Was sind benutzerdefinierte Sicherheitsattribute in Microsoft Entra ID?

Benutzerdefinierte Sicherheitsattribute in Microsoft Entra ID sind geschäftsspezifische Attribute (Schlüssel-Wert-Paare), die Sie definieren und Microsoft Entra-Objekten zuweisen können. Diese Attribute können verwendet werden, um Informationen zu speichern, Objekte zu kategorisieren oder eine differenzierte Zugriffssteuerung für bestimmte Azure-Ressourcen zu erzwingen. Benutzerdefinierte Sicherheitsattribute können mit der attributbasierten Zugriffssteuerung in Azure (ABAC) verwendet werden.

Gründe für die Verwendung benutzerdefinierter Sicherheitsattribute

Hier sind einige Szenarien, in denen Sie benutzerdefinierte Sicherheitsattribute verwenden können:

• Erweitern von Benutzerprofilen (beispielsweise durch Hinzufügen des Stundenlohns zu allen Mitarbeitern)
• Sicherstellen, dass das Stundenlohnattribut in den Profilen der Mitarbeiter nur für Administratoren sichtbar ist
• Kategorisieren hunderter oder tausender Anwendungen zur mühelosen Erstellung eines filterbaren Bestands für die Überwachung
• Gewähren von Benutzerzugriff auf die Azure Storage-Blobs eines Projekts

Verwendungsmöglichkeiten von benutzerdefinierten Sicherheitsattributen

Zu den benutzerdefinierten Sicherheitsattributen gehören unter anderem folgende Funktionen:

• Definieren geschäftsspezifischer Informationen (Attribute) für Ihren Mandanten
• Hinzufügen benutzerdefinierter Sicherheitsattribute für Benutzer und Anwendungen.
• Verwalten Sie Microsoft Entra-Objekte mithilfe von benutzerdefinierten Sicherheitsattributen mit Abfragen und Filtern.
• Bereitstellen von Attributgovernance, damit durch Attribute gesteuert wird, wer zugreifen kann

Benutzerdefinierte Sicherheitsattribute werden in folgenden Bereichen nicht unterstützt:

• Microsoft Entra Domain Services
• SAML-Tokenansprüche (Security Assertion Markup Language)

Features benutzerdefinierter Sicherheitsattribute

Benutzerdefinierte Sicherheitsattribute umfassen unter anderem folgende Features:

• Mandantenweit verfügbar
• Enthalten eine Beschreibung
• Unterstützung verschiedener Datentypen: Boolean, Integer, String
• Unterstützung eines einzelnen Werts oder mehrerer Werte
• Unterstützung benutzerdefinierter Freiform- oder vordefinierter Werte
• Zuweisung benutzerdefinierter Sicherheitsattribute zu Benutzern mit Verzeichnissynchronisierung aus dem lokalen Active Directory

Das folgende Beispiel zeigt mehrere benutzerdefinierte Sicherheitsattribute, die einem Benutzer zugewiesen sind. Die benutzerdefinierten Sicherheitsattribute sind unterschiedliche Datentypen und weisen Werte auf, die einmalig, mehrfach, in freiem Format oder vordefiniert sind.

Objekte, die benutzerdefinierte Sicherheitsattribute unterstützen

Benutzerdefinierte Sicherheitsattribute können für folgende Microsoft Entra-Objekte hinzugefügt werden:

• Microsoft Entra-Benutzer
• Microsoft Entra-Unternehmensanwendungen (Dienstprinzipale)

Vergleich von benutzerdefinierten Sicherheitsattributen und Erweiterungen

Obwohl sowohl Erweiterungen als auch benutzerdefinierte Sicherheitsattribute zum Erweitern von Objekten in Microsoft Entra ID und Microsoft 365 verwendet werden können, eignen sie sich für grundlegend unterschiedliche benutzerdefinierte Datenszenarien. Hier werden einige Aspekte der benutzerdefinierten Sicherheitsattribute mit Erweiterungen verglichen:

Funktionalität	Erweiterungen	Benutzerdefinierte Sicherheitsattribute
Erweitern von Microsoft Entra ID und Microsoft 365-Objekten	Ja	Ja
Unterstützte Objekte	Abhängig vom Erweiterungstyp	Benutzer*innen und Dienstprinzipale
Eingeschränkter Zugriff	Nein. Jede*r Benutzer*in, der bzw. die zum Lesen des Objekts berechtigt ist, kann die Erweiterungsdaten lesen.	Ja. Der Lese- und Schreibzugriff wird über separate Berechtigungen und die rollenbasierte Zugriffssteuerung (RBAC) eingeschränkt.
Verwendung	Speichern von Daten, die von einer Anwendung verwendet werden sollen Speichern nicht vertraulicher Daten	Speichern vertraulicher Daten Verwenden für Autorisierungsszenarien
Lizenzanforderungen	Verfügbar in allen Editionen von Microsoft Entra ID	Verfügbar in allen Editionen von Microsoft Entra ID

Weitere Informationen zur Verwendung von Erweiterungen finden Sie unter Hinzufügen von benutzerdefinierten Daten zu Ressourcen mithilfe von Erweiterungen.

Schritte für die Verwendung benutzerdefinierter Sicherheitsattribute

1. Überprüfen Sie die Berechtigungen.

   Vergewissern Sie sich, dass Ihnen die Rolle Administrator für Attributdefinitionen oder Administrator für Attributzuweisungen zugewiesen ist. Bei Bedarf kann eine Person mit mindestens der Rolle Administrator für privilegierte Rollen diese Rollen zuweisen.

   

2. Hinzufügen von Attributsätzen

   Fügen Sie Attributsätze hinzu, um verwandte benutzerdefinierte Sicherheitsattribute zu gruppieren und zu verwalten. Weitere Informationen

   

3. Verwalten von Attributsätzen

   Geben Sie an, wer benutzerdefinierte Sicherheitsattribute in einem Attributsatz lesen, definieren oder zuweisen kann. Weitere Informationen

   

4. Definieren von Attributen

   Fügen Sie Ihrem Verzeichnis benutzerdefinierte Sicherheitsattribute hinzu. Neben dem Datentyp (boolescher Wert, ganze Zahl oder Zeichenfolge) können Sie angeben, ob es sich um vordefinierte Werte, um Freiformwerte, um einen einzelnen Wert oder um mehrere Werte handelt. Weitere Informationen

   

5. Zuweisen von Attributen

   Weisen Sie Microsoft Entra-Objekten benutzerdefinierte Sicherheitsattribute für Ihre Geschäftsszenarien zu. Weitere Informationen

   

6. Verwenden von Attributen

   Filtern Sie Benutzer und Anwendungen, die benutzerdefinierte Sicherheitsattribute verwenden. Weitere Informationen

   Fügen Sie Azure-Rollenzuweisungen Bedingungen mit benutzerdefinierten Sicherheitsattributen hinzu, um eine differenzierte Zugriffssteuerung zu erreichen. Weitere Informationen

Begriff

Zum besseren Verständnis von benutzerdefinierten Sicherheitsattributen können Sie sich bei Bedarf die folgende Begriffsliste ansehen:

Begriff	Definition
Attributdefinition	Das Schema eines benutzerdefinierten Sicherheitsattributs oder Schlüssel-Wert-Paars – beispielsweise der Name, die Beschreibung, der Datentyp und die vordefinierten Werte des benutzerdefinierten Sicherheitsattributs.
Attributsatz	Eine Sammlung verwandter benutzerdefinierter Sicherheitsattribute. Attributsätze können an andere Benutzer delegiert werden, um benutzerdefinierte Sicherheitsattribute zu definieren und zuzuweisen.
Attributname	Ein eindeutiger Name eines benutzerdefinierten Sicherheitsattributs innerhalb eines Attributsatzes. Die Kombination aus Attributsatz und Attributname bildet ein eindeutiges Attribut für Ihren Mandanten.
Attributzuweisung	Die Zuweisung eines benutzerdefinierten Sicherheitsattributs zu einem Microsoft Entra-Objekt – beispielsweise zu Benutzer*innen und Unternehmensanwendungen (Dienstprinzipalen).
Vordefinierter Wert	Ein zulässiger Wert für ein benutzerdefiniertes Sicherheitsattribut.

Eigenschaften benutzerdefinierter Sicherheitsattribute

Die folgende Tabelle enthält die Eigenschaften, die Sie für Attributsätze und benutzerdefinierte Sicherheitsattribute angeben können. Einige Eigenschaften sind unveränderlich und können später nicht mehr geändert werden.

Eigenschaft	Erforderlich	Nachträglich änderbar	Beschreibung
Name des Attributsatzes	✅		Der Name des Attributsatzes. Muss innerhalb eines Mandanten eindeutig sein. Darf keine Leerzeichen oder Sonderzeichen enthalten.
„Attribute set description“ (Beschreibung des Attributsatzes)		✅	Die Beschreibung des Attributsatzes.
Maximale Anzahl von Attributen		✅	Die maximale Anzahl benutzerdefinierter Sicherheitsattribute, die in einem Attributsatz definiert werden können. Der Standardwert ist null. Ohne Angabe kann der Administrator maximal 500 aktive Attribute pro Mandant hinzufügen.
Attributsatz	✅		Eine Sammlung verwandter benutzerdefinierter Sicherheitsattribute. Jedes benutzerdefinierte Sicherheitsattribut muss Teil eines Attributsatzes sein.
Attributname	✅		Der Name des benutzerdefinierten Sicherheitsattributs. Muss innerhalb eines Attributsatzes eindeutig sein. Darf keine Leerzeichen oder Sonderzeichen enthalten.
Attributbeschreibung		✅	Die Beschreibung des benutzerdefinierten Sicherheitsattributs.
Datentyp	✅		Der Datentyp für die Werte des benutzerdefinierten Sicherheitsattributs. Unterstützte Typen: Boolean, Integer und String.
„Allow multiple values to be assigned“ (Zuweisen mehrerer Werte zulassen)	✅		Gibt an, ob dem benutzerdefinierten Sicherheitsattribut mehrere Werte zugewiesen werden können. Wenn der Datentyp auf festgelegt Boolean ist, kann diese Eigenschaft nicht auf „Ja“ festgelegt werden.
Nur die Zuweisung vordefinierter Werte zulassen	✅		Gibt an, ob dem benutzerdefinierten Sicherheitsattribut nur vordefinierte zugewiesen werden können. Ist diese Eigenschaft auf „Nein“ festgelegt, sind Freiformwerte zulässig. Kann später von „Ja“ in „Nein“, aber nicht von „Nein“ in „Ja“ geändert werden. Wenn der Datentyp auf festgelegt Boolean ist, kann diese Eigenschaft nicht auf „Ja“ festgelegt werden.
„Predefined values“ (Vordefinierte Werte)			Vordefinierte Werte für das benutzerdefinierte Sicherheitsattribut des ausgewählten Datentyps. Weitere vordefinierte Werte können später hinzugefügt werden. Die Werte können Leerzeichen enthalten, es sind jedoch nicht alle Sonderzeichen zulässig.
„Predefined value is active“ (Vordefinierter Wert ist aktiv)		✅	Gibt an, ob der vordefinierte Wert aktiv oder deaktiviert ist. Ist diese Eigenschaft auf „False“ festgelegt, kann der vordefinierte Wert keinen weiteren unterstützten Verzeichnisobjekten zugewiesen werden.
Attribut ist aktiv		✅	Gibt an, ob das benutzerdefinierte Sicherheitsattribut aktiv oder deaktiviert ist.

Grenzen und Einschränkungen

Hier finden Sie einige der Grenzwerte und Einschränkungen für benutzerdefinierte Sicherheitsattribute:

Resource	Begrenzung	Notizen
Attributdefinitionen pro Mandant	500	Gilt nur für aktive Attribute im Mandanten
Attributsätze pro Mandant	500
Länge des Attributsatznamens	32	Unicode-Zeichen mit Beachtung der Groß-/Kleinschreibung
Länge der Attributsatzbeschreibung	128	Unicode-Zeichen
Länge des Attributnamens	32	Unicode-Zeichen mit Beachtung der Groß-/Kleinschreibung
Länge der Attributbeschreibung	128	Unicode-Zeichen
„Predefined values“ (Vordefinierte Werte)		Unicode-Zeichen mit Beachtung der Groß-/Kleinschreibung
Vordefinierte Werte pro Attributdefinition	100
Länge des Attributwerts	64	Unicode-Zeichen
Pro Objekt zugewiesene Attributwerte	50	Werte können auf ein- und mehrwertige Attribute verteilt werden. Beispiel: Fünf Attribute mit jeweils zehn Werten oder 50 Attribute mit jeweils einem Wert
Sonderzeichen sind nicht zulässig für: Name des Attributsatzes Attributname	<space> ` ~ ! @ # $ % ^ & * ( ) _ - + = { [ } ] \| \ : ; " ' < , > . ? /	Der Name des Attributsatzes und der Attributname dürfen nicht mit einer Zahl beginnen.
Sonderzeichen, die für Attributwerte zulässig sind	Alle Sonderzeichen
Sonderzeichen, die für Attributwerte zulässig sind, wenn sie mit Blobindextags verwendet werden	<space> + - . : = _ /	Wenn Sie Attributwerte mit Blobindextags verwenden möchten, sind nur diese Sonderzeichen für Blobindextags zulässig. Weitere Informationen finden Sie unter Festlegen von Blobindextags.

Rollen für benutzerdefinierte Sicherheitsattribute

Microsoft Entra ID bietet integrierte Rollen für die Arbeit mit benutzerdefinierten Sicherheitsattributen. Für die Verwaltung benutzerdefinierter Sicherheitsattribute wird mindestens die Rolle „Administrator für Attributdefinitionen“ benötigt. Benutzer, die benutzerdefinierte Sicherheitsattributwerte für Microsoft Entra-Objekte wie Benutzer und Anwendungen zuweisen möchten, benötigen mindestens die Rolle „Administrator für Attributzuweisungen“. Diese Rollen können auf Mandantenebene oder auf Attributsatzebene zugewiesen werden.

Role	Berechtigungen
Leser für Attributdefinitionen	Attributsätze lesen Definitionen benutzerdefinierter Sicherheitsattribute lesen
Administrator für Attributdefinitionen	Alle Aspekte von Attributsätzen verwalten Alle Aspekte der Definitionen benutzerdefinierter Sicherheitsattribute verwalten
Leser für Attributzuweisungen	Attributsätze lesen Definitionen benutzerdefinierter Sicherheitsattribute lesen Schlüssel und Werte benutzerdefinierter Sicherheitsattribute für Benutzer und Dienstprinzipale lesen
Administrator für Attributzuweisungen	Attributsätze lesen Definitionen benutzerdefinierter Sicherheitsattribute lesen Schlüssel und Werte benutzerdefinierter Sicherheitsattribute für Benutzer und Dienstprinzipale lesen und aktualisieren
Attributprotokollleser	Lesen von Überwachungsprotokollen für benutzerdefinierte Sicherheitsattribute
Attributprotokolladministrator	Lesen von Überwachungsprotokollen für benutzerdefinierte Sicherheitsattribute Konfigurieren von Diagnoseeinstellungen für benutzerdefinierte Sicherheitsattribute

Wichtig

Standardmäßig verfügen globale Administratoren und andere Administratorrollen nicht über Berechtigungen zum Lesen, Definieren oder Zuweisen von benutzerdefinierten Sicherheitsattributen.

Microsoft Graph-API

Benutzerdefinierte Sicherheitsattribute können Sie programmgesteuert mithilfe der Microsoft Graph-API verwalten. Weitere Informationen finden Sie unter Übersicht über benutzerdefinierte Sicherheitsattribute mithilfe der Microsoft Graph-API.

Sie können einen API-Client wie Graph-Tester verwenden, um die Microsoft Graph-API für benutzerdefinierte Sicherheitsattribute einfacher zu testen.

Lizenzanforderungen

Die Nutzung dieses Features ist kostenlos und in Ihrem Azure-Abonnement enthalten.

Nächste Schritte

• Hinzufügen oder Deaktivieren von Definitionen benutzerdefinierter Sicherheitsattribute in Microsoft Entra ID
• Verwalten des Zugriffs auf benutzerdefinierte Sicherheitsattribute in Microsoft Entra ID
• Zuweisen, Aktualisieren, Auflisten oder Entfernen von benutzerdefinierten Sicherheitsattributen für einen Benutzer