Managed Red Tenant

En Red Tenant er en selvstændig Microsoft Entra-tenant, der udelukkende findes for privilegerede identiteter og deres enheder, og produktionstenanten bliver administreret derfra, aldrig ud fra sig selv.

Grunden er enkel: den, der kompromitterer en tenant, kontrollerer automatisk også de konti, man ville reparere den med. Ligger de konti i en anden tenant, er vejen fra den kompromitterede bruger til fuld kontrol brudt. Navnet læner sig op ad Red Forest, Microsofts tidligere model med en separat admin-skov til Active Directory.

Enterprise Access Model deler jeres miljø op i niveauer: control plane (Tier 0) indeholder alt, der administrerer identiteter og rettigheder, management plane (Tier 1) omfatter servere, applikationer og workloads, og user access plane (Tier 2) består af slutenheder og brugere.

Reglen bag er, at et højere niveau aldrig må kunne styres fra et lavere. I Entra ID hører roller som Global Administrator, Privileged Role Administrator, Conditional Access Administrator og Intune Administrator derfor til Tier 0, dertil Entra Connect og alt, der patcher, sikkerhedskopierer eller overvåger disse systemer.

Bedst med en ærlig optælling af control plane, altså spørgsmålet om, hvilke konti, grupper, servicekonti og applikationer der i dag kan ændre identiteter eller rettigheder. I de fleste miljøer er det betydeligt flere, end man havde forestillet sig.

Derefter adskiller I kontiene pr. niveau, erstatter permanente tildelinger med PIM og begrænser login til dedikerede enheder. Vores gratis tiering-check viser jer grafisk, hvor tier-grænser bliver overskredet i dag, og er dermed den hurtigste indgang, vi kender.

Begge kontrollerer identiteten og omstændighederne ved login, men ingen af dem kontrollerer den enhed, tastaturet hænger på.

En vellykket, stærk autentificering ender i et token på slutenheden, og er den enhed kompromitteret, bliver tokenet stjålet eller sessionen overtaget, selvom PIM og Conditional Access indtil da har gjort deres arbejde korrekt. Red Tenant bruger begge dele og kræver derudover, at enheden selv stammer fra det isolerede miljø.

En Privileged Access Workstation (PAW) er en hærdet arbejdsplads, der udelukkende bruges til administrative opgaver, altså uden mail og almindelig browsing, med Application Control, uden lokal admin og med et tillidsanker via TPM og Secure Boot.

Dedikeret hardware kræver den til alle roller med adgang til control plane, for der gælder princippet om det rene tastatur: adgangsoplysninger må aldrig røre ved en enhed, hvis tillidsniveau er lavere end målets. Til Tier 1 er den virtuelle variant nok.

Til alt under control plane. Den virtuelle Access Workstation (VAW) kører som Azure Virtual Desktop i Red Tenant, og I når den fra en compliant kontorenhed via Entra Private Access, med identitetsskift og FIDO2.

Den skalerer uden hardware og dækker Azure, Microsoft 365 og on-premises, men der er en restrisiko tilbage, fordi adgangen går gennem en Tier 2-enhed. Netop derfor er control plane fortsat forbeholdt hardware-PAW’en.

Nej, men hver administrator har brug for en separat identitet og en separat adgangsvej, og om det er en fysisk PAW eller en virtuel VAW, afgøres af det niveau, personen arbejder på.

I praksis har kun få personer Tier 0-rettigheder og får en hardware-PAW, mens det brede flertal arbejder via VAW’er. Netop derfor skalerer modellen fra 5 til 5.000 administratorer.

Forskellen ligger i tillidsankeret. En PAW, hvis konto, politikker og enhedsadministration ligger i samme tenant som de produktive systemer, deler deres skæbne, for den, der kontrollerer tenanten, kontrollerer også den Intune-politik, der hærder PAW’en.

Red Tenant flytter konto, enhed og administration over i en selvstændig tenant, som ikke kan nås fra produktionstenanten. PAW’en er fortsat den samme byggeklods, den står bare på et andet fundament.

PAM-løsninger opbevarer adgangsoplysninger og formidler sessioner, de sikrer altså credentialet, men ikke den enhed, det bruges fra. Er endepunktet kompromitteret, rider angriberen bare med i den formidlede session, og Microsoft skriver selv, at PAM-løsninger alene ikke dækker enhedsrisikoen pålideligt.

Red Tenant erstatter ikke PAM, men supplerer det: PIM og eksisterende bokse kan fortsat bruges, adgangen kommer bare nu fra en enhed uden for risikozonen.

Ingenting, der ville træde i kraft uden jeres godkendelse. Hver ændring i Red Tenant kører som kode gennem en pipeline og kræver godkendelse fra en customer approver på jeres side, og nødadgange er delt op, så ingen af siderne kan handle alene.

Dertil kommer, at vi administrerer jeres miljø fra vores egen Red Tenant, efter de samme regler, som også gælder for jeres. Vetoretten bliver altid hos kunden.

Artikel 21, stk. 2 nævner blandt andet politikker for adgangskontrol, multifaktorautentificering og sikkerhed ved anskaffelse, udvikling og vedligeholdelse af systemer, og artikel 20 gør ledelsen ansvarlig for at overvåge og dokumentere implementeringen.

I Tyskland gælder det siden december 2025 via BSI-loven, i Østrig fra den 1. oktober 2026 via NISG 2026. Den tyske BSI IT-Grundschutz kender adskillelsen af administrative opgaver som et basiskrav og udflytningen af administrationen til en egen struktur som et forhøjet krav. Red Tenant er cloud-implementeringen af netop det, og det versionerede repository er jeres dokumentation.

For komplekst til at drive selv er det ofte faktisk, for den dyre del er ikke teknikken, men den vedvarende hærdning, vedligeholdelse, overvågning og dokumentation, som ingen klarer ved siden af.

Netop det er grunden til en Managed Service: arbejdet ligger hos os, hvor automatisering og gentagelse gør det håndterbart, og en Red Tenant til 20 administratorer er den samme kode som en til 2.000.

Microsoft trak ESAE tilbage, fordi modellen kun dækkede on-premises-administratorer og var for kompleks i drift, ikke fordi adskillelsen skulle have været virkningsløs.

Den samme dokumentation slår fast, at Microsoft internt fortsat driver en tilsvarende arkitektur, anbefaler PAW’er til alle administrative opgaver og for særligt beskyttelseskrævende ressourcer udtrykkeligt nævner isolation på tværs af flere tenants. Red Tenant er cloud-udgaven af dette princip, og det driftsarbejde, ESAE strandede på, ligger hos Managed Service.

Tiering regulerer, hvem der må hvad, PIM regulerer hvornår, og Conditional Access regulerer under hvilke betingelser. Men alle tre ligger i det samme miljø, som de skal beskytte, og administreres af roller, som en angriber med Global Admin-rettigheder også besidder.

Red Tenant tager administrationen ud af det miljø, jeres eksisterende kontroller består, og de får et tillidsanker, der ikke længere kan nås indefra.