Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Microsoft Entra-Zugriffsüberprüfungen unterstützen bis zu drei Überprüfungsphasen, in denen mehrere Arten von Prüfern ermitteln, wer noch Zugriff auf Unternehmensressourcen benötigt. Diese Überprüfungen können für die Mitgliedschaft in Gruppen oder Teams, den Zugriff auf Anwendungen, Zuweisungen zu privilegierten Rollen oder den Zugriff auf Paketzuweisungen durchgeführt werden. Wenn Überprüfungsadministratoren die Überprüfung für die automatische Anwendung von Entscheidungen konfigurieren, wird am Ende des Überprüfungszeitraums der Zugriff für verweigerte Benutzer widerrufen.
Anwendungsfälle für mehrstufige Überprüfungen
Mehrstufige Zugriffsüberprüfungen ermöglichen Ihnen und Ihrer Organisation, die Verwendung komplexer Workflows, um Neuzertifizierungs- und Überwachungsanforderungen zu erfüllen, für die mehrere Prüfer den Zugriff von Benutzern in einer bestimmten Reihenfolge bestätigen müssen. Des Weiteren können Sie damit effizientere Überprüfungen für Ihre Ressourcenbesitzer und Prüfer entwerfen, indem Sie die Anzahl von Entscheidungen verringern, für die die einzelnen Prüfer jeweils verantwortlich sind. Dieser Ansatz ermöglicht es, ansonsten separate Überprüfungen für die gleiche Ressource in einer einzelnen Zugriffsüberprüfung zu bündeln.
Hier sind einige Szenarien, die Sie berücksichtigen sollten:
- Erreichen von Einigkeit unter mehreren Prüfergruppen: Lassen Sie den Zugriff auf eine Ressource unabhängig von zwei Prüfergruppen überprüfen. Sie können Überprüfungen so konfigurieren, dass sich Prüfer beider Phasen auf Genehmigt einigen müssen, ohne die Entscheidungen der jeweils anderen zu kennen.
- Zuweisen alternativer Prüfer, die sich bei nicht überprüften Entscheidungen einschalten können: Lassen Sie zuerst den Ressourcenbesitzer den Zugriff auf seine Ressource bestätigen. Benutzer, für die keine Entscheidung erfasst wird, werden dann einem Prüfer der zweiten Phase zugewiesen (beispielsweise dem Vorgesetzten des Benutzers oder einem Überwachungsteam), der die Anforderungen überprüft, für die noch keine Entscheidung getroffen wurde.
- Entlasten der Prüfer späterer Phasen: Überprüfungen können so konfiguriert werden, dass Benutzer, für die in vorherigen Phasen eine negative Entscheidung getroffen wurde, in späteren Phasen nicht mehr überprüft werden, sodass Prüfern späterer Phasen eine gefilterte Liste angezeigt wird. Verwenden Sie dieses Szenario, um die zu überprüfenden Benutzer nach Phasen zu filtern.
Erreichen von Einigkeit unter mehreren Prüfergruppen
Ein Quorum hinsichtlich des richtigen Zugriffs für Benutzer zu erreichen, kann schwierig sein. Bei Ressourcen, auf die viele Benutzer Zugriff haben, oder bei vielfältigen Gruppen von Benutzern, die überprüft werden müssen, ist es für einen einzelnen Prüfer besonders schwierig, in allen Fällen die richtigen Entscheidungen zu treffen. Ein Ansatz, bei dem drei verschiedenen Prüfergruppen die Möglichkeit gegeben wird, Entscheidungen zu erfassen, und ihnen jeweils die Entscheidung der vorherigen Prüfergruppen präsentiert wird, trägt dazu bei, Einigkeit darüber zu erzielen, wer Zugriff auf die Ressource haben soll.
Ein Beispiel wäre eine dreistufige Überprüfung zur Bestimmung der Zugehörigkeit zu einer Gruppe, die den Zugriff auf eine Ressource steuert. In den Überprüfungseinstellungen entscheidet sich der Administrator dafür, Entscheidungen der Prüfer vorheriger Phasen nicht anzuzeigen. Diese Konfiguration ermöglicht es jeder Gruppe von Prüfern wie etwa dem Vorgesetzten des Benutzers, dem Gruppenbesitzer und einem Sicherheitsbeauftragten, den Zugriff unabhängig voneinander zu überprüfen. Die Gewichtung der Prüfergruppe erhöht sich von Phase zu Phase, und Entscheidungen der letzten Prüfergruppe können ggf. die Entscheidungen der Prüfer aus vorherigen Phasen außer Kraft setzen.
Die Konfiguration für dieses Szenario sieht wie folgt aus:
| attribute | Konfiguration |
|---|---|
| Mehrstufige Überprüfung | Aktiviert |
| Prüfer der ersten Phase | Vorgesetzte von Benutzern |
| Prüfer der zweiten Phase | Gruppenbesitzer |
| Prüfer der dritten Phase | Benutzer oder Gruppen auswählen: „Contoso-Prüfergruppe“ |
| Prüfern späterer Phasen Entscheidungen aus vorherigen Phasen anzeigen | Aktiviert |
| Zu Überprüfende, die zur nächsten Phase wechseln | Alle auswählen |
| Wenn Prüfer nicht reagieren | Zugriff entfernen |
Zuweisen alternativer Prüfer, die sich bei nicht überprüften Entscheidungen einschalten können
In Szenarien, in denen Entscheidungen erfasst werden müssen und sichergestellt werden muss, dass der Zugriff für die richtigen Personen erhalten bleibt, können Sie mithilfe mehrstufiger Überprüfungen eine Teilmenge von zu Überprüfenden, bei denen ggf. eine zweite Prüfergruppe zur Überprüfung oder Entscheidungsfindung erforderlich ist, in die nächste Phase überführen. Mithilfe dieses Musters können Sie die Anzahl an nicht überprüften Benutzern bzw. die Anzahl der als Nicht bekannt markierten Benutzer verringern, indem die zu Überprüfenden in eine andere Phase überführt werden, damit eine weitere Gruppe von Prüfern Entscheidungen fällen kann.
Ein Beispiel wäre eine zweistufige Überprüfung zur Bestimmung des Zugriffs auf eine Anwendung. In den Überprüfungseinstellungen entscheidet sich der Überprüfungsadministrator für die Einstellung Prüfern späterer Phasen Entscheidungen aus vorherigen Phasen anzeigen. Für Zu Überprüfende, die zur nächsten Phase wechseln werden die Entscheidungen hinzugefügt, die eine Bestätigung erfordern. Um sicherzustellen, dass für alle zu Überprüfenden eine Entscheidung getroffen wird, wählen Sie Zu Überprüfende, die als „Nicht bekannt“ markiert sind und Nicht überprüfte zu Überprüfende aus, damit Prüfern in späteren Phasen nur die zu Überprüfenden angezeigt werden, bei denen noch keine Entscheidung getroffen wurde oder Unsicherheit besteht, damit der passende Zugriff aufrechterhalten wird.
| attribute | Konfiguration |
|---|---|
| Mehrstufige Überprüfung | Aktiviert |
| Prüfer der ersten Phase | Benutzer oder Gruppen auswählen: Besitzer der Anwendungen |
| Prüfer der zweiten Phase | Vorgesetzte von Benutzern |
| Prüfern späterer Phasen Entscheidungen aus vorherigen Phasen anzeigen | Arbeitsunfähig |
| Zu Überprüfende, die zur nächsten Phase wechseln | Wählen Sie Nicht überprüfte zu Überprüfende und Zu Überprüfende, die als „Nicht bekannt“ markiert sind aus. |
| Wenn Prüfer nicht reagieren | Zugriff genehmigen |
Entlasten der Prüfer späterer Phasen
Bei Überprüfungen, die ggf. zahlreiche zu Überprüfende oder Benutzer umfassen, die überprüft und bestätigt werden müssen, können Sie festlegen, dass alle Endbenutzer zunächst einen Selbstnachweis durchführen müssen, bevor sie in einer späteren Phase von einem Ressourcenbesitzer oder von ihrem Vorgesetzten überprüft werden. Dieses Modell ermöglicht das Filtern der zu Überprüfenden von Phase zu Phase, wobei nur zu Überprüfende, die über einen Selbstnachweis verfügen, die nächste Phase erreichen.
Prüfern späterer Phasen (etwa den Vorgesetzten des Benutzers oder dem Ressourcenbesitzer) wird eine verkleinerte Liste der zu Überprüfenden angezeigt, die nur die zu Überprüfenden enthält, die zuvor bestätigt wurden. Die Anzahl der zu Überprüfenden verringert sich von Phase zu Phase. Der Zugriff bleibt nur für Benutzer erhalten, die in allen drei Phasen genehmigt wurden.
Ein Beispiel wäre eine Überprüfung einer Gruppe, die eine IT-Ausnahme gewährt und die ein Administrator regelmäßig überprüfen möchte. Da diese Ausnahme beliebt ist, werden Benutzer aufgefordert, zuerst zu antworten, und nur diejenigen, die geantwortet haben, dass sie die Ausnahme noch benötigen, werden in die zweite Phase überführt, in der dann der Vorgesetzte entscheidet. Nur wenn der Benutzer und der Vorgesetzte ihre Genehmigung erteilen, erhalten IT-Besitzer für die Ausnahme die Liste der Benutzer, die die Ausnahme noch benötigen und anfordern. Hierbei handelt es sich dann um eine kürzere Liste mit zu Überprüfenden.
| attribute | Konfiguration |
|---|---|
| Mehrstufige Überprüfung | Aktiviert |
| Prüfer der ersten Phase | Benutzer überprüfen ihren eigenen Zugriff |
| Prüfer der zweiten Phase | Vorgesetzte von Benutzern |
| Prüfer der dritten Phase | Gruppenbesitzer |
| Prüfern späterer Phasen Entscheidungen aus vorherigen Phasen anzeigen | Arbeitsunfähig |
| Zu Überprüfende, die zur nächsten Phase wechseln | Wählen Sie Genehmigte zu Überprüfende aus. |
| Wenn Prüfer nicht reagieren | Zugriff entfernen |
Gastbenutzerüberprüfungen
Gastbenutzerüberprüfungen sind für Organisationen hilfreich, die Microsoft Entra B2B für die Zusammenarbeit verwenden. Der Zugriff dieser Gastbenutzer sollte regelmäßig dahingehend überprüft werden, ob diese Gastbenutzer noch über den richtigen Zugriff verfügen und die Zusammenarbeit weiterhin gewünscht wird, damit das Widerrufen des Zugriffs oder eine Bereinigung von Gastbenutzerkonten, die nicht mehr benötigt werden, möglich ist.
Dieses Szenario kann mit mehrstufigen Überprüfungen konfiguriert werden. Dies erfolgt in ähnlicher Weise wie im Szenario „Entlasten der Prüfer späterer Phasen“. Bitten Sie die Gastbenutzer zunächst, eine Selbstüberprüfung durchzuführen und ihr anhaltendes Interesse und die Notwendigkeit der Zusammenarbeit nachzuweisen, einschließlich der Anforderung zur Angabe einer geschäftliche Begründung. Nur Gastbenutzer*innen, die über einen Selbstnachweis verfügen, werden in eine spätere Phase überführt, in der Projektsponsor*innen oder andere Mitarbeiter*innen den weiteren Zugriff oder die Zusammenarbeit genehmigen oder verweigern.
Ziehen Sie bei Gastbenutzerüberprüfungen auch die Verwendung der Einstellung Nur inaktive Benutzer (auf Mandantenebene) in Betracht. Dadurch wird die Überprüfung auf inaktive externe Benutzer begrenzt, die sich in der angegebenen Anzahl von Tagen nicht beim Ressourcenmandanten angemeldet haben.
In Szenarien für Gastbenutzer wird von der Zugriffsüberprüfung die zusätzliche Konfigurationsoption Auf abgelehnte Gastbenutzer anzuwendende Aktion unterstützt, die zu einem der folgenden Vorgänge führen kann:
- Mitgliedschaft des Benutzers aus der Ressource entfernen
- Anmeldung des Benutzers für 30 Tage blockieren und den Benutzer anschließend vom Mandanten entfernen
Abhängig von Ihren Überprüfungsanforderungen können Gastbenutzer, die nicht auf die Überprüfungsanforderung reagieren oder eine weitere Zusammenarbeit ablehnen, automatisch aus Ihrem Mandanten entfernt werden. Dies führt dazu, dass ein B2B-Gastbenutzerkonto nach einer Kontolöschung für 30 Tage gesperrt wird.
| attribute | Konfiguration |
|---|---|
| Nur inaktive Benutzer (auf Mandantenebene) | 180 Tage |
| Mehrstufige Überprüfung | Aktiviert |
| Prüfer der ersten Phase | Benutzer überprüfen ihren eigenen Zugriff |
| Prüfer der zweiten Phase | Gruppenbesitzer |
| Prüfern späterer Phasen Entscheidungen aus vorherigen Phasen anzeigen | Arbeitsunfähig |
| Zu Überprüfende, die zur nächsten Phase wechseln | Wählen Sie Genehmigte zu Überprüfende aus. |
| Wenn Prüfer nicht reagieren | Zugriff entfernen |
| Auf abgelehnte Gastbenutzer anzuwendende Aktion | Anmeldung des Benutzers für 30 Tage blockieren und den Benutzer anschließend vom Mandanten entfernen |
Hinweis
Die Einstellung Auf abgelehnte Gastbenutzer anzuwendende Aktion wird nur dann bei der Überprüfungserstellung angezeigt, wenn der Bereich für die Zugriffsüberprüfung mit Nur Gastbenutzer konfiguriert ist.
Dauer der Überprüfungsphasen
Überprüfungsadministratoren definieren die Dauer jeder Überprüfungsphase und somit, wie viel Zeit Prüfer in ihrer jeweiligen Phase haben, um ihre Entscheidungen zu erfassen. Jede Phase kann mit einer eigenen Dauer konfiguriert werden, um der Verfügbarkeit und den Erwartungen der Prüfer gerecht zu werden.
Prüfer können während der gesamten Dauer der Überprüfungsphase Entscheidungen hinzufügen. Durch Auswählen von Aktuelle Phase beenden können Überprüfungsadministratoren eine laufende Phase beenden und die gesamte Überprüfung auf der Prüferübersichtsseite automatisch in die nächste Überprüfungsphase überführen.
Anwendung der Ergebnisse
Im Rahmen von Microsoft Entra-Zugriffsüberprüfungen getroffene Entscheidungen hinsichtlich des Zugriffs auf eine Ressource können angewendet werden, indem nicht mehr benötigte Benutzer aus der Ressource entfernt werden. Entscheidungen werden immer am Ende des Überprüfungszeitraums angewendet oder wenn ein Überprüfungsadministrator die Überprüfung manuell beendet. Die automatische Anwendung der Ergebnisse wird vom Überprüfungsadministrator entweder mithilfe der Einstellung Ergebnisse automatisch auf Ressource anwenden oder manuell über die Schaltfläche Ergebnisse anwenden auf der Übersichtsseite der Überprüfung vorgenommen.
Entscheidungen werden von Prüfern für jede Phase gesammelt. Die Einstellung Zu Überprüfende, die zur nächsten Phase wechseln steuert, welche zu Überprüfenden den Prüfern späterer Phasen angezeigt werden, um Entscheidungen für sie zu erfassen. Entscheidungen werden erst am Ende der gesamten Überprüfung auf die Ressource angewendet.
Bei allen Entscheidungen wird am Ende der Überprüfung die letzte für einen Prüfer erfasste Entscheidung angewendet. Entscheidungen, die für Jane in der ersten Phase der Überprüfung getroffen wurden, können in Phase 2 und Phase 3 von Prüfern späterer Phasen außer Kraft gesetzt werden.
Wenn die Einstellung Zu Überprüfende, die zur nächsten Phase wechseln so festgelegt ist, dass nur eine Teilmenge der zu Überprüfenden in spätere Phasen überführt wird, kann es vorkommen, dass in der ersten Phase getroffene Entscheidungen am Ende der Überprüfung angewendet werden. Falls der Überprüfungsadministrator eine dreistufige Überprüfung konfiguriert hat und möchte, dass nur zu Überprüfende mit dem Status Abgelehnt oder Nicht überprüft die nächsten Phasen erreichen, gilt: Wenn für Jane in der ersten Phase eine Genehmigung erteilt wurde, wird sie nicht in weitere Phasen überführt. Somit wird für sie die Entscheidung Genehmigen erfasst und am Ende der Überprüfung auch angewendet.