So reduziere ich die Zahl der Globalen Administratoren in Entra ID

In vielen Tenants, die ich betreue, gibt es immer noch erstaunlich viele Globale Administratoren. Meist steckt eine Mischung aus gewachsenen Strukturen, alten Notfällen und fehlender Übersicht dahinter. Microsoft empfiehlt seit Längerem, mit weniger als fünf Globalen Administratoren pro Tenant auszukommen. Von dieser groben Vorgabe bis zu einer wirklich sicheren und wartbaren Rollenverteilung ist es allerdings ein gutes Stück. In diesem Beitrag beschreibe ich, wie ich in der Praxis GA-Accounts aufspüre, Aufgaben den passenden Rollen zuordne und mit Privileged Identity Management (PIM) und Access Reviews dauerhaft die Kontrolle behalte.

Ein vollständiger Export zeigt, wer wirklich Globaler Administrator ist

Im Entra Admin Center findet man unter Rollen & Administratoren → Globaler Administrator schnell alle Nutzer, Service Principals und Gruppen mit GA-Zugriff. Mitzählen müsst ihr dabei neben den direkten Zuweisungen auch gruppenbasierte Rollenzuweisungen und – das wird häufig übersehen – alle „berechtigten“ Zugriffe über Entra ID PIM. Gerade in PIM zeigt sich oft, dass Admins dauerhaft berechtigt sind und die Rolle erst bei Bedarf aktivieren.

Ich rate dazu, die aktiven und berechtigten (eligible) Zuweisungen in regelmäßigen Abständen zu exportieren und gemeinsam im Team durchzugehen. Die Liste ist schnell erstellt:

1. Entra Admin Center → Rollen & Administratoren → Globaler Administrator
2. Alle Zuweisungen (aktiv und berechtigt) anzeigen
3. Export als CSV

Für einen ersten Eindruck direkt im Portal genügen meist die Filter. Zur Dokumentation und für spätere Kontrollen ist ein vollständiger Export aber sehr hilfreich.

Die meisten Admin-Aufgaben kommen ohne den Globalen Administrator aus

Im zweiten Schritt geht es immer darum, wer den GA tatsächlich braucht und wer mit weniger auskommt. Nur sehr wenige alltägliche Aufgaben setzen den Globalen Administrator voraus. Vieles lässt sich mit spezifischeren Rollen erledigen, die deutlich weniger Risiko mitbringen. Microsoft stellt dafür eine sehr hilfreiche Aufgabenübersicht bereit, die ich regelmäßig nutze (Best Practices für rollenbasierte Zugriffssteuerung, Delegieren nach Aufgabe).

Für typische Admin-Aufgaben kommen vor allem diese „Alternativrollen“ infrage:

• User Administrator: Nutzerverwaltung, Kennwörter zurücksetzen, Gruppen anlegen
• Exchange Administrator: Postfächer verwalten, Verteilergruppen steuern
• Security Administrator: Sicherheitswarnungen einsehen, Sicherheitsrichtlinien verwalten
• Global Reader: Einstellungen und Konfigurationen einsehen, aber nichts ändern

Am schwersten fällt es oft, eingespielte Prozesse und Gewohnheiten zu hinterfragen und herauszufinden, warum überhaupt GA-Zugriff nötig ist. Ein Klassiker ist das Onboarding neuer Mitarbeiter:innen, in dem irgendwo ein nicht delegierbarer Schritt steckt, weshalb dann jemand den GA braucht. Wer den Prozess in seine Einzelteile zerlegt, findet fast immer einen Weg mit weniger Rechten.

Eine Aufgabenmatrix ordnet jeder Tätigkeit die passende Rolle zu

Beim Abbau von GA-Rollen kommt es darauf an, Aufgaben möglichst genau den passenden Rollen zuzuordnen. Hier ein Auszug aus meiner eigenen Matrix, die sich in Projekten bewährt hat:

| Aufgabe                              | Rolle(n)                       |
|--------------------------------------|--------------------------------|
| Nutzer anlegen/löschen               | User Administrator             |
| Gruppen verwalten                    | User Administrator             |
| Lizenzen zuweisen                    | User Administrator, Lizenz-Admin|
| MFA/Authentifizierung verwalten      | Authentication Administrator   |
| Exchange Online Konfiguration        | Exchange Administrator         |
| Security-Einstellungen/Incidents     | Security Administrator         |
| Nur ansehen, nichts ändern           | Global Reader                  |

Die Rolle „Global Reader“ ist in den letzten Jahren endlich vollständig geworden und damit für Audits, Dokumentation und Third-Level-Support sehr wertvoll. Stoßt ihr auf Aufgaben, die tatsächlich nur mit GA funktionieren, prüft zuerst, ob sie sich über geschützte Aktionen oder eine Just-in-Time-Aktivierung über PIM abbilden lassen.

PIM und geschützte Aktionen vergeben GA-Rechte nur auf Zeit

Mit Entra ID Privileged Identity Management (PIM) beschränkt ihr GA-Rechte auf den Personenkreis, der sie wirklich braucht, und könnt sie obendrein zeitlich begrenzen und kontrollieren. Viele meiner Kunden arbeiten inzwischen nach dem Modell „berechtigt, aber nicht dauerhaft aktiviert“. Kritische Rollen wie den Globalen Administrator kann man außerdem so konfigurieren, dass jede Aktivierung eine Begründung und eine Freigabe nach dem Mehr-Augen-Prinzip verlangt. Das Risiko von Missbrauch oder Fehlern sinkt dadurch deutlich.

Mit geschützten Aktionen sichert Entra ID besonders sensible Änderungen zusätzlich ab, etwa das Zurücksetzen von Authentifizierungsmethoden oder die Verwaltung von Notfallkonten. In der Regel greift das mit PIM ineinander. Wer eine geschützte Aktion ausführen will, braucht eine Just-in-Time-Aktivierung und je nach Konfiguration ein sicheres Gerät oder eine starke Authentifizierung.

Das folgende Ablaufdiagramm zeigt, wie eine PIM-Aktivierung mit Genehmigung abläuft:

flowchart TD
    Anforderung["PIM-Aktivierung beantragen"] --> Genehmigung["Genehmigung erforderlich?"]
    Genehmigung -- "Ja" --> WartenGenehmiger["Genehmiger prüft Antrag"]
    WartenGenehmiger --> Aktiv["Rolle wird aktiviert"]
    Genehmigung -- "Nein" --> Aktiv
    Aktiv --> Ablauf["Rolle läuft nach Zeit ab"]

Abbildung: Ablauf einer PIM-Aktivierung mit optionaler Genehmigung.

Eine Genehmigung ist also nicht bei jeder PIM-Aktivierung Pflicht. Bei Globalen Administratoren solltet ihr trotzdem nicht darauf verzichten, das hat sich in meinen Projekten bewährt.

Regelmäßige Access Reviews decken vergessene Zuweisungen auf

Selbst mit sauber verteilten Rollen und PIM bleibt offen, wer gerade welche Rechte hat und ob er oder sie diese noch braucht. Genau dafür gibt es Access Reviews. In Entra ID lassen sich für jede privilegierte Rolle regelmäßige Überprüfungen einrichten, unabhängig davon, ob sie direkt, über Gruppen oder über PIM zugewiesen ist. So fallen verwaiste, unnötige oder „vergessene“ Zuweisungen auf und lassen sich zurücknehmen. Besonders viel bringt das bei Gruppen, die administrativen Zugriff vermitteln. Dort wird in der Praxis gern „auf Vorrat“ berechtigt, und ein paar Monate später weiß niemand mehr, wer in welcher Admin-Gruppe steckt.

Mein Tipp: Plant Access Reviews für GA, Security-, Exchange- und User-Admins mindestens einmal im Quartal ein und bezieht dabei alle berechtigten Zuweisungen mit ein, nicht nur die aktiven.

Teure Tools braucht es für einen sauberen Review-Prozess nicht, die Bordmittel von Entra ID genügen in vielen Szenarien. Wichtig ist, eine Person zu benennen, die für die Durchführung verantwortlich ist. Die Ergebnisse sollten außerdem nicht bloß dokumentiert werden, sondern regelmäßig zu Nachbesserungen führen.

Der Abbau von GA-Rechten bleibt eine Daueraufgabe

Die Zahl der Globalen Administratoren zu senken, erledigt man nicht in einer einmaligen Aktion. Es ist ein fortlaufender Verbesserungsprozess, der Disziplin und klare Abläufe verlangt, dazu die Bereitschaft, auch mal Verantwortung abzugeben. Der Aufwand zahlt sich aus. Mit weniger GA steigt die Sicherheit, die Compliance verbessert sich, und unterm Strich haben alle Admins weniger Stress. Wer die beschriebenen Schritte regelmäßig wiederholt, wird merken, dass sich die allermeisten Aufgaben mit spezifischeren Rollen, PIM und Access Reviews absichern lassen. Der GA ist dann wieder das, was er sein sollte, nämlich eine selten genutzte Ausnahme statt eines Standardzugangs.

Weitere praktische Tipps zu PIM findet ihr in Privileged Identity Management in Entra ID – dauerhafte Admin-Rechte ablösen, mit Praxiserfahrungen und Empfehlungen, einen genaueren Blick auf geschützte Aktionen in Protected Actions in Entra ID – Step-up für sensible Admin-Aufgaben.