Privileged Identity Management (PIM): Konzept und Setup
Einleitung
Privileged Identity Management (PIM) ist längst kein Geheimtipp mehr im Microsoft-Cloud-Ökosystem. Es wurde vor fast 10 Jahren veröffentlicht! Ich weiss, dass es dazu schon viele gute Inhalte gibt, aber dieser Blog-Post ist meine persönliche Zusammenfassung.
Was dich erwartet 🎯
-
Was ist PIM?
-
Warum sind Privileged Identities relevant?
-
Voraussetzungen
-
Konzept
-
Setup
-
Bonus
- PIM for Groups für Rollen ausserhalb von Microsoft Entra aktivieren
- Identity Governance
- Integration mit Administrative Units
- Integration mit Microsoft Sentinel
- Change Tracking
Was ist PIM? 🦸
Microsoft Privileged Identity Management (PIM) ist ein Feature von Microsoft Entra ID P2 oder Microsoft Entra ID Governance. Es sichert erhöhte Rechte ab, bindet Genehmigungsprozesse ein und verwaltet Admin-Rollen Just-in-Time und mit Just-Enough-Access, basierend auf Zero Trust. Das Feature betrifft nur Administratoren und muss auch nur für sie lizenziert werden.
Mit PIM kannst du:
- Sicherstellen, dass nur die richtigen Personen zum richtigen Zeitpunkt die richtigen Berechtigungen haben
- Genehmigungsprozesse einbauen, damit vor der Vergabe von Berechtigungen ein Vier-Augen-Prinzip gilt
- Elevation überwachen und auswerten und zusätzlich verlangen, dass begründet wird, warum sie nötig war
- Meine Sicht: Das P in PIM steht für psychologisch. Es ist ein System, das dich zwingt, privilegierte Aufgaben neu zu überdenken, eine Begründung anzugeben und genau das richtige Berechtigungsset auszuwählen. (Was auch eine Herausforderung sein kann 😉)
Warum sind Privileged Identities relevant?
Privileged Identities sind Personas mit Berechtigungen, Änderungen an einem System vorzunehmen, die mehrere Objekte betreffen oder kritische (geschäftliche) Auswirkungen haben. In der Microsoft Cloud kann das alles Mögliche sein: einen Benutzer sperren, Geräte zurücksetzen, Apps von Drittanbietern hinzufügen oder entfernen, Daten verwalten (SharePoint, OneDrive) oder Teams verändern. Es sind im Grunde Superkräfte 🦸
Du siehst: Diese Privileged Identities sollten gut geschützt sein. Dazu gehört nicht nur PIM als Produkt, sondern auch weitere Einschränkungen wie MFA, Conditional Access, sichere Ablage von Secrets und Vertrauen gegenüber Dritten, damit Defense in Depth gewährleistet ist.
Voraussetzungen
Bevor du PIM in deinem Tenant aktivierst, solltest du prüfen, dass alle Benutzer, die PIM verwenden, eine Lizenz für Microsoft Entra ID P2 oder Microsoft Entra ID Governance zugewiesen haben. Um PIM zu konfigurieren, brauchst du die Rolle Global Administrator oder Privileged Role Admin.
Konzept 📝
Rollenquellen
Rollen und Berechtigungen in Azure und Microsoft 365 können aus verschiedenen Quellen stammen:
- Entra ID: Rollen für die Verwaltung von Entra, Microsoft 365 und verwandten Produkten, kompatibel mit PIM
- Intune: Rollen speziell für das Endpoint Management, standardmässig nicht mit PIM kompatibel (hier müssten PIM-fähige Gruppen verwendet werden)
- Defender-Berechtigungen: Spezifische Rollen in Defender XDR / Security Center
- Exchange-Admin-Rollen: Spezifische Rollen in Exchange
- Azure IAM: Rollen für Azure-Ressourcen, auch in PIM unter «Azure resources» verwaltbar
- Purview-Rollen und Scopes: Rollen in Purview / Compliance
Assignment-Typen
Nicht alle Rollen werden auf dieselbe Weise zugewiesen. Es gibt zwei Typen:
- Eligible (berechtigt, aber nicht aktiv): Die Rolle kann von einem Benutzer über PIM für einen bestimmten Zeitraum aktiviert werden
- Active (dauerhaft aktiv): Die Rolle ist statisch und für einen Benutzer dauerhaft aktiv
Rollentabelle
Wenn ich mit Kunden arbeite, empfehle ich immer eine Rollentabelle. Sie definiert klar, wer (dauerhaft oder über PIM) Zugriff auf welche Rollen hat und damit welche Verantwortung trägt. So sieht sie aus:
| Rolle | Empfohlener Assignment-Typ | Beschreibung | Empfohlene Zielgruppe |
|---|---|---|---|
| Global Admin | PIM | Kann alle Aspekte des Tenants verändern. | Dedizierte Admin-Konten, ausser dem Break Glass Admin. |
| Global Reader | Static | Kann alle Aspekte des Tenants lesen, aber nicht verändern. | Alle IT-Engineers |
| Application Admin | PIM | Kann Enterprise Apps und App Registrations ändern. | Entwickler, Engineers |
| Intune Admin | PIM | Kann alle Aspekte von Intune konfigurieren. | Intune Admins |
| User Admin | PIM | Kann Benutzeraspekte verändern, ohne Authentifizierungsmethoden. | Helpdesk |
| Security Admin | PIM | Kann Security in Defender XDR, Intune Endpoint Security und Entra-Einstellungen konfigurieren. | Security Engineers (auch Defender RBAC beachten) |
| Compliance Admin | PIM | Kann Aspekte in Purview verändern. | Compliance Officers |
| Authentication Admin | PIM | Kann Security-Infos und Authentifizierungsmethoden von Nicht-Admins bearbeiten. | Helpdesk |
| Exchange Admin | PIM | Kann alle Aspekte von Exchange Online ändern. | Exchange Engineers |
| Teams Admin | PIM | Kann alle Aspekte von Teams ändern. | Teams Admins |
| SharePoint Admin | PIM | Kann alle Aspekte von SharePoint ändern, inklusive Site-Inhalten. | SharePoint Admins |
| Billing Admin | Static | Kann Lizenzen kaufen und zuweisen. |
Setup 🛠️
Bevor du startest
Als Erstes prüfe ich in jedem Tenant, auf den ich Zugriff bekomme, die aktuellen Role Assignments. Sortiere sie nach den Assignments und verschaffe dir einen Überblick, wie die Rollen aktuell verteilt sind. Prüfe sie und nutze sie als Ausgangspunkt: in Entra > Roles
PIM-Rollen
Um PIM zu konfigurieren, gehe zu Entra Admin Center > ID Governance > Privileged Identity Management > Roles. Weise die Rollen den Admins gemäss deiner eigenen Rollentabelle von oben zu.
Rollenkonfiguration
Jede Rolle lässt sich einzeln konfigurieren, mit Einstellungen zu:
- Activation - Maximale Aktivierungsdauer, Anforderungen an die Autorisierung der Aktivierung, Begründung und Approver
Meine Empfehlung: Ich setze die maximale Dauer für alle Rollen auf 10 Stunden. Bei hoch privilegierten Rollen wie Global Admin reduziere ich den Zeitraum auf 1 Stunde. Die Approver sind individuell und hängen von deinem RBAC-Prozess ab.
- Assignment - Einstellungen zur Zuweisung
Meine Empfehlung: Auf dem Standard belassen, ausser du willst Rollen dauerhaft aktiv zuweisen. Dann musst du diese Einstellung ändern.
- Notifications - E-Mail-Benachrichtigungen und Empfänger bei Zuweisung oder Genehmigung
Meine Empfehlung: E-Mails an Approver einrichten (falls vorhanden), sonst nur kritische E-Mails senden. Mehr zu Benachrichtigungen mit Microsoft Sentinel liest du weiter unten.
So verwendest du PIM 📙
Angenommen, du bist Administrator und willst Rollen aktivieren, um bestimmte privilegierte Aufgaben auszuführen. Dazu musst du zuerst wissen, welche Rolle du für die Aufgabe brauchst. Oft steht das in der Dokumentation zur Aufgabe (es sollte!). Falls nicht, hilft dir vielleicht diese Quelle: Entra built-in roles oder Azure built-in roles, oder bei der Arbeit mit Microsoft Graph: Graph permissions reference
Als Admin gehe zu Entra Admin Center > ID Governance > Privileged Identity Management > My roles
Hier siehst du alle deine verfügbaren Rollen. Beachte den Zustand des Assignments. Die bereits aktiven Assignments erscheinen in einem anderen Tab.
Um eine Rolle zu aktivieren, wähle die richtige aus, klicke auf «Activate» und gib die Begründung an (Pflicht). Optional:
-
- Eine eigene Startzeit für die Aktivierung setzen (wann das Assignment beginnt)
- Die Dauer anpassen
- Einen Scope wählen (Tenant-Ebene oder Administrative Unit)
Der Zuweisungsprozess durch die Systeme dauert ein paar Sekunden, die Seite aktualisiert sich automatisch. (Falls du in einem anderen Portal bist, aktualisiere die Seite. Ab- und wieder Anmelden ist nicht nötig.)
Wenn ein Genehmigungsprozess eingerichtet ist, fordere die Rolle hier an und warte, bis sie von den konfigurierten Personen genehmigt wird. (Genehmigung über Entra Admin Center > ID Governance > Privileged Identity Management > Approve requests)
Du solltest jetzt die Berechtigungen im Kontext haben und die aktive Rolle für deinen Zeitraum unter «Active roles» sehen.
Audit-Logs
Die Audit-Logs aller PIM-Aktivitäten findest du unter PIM > (Manage) Microsoft Entra Roles > Resource audit. Klicke auf einen Eintrag, um mehr Details zu sehen, inklusive der Begründung.
Bonus 🔮
PIM-fähige Gruppen (PIM for Groups)
Du kannst PIM auch für Gruppen aktivieren. Das heisst: Du kannst Eligible Member einer Gruppe sein und das Assignment für einen begrenzten Zeitraum aktivieren. (Inklusive aller anderen Features von PIM.) Das ist praktisch, wenn du Berechtigungen an Gruppen vergibst, z. B. bei Intune Custom RBAC Roles.
Um eine Gruppe für PIM zu aktivieren, gehe in der Gruppenübersicht zu Privileged Identity Management und aktiviere PIM für diese Gruppe. Danach kannst du dieselben Einstellungen konfigurieren wie bei einer PIM-Rolle.
Identity Governance
PIM ist Teil von Identity Governance. Warum also nicht auch die anderen starken Features nutzen, um den Umgang mit diesen heissen Identitäten zu verbessern? Mit Access Reviews stellst du sicher, dass die Role Assignments noch gebraucht werden. Damit überprüfst du regelmässig deine eigenen oder fremde Assignments auf Rollen. Und mit Access Packages schnürst du ein Bündel von Berechtigungen (neu auch mit Entra Roles!), um Zugriff auf Ressourcen zu gewähren.
Administrative Units
Administrative Units sind ein virtueller Container in Entra ID. Du kannst Benutzer oder Geräte als Mitglieder zu einer Administrative Unit hinzufügen. Entra-ID-Rollen lassen sich dann auf den Scope dieser Unit zuweisen, aber nicht auf das ganze Verzeichnis, inklusive PIM. So können IT-Admins nur eine Teilmenge aller Benutzer und Geräte verwalten. Mehr dazu
Sentinel-Integration
Ich empfehle dir, Sentinel (falls vorhanden) zu nutzen, um bei Auffälligkeiten bei PIM-Aktivierungen oder bei kritischen Rollenänderungen zu alarmieren und zu benachrichtigen. Du solltest einen NRT-Alert (Near Real-Time) erhalten, wenn ein möglicher Fall von Privilege Escalation erkannt wird. Das sind die eingebauten Rule Templates, die du verwenden kannst:
Was heisst das für Schweizer Firmen?
- Lizenz: PIM braucht Microsoft Entra ID P2 oder Microsoft Entra ID Governance. Lizenziert werden die Benutzer, die PIM nutzen, nicht die ganze Belegschaft. Bei einem kleinen Admin-Team bleiben die Lizenzkosten daher überschaubar. Access Reviews gehören zu Identity Governance: prüfe vorab, welche Lizenz du dafür brauchst
- Revision und revDSG: Die Begründung bei jeder Aktivierung und das Audit-Log machen privilegierte Zugriffe nachvollziehbar. Das hilft, wenn Revision oder Kunden wissen wollen, wer wann welche Admin-Rechte hatte, und unterstützt die technischen und organisatorischen Massnahmen für die Datensicherheit (Art. 8 revDSG)
- Kleine Teams: Auch mit nur zwei oder drei Admins lohnt sich PIM. Starte mit einer Rollentabelle, Global Admin über PIM und einem Break Glass Admin, und baue von dort aus
powered by Oceanleaf
Verwandte Beiträge
