Microsoft Entra Private Access bringt Zugriff auf interne Anwendungen ohne VPN, gesteuert über Identität und Conditional Access statt über Netzwerkzugehörigkeit.
Was ist Microsoft Entra Private Access?
Mit Microsoft Entra Private Access legen Sie fest, welche voll qualifizierten Domänennamen (FQDNs) und IP-Adressen Sie als privat oder intern betrachten, und steuern, wie Ihre Organisation darauf zugreift. Remote-Mitarbeitende benötigen kein VPN mehr, wenn der Global Secure Access Client installiert ist; der Client stellt die Verbindung im Hintergrund her.
Gemeinsam mit Microsoft Entra Internet Access bildet Private Access Microsofts Security-Service-Edge-Lösung (SSE); Global Secure Access ist der zusammenfassende Begriff für beide. Beide Dienste sind laut Microsoft allgemein verfügbar und werden über Microsofts Wide Area Network ausgeliefert, das nach Angaben von Microsoft 70 Regionen und über 190 Network-Edge-Standorte umfasst.
Für die Konfiguration privater Ressourcen gibt es zwei Wege: Quick Access als primäre Gruppe immer getunnelter Ziele und die Global Secure Access App für granularen Per-App-Zugriff.
Kernfunktionen
- Quick Access: Zero-Trust-basierter Zugriff auf einen Bereich von IP-Adressen und FQDNs ohne Legacy-VPN
- Per-App-Zugriff: granulare Absicherung einzelner privater Ressourcen für TCP- und UDP-Anwendungen
- Conditional Access: Zuweisung von Nutzern und Gruppen zur Anwendung und Steuerung über Richtlinien
- Private Network Connector: vermittelt die Verbindung zwischen Dienst und interner Ressource
- App Discovery: Ermittlung genutzter privater Anwendungen
- Private DNS und Single Sign-on: private Namensauflösung und einmalige Anmeldung über alle privaten Apps
- Modernisierung von Legacy-Authentifizierung: über die tiefe Conditional-Access-Integration
Typische Anwendungsfälle
VPN-Ablösung
Der häufigste Ausgangspunkt: Statt Nutzer ins Netz zu holen, wird der Zugriff pro Anwendung und Identität freigegeben.
Abweichende Richtlinien für Teilgruppen
Wenn eine Nutzergruppe strengere Anforderungen erfüllen muss, bildet eine eigene Global Secure Access App diesen Fall sauber ab.
Befristeter Zugriff
Ressourcen, die nur für einen definierten Zeitraum erreichbar sein sollen, lassen sich als eigene Anwendung konfigurieren und wieder entziehen.
Hybrid- und Multicloud-Zugriff
Remote-Nutzer erreichen private Apps über hybride und Multicloud-Umgebungen, private Netzwerke und Rechenzentren hinweg, von beliebigen Geräten und Netzen.
Legacy-Anwendungen ohne moderne Authentifizierung
Über die Conditional-Access-Integration lassen sich auch ältere Anwendungen in ein Zero-Trust-Modell einbinden.
Vorteile
- Zugriff nach Identität statt nach Netzwerkstandort
- Feinere Steuerung als ein klassisches VPN durch Per-App-adaptiven Zugriff
- Einmalige Konfiguration statt fortlaufender Pflege von VPN-Profilen
- Nahtlose Nutzererfahrung über den Global Secure Access Client
- Betrieb parallel zu bestehenden SSE-Lösungen anderer Anbieter möglich
Integration mit innFactory
Als indirekter Microsoft-CSP-Partner unterstützt innFactory Sie bei der Ablösung bestehender VPN-Infrastrukturen: Aufnahme der internen Anwendungen, Schnitt zwischen Quick Access und Per-App-Zugriff, Auslegung der Conditional-Access-Richtlinien und Rollout des Clients.
Für die zugrunde liegende Plattform und deren Netzwerkarchitektur beschreiben wir unser Vorgehen im Beitrag zu Azure Landing Zones.
Kontaktieren Sie uns für eine unverbindliche Beratung zu Zero Trust Network Access mit Microsoft Entra.
Typische Anwendungsfälle
Technische Spezifikationen
Häufig gestellte Fragen
Ist Microsoft Entra Private Access allgemein verfügbar?
Ja. Microsoft hält in der Global-Secure-Access-Dokumentation fest: „Microsoft Entra Internet Access, Microsoft Entra Internet Access for Microsoft services, and Microsoft Entra Private Access are now generally available.“
Was ist der Unterschied zwischen Quick Access und Per-App-Zugriff?
Quick Access ist die primäre Gruppe von FQDNs, IP-Adressen und IP-Bereichen, die Sie immer über den Dienst tunneln wollen. Eine Global Secure Access App bildet dagegen den granularen Per-App-Zugriff auf eine Teilmenge privater Ressourcen ab. Microsoft nennt drei typische Gründe für den Per-App-Ansatz: abweichende Conditional-Access-Richtlinien für eine Nutzergruppe, einzelne Ressourcen mit eigenen Zugriffsregeln sowie zeitlich befristete Freigaben.
Ersetzt Private Access ein VPN?
Microsoft beschreibt Private Access ausdrücklich als Weg, das VPN abzulösen: Remote-Mitarbeitende benötigen kein VPN, wenn der Global Secure Access Client installiert ist. Der Dienst bietet zudem Per-App-adaptiven Zugriff auf Basis von Conditional-Access-Richtlinien und damit eine feinere Steuerung als ein klassisches VPN.
Welche Lizenz wird benötigt?
Laut Microsoft sind die Funktionen von Entra Private Access in der Microsoft Entra Suite enthalten und zusätzlich eigenständig erhältlich. Für die Nutzung benötigen Anwender eine Microsoft Entra ID P1 oder P2 Lizenz. Auf der Entra-Preisseite ist Entra Private Access mit 5,00 US-Dollar pro Nutzer und Monat bei jährlicher Zahlung ausgewiesen.
Wie kommt die Verbindung zur internen Ressource zustande?
Über den Microsoft Entra Private Network Connector. Jede Anwendung, sowohl Quick Access als auch eine Per-App-Anwendung, erhält ihren eigenen Connector, der die Verbindung zwischen dem Dienst und der internen Ressource vermittelt. Nutzer und Gruppen werden der Anwendung zugewiesen, die Zugriffssteuerung erfolgt über Conditional Access.
Welche Protokolle werden unterstützt?
Microsoft nennt Per-App-Zugriff für Anwendungen auf Basis von TCP und UDP. Private Access baut auf den Funktionen des Microsoft Entra Application Proxy auf und erweitert den Zugriff auf beliebige private Ressourcen, Ports und Protokolle.
Hinweis: Alle Produktinformationen auf dieser Seite wurden sorgfältig zusammengestellt, sind jedoch ohne Gewähr und können veraltet oder unvollständig sein. Cloud-Services entwickeln sich schnell weiter — Funktionen, Preise, SLAs und Verfügbarkeit ändern sich laufend. Verbindliche und aktuelle Informationen finden Sie ausschließlich auf der offiziellen Produktseite von Azure (offizielle Dokumentation). Diese Seite stellt kein Angebot von Azure dar.
