SC-300

SC-300 dreht sich um Entra ID als das System, das entscheidet, wer wer ist. Dieser Bereich behandelt die Konten selbst und wie sie in den Mandanten kommen.

Ein Konto entsteht entweder in der Cloud oder wird aus einer lokalen Verzeichnisumgebung synchronisiert. Für die Synchronisierung gibt es Entra Connect Sync und die Cloud-Synchronisierung. Der klassische Dienst kann mehr, etwa KennwortrückschreibenSchreibt in der Cloud geänderte Kennwörter ins lokale Active Directory zurück. Voraussetzung für Selbstbedienung bei hybriden Konten. und komplexe Filterregeln; die Cloud-Synchronisierung läuft über einen leichten AgentenVerfolgt ein Ziel über mehrere Schritte und ruft dafür selbstständig Werkzeuge auf. und ist der Weg für getrennte Gesamtstrukturen oder mehrere kleine Quellen. Ein synchronisiertes Konto wird an der Quelle gepflegt; Änderungen in der Cloud werden überschrieben oder gar nicht erst zugelassen.

Gruppen sind das WerkzeugFähigkeit, die ein Agent aufrufen darf, etwa die Suche in hochgeladenen Dateien. für alles Weitere. SicherheitsgruppenZustandsbehafteter Filter je Netzwerkschnittstelle mit reinen Erlaubnisregeln. steuern Zugriff, Microsoft-365-Gruppen bringen zusätzlich Postfach, Website und Team mit. Dynamische GruppenGruppe, deren Mitgliedschaft aus einer Regel über Benutzer- oder Geräteattribute entsteht, setzt Entra ID P1 voraus. füllen sich anhand von Regeln über Attribute; das nimmt Pflegearbeit ab und macht die Attributqualität zur Voraussetzung.

Gäste sind der dritte FallBearbeitbarer Vorgang aus einer oder mehreren Warnungen, mit Notizen und Abschlussentscheidung.. Externe Zusammenarbeit bringt Konten von außen in den Mandanten, entweder per Einladung oder über eine Selbstregistrierung mit Genehmigung. ZugriffsüberprüfungenWiederkehrende Bestätigung bestehender Berechtigungen durch benannte Prüfer. sorgen dafür, dass Gäste nicht ewig bleiben. Für Verzeichnisrollen gilt der Grundsatz der geringsten Berechtigung, und VerwaltungseinheitenBehälter in Entra, der den Wirkungsbereich einer Rolle auf einen Ausschnitt des Verzeichnisses begrenzt. grenzen den Wirkungsbereich einer Rolle ein.

Dieser Bereich beantwortet die Frage, wie sich jemand ausweist und unter welchen Bedingungen er hereinkommt.

Bei den VerfahrenSchrittweise Beschreibung der Umsetzung. geht die Richtung weg vom Kennwort. Windows Hello for Business, FIDO2Phishingresistentes, kennwortloses Anmeldeverfahren, an die echte Domäne gebunden.-Sicherheitsschlüssel, die Authenticator-App mit kennwortloser Anmeldung und temporäre Zugangspässe für die Ersteinrichtung sind die Bausteine. Die AuthentifizierungsmethodenrichtlinieGruppenbezogene Steuerung, welche Anmeldemethoden im Mandanten erlaubt sind. legt fest, wer welche Methode nutzenWas ein Service leistet oder welche Einschränkung er beseitigt. darf. Die zahlengleiche Bestätigung in der App ist die Antwort auf das Ermüdungsproblem, bei dem Menschen Anfragen einfach wegdrücken.

Der Kennwortschutz sperrt schwache und gesperrte Kennwörter, auch in der lokalen Domäne über einen AgentenVerfolgt ein Ziel über mehrere Schritte und ruft dafür selbstständig Werkzeuge auf.. Das Zurücksetzen per Selbstbedienung braucht registrierte Methoden und, wenn es lokal wirken soll, das KennwortrückschreibenSchreibt in der Cloud geänderte Kennwörter ins lokale Active Directory zurück. Voraussetzung für Selbstbedienung bei hybriden Konten..

Der bedingte Zugriff ist das Herzstück. Eine RichtlinieVerbindliche Vorgabe der Leitung, was in der Organisation gilt. besteht aus Zuweisungen und Zugriffssteuerungen: Wer, welche App, welche Bedingungen, dann welche Anforderung. Bedingungen sind unter anderem Standort, Gerätezustand, Anwendung und RisikoErgebnis aus Bedrohung, Schwachstelle und Auswirkung.. Steuerungen sind Blockieren, mehrstufige Authentifizierung verlangen, konformes Gerät verlangen oder Sitzungssteuerung. Zwei Regeln muss man kennen: Alle zutreffenden Richtlinien gelten gemeinsam, und Blockieren gewinnt immer. Der Nur-Bericht-ModusBetriebsart einer Richtlinie für bedingten Zugriff, die das Ergebnis protokolliert, ohne es durchzusetzen. zeigt die Wirkung, bevor sie greift, und ein Notdienstkonto gehört von jeder Richtlinie ausgenommen.

Nicht jede Identität gehört zu einem Menschen. Anwendungen brauchen ebenfalls Konten, und dieser Bereich behandelt sie.

Eine Anwendungsregistrierung beschreibt die Anwendung im Heimatmandanten. Der DienstprinzipalLokale Vertretung einer Anwendung in einem Mandanten. Erscheint als Unternehmensanwendung. ist ihre Ausprägung in einem Mandanten, in dem sie genutzt wird. Für eine Anwendung, die in einer Azure-Ressource läuft, gibt es die verwaltete IdentitätIdentität eines Azure-Dienstes ohne gespeichertes Geheimnis.. Sie ist der bessere Weg, weil niemand ein Geheimnis speichern oder erneuern muss. Systemseitig zugewiesene Identitäten leben und sterben mit der Ressource, benutzerseitig zugewiesene lassen sich mehreren Ressourcen geben.

Berechtigungen kommen in zwei Ausprägungen. Delegierte BerechtigungenBerechtigung, die im Namen eines angemeldeten Nutzers wirkt und durch dessen eigene Rechte begrenzt ist. erlauben der Anwendung, im Namen des angemeldeten Nutzers zu handeln, und sind dadurch auf dessen Rechte begrenzt. AnwendungsberechtigungenBerechtigung, die ohne angemeldeten Nutzer mandantenweit wirkt und Administratorzustimmung erfordert. gelten ohne Nutzer und wirken auf den ganzen Mandanten; sie brauchen die Zustimmung eines Administrators. Diese Unterscheidung ist der häufigste Prüfungsstoff des Bereichs.

Die Zustimmung selbst lässt sich steuern. Eine Zustimmungsrichtlinie kann Nutzern erlauben, geprüfte Anwendungen selbst zu genehmigen, oder alles an einen Genehmigungsablauf verweisen. Der Unternehmensanwendungsbereich zeigt, was tatsächlich zugestimmt wurde.

Zur Anmeldung an Anwendungen gehören die EinmalanmeldungEine Anmeldung für mehrere Dienste. mit SAML oder OpenID Connect und die Bereitstellung von Konten in Fremdanwendungen über SCIM.

Rechte zu vergeben ist einfach. Sie wieder loszuwerden ist die eigentliche Aufgabe, und darum geht es hier.

ZugriffspaketeBündel aus Gruppen, Anwendungen und Websites mit Antrags-, Genehmigungs- und Ablaufregeln. bündeln alles, was jemand für eine Aufgabe braucht: Gruppen, Anwendungen, Websites. Ein KatalogBehälter für die Ressourcen, aus denen Zugriffspakete gebaut werden. Hat eigene Besitzer. fasst diese Bausteine zusammen, eine RichtlinieVerbindliche Vorgabe der Leitung, was in der Organisation gilt. legt fest, wer beantragen darf, wer genehmigt, wie lange es gilt und ob eine Verlängerung nötig ist. Damit wird aus einem Ticket ein Ablauf mit Ablaufdatum.

ZugriffsüberprüfungenWiederkehrende Bestätigung bestehender Berechtigungen durch benannte Prüfer. fragen in festen Abständen nach, ob eine Zuweisung noch stimmt. Prüfen kann der Nutzer selbst, sein Vorgesetzter oder eine benannte Person. Wichtig ist die Einstellung, was bei fehlender Antwort passiert: Entzug ist die sichere Vorgabe, Belassen macht die Überprüfung wirkungslos.

Privileged Identity ManagementVergabe privilegierter Rollen auf Zeit, mit Begründung, Genehmigung und Protokoll. verwandelt dauerhafte Rollen in solche, die auf Anforderung aktiviert werden. Dazu gehören Höchstdauer, Begründungspflicht, mehrstufige Authentifizierung beim Aktivieren und Genehmigung durch eine zweite Person. Auch Gruppen lassen sich so verwalten.

Der Lebenszyklus rundet das ab: Workflows für Eintritt, Wechsel und Austritt sorgen dafür, dass Rechte beim Wechsel mitwandern und beim Austritt verschwinden. Berichte und das ProtokollEintrag mit Text und Struktur, der im Log-Analytics-Arbeitsbereich landet und mit KQL abgefragt wird. der ÜberwachungProtokolliert Aktivitäten im Mandanten; die Premiumvariante bewahrt länger auf. liefern den Nachweis, dass all das tatsächlich passiert ist.