Just-in-Time-Zugriff für Azure AD-Administratorrollen einrichten

Just-in-Time-Administratorzugriff (JIT) in Azure AD ermöglicht es Ihnen, erhöhte Rechte für administrative Aufgaben nur für einen begrenzten Zeitraum zu vergeben. Das ist für interne IT-Abteilungen und MSPs nützlich, denn es senkt das Risiko, dass Konten mit zu weitreichenden Rechten für Cyberangriffe missbraucht werden.

Dieser Leitfaden erklärt den JIT-Administratorzugriff in Azure und zeigt Schritt für Schritt, wie Sie einen zeitlich begrenzten Administratorzugriff über Microsoft Entra ID Privileged Identity Management (PIM) umsetzen, mit dem Entra Admin Center, PowerShell sowie der Registry oder Gruppenrichtlinien zur Durchsetzung.

Die wichtigsten Ziele des JIT-Zugriffs in Azure

Dauerhafter Administratorzugriff, also die Nutzung von Benutzerkonten mit permanenten Administratorrechten, ist ein häufiger Angriffsvektor. Wer die Zahl dieser privilegierten Konten reduziert, verkleinert die Angriffsfläche, weil weniger Konten vorhanden sind, deren Anmeldeinformationen geleakt oder deren Sitzungen gekapert werden können. Das macht Ihre IT-Infrastruktur sicherer und Compliance-konformer.

Eine zeitlich begrenzte Rechteerhöhung schützt davor, indem Benutzer:innen Administratorrechte erst nach einer Genehmigung und einer Multi-Faktor-Authentifizierung erhalten. Ist die Aufgabe erledigt, laufen die Administratorrechte ab. Das Konto lässt sich dann weder für Angriffe noch für andere nicht autorisierte administrative Aktivitäten verwenden.

Zu den Zielen bei der Konfiguration des JIT-Zugriffs in Azure mit Microsoft Entra Privileged Identity Management sollten gehören: dauerhafte Administratorrechte minimieren, vor der Rechteerhöhung eine Begründung und eine MFA-Bestätigung verlangen, sämtliche administrativen Aktivitäten protokollieren und Administratorrechte automatisiert wieder entziehen. JIT-Zugriff sollte außerdem zusammen mit weiteren Security-Best-Practices eingesetzt werden, etwa bedingtem Zugriff und Alarmierungen.

Voraussetzungen für Microsoft Entra ID Privileged Identity Management

Für den Einsatz von PIM benötigen Sie:

1. eine Azure AD Premium P2-Lizenz (Voraussetzung für PIM)
2. die Rolle „Globaler Administrator“ oder „Administrator für privilegierte Rollen“, um PIM zu konfigurieren
3. das Microsoft Entra ID Admin Center oder PowerShell für die Konfiguration
4. optional eine SIEM- oder RMM-Plattform für Überwachung, Alarmierungen und die Verteilung von Konfigurationen
5. Windows-Endpunkte, die in Intune registriert sind oder per RMM überwacht werden, um Richtlinien durchzusetzen

PIM aktivieren und berechtigte Rollen im Microsoft Entra ID Admin Center zuweisen

Zunächst aktivieren Sie PIM und weisen im Microsoft Entra ID Admin Center Rollen zu:

1. Öffnen Sie das Microsoft Entra Admin Center.
2. Navigieren Sie zu Identity Governance > Privileged Identity Management.
3. Wählen Sie die Microsoft Entra-Rollen aus.
4. Wählen Sie eine Rolle aus (z. B. Globaler Administrator oder Exchange-Administrator).
5. Klicken Sie auf Zuweisungen hinzufügen.
6. Legen Sie die Benutzer:in als „Berechtigt“ für zeitlich begrenzte Rechte fest.
7. Definieren Sie den Bereich (z. B. mandantenweit oder für eine bestimmte Ressource).
8. Konfigurieren Sie die Rolleneinstellungen separat, um die Aktivierungsdauer festzulegen (z. B. 1 bis 24 Stunden).
9. Aktivieren Sie in den Aktivierungseinstellungen bei Bedarf Genehmigung erforderlich und MFA erforderlich.

Benutzer:innen müssen Rollen ausdrücklich aktivieren, und ihr Zugriff läuft automatisiert ab. Für die bestmögliche Sicherheit empfiehlt es sich, Genehmigung und MFA zu verlangen.

Richtlinien für die Rollenaktivierung konfigurieren

In PIM konfigurieren Sie die Richtlinien, die festlegen, wie Rollen aktiviert werden. Dazu gehören:

• ob MFA erforderlich ist
• ob eine Begründung erforderlich ist
• ob eine Genehmigung erforderlich ist (Sie können zusätzlich festlegen, welche Benutzer:innen genehmigen dürfen)
• die Aktivierungsdauer (z. B. 1 bis 8 Stunden)
• die Benachrichtigungseinstellungen

Sie konfigurieren diese Punkte im Entra Admin Center, indem Sie eine Rolle auswählen und dann zu Einstellungen > Rolleneinstellungen navigieren.
Üblich ist es, Ticketnummern oder Fall-IDs als Begründungsfelder zu verlangen. Alle Konfigurationsänderungen lassen sich in den Entra-Protokollen nachvollziehen.

JIT-Zuweisungen mit PowerShell verwalten

Sie können Rollen auch programmgesteuert über Microsoft Graph oder das Azure AD PowerShell-Modul zuweisen. Das eignet sich ideal für die Integration in Serviceanfragen oder automatisierte Ticket-Workflows, die einen eingegrenzten Zugriff gewähren.

1. Stellen Sie dazu mit diesem Befehl eine Verbindung zu Microsoft Graph her:

Connect-MgGraph -Scopes "RoleManagement.ReadWrite.Directory"

2. Lassen Sie sich anschließend die Rollen und Rollen-IDs auflisten:

Get-MgRoleManagementDirectoryRoleDefinition

3. Führen Sie Folgendes aus, um eine zeitlich begrenzte Rollenzuweisung für eine Benutzer:in zu erstellen:

$params = @{
Action = „adminAssign“
PrincipalId = $userId
RoleDefinitionId = $roleId
DirectoryScopeId = „/“
Justification = „Granting temporary access“
ScheduleInfo = @{
StartDateTime = (Get-Date).ToUniversalTime().ToString(„yyyy-MM-ddTHH:mm:ssZ“)
Expiration = @{
Type = „AfterDuration“
Duration = „PT4H“ # ISO 8601 format for 4 hours
}
}
}
New-MgRoleManagementDirectoryRoleAssignmentScheduleRequest -BodyParameter $params

4. Aktivieren Sie die Rolle optional manuell über das Microsoft Entra-Portal.

Durchsetzung über Registry und Gruppenrichtlinien für konsistente lokale Richtlinien

JIT läuft zwar in der Cloud, dennoch sollten lokale Systeme auf Minimalprivilegien ausgerichtet und mit Protokollierung versehen sein.

So können Sie etwa das Gruppenrichtlinienobjekt (GPO) unter Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Zuweisen von Benutzerrechten nutzen, um für bestimmte Benutzer:innen oder Gruppen den Zugriff vom Netzwerk auf diesen Computer verweigern. Diese Einstellung verhindert, dass die betreffenden Konten das Netzwerkanmelderecht nutzen, sie schränkt jedoch nicht alle Formen der Remote-Verbindung ein.

Auch über die Windows-Registry lassen sich gehärtete Standardwerte für das Verhalten bei Rechteerhöhungen durchsetzen, etwa verpflichtende UAC-Eingabeaufforderungen. Zum Beispiel:

• EnableLUA = 1 stellt sicher, dass die Benutzerkontensteuerung (UAC) aktiviert ist.
• ConsentPromptBehaviorAdmin = 1 konfiguriert die UAC so, dass Administrator:innen im Administratorbestätigungsmodus bei Vorgängen, die eine Rechteerhöhung erfordern, um Zustimmung gebeten werden. Das bedeutet allerdings nicht, dass bei jeder administrativen Aktion eine Abfrage erscheint. Es gilt ausschließlich für Szenarien mit Rechteerhöhung.

Diese Konfigurationen stärken Ihre lokale Sicherheitslage. Sie erzwingen jedoch keine MFA und verhindern auch keine MFA-Umgehung. Die MFA-Durchsetzung sollte immer über Plattformen wie Microsoft Entra ID erfolgen.

JIT-Aktivitäten protokollieren und überwachen

Über Audit-Protokolle sollten Sie Rollenaktivierungen und das Zugriffsverhalten nachverfolgen.

Hier ein Beispiel für eine PowerShell-Abfrage, mit der Sie Einträge aus dem Audit-Protokoll abrufen:

Search-UnifiedAuditLog -StartDate (Get-Date).AddHours(-24) -EndDate (Get-Date) -Operations „Add member to role“ | Select-Object CreationDate, UserIds, Operations, AuditData

Filtern Sie in den Microsoft Entra-Audit-Protokollen nach den Vorgängen „Add member to role“ und „Update role assignment“, um Aktivierungsereignisse nachzuverfolgen. Wenn Sie zusätzlich ein lokales Active Directory überwachen, sind dort die Ereignis-IDs 4670 und 4688 hilfreich. Rollenaktivierungen über Entra ID PIM in der Cloud erfassen sie allerdings nicht.

Diese Protokolle können Sie anschließend an Ihr RMM oder SIEM übergeben, um Alarmierungen und Berichterstattung zu nutzen.

Setzen Sie Log Analytics oder ein SIEM ein, um bei häufigen Aktivierungen, Rechteerhöhungen außerhalb der erwarteten Zeiten sowie fehlgeschlagenen oder wiederholten Anfragen zur Rechteerhöhung zu alarmieren.

Weitere Überlegungen zu JIT und PIM

Wenn Sie den JIT-Zugriff in Azure über PIM konfigurieren, sollten Sie auch Ihre Workflows und Benutzerrollen berücksichtigen: Wählen Sie die Personen, die Anfragen zur Rechteerhöhung genehmigen dürfen, sorgfältig aus. Sie müssen die Konsequenzen jeder Anfrage vollständig verstehen. Erstellen Sie außerdem benutzerdefinierte Rollen mit eingegrenztem Bereich, verzichten Sie auf globale Administratorkonten und beachten Sie das Prinzip der Minimalprivilegien.

Überprüfen Sie die Rollen regelmäßig und entfernen Sie nicht mehr benötigte Rollen. Das Aufräumen von Rollen und Zuweisungen sollte fester Bestandteil Ihrer Prozesse für die Einarbeitung und das Offboarding von Mitarbeiter:innen sein.

Fehlerbehebung beim Just-in-Time-Zugriff in Azure

Funktioniert Ihre JIT-Implementierung in Azure nicht wie erwartet, prüfen Sie unbedingt die folgenden Punkte:

1. Die Rolle lässt sich nicht zuweisen: Stellen Sie sicher, dass die Benutzer:in nicht bereits aktiv ist oder die Rolle über eine Gruppe erhalten hat.
2. Aktivierung abgelehnt: Prüfen Sie, ob die MFA oder das Begründungsfeld fehlt.
3. Fehler der Graph-API: Überprüfen Sie die erforderlichen Berechtigungen und den Bereich bei der Token-Anforderung.
4. Lokale Benutzer:innen können Einschränkungen umgehen: Stellen Sie sicher, dass GPO- und Registry-Einschränkungen greifen, damit keine Rechteerhöhung über lokale Administratorkonten möglich ist.

NinjaOne RMM bietet mehr Transparenz und Kontrolle über Ihre gesamte IT-Infrastruktur und alle Endpunkte

Microsoft Entra ID Privileged Identity Management bietet eine vollständige Lösung für die JIT-Rechteerhöhung, die auf Cloud-Ebene durchgesetzt wird. Die damit verbundene Sicherheit lässt sich mit NinjaOne RMM erweitern: Sie erhalten vollständige Einblicke in alle Geräte, Dienste und Benutzeraktivitäten an einem Ort und können die Verteilung von Konfigurationen auf alle Geräte automatisieren.

Die MSP- und Unified Endpoint Management-Plattform von NinjaOne bietet Werkzeuge für die Durchsetzung von Skripten und das Ausrollen von Registry- oder GPO-Richtlinien. Außerdem unterstützt sie die Überwachung von Protokolldateien und Windows-Ereignissen für eine lückenlose Nachvollziehbarkeit, einschließlich Rechteerhöhungen. Hinzu kommen Berichterstattung und Compliance-Protokollierung, sodass Sie PIM-Aktivierungen mit Endpunktaktivitäten abgleichen und sicherstellen können, dass administrative Eskalationen autorisiert sind und verantwortungsvoll genutzt werden.

NinjaOne umfasst zudem Automatisierungswerkzeuge, die bei verdächtigen Aktivitäten Benutzerkonten deaktivieren, betroffene Systeme isolieren und Tickets an die zuständigen Ansprechpersonen eskalieren oder Skripte zur Behebung ausführen. So können Sie Ihre Reaktion auf Sicherheitsvorfälle deutlich besser automatisieren.