Cross-Tenant-Zugriffseinstellungen in Entra ID brauchen klare Regeln

In vielen Tenants, die ich mir anschaue, sind sich die Verantwortlichen bei den Cross-Tenant-Zugriffseinstellungen nicht ganz sicher. Die Zusammenarbeit mit Partnern wird enger, und zugleich erwartet man mehr Sicherheit und mehr Bedienkomfort. Bei der B2B-Zusammenarbeit über Microsoft Entra External ID sollen Gäste und externe Partner ungestört arbeiten können, ohne dass man den eigenen Tenant dafür weiter öffnet als nötig. Welche Einstellungen sich dabei bewährt haben und wie man den Überblick behält, beschreibe ich hier aus meiner Praxis.

Die Cross-Tenant-Zugriffseinstellungen trennen Standardwerte von Partnerregeln

Das Prinzip ist rasch erklärt. Mit den Cross-Tenant-Zugriffseinstellungen in Entra External ID legt man für eingehende und ausgehende Verbindungen fest, welchen Authentifizierungs- und Geräteinformationen des Partners man vertraut und welche der Partner umgekehrt von einem übernimmt (siehe Microsoft-Dokumentation). Das gilt für klassische B2B-Gastkonten, für B2B Direct Connect (Shared Channels in Teams) und für Szenarien wie die automatische Annahme von Einladungen („automatic redemption“). Globale Standardeinstellungen regeln alle unbekannten Tenants, für ausdrücklich freigegebene Partner-Tenants lassen sich eigene Regeln definieren.

Auf genau diese Trennung kommt es in der Praxis an. Für alle übrigen Tenants bleiben die Standardwerte streng, häufig ohne Gastanmeldung und ohne Weitergabe von Claims. Für ausgewählte Partner bestimmt man dagegen im Detail, was erlaubt ist, zum Beispiel ob MFA-Claims akzeptiert werden oder Geräte als konform gelten dürfen.

Übernommene MFA- und Geräte-Claims ersparen Gästen die doppelte Abfrage

Ein Problem begegnet mir immer wieder: Gäste brauchen für den Zugriff auf Ressourcen im eigenen Tenant MFA und ein konformes Gerät und werden deshalb zweimal danach gefragt, einmal beim eigenen Arbeitgeber und noch einmal im Partner-Tenant. Mit passenden Cross-Tenant-Zugriffseinstellungen lässt sich das vermeiden. Man vertraut dann darauf, dass der Partner-Tenant MFA oder ein konformes bzw. hybrid eingebundenes Gerät bereits geprüft hat. Conditional Access im eigenen Tenant kann daraufhin so reagieren, als wären es eigene Benutzer.

Für jeden Partner-Tenant stehen diese Optionen unter „Vertrauensstellungen“ (Trust settings). Dort wählt man aus, ob MFA und/oder der Gerätestatus aus den Tenants der Gäste übernommen werden. Details liefert die Microsoft-Dokumentation zu den Einstellungen für die B2B-Zusammenarbeit. Die Gäste sind weniger genervt, und die Richtlinien greifen einheitlich. Typischerweise läuft das so ab:

flowchart TD
    GastUser["Gastbenutzer meldet sich an"] --> HeimatTenant["Heimat-Tenant prüft MFA & Gerät"]
    HeimatTenant --> PartnerTenant["Partner-Tenant übernimmt Claims"]
    PartnerTenant --> ConditionalAccess["Conditional Access prüft Claims"]
    ConditionalAccess --> Zugriff["Zugriff auf Ressource"]

Abbildung: Weitergabe von MFA- und Geräte-Claims bei Gastzugriffen

B2B Direct Connect und Cross-Tenant-Synchronisation bauen auf denselben Einstellungen auf

Oft geht es auch um die Zusammenarbeit in Shared Channels in Teams, also um B2B Direct Connect. Damit das funktioniert, müssen die Partner-Tenants ausdrücklich als vertrauenswürdige Organisationen eingetragen sein. Wer hier zu freizügig ist, landet schnell beim Oversharing. Darauf bin ich auch im Beitrag /blog/copilot-fuer-microsoft-365-tenant-vorbereiten eingegangen. In den Cross-Tenant-Zugriffseinstellungen legt man genau fest, welche Partnerorganisationen Shared Channels in Teams nutzen dürfen und ob Einladungen automatisch angenommen werden („automatic redemption“).

Unternehmen mit mehreren eigenen Tenants (Multi-Tenant-Organisationen) können zusätzlich die Cross-Tenant-Synchronisation nutzen. Sie gleicht ausgewählte Benutzeridentitäten zwischen den Tenants ab. Abgesichert werden die dadurch entstehenden Zugriffe wiederum über dieselben Cross-Tenant-Zugriffseinstellungen.

Tenant Restrictions v2 kontrollieren die Anmeldung auf Firmengeräten

Auf einer ganz anderen Ebene setzen Tenant Restrictions v2 an, die zum Zeitpunkt der Veröffentlichung noch in der Public Preview waren (zur Übersicht). Sie bestimmen auf Unternehmensgeräten, bei welchen Tenants sich Benutzer überhaupt anmelden dürfen. So verhindert man etwa, dass Firmenidentitäten in fremden Tenants oder in Schatten-IT-Umgebungen landen. Konfiguriert wird netzwerkseitig über Proxy oder Client. Weil die Funktion in Entra ID integriert ist, lässt sie sich wesentlich flexibler durchsetzen als der alte v1-Ansatz.

So kann die Konfiguration erlaubter Partner-Tenants zum Beispiel aussehen:

{
  "AllowedTenants": [
    "contoso.com",
    "partnerfirma.de"
  ],
  "DefaultPolicy": "Block"
}

Praxistipp: Bevor man Tenant Restrictions v2 einführt, sollte man die Cross-Tenant-Zugriffseinstellungen ordentlich dokumentieren und mit den tatsächlichen B2B-Partnern abgleichen. Andernfalls blockiert man leicht eine Zusammenarbeit, die eigentlich gewollt ist.

Restriktive Standardwerte und regelmäßige Reviews haben sich bewährt

In meinen Projekten fahre ich mit diesem Vorgehen gut:

• Standardeinstellungen so streng wie möglich wählen (z. B. keine Gastanmeldung, keine Übernahme fremder Claims)
• Erweiterte Zusammenarbeit nur für ausdrücklich geprüfte Partner-Tenants freigeben
• Trust Settings für MFA- und Geräte-Claims nur aktivieren, wenn die Richtlinien des Partners wirklich vergleichbar sind
• Cross-Tenant-Zugriffseinstellungen und Tenant Restrictions an zentraler Stelle dokumentieren
• Gast- und Partnerzugänge in festen Abständen prüfen und aufräumen (mehr dazu)

Das Gleichgewicht zwischen Sicherheit und Komfort muss man immer wieder neu austarieren, vor allem wenn neue Projekte, Partner oder technische Möglichkeiten dazukommen.

Der Cross-Tenant-Zugriff verlangt dauerhafte Pflege

Eine Lösung, die für jeden Tenant passt, gibt es nicht. Eines zeigt die Praxis aber klar: Wer seine Cross-Tenant-Zugriffseinstellungen sorgfältig einrichtet, dokumentiert und regelmäßig überprüft, hat bei Security-Audits weniger Ärger, und die Benutzer auf beiden Seiten der Zusammenarbeit sind zufriedener. Technisch bietet Entra ID inzwischen sehr feine Stellschrauben. Schwierig ist eher, sie maßvoll und nachvollziehbar zu nutzen, statt sich im Regelwerk zu verzetteln.