Bevor jemand in Azure etwas tun darf, muss geklärt sein, wer er ist und was er darf. Das sind zwei getrennte Fragen. Authentifizierung beantwortet „Wer sind Sie?“, Autorisierung beantwortet „Was dürfen Sie?“. In dieser Lektion sehen Sie, welche Dienste in Azure die erste Frage beantworten und welcher die zweite.

Das Beispiel ist die erfundene Nordlicht Reisen GmbH: Mitarbeitende im Büro, eine Partneragentur, die auf einzelne Dokumente zugreifen soll, und eine alte Buchungsanwendung, die auf einen Windows-Server mit Domäne angewiesen ist.

Verzeichnisdienste: Entra ID und Entra Domain Services

Microsoft Entra ID (früher Azure Active Directory) ist der cloudbasierte Dienst für Identitäts- und Zugriffsverwaltung. Er führt die Konten von Benutzern, Gruppen und Geräten und prüft deren Anmeldung bei Microsoft 365, Azure und vielen anderen Anwendungen. Wer Microsoft 365 oder Azure nutzt, hat schon einen Entra-Mandanten (englisch tenant), also das eigene Verzeichnis der Organisation.

Microsoft Entra Domain Services ist etwas anderes. Der Dienst stellt eine verwaltete Domäne bereit, wie man sie von klassischen Windows-Netzen kennt: mit Domänenbeitritt, Gruppenrichtlinien, LDAP und der Anmeldung per Kerberos und NTLM. Microsoft betreibt die Domänencontroller, Sie müssen sie nicht einrichten und patchen. Die Benutzer und Gruppen kommen per Einwegsynchronisation aus Entra ID. Der Dienst ist für ältere Anwendungen gedacht, die diese alten Protokolle brauchen und sich nicht leicht ändern lassen.

Microsoft Entra ID Microsoft Entra Domain Services
Wofür Anmeldung bei Cloud- und modernen Anwendungen Verwaltete Domäne für ältere Anwendungen
Protokolle moderne, internettaugliche Kerberos, NTLM, LDAP
Betrieb Microsoft betreibt den Dienst Microsoft betreibt die Domänencontroller
Beispiel bei Nordlicht Anmeldung am Buchungsportal Alte Buchungsanwendung, die in Azure weiterläuft

Wie Anmeldung funktioniert

Drei Begriffe gehören zur Anmeldung in Azure:

Single Sign-on (SSO) heißt: einmal anmelden, viele Anwendungen nutzen. Die Anwendung schickt den Benutzer zu Entra ID, dort wird er geprüft, und die Anwendung bekommt die Bestätigung. Es entstehen weniger Passwörter, weniger Rückfragen beim Support, und die Zugriffsverwaltung liegt an einer Stelle.

Multifaktor-Authentifizierung (MFA) verlangt mehr als ein Passwort. Microsoft nennt drei Arten von Nachweisen: etwas, das Sie wissen (ein Passwort), etwas, das Sie haben (ein Telefon oder ein Hardwareschlüssel), und etwas, das Sie sind (ein Fingerabdruck oder Gesichtsscan). MFA verlangt zwei oder mehr davon. Ein gestohlenes Passwort allein reicht dann nicht.

Passwortlose Anmeldung lässt das Passwort ganz weg. Microsoft unterstützt dafür unter anderem Windows Hello for Business (Biometrie oder PIN am eigenen PC), die Microsoft Authenticator-App (Bestätigung am Telefon) und FIDO2-Sicherheitsschlüssel (ein externer Schlüssel). Das ist bequemer und schwerer zu phishen, weil es kein Passwort zu stehlen gibt.

Externe Identitäten

Nordlicht will, dass die Partneragentur Dokumente ansehen darf, ohne dass die IT für jede Person ein Konto samt Passwort anlegt. Dafür gibt es Microsoft Entra External ID. Zwei Fälle sind wichtig:

  • B2B-Zusammenarbeit (Business-to-Business): Sie laden Gäste ein. Diese melden sich mit ihren eigenen Zugangsdaten an, etwa mit dem Konto ihrer Firma oder einem sozialen Konto. Im Verzeichnis entsteht ein Benutzerobjekt, typischerweise vom Typ Gast. Sie müssen keine fremden Konten und Passwörter verwalten.
  • Anwendungen für Endkunden: Wer eine Anwendung für Verbraucher oder Geschäftskunden baut, verwaltet deren Konten in einem eigenen externen Mandanten, getrennt vom Verzeichnis der Mitarbeitenden.

Conditional Access: Zugriff unter Bedingungen

Conditional Access (bedingter Zugriff) von Microsoft Entra ist die Regelmaschine für den Zugriff. Eine Richtlinie ist im einfachsten Fall eine Wenn-dann-Aussage: Wenn jemand auf eine Anwendung zugreifen will, dann muss er etwas tun. Zum Beispiel: Wenn jemand von außerhalb des Firmennetzes auf Microsoft 365 zugreift, dann muss er eine Multifaktor-Authentifizierung durchführen.

Als Signale dienen unter anderem die Zugehörigkeit zu einer Benutzergruppe, der Netzwerkstandort, der Zustand des Geräts, die Zielanwendung und erkannte Risiken. Als Entscheidung kann der Zugriff erlaubt, an Bedingungen geknüpft oder blockiert werden. Die Richtlinien greifen erst, nachdem der erste Faktor, meist das Passwort, geprüft wurde. Conditional Access ist deshalb keine erste Verteidigungslinie gegen Überlastungsangriffe.

Azure RBAC: Wer darf was?

Mit der Anmeldung steht fest, wer jemand ist. Welche Azure-Ressourcen er verwalten darf, regelt Azure RBAC (role-based access control, rollenbasierte Zugriffssteuerung). Eine Rollenzuweisung besteht aus drei Teilen:

  1. Der Sicherheitsprinzipal ist, wer den Zugriff bekommt: ein Benutzer, eine Gruppe, ein Dienstprinzipal (die Identität einer Anwendung) oder eine verwaltete Identität.
  2. Die Rollendefinition ist eine Sammlung von Berechtigungen, kurz die Rolle. Drei Grundrollen kennen Sie: Owner darf alles verwalten, auch den Zugriff, Contributor darf alles verwalten außer dem Zugriff, Reader darf alles ansehen, aber nichts ändern. Dazu gibt es viele spezielle eingebaute Rollen und eigene Rollen.
  3. Der Bereich (scope) sagt, wo die Rolle gilt: Verwaltungsgruppe, Abonnement, Ressourcengruppe oder einzelne Ressource.

Die Bereiche stehen in einer Hierarchie, und Rechte werden nach unten vererbt. Wer die Rolle Reader auf einem Abonnement hat, kann alle Ressourcengruppen darin lesen. Mehrere Zuweisungen addieren sich. Wer Contributor für ein Abonnement und Reader für eine Gruppe darin ist, hat insgesamt Contributor-Rechte. Als Faustregel gilt das Prinzip der geringsten Rechte: nur das, was jemand für seine Arbeit braucht, und im kleinstmöglichen Bereich.

Übung 1

Die Nordlicht Reisen GmbH hat ein Abonnement mit den Ressourcengruppen buchung und marketing. Verteilen Sie diese Zugriffe und nennen Sie jeweils den passenden Dienst oder die passende Rolle samt Bereich:

  1. Das Marketingteam soll in der Gruppe marketing alles anlegen und ändern dürfen, aber keine Rechte vergeben.
  2. Die Revision soll alles im Abonnement ansehen, aber nichts ändern dürfen.
  3. Die Partneragentur soll ein Dokument ansehen, ohne dass für sie Konten angelegt werden.
  4. Die Anmeldung bei der Buchungsverwaltung von außerhalb des Büros soll eine zweite Bestätigung verlangen.

Lösung 1
  1. Contributor für die Gruppe Marketing, vergeben auf dem Bereich Ressourcengruppe marketing. Contributor darf alles verwalten außer dem Zugriff.
  2. Reader auf dem Bereich Abonnement. Die Rolle wird nach unten vererbt und gilt für alle Ressourcengruppen darin.
  3. Entra External ID mit B2B-Zusammenarbeit. Die Agenturmitarbeitenden werden als Gäste eingeladen und melden sich mit ihren eigenen Zugangsdaten an. Anschließend bekommen sie zum Beispiel die Rolle Reader auf der einen Ressource.
  4. Conditional Access: Wenn der Zugriff von außerhalb des Firmennetzes kommt, dann ist MFA nötig.