Die wichtigsten Punkte
So bauen Sie ein sauberes Modell für delegierten Zugriff auf Kunden-Tenants auf
- Microsoft hat DAP zugunsten von GDAP eingestellt. MSPs können damit zeitlich befristeten Zugriff nach dem Prinzip der Minimalprivilegien umsetzen, im Einklang mit Zero-Trust-Prinzipien.
- Nutzen Sie Microsoft 365 Lighthouse, um die GDAP-Verwaltung über alle Tenants hinweg zu zentralisieren und manuellen Aufwand zu reduzieren.
- Setzen Sie integrierte oder benutzerdefinierte Rollen in Entra ID ein, um rollenbasierte Zugriffssteuerung (RBAC) nach dem Prinzip der Minimalprivilegien durchzusetzen und unnötige Global-Admin-Konten zu vermeiden.
- Stellen Sie GDAP-Vorlagen mit Ablaufrichtlinien bereit, um Zugriffsdauern zu standardisieren und dauerhaft erhöhte Sitzungen zu reduzieren.
- Automatisieren Sie Nachverfolgung und Governance mit der Microsoft Graph API, PowerShell oder integrierten RMM-Tools, um Transparenz und Compliance zu wahren.
- Auditieren Sie GDAP-Zugriffe regelmäßig im Rahmen der vierteljährlichen Geschäftsbesprechungen (QBRs), um veraltete Rechte zu entfernen und die Relevanz der Rollen zu bestätigen.
Dieser Leitfaden zeigt, wie Sie ein sauberes Modell für delegierten Zugriff auf Kunden-Tenants aufbauen. Die Einrichtung von Granular Delegated Admin Privileges (GDAP) in Microsoft 365 ist für IT-Teams und Managed Service Provider (MSPs), die mehrere Tenants betreuen, unverzichtbar. GDAP verringert die Risiken der früheren Delegated Administrative Privileges (DAP), weil es auf pauschalen Global-Admin-Zugriff auf Kunden-Tenants verzichtet. Stattdessen kommt ein Zugriff nach dem Prinzip der Minimalprivilegien zum Einsatz, der den Best Practices von Zero Trust folgt.
Der Leitfaden erklärt den privilegierten Tenant-Zugriff mit DAP im Vergleich zu GDAP für Microsoft-Partner, die Microsoft-365-Umgebungen im Auftrag ihrer MSP-Kunden verwalten. Außerdem erhalten Sie ein praxistaugliches, wiederverwendbares Vorgehen, um GDAP über alle Tenants hinweg umzusetzen.
DAP und GDAP im Vergleich: So funktioniert delegierter Zugriff
DAP war der frühere Mechanismus, mit dem Microsoft-Partner die Tenants ihrer Kunden von den eigenen Konten aus verwalten konnten. Dabei ließen sich vollständige Global-Admin-Rechte für den Kunden-Tenant vergeben, und zwar ohne Ablaufdatum. Das war anfällig für Missbrauch und damit ein Sicherheitsrisiko.
Seit 2023 hat Microsoft DAP zugunsten von GDAP eingestellt. GDAP gibt MSPs einen granularen, zeitlich begrenzten Zugriff auf die Umgebungen ihrer Kunden, der ausdrücklich vom Kunden genehmigt wird. Kunden erhalten von ihrem Partner eine Anfrage für delegierten Zugriff auf bestimmte Rollen und für einen festgelegten Zeitraum und können diese Anfragen genehmigen oder ablehnen.
Voraussetzungen für den Wechsel von DAP zu GDAP
Um mit GDAP auf Microsoft-365-Tenants von Kunden zuzugreifen, benötigen Sie Folgendes:
- Administrativen Zugriff auf das Partner Center
- Microsoft 365 Lighthouse für die zentrale GDAP-Verwaltung (das Partner Center kann das ebenfalls, wird bei größeren Umgebungen aber schnell unübersichtlich)
- Fundierte Kenntnisse in Entra ID (früher Azure AD) und Conditional Access
- Optional PowerShell und/oder Zugriff auf die Microsoft Graph API für die Automatisierung
Der Übergang von DAP zu GDAP
DAP wurde eingestellt, neue DAP-Beziehungen lassen sich nicht mehr aufbauen. GDAP ist damit die einzige Option. MSPs mit bestehenden Kunden, die delegierten Zugriff auf deren Tenants benötigen, sind zu diesem Zeitpunkt bereits von DAP zu GDAP migriert.
So bauen Sie Ihr GDAP-Zugriffsmodell auf
Ein sauberes Modell für granularen delegierten Zugriff verringert die Angriffsfläche, weil es Zero-Trust-Prinzipien unterstützt. Gleichzeitig zeigen Sie Ihren Kunden damit Sicherheitsbewusstsein und operative Reife.
Dazu müssen Sie festlegen, welche Aufgaben Sie im Auftrag Ihrer Kunden erledigen, und zeitlich befristete Delegationsrollen mit passenden Berechtigungen definieren. Diese Rollen sollten auf das geringstmögliche Privileg zugeschnitten sein. Und wenn sie vergeben werden, dann für eine sinnvolle Dauer, die den Abschluss der nötigen Arbeiten erlaubt, ohne dauerhaft erhöhte Sitzungen zu hinterlassen.
Aus der Bezeichnung der Rollen sollte klar hervorgehen, wofür sie gedacht sind, damit Kunden beim Eintreffen der Anfrage genau verstehen, welche Berechtigungen sie erteilen.
Rollenbasierte Zugriffssteuerung (RBAC) einsetzen
Verwenden Sie nach Möglichkeit die integrierten Rollen von Entra ID. Fortgeschrittene Anwender:innen mit komplexeren Anforderungen müssen unter Umständen granularere benutzerdefinierte Rollen für RBAC nach dem Prinzip der Minimalprivilegien definieren. Um die Vorteile von GDAP voll auszuschöpfen, sollten Sie den übermäßigen Einsatz von Global-Administrator-Konten oder gleichwertigen Konten vermeiden und Rollen stattdessen über Lighthouse anhand der Support-Teamgruppen auf Partnerseite zuweisen.
Delegieren mit Vorlagen und Ablaufrichtlinien
Legen Sie im Voraus fest, wie lange delegierte Sitzungen dauern sollen, und standardisieren Sie Ihre Zugriffskonfigurationen mit GDAP-Vorlagen in Lighthouse. Für bestimmte Aufgaben können Sie längere Ablauffristen ansetzen (etwa 90 Tage für langfristige Aufgaben wie die Pflege von Benutzerdaten). Für Notfälle, die sensiblere Rechte erfordern, nutzen Sie Just-in-Time-Workflows.
Nachverfolgung und Governance automatisieren
Behalten Sie den Überblick über alle Anfragen und Sitzungen mit delegiertem Zugriff, indem Sie diese Daten über Microsoft Graph oder PowerShell als CSV exportieren. Daraus lassen sich Dashboard-Ansichten für sämtliche Tenants und delegierten Rollen erstellen, inklusive Berechtigungen und Zeiträumen. Auf Basis dieser Daten können Sie auch automatisierte Alarmierungen einrichten, die Sie informieren, wenn eine GDAP-Verknüpfung demnächst abläuft und erneuert werden muss.
Solche individuellen Automatisierungen lassen sich mit einem Tool für Fernwartung und -Verwaltung (RMM) umsetzen, das sich in Microsoft 365 integriert und eigene Skripte, Dashboards und Benachrichtigungen unterstützt.
Prüfen und auditieren Sie Ihr Modell für delegierten Zugriff regelmäßig
Überprüfen Sie Ihr GDAP-Modell regelmäßig und bestätigen Sie für jede delegierte Rolle beziehungsweise Beziehung Folgendes:
- Die Rolle oder Beziehung ist weiterhin in Gebrauch
- Jede Rolle passt zum aktuellen Leistungsumfang
- Jede Rolle ist dokumentiert und wird von den zuständigen Stakeholdern geprüft
Ungenutzte oder veraltete Beziehungen sollten Sie proaktiv entfernen. Die Überprüfung Ihrer GDAP-Strategie lässt sich gut in die vierteljährlichen Geschäftsbesprechungen (QBRs) Ihres MSP mit den Kunden einbinden.
Mit NinjaOne den Überblick über delegierten GDAP-Zugriff behalten
Um mehrmandantenfähige Umgebungen abzusichern, brauchen Sie vollständige Transparenz über alle delegierten Rechte und müssen sicherstellen, dass delegierter Zugriff nicht zum Angriffsvektor wird. Am besten gelingt das mit granularen, eng gefassten Berechtigungen nach dem Prinzip der Minimalprivilegien, kombiniert mit zeitlichen Begrenzungen.
NinjaOne unterstützt MSPs bei Sicherheit und Transparenz des delegierten Zugriffs: mit Werkzeugen zur Überwachung und Berichterstattung als Teil der vereinheitlichten Lösungen für RMM, Mobile Device Management (MDM) und Endpunkt-Management. Sie können Aktionen der Delegierten überwachen, Richtlinien durchsetzen und optional eine Endpoint Detection wie CrowdStrike integrieren, um verdächtige Aktivitäten KI-gestützt zu erkennen und zu beheben.
Mit einem durchdachten, strukturierten Ansatz für delegierten Zugriff in Microsoft 365 stärken Sie das Vertrauen Ihrer Kunden und stellen sicher, dass administrative Sitzungen ausschließlich für ihren vorgesehenen Zweck genutzt werden
