Microsoft Entra ID Governance beantwortet die Frage, wer in Ihrer Organisation welchen Zugriff hat, warum – und ob sich das gegenüber Auditoren belegen lässt.
Was ist Microsoft Entra ID Governance?
Microsoft Entra ID Governance ist eine Identity-Governance-Lösung, mit der Organisationen Produktivität verbessern, Sicherheit stärken und Compliance- sowie regulatorische Anforderungen leichter erfüllen sollen. Erreicht wird das laut Microsoft über die Automatisierung von Identitäts- und Zugriffsprozessen, die Delegation an Fachbereiche und erhöhte Transparenz.
Die Lösung deckt drei Bereiche ab: den Identitäts-Lifecycle, den Zugriffs-Lifecycle und die Absicherung privilegierter Zugriffe für die Administration. Sie gilt für Mitarbeitende, Geschäftspartner und Lieferanten gleichermaßen und erstreckt sich auf Anwendungen in der Cloud wie On-Premises.
Der Identitäts-Lifecycle beginnt typischerweise im HR-System. Microsoft beschreibt Inbound Provisioning aus Quellen wie Workday und SuccessFactors, ergänzt um Lifecycle Workflows, die an definierten Zeitpunkten Aufgaben ausführen – etwa bevor eine neue Person ihre Arbeit aufnimmt oder wenn sie die Organisation verlässt.
Kernfunktionen
- Entitlement Management: Access Packages bündeln Gruppen- und Team-Mitgliedschaften, App-Rollen und SharePoint-Online-Rollen; Anträge lassen sich mit Genehmigungsstufen und Funktionstrennung versehen
- Access Reviews: wiederkehrende Rezertifizierung von Zugriffen, unterstützt durch KI-gestützte Vorschläge und die Erkennung von Peer-Ausreißern
- Lifecycle Workflows: automatisierte Aufgaben zu Eintritt, Wechsel und Austritt, etwa das Versenden eines Temporary Access Pass an die Führungskraft
- Provisioning: Anlegen, Aktualisieren und Entfernen von Konten in weiteren Anwendungen über SCIM, LDAP und SQL
- Privileged Identity Management (PIM): Just-in-Time-Zugriff und Alarmierung bei Rollenänderungen für Verzeichnisrollen, Microsoft-365-Rollen, Azure-Ressourcenrollen und Gruppenmitgliedschaften
- Gästeverwaltung: automatische Aufnahme genehmigter B2B-Gäste und deren Entfernung, sobald Zugriffsrechte ablaufen oder entzogen werden
Typische Anwendungsfälle
Joiner-Mover-Leaver-Prozesse
Neue Mitarbeitende sind ab dem ersten Tag produktiv, weil Identität und Zugriffe aus dem HR-System heraus automatisch entstehen – und beim Austritt ebenso automatisch entfallen.
Rezertifizierung von Zugriffen
Regelmäßige Access Reviews für Gruppen, Anwendungen und Gäste liefern den Nachweis, dass Berechtigungen überprüft und nicht mehr benötigte Zugriffe entzogen wurden.
Delegation an Fachbereiche
Zugriffsentscheidungen werden dorthin verlagert, wo die fachliche Beurteilung möglich ist. Microsoft nennt als Beispiel eine Genehmigungskette aus Führungskraft, Ressourcenverantwortlichem und Sicherheitsbeauftragtem.
Externe Zusammenarbeit
Partner und Lieferanten beantragen Zugriff über Entitlement Management; genehmigte Anfragen führen automatisch zur Aufnahme als B2B-Gast, ablaufende Rechte zur Entfernung.
Privilegierte Administration
Administrative Rechte werden nicht dauerhaft vergeben, sondern über PIM zeitlich befristet und mit Benachrichtigung bei Rollenänderungen.
Vorteile
- Automatisierung statt manueller Berechtigungspflege über HR-Provisioning und Lifecycle Workflows
- Nachweisbare Kontrollen für Audits, inklusive wiederkehrender Rezertifizierung
- Abdeckung von Cloud- und On-Premises-Anwendungen über Konnektoren zu hunderten Systemen
- Delegation an Fachbereiche ohne Kontrollverlust in der IT
- Durchgängige Abdeckung bis zu privilegierten Rollen über PIM
Integration mit innFactory
Als indirekter Microsoft-CSP-Partner unterstützt innFactory Sie bei der Einführung von Entra ID Governance: von der Aufnahme Ihrer Berechtigungslandschaft über die Modellierung von Access Packages bis zur Automatisierung der Joiner-Mover-Leaver-Prozesse aus Ihrem HR-System.
Governance-Vorgaben brauchen eine Plattform, die sie trägt – unser Vorgehen dafür beschreiben wir im Beitrag zu Azure Landing Zones.
Kontaktieren Sie uns für eine unverbindliche Beratung zu Identity Governance mit Microsoft Entra.
Typische Anwendungsfälle
Technische Spezifikationen
Häufig gestellte Fragen
Welche Fragen soll Entra ID Governance beantworten?
Microsoft nennt vier Leitfragen, die die Lösung für Zugriffe über Dienste und Anwendungen hinweg beantworten soll: Welche Identitäten sollten Zugriff auf welche Ressourcen haben? Was tun diese Identitäten mit diesem Zugriff? Gibt es organisatorische Kontrollen für die Zugriffsverwaltung? Und können Auditoren überprüfen, dass diese Kontrollen wirksam sind?
Welche Lizenz wird benötigt?
Laut Dokumentation erfordert die Nutzung Lizenzen für Microsoft Entra ID Governance oder Microsoft Entra Suite. Auf der Microsoft-Entra-Preisseite ist Entra ID Governance mit 7,00 US-Dollar pro Nutzer und Monat bei jährlicher Zahlung ausgewiesen und für P1- und P2-Kunden verfügbar. Maßgeblich sind die für Ihre Region und Ihr Vertragsmodell geltenden Konditionen.
Welche Kernfunktionen umfasst Entra ID Governance?
Microsoft nennt Entitlement Management, Access Reviews, Lifecycle Workflows, Provisioning, Terms of Use und Privileged Identity Management (PIM). Der Einstieg erfolgt über das Governance-Dashboard im Microsoft Entra Admin Center.
Lässt sich der Identitäts-Lifecycle aus dem HR-System steuern?
Ja. Microsoft beschreibt Inbound Provisioning aus HR-Quellen, ausdrücklich genannt werden Workday und SuccessFactors, um Benutzeridentitäten sowohl in Active Directory als auch in Microsoft Entra ID automatisch zu pflegen. Ergänzend automatisieren Lifecycle Workflows Aufgaben zu definierten Zeitpunkten, etwa vor dem ersten Arbeitstag oder beim Austritt.
Werden auch KI-Agenten abgedeckt?
Microsoft beschreibt Identity Governance für Agenten als Preview. Agentenidentitäten aus Microsoft Entra Agent ID werden dabei über dieselben Entitlement-Management-Access-Packages wie menschliche Identitäten verwaltet und benötigen jeweils einen menschlichen Sponsor, der für Zweck, Lifecycle-Entscheidungen und Zugriffsprüfungen verantwortlich ist.
Wie lassen sich Governance-Aufgaben automatisieren?
Microsoft verweist auf Azure Automation und Microsoft Graph, unter anderem über das PowerShell-Modul Microsoft.Graph.Identity.Governance. Für einzelne Szenarien wie automatische Zuweisungsrichtlinien, dynamische Gruppen oder Logic-Apps-Trigger in Entitlement Management gibt es jeweils eigene Anleitungen.
Hinweis: Alle Produktinformationen auf dieser Seite wurden sorgfältig zusammengestellt, sind jedoch ohne Gewähr und können veraltet oder unvollständig sein. Cloud-Services entwickeln sich schnell weiter — Funktionen, Preise, SLAs und Verfügbarkeit ändern sich laufend. Verbindliche und aktuelle Informationen finden Sie ausschließlich auf der offiziellen Produktseite von Azure (offizielle Dokumentation). Diese Seite stellt kein Angebot von Azure dar.
