Wer darf bei der Nordlicht Reisen GmbH was? Der Betrieb verwaltet die Azure-Ressourcen des Portals, der Vertrieb liest Auswertungen, Partner sehen nur ihre Dokumente, und Mitarbeitende im Homeoffice erreichen eine interne Buchungsanwendung, die im Rechenzentrum in Hamburg bleibt. Diese Lektion empfiehlt Lösungen für den Zugriff auf Azure-Ressourcen und für den Zugriff auf Ressourcen vor Ort. Wie jemand sich anmeldet, war Lektion 1.2; hier geht es darum, was er danach darf.
Vorwissen. Rollen, Bereiche und Zuweisungen lesen und setzen Sie in „AZ-104, Lektion 1.3“, Identität und Zugriff erklärt „AZ-900 kompakt, Lektion 2.6“. Managed Identities zeigt „K3, Lektion 3.3.1“, geringste Rechte „K3, Lektion 3.3.5“ und „K4, Lektion 4.8.5“. Das wird hier nicht wiederholt.
Die Anforderung
Anforderungsblatt nach Lektion 0.2, Ausgangslage G-01 bis G-10. Alle Zahlen sind Annahmen der Aufgabe.
| Nr. | Anforderung | Art | Messgröße | Gewicht | Quelle |
|---|---|---|---|---|---|
| 1.3-01 | Der Betrieb verwaltet die Ressourcen des Portals mit den geringsten nötigen Rechten. | Q | 8 Personen, drei Aufgabengruppen; Annahme | Muss | Sicherheit |
| 1.3-02 | Administratorrechte für die Produktion gelten nur auf Anforderung und mit Begründung. | Q | Aktivierung für höchstens 8 Stunden; Annahme | Soll | Revision |
| 1.3-03 | Der Vertrieb liest Tabellen des Protokoll-Arbeitsbereichs (Lektion 1.1), ändert nichts. | F | eine Gruppe, 12 Personen; Annahme | Muss | Vertrieb |
| 1.3-04 | Anwendungen greifen ohne gespeicherte Geheimnisse auf Datenbank und Speicher zu. | F | alle Anwendungen des Portals; Annahme | Muss | Sicherheit |
| 1.3-05 | Partnerpersonal liest in der Dateiablage nur Dokumente des eigenen Unternehmens. | Q | 400 Benutzer in etwa 60 Unternehmen; Annahme | Muss | Datenschutz |
| 1.3-06 | Mitarbeitende im Homeoffice erreichen die interne Buchungsanwendung (Webanwendung, G-02) ohne Zugriff auf das ganze Netz. | F | etwa 80 Personen; Annahme | Muss | Betrieb |
| 1.3-07 | Dieselben Personen erreichen die alte Dateiablage im Rechenzentrum über SMB (G-06). | F | eine Freigabe; Annahme | Soll | Vertrieb |
| 1.3-08 | Es wird keine eingehende Firewall-Öffnung zum Rechenzentrum geschaffen. | R | keine eingehenden Ports; Annahme | Muss | Sicherheit |
Kostenrahmen. Kosten sinken vor Komfort, nicht vor Sicherheit. Kostentreiber: Lizenzstufe je Benutzer (Entra ID P1, P2), Lizenz für Entra Private Access, Server für Konnektoren. Beträge: Preisseiten von Microsoft Entra.