|
14.10.2026
12:00 Uhr
|
Da Identität die neue Sicherheitsgrenze der IT ist, muss sie besonders gut abgesichert werden. Richtlinien dabei sind das wichtigste Werkzeug zum Schutz.
Das schärfste Schwert zum Schutz von Cloud- und hybriden Identitäten in Entra-Mandanten sind ohne Zweifel die Richtlinien für den bedingten Zugriff (Conditional Access Policies). Sie haben sich in den letzten Jahren zum zentralen Kontrollinstrument innerhalb des Microsoft-Zero-Trust-Ökosystems weiterentwickelt. Leider ist dieses Schwert in vielen Fällen nicht so scharf geschliffen, wie es sein könnte, da das Konzept komplex und anfällig für Konfigurationsfehler und eine unwirksame Implementierung der Richtlinien ist.
Richtlinien für den bedingten Zugriff setzen sich aus zwei Hauptzutaten zusammen: den Zuweisungen und den Zugriffskontrollen. Damit eine Regel überhaupt angewendet wird, müssen alle Komponenten der Zuweisungen erfüllt sein. Die Zugriffskontrollen bestimmen dann, was bei Anwendung der Regel passieren soll. Steuerelemente der Kategorie „Gewähren“ können dabei entweder mit „und“ oder mit „oder“ verknüpft werden. Um Abdeckungslücken zu vermeiden, sollten die Zuweisungen weit gefasst und durch möglichst wenige Bedingungen eingeschränkt sein.
Es existiert keine Verarbeitungsreihenfolge der Richtlinien, wie man sie beispielsweise vom Firewalling kennt. Bei einem Zugriffsversuch werden die Zugriffskontrollen aller Richtlinien, deren Zuweisungen erfüllt sind, mit Und-Verknüpfung angewendet. Die einzige Ausnahme bildet das Steuerelement Blockzugriff (Block), das immer über Zugriff gewähren (Grant) siegt. Werden bei einem Zugriffsversuch die Zuweisungen einer Block-Richtlinie erfüllt, so ist kein Zugriff möglich, völlig unabhängig davon, welche anderen Richtlinien angewendet werden.