Entra & M365: Expert-Capstone

Was dieser Track wirklich gelehrt hat

Dreizehn Module lang ging es um Tenants, Gruppen, Anmeldeverfahren, Geräte, Zugriffsregeln, Workload-Identitäten, Risiko, Zusammenarbeit, Governance, privilegierten Zugriff, Protokolle und Vorfälle. Wer sie als dreizehn Themen gelernt hat, hat dreizehn Themen gelernt.

Tatsächlich tauchten dabei fünf Muster immer wieder auf — in verschiedenen Bereichen, mit verschiedenen Werkzeugen, aber derselben Struktur. Dieses Modul benennt sie. Danach prüfen die Übungen, ob du sie in Lagen wiedererkennst, die keinem einzelnen Modul zugeordnet sind.

Muster 1: Zwei richtige Einstellungen, eine unmögliche Bedingung

Das häufigste Muster des ganzen Tracks. Zwei Maßnahmen sind einzeln vernünftig, oft sogar ausdrücklich empfohlen. Zusammen ergeben sie eine Anforderung, die niemand erfüllen kann.

Zugriffsregeln

Eine Regel für alle Benutzer mit leerer Ausschlussliste sperrt auch jene aus, die sie zurücknehmen könnten.

Zugriffsüberprüfungen

autoApplyDecisionsEnabled und defaultDecisionEnabled zusammen können den gesamten Zugriff entziehen, wenn die Prüfenden nicht antworten.

Externe Zusammenarbeit

Fremder mehrstufiger Anmeldung vertrauen und eine Registrierungsrichtlinie auf Externe anwenden: Sie können die Anforderungen dann nicht mehr erfüllen.

Privilegierter Zugriff

Alle Zuweisungen berechtigt statt aktiv und Genehmigung verlangt, ohne genehmigende Person: Die aktiven Rolleninhaber wären die Ersatzgenehmigenden — es gibt keine.

Alle vier stehen in der Dokumentation, drei davon mit ausdrücklicher Warnung. Das Muster ist also bekannt und wird trotzdem gebaut, weil jede Einstellung für sich beim Anlegen richtig aussieht.

Erkennen lässt sich das Muster am Beschwerdebild, noch bevor man weiß, welche Einstellungen beteiligt sind: Betroffen ist eine klar abgrenzbare Gruppe, vollständig und gleichzeitig, und alle sehen dieselbe Aufforderung, an der sie scheitern. Ein gewöhnlicher Defekt trifft einzelne Personen mit besonderen Umständen; ein Widerspruch trifft alle oder niemanden.

Die Gegenmaßnahme ist in allen vier Fällen dieselbe Bauform: eine benannte Ausnahme, die außerhalb des Kreises steht. Bei Zugriffsregeln sind das die Notfallzugangskonten in excludeUsers, bei der Zugriffsüberprüfung die Werkseinstellung false für beide Schalter, bei der externen Zusammenarbeit der Ausschluss Externer aus der Registrierungsrichtlinie und bei PIM eine genehmigende Person, die nicht selbst aktivieren muss.

Muster 2: Die Quelle bestimmt den Ort der Änderung

Wo ein Wert verbindlich gepflegt wird, ist nicht immer dort, wo er angezeigt wird. Änderungen an der Anzeige halten bis zum nächsten Abgleich.

• Ein abgeglichenes Konto: mobilePhone ist in der Cloud schreibgeschützt, die Quelle liegt lokal.
• Ein gelöschtes, lokal noch vorhandenes Konto: Der Abgleich stellt es wieder her.
• Ein Gastkonto: Kennwort und Anmeldeverfahren verwaltet die Heimatorganisation, nicht dein Tenant.
• isCompliant an einem Gerät: Nur die Geräteverwaltung schreibt diesen Wert, Entra liest ihn.
• Ein Erweiterungsattribut eines früher abgeglichenen Kontos: in Graph gesperrt, über die Exchange-Oberfläche offen.

Die Fehlbedienung ist immer dieselbe: Jemand ändert etwas dort, wo er es sieht, und wundert sich über den Rücksprung. Die richtige erste Frage lautet nicht, wie man etwas ändert, sondern wo es verbindlich gepflegt wird.

Praktisch beantwortet man die Frage an einem Feld statt an einer Vermutung. onPremisesSyncEnabled sagt, ob ein Objekt abgeglichen wird; userType mit dem Wert Guest sagt, dass die Anmeldung woanders stattfindet; isManaged sagt, ob überhaupt jemand Vorgaben durchsetzt. Drei Felder, die vor jeder Änderung eine Minute kosten und regelmäßig eine Stunde sparen.

Muster 3: Das Signal verspricht mehr, als es belegt

Mehrere Angaben in Entra tragen Namen, die eine stärkere Aussage nahelegen, als sie tatsächlich machen. Wer sie beim Namen nimmt, baut Entscheidungen auf einer Zusicherung, die es nicht gibt.

isCompliant

Sagt: Das Gerät entsprach bei der letzten Bewertung den Vorgaben — mit einem Ablaufdatum. Nicht: Es entspricht ihnen jetzt.

Mehrstufige Anmeldung bei PIM-Aktivierung

Kann ausbleiben, wenn die Person sich bereits stark angemeldet hat. Nicht: Jede Aktivierung wurde einzeln bestätigt.

Erfolgreiche Anmeldung im Protokoll

Sagt: Die Anmeldung ist technisch gelungen. Nicht: Die berechtigte Person hat sie ausgelöst.

Risikostufe

Sagt: So sicher ist sich das System. Nicht: So groß wäre der Schaden.

Berechtigte Rollenzuweisung

Sagt: Die Rolle wirkt nicht dauernd. Nicht: Die Rolle ist kleiner geworden.

Muster 4: Erkennung ist nicht Abwehr

Mehrere Werkzeuge des Tracks bemerken etwas, ohne es verhindern zu können. Das ist kein Mangel, solange man es weiß — und ein Trugschluss, wenn man es nicht weiß.

• Nachträgliche Risikoerkennungen wie unlikelyTravel entstehen nach der Anmeldung. Sie wirken erst über das erhöhte Benutzerrisiko auf den nächsten Zugriff.
• Zugriffsregeln greifen nach der ersten Anmeldestufe. Ein gestohlenes Kennwort wird geprüft, bevor eine Regel zum Zug kommt — sie entwertet es, sie verhindert es nicht.
• Der reine Berichtsmodus wertet aus und setzt nichts durch. Er misst die Wirkung einer Regel, er schützt in dieser Zeit nicht.
• Protokolle zeigen, was geschehen ist. Ohne jemanden, der hinsieht, lösen sie nichts aus.

Daraus folgt die Schichtung, die den Track trägt: Anmeldeverfahren machen den Nachweis schwer stehlbar, Zugriffsregeln begrenzen seinen Wert, der Identitätsschutz bemerkt Abweichungen, und die Protokolle machen sie im Nachhinein rekonstruierbar. Jede Schicht deckt ab, was die vorige durchlässt.

Die vierte Schicht hat dabei eine Grenze, die man einplanen muss: Protokolle bleiben sieben Tage in der kostenlosen und 30 Tage in den kostenpflichtigen Editionen. Wer die Rekonstruierbarkeit über diesen Zeitraum hinaus braucht, muss die Ausleitung eingerichtet haben, bevor der Anlass entsteht — es ist die einzige Entscheidung dieses Tracks, die sich nachträglich gar nicht mehr treffen lässt.

Muster 5: Erst der Rückweg, dann die Verschärfung

Jede Maßnahme dieses Tracks, die etwas entzieht oder verlangt, hat einen Fehlerfall — und in fast jedem Fall trifft dieser Fehlerfall zuerst die Menschen, die ihn beheben könnten.

Das Muster hat eine unbequeme Seite: Es kostet immer Zeit, und der Nutzen ist unsichtbar. Eine Einführung, bei der niemand ausgesperrt wurde, sieht aus wie eine Einführung, bei der nichts passiert ist. Genau deshalb wird der Schritt gestrichen, wenn es eilig wird.

Zum Rückweg gehört auch, dass er erprobt ist. Ein Notfallzugang, den seit anderthalb Jahren niemand benutzt hat, während Anmeldeverfahren umgestellt und PIM eingeführt wurden, ist eine Annahme mit Dokumentation. Die Erprobung ist die einzige Rückmeldung, die dieser Weg jemals bekommt — und sie gehört an jede Umstellung gekoppelt, die Anmeldung oder Zugriffsregeln berührt, nicht nur an einen Kalendereintrag.

Die Schichten, zusammengesetzt

Legt man die Module übereinander, entsteht eine Kette, in der jedes Glied eine andere Frage beantwortet:

Wer ist das?

Anmeldeverfahren — und ob ihr Nachweis weiterleitbar ist.

Was darf diese Person?

Rollen mit Zuschnitt und Geltungsbereich; Gruppen als Träger.

Unter welchen Umständen?

Zugriffsregeln mit Gerätezustand, Standort und Anmeldestärke.

Wie lange?

Bedarfsgesteuerte Aktivierung und befristete Zuweisungen.

Wer prüft das nach?

Zugriffsüberprüfungen und Lebenszyklus-Workflows.

Was, wenn es doch passiert?

Identitätsschutz, Protokolle und der Notfallzugang.

Die häufigste Schwäche eines realen Tenants ist nicht eine schlechte Antwort auf eine dieser Fragen, sondern eine fehlende. Meist fehlen die vierte und die fünfte — die Zeitfrage und die Nachprüfung —, weil beide erst Wirkung zeigen, wenn niemand mehr hinsieht.

Aufschlussreich ist auch die Reihenfolge, in der die Fragen üblicherweise beantwortet werden. Organisationen beginnen fast immer bei der zweiten — wer darf was — und springen dann zur dritten, weil Zugriffsregeln sichtbar und wirksam sind. Die erste Frage, das Anmeldeverfahren, wird oft übersprungen, obwohl sie die anderen trägt: Eine Regel, die eine mehrstufige Anmeldung verlangt, ist nur so viel wert wie die Weiterleitbarkeit des dabei verwendeten Nachweises.

Wo die Werkzeuge aneinandergrenzen

Ein wiederkehrender Anfängerfehler ist, eine Aufgabe mit dem zuletzt gelernten Werkzeug zu lösen. Drei Grenzen lohnt es sich zu merken.

• Dynamische Gruppe oder Lebenszyklus-Workflow? Eine Regel prüft einen Zustand; ein Workflow trifft einen Zeitpunkt relativ zu einem Datum. Wer sieben Tage vor dem Eintritt etwas tun will, braucht den Workflow.
• Zugriffspaket oder Zugriffsüberprüfung? Das Paket vergibt befristet und beendet vollständig; die Überprüfung bestätigt Bestehendes. Für einen wachsenden Altbestand braucht es die Überprüfung, für neuen Zugriff das Paket.
• Rollenzuschnitt oder Aktivierung? Der Zuschnitt bestimmt die Reichweite, die Aktivierung die Dauer. Die Aktivierung ersetzt den Zuschnitt nie — sie macht eine zu große Rolle nur befristet zu groß.

Die Fragen, die auf jeden Entwurf passen

Aus den fünf Mustern lässt sich eine kurze Liste ableiten, die bei jedem Vorhaben in diesem Bereich trägt — unabhängig davon, welches Werkzeug beteiligt ist.

• Wer nimmt das zurück? Und kann diese Person die Maßnahme selbst erfüllen?
• Wo ist die Quelle? Und ändere ich gerade dort oder an einer Kopie?
• Was belegt dieses Signal wörtlich? Und was möchte ich daraus ableiten?
• Verhindert das etwas oder bemerkt es nur etwas? Und reicht mir das hier?
• Was passiert, wenn niemand handelt? Untätigkeit sollte nichts entziehen.
• Was ist der Preis der richtigen Wahl? Jede Empfehlung in diesem Track hatte einen.

Die letzte Frage ist die, die einen Entwurf von einer Werbebroschüre unterscheidet. Jede Maßnahme dieses Tracks hat Kosten: mehr Registrierungen, längere Einführungen, zusätzliche Pflege, Reibung im Alltag. Wer sie nennen kann, hat verstanden, was er vorschlägt.

Durchgerechnet: eine unbekannte Lage einordnen

Der Preis dieses Vorgehens ist, dass es beim ersten Mal langsamer wirkt als das Durchprobieren der zuletzt geänderten Einstellungen. Es liefert dafür eine Begründung statt eines Zufallstreffers — und beim nächsten Mal erkennt man die Signatur in einer Minute.

Was dieser Track nicht behandelt hat

Zur Redlichkeit gehört, die Grenzen zu benennen. Einiges liegt bewusst außerhalb und steht in anderen Tracks.

• Der Aufbau des Verzeichnisabgleichs — Topologie, Anmeldeverfahren, Quellanker — steht im Track zu Active Directory.
• Die Verwaltung von Geräten mit Richtlinien und Aufnahme steht im Track zum Endpunktbetrieb.
• Vorfallführung, Bereitschaft und Eskalation stehen im Track zu Überwachung und Vorfallbetrieb.
• Die Dienste von Microsoft 365 selbst — Postfächer, Zusammenarbeit, Aufbewahrung — stehen in den jeweiligen Fachtracks.

Und einiges liegt außerhalb jeder Dokumentation: Wie eine Organisation entscheidet, welchen Aufwand sie trägt, wer im Ernstfall erreichbar ist und ob eine Empfehlung durchgesetzt wird, steht in keinem Handbuch. Die Werkzeuge sind der einfachere Teil.

Zum Schluss

Wenn von diesem Track eines bleiben soll, dann diese sechs Fragen. Sie setzen kein Produktwissen voraus, veralten nicht mit der nächsten Umbenennung und führen in den meisten Lagen schneller zur richtigen Entscheidung als die Suche nach der passenden Einstellung.