Managed Entra
Tausendmal am Tag entscheidet Entra ID, wer in euren Tenant hineindarf. Die Regeln dafür hat vor Jahren jemand im Portal eingerichtet, der heute woanders arbeitet. Managed Entra ist ein Managed Service der glueckkanja AG, mit dem wir diese Regeln als Code betreiben: dokumentiert, überwacht, und ihr wisst vorher, was sich ändert.
Die Burg hat keine Mauern mehr
Zwei Jahrzehnte lang galt eine einfache Regel: Wer im Firmennetz ist, gehört dazu. Drei Entwicklungen haben ihr die Grundlage entzogen.
- Die Arbeit ist ausgezogenDie Daten liegen bei Microsoft, die Menschen sitzen im Zug, zu Hause, beim Kunden. Die Mauer schützt noch immer das Gebäude. Nur arbeitet dort niemand mehr.
- Jedes Passwort ist eine Tür durch die MauerWer sich anmelden kann, ist drin. Das Netzwerk kann nicht erkennen, ob hinter dem Login eure Buchhalterin steht oder jemand, der ihr Passwort für ein paar Dollar gekauft hat.
- Angreifer brechen nicht ein. Sie melden sich anGestohlene Zugangsdaten sind heute ein Produkt mit Preisliste und Kundendienst. 97 Prozent der Identitätsangriffe zielen auf Passwörter. Für die Firewall sieht das aus wie ein ganz normaler Dienstagmorgen: jemand meldet sich an.
Die unsichtbare Belegschaft
Sichtbar ist, was im HR-System steht: Menschen mit Personalakte, Eintritt, Wechsel, Austritt. Der größere Teil steht dort nicht. Gäste und Partner, Admin- und Shared Accounts, Enterprise Apps und neuerdings Agents haben Zugriff wie alle anderen, aber keine Akte und keinen Austrittsprozess. Das klassische IAM kennt sie nicht, weil die Cloud die Personalabteilung nie fragt.
Jede dieser Identitäten kommt an derselben Stelle vorbei: Entra ID.
Drei Fragen, bevor ein Token entsteht
Zero Trust ist in Entra ID eine Richtlinie: Conditional Access prüft jede Identität vor jeder App nach demselben Muster, Mitarbeitende wie Gäste, Apps wie Agents. Wir bauen dafür eine Baseline, die für alle gilt, statt eines Flickenteppichs aus Ausnahmen. Jede undokumentierte Ausnahme ist eine Lücke, und eine reicht.
- 1Wer bist du?Starke Authentifizierung: Passkeys (FIDO2), Windows Hello for Business, Microsoft Authenticator Passkey. SMS und Anruf fallen ab Februar 2027 ohnehin weg.
- 2Womit arbeitest du?Nur Geräte, die Intune als compliant meldet. Eine Identität ohne Gerät, etwa ein Agent, trägt die Prüfung allein.
- 3Wie riskant ist das gerade?User Risk, Sign-in Risk, Standort, Session. Fällt etwas auf, endet der Zugriff sofort, nicht erst beim nächsten Login.
Eine Lücke reicht
Die beste Rüstung nützt nichts, wenn das Visier einen Spalt offen steht. In gewachsenen Entra-Umgebungen gibt es viele davon: Richtlinien, die seit Jahren im Audit-only-Modus stehen, Ausnahmen, die zur Regel wurden, Admins auf Lebenszeit, Gäste ohne Gastgeber.
Niemand hat das entschieden. Es ist so gewachsen, weil Identität nebenbei lief. Deshalb richten wir Entra nicht ein. Wir betreiben es.
Jede Änderung nimmt denselben Weg
Die Konfiguration eines Tenants lebt in vielen Unternehmen in den Köpfen und Mausklicks weniger Menschen. Bei uns lebt sie in einem Blueprint, den wir seit über zehn Jahren weiterentwickeln und seit drei Jahren als Code betreiben. Jede Änderung an eurem Tenant läuft durch dieselben fünf Schritte, unsere eigenen eingeschlossen. Ändert trotzdem jemand etwas von Hand im Portal, holt Drift Control den Sollzustand zurück und meldet sich bei euch.
- 1Pull RequestJede Änderung beginnt als Pull Request im Repository, nirgendwo sonst.
- 2Vier-Augen-ReviewEine zweite Person bei uns prüft jede Änderung, bevor irgendetwas läuft.
- 3PlanDer Plan zeigt Zeile für Zeile, was sich ändert. Weicht er ab, stoppt alles.
- 4FreigabeBetrifft sie Anwender nicht, setzen wir um und informieren euch. Ansonsten fragen wir.
- 5DeploymentDie Pipeline rollt aus, protokolliert und wiederholbar, auch in einen neuen Tenant.
Warum cloud-native
Die Technik ist da. Wir nutzen sie.
Entra ID und Intune können heute, wofür früher ein Rechenzentrum nötig war: Geräte kommen ab Werk in den Tenant, Nutzer melden sich mit einem Passkey an, und über jeden Zugriff entscheidet eine Richtlinie, kein VPN. Wir bauen auf genau diese Technik, weil sie sicherer ist, weniger Pflege braucht und jeden Monat besser wird.
Eure Fileserver, Drucker und Fachanwendungen bleiben dabei erreichbar. Windows Hello for Business Cloud Trust und Entra Private Access schlagen die Brücke, ohne dass ein Gerät noch den Domain Controller sehen muss. Wer heute hybrid ist, geht den Weg mit uns Schritt für Schritt, und meistens ist er kürzer, als alle dachten.
- Passkeys statt PasswörterPhishing-resistent, in Sekunden angemeldet, und das Helpdesk-Ticket „Passwort vergessen“ stirbt aus.
- Conditional Access statt VPNJeder Zugriff wird geprüft, egal von wo. Das Firmennetz ist nur noch ein Ort unter vielen.
- Entra ID Join statt HybridEin Verzeichnis, ein Gerätezustand, keine Gruppenrichtlinien mehr, die sich mit Intune streiten.
- Private Access als BrückeAlte Anwendungen bleiben erreichbar, nur eben über Entra statt über das Netz.
Every time you choose Hybrid Join over Entra Join, an angel loses its wings.
Steht so in unserem Pitch. Wir sagen es mit einem Lächeln, aber wir sagen es jedes Mal.
Was wir betreiben
Lizenzbasis: Entra ID P1 (Microsoft 365 E3) für die Basis. PIM, Access Packages, Access Reviews und ID Protection brauchen P2 (Microsoft 365 E5).
Ihr kennt eure Leute, wir betreiben den Rest
Wer kommt, wer geht, wer welche Rolle bekommt, das entscheidet ihr oder euer Partner, und das bleibt so. Alles darunter übernehmen wir: den laufenden Betrieb von Tenant, Nutzern und Zugriffen und das Fundament aus Conditional Access, Authentifizierung und Enterprise Applications, das als Code läuft und jede Microsoft-Neuerung mitnimmt.
Wer kommt, wer geht, wer welche Rolle hat: Das wisst ihr, nicht wir.
- User Support
- Identity Lifecycle aus dem HR-System
- Identitäten anlegen und pflegen
- Kommunikation mit Partnern
Der laufende Betrieb: überwachen, alarmieren, berichten, Microsoft-Neuerungen einbauen.
- Tenant-Konfiguration
- Nutzer-Konfiguration
- Zugriffs-Konfiguration
- Global Secure Access
Das Fundament, das niemand gern von Hand pflegt und das wir deshalb als Code betreiben.
- Conditional Access
- Authentifizierung und Autorisierung
- Cross-Tenant Access
- Enterprise Applications
Wie viel wollt ihr abgeben?
Dieselbe Technik in drei Stufen. Ihr könnt mit dem TerraProvider anfangen. Mit der Workplace Foundation habt ihr ihn automatisch dabei, und mit Managed Entra beides.
ProduktTerraProviderDer Terraform-Provider für Microsoft 365, mit dem wir selbst arbeiten. Community Edition bis 100 Nutzer kostenlos. | SubscriptionWorkplace FoundationUnser Blueprint als Abo, laufend aktualisiert. Repository und Pipeline betreibt ihr. | Managed ServiceManaged EntraWir deployen, alarmieren und berichten. Das Repository liegt bei uns, der Technical Account Manager bei euch im Kalender. | |
|---|---|---|---|
| Tenant-Konfiguration als Code, mit Terraform oder OpenTofu | enthalten | enthalten | enthalten |
| Fertiger Blueprint: Identity und Conditional Access Baseline, laufend aktualisiert | nicht enthalten | enthalten | enthalten |
| Betrieb durch uns: deployen, alarmieren, berichten, Service Review | nicht enthalten | nicht enthalten | enthalten |
| RealmJoin: 80+ Runbooks für den Betrieb | nicht enthalten | nicht enthalten | enthalten |
| Ihr bringt mit | Terraform oder OpenTofu, Git und CI/CD, tiefes Entra-Wissen. | Blueprint-Änderungen bewerten, Parameter setzen, eigenen Code pflegen. | Entra-Basiswissen für den First Level. Kein Terraform, kein Git. |
| Beleg | Terraform und OpenTofu, Disaster Recovery für die Tenant-Konfiguration | 10+ Jahre Blueprint, 150+ Releases | KQL-Alarme, monatlicher Report, Technical Account Manager |
- Tenant-Konfiguration als Code, mit Terraform oder OpenTofu
- Fertiger Blueprint: Identity und Conditional Access Baseline, laufend aktualisiert
- Betrieb durch uns: deployen, alarmieren, berichten, Service Review
- RealmJoin: 80+ Runbooks für den Betrieb
Ihr bringt mit: Terraform oder OpenTofu, Git und CI/CD, tiefes Entra-Wissen.
Terraform und OpenTofu, Disaster Recovery für die Tenant-Konfiguration
- Tenant-Konfiguration als Code, mit Terraform oder OpenTofu
- Fertiger Blueprint: Identity und Conditional Access Baseline, laufend aktualisiert
- Betrieb durch uns: deployen, alarmieren, berichten, Service Review
- RealmJoin: 80+ Runbooks für den Betrieb
Ihr bringt mit: Blueprint-Änderungen bewerten, Parameter setzen, eigenen Code pflegen.
10+ Jahre Blueprint, 150+ Releases
- Tenant-Konfiguration als Code, mit Terraform oder OpenTofu
- Fertiger Blueprint: Identity und Conditional Access Baseline, laufend aktualisiert
- Betrieb durch uns: deployen, alarmieren, berichten, Service Review
- RealmJoin: 80+ Runbooks für den Betrieb
Ihr bringt mit: Entra-Basiswissen für den First Level. Kein Terraform, kein Git.
KQL-Alarme, monatlicher Report, Technical Account Manager
Managed Entra enthält Workplace Foundation und TerraProvider. Wer bei uns bucht, bekommt alle drei.
Euer Weg zu Managed Entra
- Kickstarter WorkshopKickstarter WorkshopEin Tag vor Ort: Zero Trust, euer Conditional-Access-Blueprint, Identity Governance. Ihr geht mit einem Zielbild raus.
- ParametrisierungParametrisierungZwei bis vier Wochen: Aus dem Blueprint wird euer Blueprint, mit den Ausnahmen, die ihr bewusst behaltet. Alles als Code, bevor etwas läuft.
- OnboardingOnboardingEin Tag: SLA, Prioritäten P1 bis P4, Eskalation, Named Persons auf beiden Seiten. Danach rollt der Blueprint in Wellen aus, erst Report-only, dann scharf.
- BetriebBetriebBase Fee und ein fester Monatspreis pro Nutzer, Technical Account Manager, monatliches Service Review, Drift Control, Evergreen.
Ein Tag vor Ort
Kickstarter Workshop
Bevor wir etwas als Code bauen, schauen wir mit euch auf den Tenant, wie er heute ist. Ihr bringt das Admin Center mit und die Menschen, die die Ausnahmen kennen. Wir bringen den Blueprint mit.
Zero TrustPrinzipWelchen Zugriffen ihr heute vertraut, ohne es zu wissen.
Conditional AccessBlueprintWelche Silos euer Tenant braucht und welche Ausnahmen bleiben.
Identity GovernanceRollen und GästeWer welche Rolle wie lange braucht, und wer für wen bürgt.
ZielbildErgebnisEin Dokument, das ihr intern zeigen könnt, und ein Angebot zum Festpreis.
Fragen, die wir im ersten Gespräch hören
Kurz beantwortet. Wenn eure Frage fehlt, stellt sie uns unten.
Das macht unsere IT doch selbst.
Für Mitarbeitende mit Personalakte meistens ja. Für Gäste, Admin-Konten, Apps und Agents fühlt sich selten jemand zuständig, und Microsoft ändert laufend die Regeln. Entra und Intune zusammen sind 18 laufende Themenfelder, nach unserer Erfahrung 1,5 bis 3 Vollzeitstellen. Wir betreiben viele Tenants nach einem Blueprint und sehen Muster früher als ein einzelnes Team.
Verlieren wir die Kontrolle über unseren Tenant?
Euer Tenant bleibt euer Tenant, die Logs bleiben bei euch, und ihr seht jede Änderung vorher im Plan. Eine Regel gibt es allerdings: Die Foundation-Komponenten ändern ausschließlich wir. Sonst wäre es kein Betrieb, sondern ein Nebeneinander.
Welche Lizenzen brauchen wir?
Entra ID P1, also Microsoft 365 E3, für die Basis. PIM, Access Packages, Access Reviews und ID Protection brauchen P2, also E5. Die Lizenzen bleiben bei euch.
Wir sind noch hybrid.
Hybrid mit Entra Connect Sync ist kein Problem. Hybrid Join auf Geräten lösen wir mit Managed Intune ab, Schritt für Schritt.
Was ist nicht enthalten?
Support für Endanwender, auch nicht bei der MFA-Registrierung. Ein Rollenmodell für Fachbereiche und das Aufräumen alter Berechtigungen sind eigene Projekte, die wir gern mit euch umsetzen. Der Joiner-Mover-Leaver-Prozess aus dem HR-System bleibt bei eurem IAM.
Was passiert, wenn wir vom Blueprint abweichen wollen?
Dann wird das ein Custom Override: im Code dokumentiert, bewusst entschieden. Er fällt aus dem Evergreen-Prozess heraus, und wir sagen euch, was das kostet, bevor ihr es tut.
Und die Agents?
Mit Agent 365 bekommt jeder Agent eine eigene Identität in Entra, mit Sponsor und Rechten wie ein Mensch. Wir behandeln sie wie Admin-Konten: Access Packages, Review, Conditional Access. Den Umfang im Service legen wir gerade fest. Einem neuen Kollegen gibt niemand am ersten Tag eine Firmenkreditkarte ohne Limit, einem Agent sollte man es auch nicht.
Was kostet Managed Entra?
Eine Base Fee plus eine User Fee pro aktivem Nutzer und Monat. Standard Requests und Monitoring sind drin, Projekte laufen separat. Den Kickstarter Workshop gibt es zum Festpreis.
Wer arbeitet, ist geklärt. Bleibt die Frage, wo.
Autopilot Device Preparation wird Standard, Hybrid Join bleibt zurück
Seit September empfiehlt Microsoft Autopilot Device Preparation als Standard für user-driven Windows-Deployments, und das neue Verfahren ist tatsächlich einfacher und ...
Wer hat diese Agents gebaut?
E7 bündelt E5, Copilot, die Entra Suite und Agent 365. Eine Lizenz räumt aber keinen Tenant auf. Wer für einen ...
Das Ende der MFA-SMS
Warum Unternehmen jetzt auf phishing-resistente und möglichst passwortlose Anmeldeverfahren umstellen sollten.
AuthCodeFix aka ConsentFix
Just before year's end, ConsentFix emerges: a clever OAuth-based attack that abuses legitimate authentication flows to steal the authorization code, ...
