Entra ID Grundlagen – nova-it.io

Was ist Entra ID Nutzer & Gruppen Rollen & Rechte Lizenzmodell Best Practices

Was ist Entra ID?

Der cloudbasierte Identitäts- und Zugriffsdienst hinter Microsoft 365 und Azure.

Cloud-Identität statt Domänencontroller

Microsoft Entra ID (bis 2023 „Azure Active Directory" / Azure AD) ist Microsofts cloudbasierter Verzeichnis- und Identitätsdienst. Jeder Microsoft-365- oder Azure-Zugang basiert darauf: Anmeldung, Single Sign-On, MFA und die Autorisierung für Exchange Online, SharePoint, Teams & Co. laufen über Entra ID.

Wichtig: Entra ID ist kein Cloud-Domänencontroller. Es teilt zwar den Namen „Active Directory", funktioniert aber grundlegend anders als das lokale AD.

Abgrenzung zum On-Prem-AD

Merkmal	On-Prem AD (AD DS)	Entra ID
Protokolle	Kerberos, LDAP, NTLM	OAuth 2.0, OpenID Connect, SAML, SCIM
Struktur	Forest / Domänen / OUs, hierarchisch	Flacher Tenant, keine OUs / GPOs
Gruppenrichtlinien	GPOs	Keine GPOs — stattdessen Intune-Profile
Geräte	Domain Join	Entra Join / Hybrid Join, MDM via Intune
Betrieb	Eigene Server & Wartung	Managed Service von Microsoft

In der Praxis existieren beide oft parallel (Hybrid): Das lokale AD bleibt für Fileserver, Drucker und Legacy-Anwendungen, Entra ID trägt die Cloud-Dienste. Synchronisiert werden beide über Entra Connect Sync.

Das Tenant-Konzept

Ein Tenant (Mandant) ist eine dedizierte, isolierte Instanz von Entra ID — die Verzeichnisgrenze einer Organisation. Er wird beim Anlegen des ersten Microsoft-365- oder Azure-Abonnements automatisch erstellt und ist durch eine Tenant-ID (GUID) sowie eine Standard-Domäne firma.onmicrosoft.com identifiziert.

Ein Tenant enthält Nutzer, Gruppen, App-Registrierungen, Geräte und Richtlinien.
Eigene Domänen (z. B. nova-it.io) werden dem Tenant hinzugefügt und per DNS (TXT-Record) verifiziert.
Externe Nutzer aus anderen Tenants lassen sich als Gäste (B2B) einladen.
Ein Unternehmen kann mehrere Tenants haben (z. B. Prod/Test) — Datentrennung ist strikt.

Nutzer & Gruppen

Wie Konten entstehen und wie Gruppen die Rechtevergabe vereinfachen.

Cloud-only vs. synchronisierte Nutzer

Cloud-only: Das Konto wird direkt in Entra ID angelegt (Portal, PowerShell, Graph) und lebt ausschließlich in der Cloud. Ideal für reine M365-Umgebungen ohne lokales AD.

Synchronisiert (Hybrid): Das Konto stammt aus dem lokalen AD und wird per Entra Connect in die Cloud repliziert. Der Ursprung („Source of Authority") bleibt das On-Prem-AD — Änderungen an Namen, Attributen oder Passwort erfolgen lokal, nicht in der Cloud.

💡

Synchronisierte Objekte lassen sich im Entra-Portal an dem Attribut onPremisesSyncEnabled = true erkennen. Viele Felder sind dort schreibgeschützt.

Gruppentypen & Mitgliedschaft

Entra ID kennt zwei Gruppentypen:

Sicherheitsgruppen — für Berechtigungen, Zugriff auf Apps und Ressourcen, Ziel von Conditional-Access- und Intune-Zuweisungen.
Microsoft-365-Gruppen — bringen zusätzlich Postfach, Kalender, SharePoint-Site und Teams-Anbindung mit; für Zusammenarbeit gedacht.

Die Mitgliedschaft ist entweder zugewiesen (manuell gepflegt) oder dynamisch.

Dynamische Gruppen

Bei dynamischen Gruppen bestimmt eine Regel auf Basis von Nutzerattributen die Mitgliedschaft automatisch — ideal für Abteilungen oder Standorte. Beispiel-Regel für alle Nutzer der Abteilung Vertrieb:

(user.department -eq "Vertrieb")

Nach einem Standort filtern:

(user.city -eq "München") -and (user.accountEnabled -eq true)

Dynamische Gruppen setzen mindestens eine Entra ID P1-Lizenz voraus. Es gibt sie für Nutzer oder für Geräte, aber nicht gemischt.

Entra Connect Sync (Kurzüberblick)

Entra Connect Sync (früher Azure AD Connect) ist der Agent, der lokales AD und Entra ID abgleicht. Er läuft auf einem Server im Netzwerk und synchronisiert standardmäßig alle 30 Minuten.

Password Hash Sync (PHS): Der Hash des Passworts wird in die Cloud repliziert — einfachster, robustester Weg. Empfohlen.
Pass-through Authentication (PTA): Die Anmeldung wird an einen lokalen Agenten gereicht, das Passwort bleibt on-prem.
Federation (ADFS): Aufwändig, heute meist nur noch bei speziellen Anforderungen.

Der Nachfolger Entra Cloud Sync ist ein leichtgewichtiger, agentbasierter Ansatz für einfachere Szenarien — für komplexe Filter/Transformationen bleibt Connect Sync.

Rollen & Rechte

Verzeichnisrollen steuern, wer im Tenant was verwalten darf.

Wichtigste Verzeichnisrollen

Rolle	Darf	Risiko
Globaler Administrator	Alles im Tenant — Vollzugriff auf alle Einstellungen und Dienste	Sehr hoch
Privileged Role Admin	Rollenzuweisungen & PIM verwalten (kann sich selbst GA geben)	Sehr hoch
Benutzeradministrator	Nutzer/Gruppen anlegen, bearbeiten, löschen; Passwörter zurücksetzen	Mittel
Exchange-Administrator	Postfächer, Transportregeln, Mail-Flow in Exchange Online	Mittel
Intune-Administrator	Geräte, Compliance- und Konfigurationsrichtlinien	Mittel
Helpdesk-Administrator	Passwörter von Nicht-Admins zurücksetzen, Anmeldeprobleme lösen	Gering
Global Reader	Alles lesen, nichts ändern — ideal für Audits	Gering

Insgesamt gibt es über 100 fein granulierte Rollen. Für die meisten Aufgaben existiert eine passende Spezialrolle — den Globalen Administrator braucht man selten.

Least Privilege

Vergeben Sie stets die kleinstmögliche Rolle, die für die Aufgabe reicht. Ein Helpdesk-Mitarbeiter braucht keinen Global Admin, um Passwörter zurückzusetzen — die Helpdesk-Rolle genügt.

Global Admins minimieren: Microsoft empfiehlt weniger als 5 dauerhafte GA-Konten (empfohlen: 2–4 plus Break-Glass).
Scoped Roles über administrative Einheiten (Administrative Units) begrenzen die Reichweite auf bestimmte Nutzergruppen.
Rollen bevorzugt zeitlich befristet über PIM aktivieren statt dauerhaft zuweisen (siehe P2).

Lizenzmodell

Free, P1 und P2 — was schaltet welche Features frei?

Feature	Free	P1	P2
Nutzer/Gruppen, SSO, Security Defaults	Ja	Ja	Ja
MFA (Basis über Security Defaults)	Ja	Ja	Ja
Conditional Access	Nein	Ja	Ja
Dynamische Gruppen	Nein	Ja	Ja
Self-Service Password Reset (SSPR) mit Rückschreiben	Nein	Ja	Ja
Identity Protection (Risiko-Signale)	Nein	Nein	Ja
Privileged Identity Management (PIM)	Nein	Nein	Ja
Access Reviews	Nein	Nein	Ja

Was P1 und P2 typischerweise freischalten

Entra ID Free ist in jedem M365-Abo enthalten und deckt Grundfunktionen ab. Security Defaults (kostenloses MFA-Basispaket) sind hier die einzige richtlinienbasierte Absicherung.

P1 ist die Arbeitspferd-Lizenz für den KMU-Alltag: Conditional Access, dynamische Gruppen, SSPR mit Passwort-Rückschreiben ins On-Prem-AD und erweitertes Gruppen-/App-Management. P1 ist in Microsoft 365 Business Premium sowie E3 enthalten.

P2 ergänzt Governance- und Risiko-Features: Identity Protection (risikobasierte Anmeldung), PIM (Just-in-Time-Aktivierung privilegierter Rollen) und Access Reviews. P2 ist Teil von Microsoft 365 E5 und Entra ID Governance.

Best Practices

Die Grundpfeiler eines sicher aufgesetzten Tenants.

Break-Glass-Konten (Notfallzugang)

Legen Sie ein bis zwei dedizierte Notfallkonten mit dauerhafter Rolle „Globaler Administrator" an. Sie dienen ausschließlich dazu, sich auszusperren zu verhindern — etwa wenn eine Conditional-Access-Richtlinie fehlkonfiguriert ist oder der MFA-Dienst ausfällt.

Cloud-only-Konto auf der *.onmicrosoft.com-Domäne (nicht synchronisiert, nicht personengebunden).
Sehr langes, zufälliges Passwort — offline sicher verwahrt (Tresor / versiegelter Umschlag).
Von allen Conditional-Access-Richtlinien ausnehmen, damit es im Ernstfall nicht selbst blockiert wird.
Überwachung: Alert bei jeder Anmeldung dieser Konten einrichten.

MFA für Administratoren — Pflicht

Kompromittierte Admin-Konten sind das Worst-Case-Szenario. Jedes Konto mit einer Verwaltungsrolle muss MFA erzwingen — am besten phishing-resistent (FIDO2-Schlüssel oder Passkeys, Authenticator statt SMS).

Seit 2024/2025 erzwingt Microsoft MFA für den Zugriff auf das Entra-Admin-Center, Azure-Portal und weitere Verwaltungsoberflächen ohnehin — die Break-Glass-Konten müssen daher ebenfalls MFA-fähig registriert sein.

Weitere Grundregeln

Security Defaults oder Conditional Access aktiv — niemals ganz ohne Richtlinie.
Legacy-Authentifizierung (POP, IMAP, SMTP AUTH, ältere Office-Clients) blockieren — sie umgeht MFA.
Named Accounts: keine geteilten Admin-Konten; jede Person eigenes, nachvollziehbares Konto.
Getrennte Admin-Identitäten: Verwaltungsaufgaben nicht mit dem täglichen Postfach-Konto, sondern mit separatem Admin-Konto.
Audit-Logs und Anmeldeprotokolle regelmäßig prüfen bzw. an ein SIEM anbinden.

⚠️

Merke: Ein Tenant ohne Break-Glass-Konto ist ein Tenant mit eingebautem Single Point of Failure. Testen Sie den Notfallzugang mindestens halbjährlich — bevor Sie ihn wirklich brauchen.