor ein Benutzer eine Lizenz bekommt, braucht er einen Standort (usage location). Sie setzen ihn bei der Anlage unter Settings oder später in den Eigenschaften des Benutzers (Lektion 1.1). Bei Gruppenlizenzen erben Benutzer ohne eigenen Standort den Standort des Mandanten.

Wer darf Lizenzen zuweisen? Mindestens die Rolle License Administrator, User Administrator oder (bei Gruppen) Groups Administrator.

Der Weg im Portal. Für einen einzelnen Benutzer: Im Entra Admin Center unter Billing, Licenses das Produkt wählen, Assign, unter Users and groups den Benutzer wählen, bei Assignment options die gewünschten Dienste ein- oder ausschalten, dann Assign. Die Seite heißt je nach Oberfläche auch Identity > Billing > Licenses; die Namen im Portal ändern sich. Lizenzen lassen sich ebenso im Microsoft 365 Admin Center zuweisen.

Für Skripte gibt es das Microsoft Graph PowerShell SDK (nicht das Az-Modul). Ein Beispiel aus der Dokumentation:

$e5Sku = Get-MgSubscribedSku -All | Where SkuPartNumber -eq 'SPE_E5'
Set-MgUserLicense -UserId "belindan@litwareinc.com" -AddLicenses @{SkuId = $e5Sku.SkuId} -RemoveLicenses @()

Get-MgSubscribedSku listet die Produkte, die der Mandant gekauft hat; Set-MgUserLicense fügt eine Lizenz hinzu und entfernt keine. Den Standort setzt Update-MgUser -UserId <Name> -UsageLocation <Ländercode>. Ein Konto ohne Lizenz hat die Dienste nicht; wer ein Konto löscht, gibt seine Lizenz sofort wieder frei.

Lizenzen über Gruppen

Statt jedem Benutzer einzeln eine Lizenz zuzuweisen, weisen Sie sie einer Gruppe zu (group-based licensing): Jedes Mitglied bekommt sie automatisch, und mit dem Austritt verliert es sie. Das geht mit Sicherheitsgruppen, E-Mail-aktivierten Gruppen und Microsoft-365-Gruppen. Die Grenzen, die Microsoft nennt:

• Verschachtelte Gruppen werden nicht unterstützt. Weisen Sie die Lizenz einer Gruppe zu, die andere Gruppen enthält, bekommen nur die Benutzer der ersten Ebene die Lizenz.
• Im Microsoft 365 Admin Center lassen sich Lizenzen höchstens 20 Gruppen gleichzeitig zuweisen.
• Bei sehr großen Gruppen können Lizenzänderungen lange dauern.

Wer Benutzer zwischen zwei lizenzierten Gruppen verschiebt, fügt sie zuerst der neuen Gruppe hinzu, prüft auf der Seite des Benutzers, dass die neue Lizenz da ist, und entfernt sie dann aus der alten. Entfernt man zuerst, ist der Benutzer ohne Lizenz, bis die Verarbeitung der neuen fertig ist.

Lizenzfehler deuten

Bei Gruppenlizenzen erscheint ein Fehler nicht sofort, sondern später am Benutzer. Sie finden ihn im Portal auf der Seite des Produkts unter Errors & issues, oder beim Öffnen der Gruppe. Die häufigsten Fälle:

Nach der Korrektur wählen Sie unter Errors & issues die Gruppe oder den Benutzer und Reprocess. Das Wiederverarbeiten erfasst höchstens 20 Benutzer auf einmal.