Wem gehört Ihr Tenant Microsoft 365und wer kontrolliert ihn?

Ihr Unternehmen verfügt über einen Tenant Microsoft 365 : Dort werden Ihre Konten, Postfächer, Dateien und Berechtigungen gespeichert. Microsoft schreibt, dass die Person, die ein Abonnement für die Organisation erworben und diese für die Onlinedienste registriert hat, automatisch zum Global Administrator ernannt wird. Je nachdem, wie das Projekt gestartet wurde, kann diese Person in Ihrem Unternehmen tätig sein oder bei dem Dienstleister, der die Umgebung eingerichtet hat.

Dass ein Server Microsoft 365 von der Person verwaltet wird, die es registriert hat – bei Ihnen oder bei dem Dienstleister, der die Umgebung eingerichtet hat –, ist nichts Ungewöhnliches. Ein Dienstleister benötigt Administratorrechte, um seine Arbeit zu erledigen, und Microsoft sieht ausdrücklich Mechanismen vor, die ihm diese gewähren. Es gilt, drei Dinge zu prüfen: Welche Zugriffsrechte bestehen, wo sie sichtbar sind und was Sie selbst übernehmen können.

Was ein „Tenant“ ist und was er enthält

Drei Begriffe werden oft miteinander verwechselt. DerOrganisation vertritt das Unternehmen, das die Dienste nutzt und durch einen oder mehrere öffentliche Domänennamen von DNS identifiziert wird, wie beispielsweise contoso.com ; sie enthält die Abonnements. DieAbonnement ist die mit Microsoft geschlossene Vereinbarung zur Nutzung einer oder mehrerer Plattformen oder Dienste, deren Abrechnung entweder pro Benutzerlizenz oder nach Ressourcenverbrauch erfolgt. Die derzeit Microsoft Entra ist eine bestimmte Instanz von Microsoft Entra ID die die Konten und Gruppen enthält.

Die Benutzerkonten aller Angebote cloud von Microsoft werden in diesem Entra-Tenant gespeichert, und mehrere Abonnements derselben Organisation können sich denselben Tenant teilen. Ein kostenpflichtiges oder ein Testabonnement Microsoft 365 oder Dynamics 365 beinhaltet einen kostenlosen Entra-Tenant.

Zum Thema Eigentumsrechte schreibt Microsoft, dass Sie bei allen Bereitstellungsarten Eigentümer Ihrer Daten und Identitäten sind. In seiner Tabelle zur geteilten Verantwortung werden Kundendaten, Konfigurationen und Identitäten in den vier verglichenen Modellen – von der Installation vor Ort bis hin zum sofort einsatzbereiten Onlinedienst, für den Microsoft 365 als Beispiel dient. Das Eigentum an einem Tenant Microsoft 365 und die tägliche Kontrolle darüber sind zwei getrennte Dinge: Die Kontrolle richtet sich nach den Verwaltungsrollen, und diese Rollen werden separat zugewiesen.

Was die Rolle „Global Administrator“ ermöglicht

Microsoft schreibt, dass Inhaber dieser Rolle Zugriff auf alle Verwaltungsfunktionen von Microsoft Entra ID sowie auf Dienste haben, die Azure-Identitäten verwenden, und nennt dabei das Portal Microsoft Defender, das Portal Microsoft Purview, Exchange Online, SharePoint Online sowie Skype for Business Online. In derselben Dokumentation wird hinzugefügt, dass Global Administrators nahezu uneingeschränkten Zugriff auf die Einstellungen Ihrer Organisation und auf den Großteil ihrer Daten haben, und es wird empfohlen, ihre Anzahl so weit wie möglich zu begrenzen.

Im Einzelnen kann ein Global Administrator das Passwort jedes Benutzers und aller anderen Administratoren zurücksetzen, den Kauf von Abonnements und Produkten der Organisation verwalten, Domänen hinzufügen und verwalten sowie einen anderen Global Administrator entsperren. Er kann außerdem die Aktivitätsprotokolle des Verzeichnisses einsehen und seine Berechtigungen erweitern, um alle Abonnements Azure und alle Verwaltungsgruppen zu verwalten; Microsoft schreibt, dass er dadurch vollständigen Zugriff auf alle Ressourcen Azure des Tenants erhält.

Für Postfächer und Dateien dokumentiert Microsoft Verwaltungsvorgänge, die den Zugriff auf die Inhalte ermöglichen. Durch die Umwandlung des Postfachs eines Mitarbeiters in ein freigegebenes Postfach bleiben alle vorhandenen E-Mails und der Kalender erhalten, und mehrere Personen haben Zugriff auf dieses Postfach. Wenn ein Konto gelöscht wird, kann ein anderer Benutzer Zugriff auf das OneDrive und hat dann standardmäßig dreißig Tage Zeit, um die zu behaltenden Dateien einzusehen und herunterzuladen; standardmäßig erhält der Vorgesetzte des Mitarbeiters diesen Zugriff automatisch.

Microsoft dokumentiert eine Einschränkung der Rolle: Ein Global Administrator kann seine eigene Berechtigung nicht widerrufen, und Microsoft verhindert dies, um zu vermeiden, dass eine Organisation ohne Global Administrator dasteht. Die Rolle beinhaltet hingegen eine Exklusivität: Nur Global Administratoren können die über einen Partner erworbenen Abonnements einsehen und verwalten.

Welche Rechte hat ein Partner in Bezug auf Ihren Tenant: delegierte Verwaltung, Reseller, Abonnementberater

Ein Partner kann auf verschiedene Weise mit Ihrer Umgebung verbunden sein, wobei diese Verbindungen nicht auf dieselbe Weise aufgehoben werden können. Durch die delegierte Verwaltung erhält er Zugriffsrechte auf Ihre Dienste; die Reseller-Beziehung und die Rolle als Abonnementberater sind kommerzieller Natur.

Delegierte Verwaltung. Microsoft definiert sie wie folgt: Sie ermöglicht es den Technikern eines Cloud Solution Provider, Microsoft-Dienste wie Microsoft 365, Dynamics 365 und Azure im Auftrag Ihrer Organisation zu verwalten – und zwar mit denselben Rollen und Berechtigungen wie Ihre eigenen Administratoren. Diese Rollen werden Sicherheitsgruppen im Entra-Tenant des Partners zugewiesen, sodass dessen Techniker kein Benutzerkonto in Ihrem Tenant benötigen, um Ihre Dienste zu verwalten.

Microsoft schreibt, dass es zwei Arten von delegierten Verwaltungsbeziehungen gibt: die ältere, DAP, und die aktuelle, GDAP.

DAP. Alle DAP-Beziehungen ermöglichen es dem „ CSP “, die Rollen „Global Administrator“ und „ Helpdesk Administrator“ an seine Techniker zu delegieren. Der Gruppe „Admin Agents“ des Partners wird in Ihrem Entra-Tenant die Rolle „Global Administrator“ zugewiesen. Eine DAP-Beziehung besteht so lange, bis Sie oder Ihr „ CSP “ sie widerrufen; sie läuft nicht von selbst ab.

GDAP. Microsoft stellt dies als Sicherheitsfunktion dar, die dem Partner einen Zugriff mit minimalen Berechtigungen, granular und zeitlich begrenzt, auf die Workloads seiner Kunden gewährt, d. h. auf die Dienste, die er für diese verwaltet. Der Kunde muss diesen Zugriff ausdrücklich gewähren. Wenn ein „ CSP “ einen Antrag auf eine GDAP-Beziehung für Ihre Mandantenumgebung erstellt, muss ein Global Administrator auf Ihrer Seite diesen genehmigen; der Antrag enthält Angaben zur Mandantenumgebung des Partners, zu den Rollen, die er an seine Techniker delegieren möchte, sowie zum Ablaufdatum.

Die maximale Laufzeit einer GDAP-Beziehung beträgt zwei Jahre, und Microsoft weist darauf hin, dass dauerhafte Beziehungen aus Sicherheitsgründen nicht möglich sind. Durch eine automatische Verlängerung kann eine Beziehung um sechs Monate verlängert werden, bis sie gekündigt oder die Verlängerung deaktiviert wird. Die Zustimmung des Kunden ist nicht erforderlich, um diese Verlängerung für eine bestehende aktive GDAP-Beziehung zu aktivieren. Eine Beziehung mit der Rolle „Global Administrator“ kann nicht automatisch verlängert werden.

Microsoft hat einen Teil der Umstellung von DAP auf GDAP selbst durchgeführt. Für die betroffenen Partner erstellt das Unternehmen automatisch eine GDAP-Beziehung mit einer Standardrollenzuweisung, weist diese Rollen vordefinierten Sicherheitsgruppen CSP zu und hebt die DAP-Beziehung dreißig Tage später auf. Die so erstellte Beziehung hat eine Laufzeit von einem Jahr und trägt einen Namen, der mit MLT_. Microsoft weist darauf hin, dass E-Mails, die im Rahmen dieser Umstellung normalerweise an die Kunden versendet würden, derzeit nicht verschickt werden.

Die Reseller-Beziehung. Diese ist kommerzieller Natur und von den Verwaltungsrechten zu unterscheiden. Microsoft weist darauf hin, dass das Entfernen der GDAP-Beziehungen eines Kunden die Reseller-Beziehung des Partners nicht beendet und dass dieser weiterhin Produkte für diesen Kunden erwerben und dessen Budget verwalten kann Azure.

Der Abonnementberater. Ein von Microsoft autorisierter Partner kann auch als „Partner of Record“ für ein Abonnement fungieren. Microsoft beschreibt ihn als Berater, der den Verkauf, den Support und das technische Fachwissen bereitstellt, die für die Einrichtung und Pflege Ihres Abonnements erforderlich sind Microsoft 365. Er wird beim Kauf oder zu einem späteren Zeitpunkt hinzugefügt, indem er seine Microsoft-Partner-ID eingibt.

Was die Microsoft-Zertifizierungen über einen Partner aussagen – und was sie nicht aussagen –, erfahren Sie unter „Einen Microsoft-Partner auswählen“.

Wo Sie Ihre Partnerbeziehungen einsehen können und wie Sie eine davon auswählen

Im Verwaltungszentrum Microsoft 365öffnen Sie im Navigationsmenü „Einstellungen“ und anschließend „Partnerbeziehungen“: Dort werden Ihre Partner aufgelistet. Falls Sie keine Partner haben, wird auf der Seite eine Meldung angezeigt, dass Sie noch keine Partner haben.

Auf dieser Seite von Microsoft können Sie nachsehen, welche Partner über delegierte Administratorrechte für Ihren Tenant verfügen. Dort wird außerdem angegeben, dass die empfohlene Vorgehensweise für Kunden, um bestehende GDAP-Beziehungen einzusehen oder zu entfernen, über das Portal admin.microsoft.com erfolgt. Eine Seite im Portal mit dem Titel „Delegated Administration“ Azure listet zudem die beiden Beziehungstypen DAP und GDAP auf.

Das Entziehen der delegierten Berechtigungen erfolgt an derselben Stelle: Wählen Sie die Zeile des Partners aus, wählen Sie „Remove roles“ und bestätigen Sie anschließend. Microsoft schreibt, dass zu diesem Zeitpunkt die Entra-Rollenzuweisungen entzogen werden und der Partner Ihren Entra-Tenant nicht mehr verwalten kann. Die mit der Beziehung verknüpften Sicherheitsgruppen verlieren den Zugriff auf Ihre Organisation; dasselbe gilt, wenn ein Kunde eine DAP-Beziehung beendet.

Der Abonnementberater kann geändert oder anderweitig entfernt werden: direkt im Abonnement selbst unter „Billing“ und dann „Your products“ oder in der vereinfachten Ansicht unter „Subscriptions“, indem man das Abonnement öffnet und unter „Partner information“ die Option „Remove“ auswählt. Microsoft weist darauf hin, dass für diese Vorgänge ein Abrechnungskonto vom Typ „Microsoft Online Services Agreement“ sowie mindestens die Rolle „Billing Administrator“ erforderlich sind.

Was nach dem Entzug der übertragenen Befugnisse bestehen bleibt

Zwei Dinge bleiben von dieser Einstellung unberührt, und Microsoft dokumentiert beide.

Rollen bei Abonnements Azure. Wenn ein Kunde die delegierten Administratorrechte über das Portal entzieht, kann der Partner das Abonnement dieses Kunden weiterhin verwalten Azure dieses Kunden verwalten, solange er einer oder mehreren Rollen für dieses Abonnement zugewiesen bleibt. Um dies zu verhindern, muss die Rollenzuweisung selbst aufgehoben werden, was einen separaten Vorgang darstellt.

Die Reseller-Beziehung. Sie können diese nicht selbst löschen. Wenn Sie es versuchen, ist die Löschoption ausgegraut, und Microsoft verweist auf ein Verfahren, das der Reseller-Partner seinerseits durchführt.

Die von Microsoft dokumentierte Wiederherstellung von Tenants und der Anwendungsfall, den sie abdeckt

Microsoft dokumentiert ein Verfahren zur Übernahme eines nicht verwalteten Verzeichnisses unter der Bezeichnung„Admin Takeover “. Der hier beschriebene Fall betrifft einen Tenant, der ohne Entscheidung des Unternehmens entstanden ist: Wenn sich ein Benutzer im Self-Service bei einem Online-Dienst anmeldet, der Microsoft Entra ID verwendet, wird er einem nicht verwalteten Entra-Verzeichnis hinzugefügt, das auf der Grundlage der Domäne seiner E-Mail-Adresse erstellt wurde.

Das Verfahren gibt es in zwei Varianten, und in beiden Fällen erfolgt die Verifizierung über das „ DNS  “: Sie fügen bei Ihrem Registrar – der Stelle, bei der Ihre Domain registriert ist – einen TXT-Eintrag hinzu, und sobald dieser Eintrag überprüft wurde, können Sie die Entra-Organisation verwalten. Bei der internen Übernahme wird dem Antragsteller die Rolle des Global Administrators für das nicht verwaltete Verzeichnis zugewiesen, ohne dass Benutzer, Domänen oder Servicepläne in ein anderes Verzeichnis migriert werden. Bei der externen Übernahme wird der Domänenname zu einem Verzeichnis hinzugefügt, das Sie bereits verwalten, und dabei werden Benutzer, Abonnements und Lizenzzuweisungen mit übertragen; Microsoft weist darauf hin, dass dies für einen Dienst nicht unterstützt wird, dessen Pläne Folgendes umfassen SharePoint, OneDrive oder Skype for Business.

Der Anwendungsbereich dieses Verfahrens ist eng gefasst. Es regelt den Fall eines Inhabers, der aus einer Selbstregistrierung hervorgegangen ist. Es gilt nicht für einen verwalteten Inhaber, bei dem Ihre Domain bereits verifiziert ist und bei dem bestimmte Konten die Rolle eines Global Administrators innehaben. In diesem Fall stehen Ihnen weiterhin zwei dokumentierte Möglichkeiten zur Verfügung: Sie können entweder selbst mindestens ein Global-Administrator-Konto besitzen oder die delegierten Verwaltungsrechte widerrufen.

Der Zweck von Notfallzugriffskonten besteht darin, über ein Global-Administrator-Konto zu verfügen, das Sie selbst kontrollieren. Microsoft empfiehlt, mindestens zwei solcher Konten einzurichten, und zwar cloud ausschließlich in der Domäne .onmicrosoft.com, ohne Verbund und ohne Synchronisierung mit einem lokalen Verzeichnis, mit der Rolle „Global Administrator“, und die Anmeldedaten an einem sicheren Ort aufzubewahren, auf den mehrere Mitglieder des Administrationsteams Zugriff haben. Als Gründe für die Einrichtung solcher Konten nennt Microsoft unter anderem das Ausscheiden der Person, die über den letzten Global-Administrator-Zugriff verfügt: Entra ID verhindert zwar die Löschung des letzten Global-Administrator-Kontos, verhindert jedoch nicht, dass dieses Konto auf der Seite des lokalen Verzeichnisses gelöscht oder deaktiviert wird.

Die Sicherung Ihrer Daten Microsoft 365 : Was Microsoft abdeckt

Microsoft weist darauf hin, dass Sie unabhängig von der Art der Bereitstellung weiterhin die Verantwortung für Ihre Daten, Ihre Endgeräte, die Kontenverwaltung und die Zugriffsverwaltung tragen.

Microsoft wendet darüber hinaus eigene Aufbewahrungsfristen an. Die Standardaufbewahrungsfrist für ein OneDrive , dessen Konto gelöscht wurde, beträgt dreißig Tage und kann im Verwaltungszentrum angepasst werden SharePointgeändert werden. Nach Ablauf dieser Frist wird das OneDrive in den Papierkorb der Websitesammlung verschoben, wo es dreiundneunzig Tage lang aufbewahrt wird; für die Wiederherstellung muss dann der Befehl PowerShell über die Befehlszeile aufgerufen werden.

Die eigentliche Datensicherung ist ein eigenständiges Produkt. Microsoft 365 Backup umfasst die Standorte SharePoint, Konten OneDrive und Postfächer Exchangeab, mit einem in der Sicherungsrichtlinie konfigurierbaren Wiederherstellungszeitraum von drei Monaten, sechs Monaten, einem Jahr oder zwei Jahren. Microsoft schreibt, dass es sich um ein nutzungsabhängiges Angebot handelt, das nicht pro Benutzerlizenz abgerechnet wird, und dass dieselbe Kapazität über eine auf der Plattform Microsoft 365 Backup : In diesem Fall wird die Nutzung des Tools vollständig über die Partneranwendung verwaltet und abgerechnet.

Die gleiche Frage nach dem Eigentumsrecht gilt auch für die Datensicherung. Dabei sind drei Aspekte voneinander zu trennen: das Abonnement für das Datensicherungsprodukt und dessen Abrechnung, die konfigurierte Aufbewahrungsdauer sowie die Konsole, über die eine Wiederherstellung ausgelöst wird. Jeder dieser Aspekte kann sich bei Ihnen oder bei Ihrem Dienstleister befinden, und die drei Antworten müssen nicht unbedingt übereinstimmen.

Die gleichen Fragen stellen sich auch bei einer speziell für Sie entwickelten Fachanwendung: Wo werden die Daten gespeichert, wer verfügt über Administratorrechte und wie lange würde ein Dritter brauchen, um die Kontrolle zu übernehmen?

Unsere Lektüre

Dass ein Dienstleister über Administratorrechte für Ihren Tenant verfügt, ist eine ganz normale Arbeitssituation. Die Frage, die Sie sich zunächst stellen sollten, lautet: Verfügen Sie über mindestens ein Global-Administrator-Konto, das Sie kontrollieren, und wissen Sie, wo Sie es finden können? Falls die Antwort „Nein“ lautet, ist dies der erste Punkt, der geklärt werden muss – noch bevor über delegierte Berechtigungen, Backups oder einen Wechsel des Dienstleisters gesprochen wird.

Sollte in Ihrem Tenant noch eine DAP-Beziehung bestehen, empfehlen wir Ihnen, diese durch eine GDAP-Beziehung zu ersetzen. Eine GDAP-Beziehung enthält benannte Rollen und ein Ablaufdatum, während der durch eine DAP-Beziehung delegierte Global-Administrator-Zugriff nicht automatisch erlischt. Die Bedingung, die die Antwort beeinflusst, ist der Umfang des Mandats: Ein Dienstleister, der durch einen IT-Outsourcing-Vertrag für Ihre gesamte Umgebung gebunden ist, benötigt erweiterte Rollen, und die grundsätzliche Verweigerung von Rechten, die für die Arbeit erforderlich sind, kostet bei jedem Eingriff Zeit. Die Dauer und die Nachverfolgbarkeit der Rechte werden in der GDAP-Beziehung selbst geregelt; ihr Umfang hängt vom Umfang des Mandats ab.

Wenn Ihre Administratorzugänge in Ordnung sind, die Partnerbeziehungen den vertraglichen Vereinbarungen entsprechen und die Datensicherung über Ihr eigenes Abonnement abgerechnet wird, ist die Bestandsaufnahme damit abgeschlossen. Dieses Thema rechtfertigt kein Projekt.

Was Sie heute überprüfen können

1. Öffnen Sie im Verwaltungscenter „Einstellungen“ und dann „Partnerbeziehungen“ Microsoft 365 und sehen Sie sich die Liste an. Dort sind die Partner aufgeführt, mit denen Sie zusammenarbeiten, sowie diejenigen, denen delegierte Administratorrechte für Ihre Mandantenumgebung zugewiesen wurden.
2. Öffnen Sie die Seite „Role assignments“ im selben Verwaltungszentrum, wählen Sie die Rolle „Global Administrator“ aus und sehen Sie sich die Registerkarte mit den zugewiesenen Administratoren an.
3. Vergewissern Sie sich, dass mindestens eines dieser Konten Ihr eigenes ist und dass es auch tatsächlich genutzt werden kann – es reicht nicht aus, dass es nur in der Liste aufgeführt ist.
4. Überprüfen Sie die Rollenzuweisungen für Ihre Abonnements Azure : Die Entziehung delegierter Administratorrechte hat darauf keinen Einfluss.
5. Fragen Sie nach, bei welchem Abonnement die Sicherung Ihrer Daten Microsoft 365 in Rechnung gestellt wird, welche Aufbewahrungsdauer konfiguriert ist und wer eine Wiederherstellung veranlassen kann.
6. Falls Sie noch keine Notfallkonten haben, richten Sie zwei davon gemäß den von Microsoft veröffentlichten Richtlinien ein und testen Sie sie.

Für keinen dieser Punkte ist ein Dienstleister erforderlich.

Quellen von Microsoft

• Abonnements, Lizenzen, Konten und Mandanten für die cloud Angebote
• Über Administratorrollen in der Microsoft 365 admin center
• Gemeinsame Verantwortung in der cloud
• Delegierte Verwaltung in Microsoft Entra ID
• Einführung in Granular Delegated Admin Privileges (GDAP)
• Häufig gestellte Fragen zu GDAP
• Von Microsoft geleiteter Übergang von DAP zu GDAP
• Die Administratorrechte eines Kunden erhalten
• Einen Microsoft 365 Subscription-Advisor-Partner
• Übernahme der Administratorrechte für ein nicht verwaltetes Verzeichnis
• Verwaltung von Administrator-Konten für den Notfallzugriff
• Die E-Mail eines ehemaligen Mitarbeiters an einen anderen Mitarbeiter weiterleiten oder in ein gemeinsames Postfach umwandeln
• OneDrive Aufbewahrung und Löschung
• Überblick über Microsoft 365 Backup