Intune-RBAC-Berechtigungen
Einleitung
Mit dem Intune Role-based Access Control (RBAC) steuern Administratoren, wie weit der Zugriff auf das Intune-Portal und seine Ressourcen geht.
Das funktioniert über Rollen, die Benutzern oder Benutzergruppen zugewiesen werden. Jede Rolle definiert eine Reihe von Berechtigungen in Intune oder in der Geräteverwaltung, etwa für Device Configuration, Remote Tasks, Security Baselines, App-Verwaltung und so weiter. Meistens kannst du Lese- oder Schreibzugriff vergeben.
Alle Rollen findest du in Intune unter Tenant administration > Roles:
Standardmässig siehst du die Built-in Roles von Intune, die in allen Tenants gleich sind. Du kannst aber eigene Rollen erstellen und die Berechtigungen nach Wunsch konfigurieren.
Dieser Post behandelt nur Intune-RBAC-Berechtigungen mit einigen Konzepten und Empfehlungen.
Rollenquelle
Es ist wichtig, den Unterschied der Rollenquellen für Berechtigungen in Entra ID und Intune zu verstehen. Das sind nicht dieselben Rollen, und sie sind nicht wechselseitig verfügbar oder zuweisbar.
- Entra ID: alle Entra-Rollen, die für sämtliche Microsoft-365-Cloud-Dienste gedacht sind, vor allem für Produktivität und Zusammenarbeit (Identity and Access (IAM) für Azure-Ressourcen ausgenommen). Referenz ansehen
- Intune: produkt- bzw. Intune-spezifische Rollen, die nur im Intune Admin Center verfügbar und nutzbar sind. Referenz ansehen
Entra-Rollen mit Intune-Zugriff
Einige Entra-Rollen haben auch Berechtigungen in Intune. Diese Tabelle gibt einen Überblick:
| Microsoft Entra role | Alle Intune-Daten | Intune-Audit-Daten |
|---|---|---|
| Global Administrator | Lesen/Schreiben | Lesen/Schreiben |
| Intune Administrator | Lesen/Schreiben | Lesen/Schreiben |
| Security Administrator | Nur lesen, volle Berechtigungen für Endpoint Security | Nur lesen |
| Security Operator | Nur lesen | Nur lesen |
| Security Reader | Nur lesen | Nur lesen |
| Global Reader | Nur lesen | Nur lesen |
| Helpdesk Administrator | Nur lesen | Nur lesen |
| Compliance Administrator | Keine | Nur lesen |
| Reports Reader | Keine | Nur lesen |
Rollen migrieren
Wenn du Rollen migrieren und den Zugriff neu definieren willst, kannst du diese wichtigen Schritte und Phasen durchgehen:
Assessment
- Prüfe die aktuell zugewiesenen Benutzer für:
- Intune administrator
- Microsoft Entra Joined Device Local Administrator
- (Auch die anderen oben genannten Rollen, aber vor allem diese)
- Prüfe, ob Intune-RBAC-Rollen zugewiesen sind
- Prüfe, ob es Custom Roles gibt, und finde heraus, wofür sie genutzt werden
- Wie sehen die aktuellen Intune-Abläufe aus? Wer macht was?
Nebenbemerkung: Willst du Entra-Rollen über Privileged Identity Management (PIM) aktivieren lassen?
Konzept
5. Definiere ein Konzept für den Intune-Betrieb (siehe Kapitel unten). Dafür musst du diese Fragen klären:
- Welche Aufgaben fallen in Intune an, und welche Job-Rollen gibt es? (z. B. Intune Full Admin, Helpdesk, Security Admin)
- Welche Intune- und Entra-Rollen passen zu den Job-Rollen?
- (Falls die Built-in Roles deine Anforderungen nicht abdecken, erstelle eine Custom Role)
- Wichtig ist ein klarer Prozess, wie die künftigen Rollen beantragt und entfernt werden. Denke an den Lifecycle (Access Reviews für die Gruppen)
- Wenn eine Person neu für den Intune-Betrieb eingeteilt wird oder die Position wechselt
- Prüfe den Einsatz von PIM
Änderung
7. Bevor du die Änderung durchführst, stelle sicher, dass die Rollen die Berechtigungen für die tägliche Arbeit haben. Mache dazu einen Proof of Concept, weise einem Benutzer eine der neuen Rollen zu und lass ihn die Berechtigungen prüfen
8. Weise alle neuen Rollen den Benutzern oder Gruppen zu, gemäss Konzept
9. Entferne die alten Rollen von den Benutzern
Betrieb
10. Die Benutzer haben die neuen Rollen und können Aktionen gemäss ihrem Berechtigungsset ausführen. Fehlen Berechtigungen, passe die Rollen an
11. (Benutzer müssen ihre Rollen eventuell mit PIM aktivieren)
Konzept für den Rollenüberblick
Mein Rat: Definiere ein Konzept für deinen Intune-Betrieb und welche Admins welche Aktionen ausführen müssen. Meine Empfehlung sieht ungefähr so aus:
| Role | Rollenquelle | Beschreibung | Mitglieder |
|---|---|---|---|
| Intune administrator | Entra ID | Diese Rolle kann alle Bereiche von Intune verwalten. Microsoft empfiehlt sie nur für Ausnahmen, nicht für die tägliche Arbeit | Lead Admins, nur über PIM |
| Security administrator | Entra ID | Diese Rolle kann den Bereich Endpoint Security in Intune verwalten und hat nur Leseberechtigungen für den Rest | Security Officers |
| Microsoft Entra Joined Device Local Administrator | Entra ID | Jedes Mitglied dieser Rolle wird automatisch lokaler Administrator auf allen Entra-joined Geräten des Tenants. Besser: lokale Admins mit der Intune Account Protection Policy «Local user group membership» verwalten | Keine |
| Application Manager | Intune | Kann mobile und verwaltete Anwendungen verwalten, Geräteinformationen lesen und Device Configuration Profiles ansehen. | Mitarbeitende im App Packaging |
| Policy and Profile Manager | Intune | Verwaltet Compliance Policies, Configuration Profiles, Apple Enrollment, Corporate Device Identifiers und Security Baselines | Endpoint-Kernteam |
| Endpoint Security Manager | Intune | Verwaltet Security Baselines, Device Compliance, Conditional Access und Defender for Endpoint | Security Engineers |
| Read Only Operator | Intune | Diese Rolle kann alle Daten in Intune ansehen, aber nichts verändern | Keine |
| Help Desk Operator | Intune | Kann Remote Tasks auf Benutzern und Geräten ausführen und Anwendungen oder Policies Benutzern oder Geräten zuweisen. | Helpdesk-Mitarbeitende |
Alle Built-in Roles von Intune ansehen
Governance in Intune
- Intune roles (custom): allgemeines Role-based Access Control (RBAC), um verschiedenen Benutzern unterschiedliche Berechtigungen zu geben. Mit Custom Roles definierst du individuelle Berechtigungen.
- Scope Tags: steuern den Zugriff granular auf eine Teilmenge der Intune-Objekte. (In grossen Intune-Umgebungen hilft das, den Zugriff z. B. auf eine Abteilung oder einen Standort der Firma zu beschränken.) Empfohlener Post zum Thema
- Multi Admin Approval: Funktion für einen Anfrage- und Genehmigungsprozess bei Intune-Objekten und, wenn aktiviert, auch bei RBAC-Änderungen (Rollen, Admin-Gruppen, Assignments). Das ist ein Vier-Augen-Prinzip.
- Privileged Identity Management: Funktion für Identitäts- und Zugriffssicherheit (benötigt Entra ID P2 oder Entra ID Governance), um Identitäten Entra-Rollen mit mehreren Kontrollen bereitzustellen.
- PIM for Groups (früher Privileged Access Groups): verwaltet Entra-ID-Gruppen, denen zum Beispiel Intune Custom Roles zugewiesen werden können, mit ähnlichen Funktionen wie Privileged Identity Management (PIM).
Auditing
In Intune sind alle Audit-Daten unter Tenant administration > Audit logs verfügbar. Das Portal zeigt das letzte Jahr (passe den Datumsfilter an), die Graph API liefert zwei Jahre. Damit lässt sich feststellen, wer welche Aktionen und Aufgaben ausgeführt hat. Du kannst auch die Weiterleitung von Intune-Plattformdaten an einen Log Analytics Workspace prüfen oder mein Intune Change Tracking Workbook.
Was heisst das für Schweizer Firmen?
- In kleinen und mittleren Teams und bei IT-Dienstleistern haben oft alle Admins dieselbe Rolle. Mit Job-Rollen und den Built-in Roles von Intune trennst du Aufgaben, ohne dass dafür eine zusätzliche Lizenz nötig ist
- PIM und PIM for Groups brauchen Entra ID P2 oder Entra ID Governance. Lizenzen brauchen die Benutzer, die PIM nutzen. Prüfe den genauen Umfang in den Lizenzgrundlagen von Entra ID Governance
- Die Audit-Daten helfen dir, nachzuweisen, wer welche Änderungen vorgenommen hat. Das kann bei Anforderungen aus dem revDSG oder bei Kundenaudits nützlich sein
Verwandte Beiträge
