Access Reviews

Eine immer wiederkehrende Aufgabe für IT Administratoren ist der Umgang mit Ausnahmen (Exceptions). Stell dir folgendes Szenario vor: Du möchtest die Legacy-Authentifizierung mit einer Conditional Access-Regel aus deinem Tenant entfernen. Diese Exception muss regelmäßig überprüft werden. Das ist eine zeitraubende Aufgabe, denn die Anzahl der Benutzer in der Gruppe wächst, und jeder Benutzer besteht darauf, dass er die Regel weiterhin benötigt. Kommt dir das bekannt vor?

Dann haben wir einen Vorschlag für dich: Lass die Cloud für dich arbeiten! Du kannst die Zugriffsüberprüfung (Access Review) im Azure AD Privileged Identity Management nutzen. Nachfolgend eine kurze Anleitung, was du hierfür tun musst:

1. Erstelle eine Gruppe, um alle Benutzer mit Exceptions zu erfassen.
2. Lege einen sich wiederholenden Access Review für diese Gruppe an. Benutzer dieser Gruppe überprüfen ihren eigenen Zugriff und entscheiden, ob sie die Exception noch benötigen.
3. Desweitern können aber auch Gruppenbesitzer und ausgewählte Benutzer oder Gruppen ebenfalls bestätigen, für wen die Ausnahme noch gültig ist.
4. Du erhältst ein vollständiges Audit-Protokoll. Deine Benutzer müssen immer einen Grund für die Verlängerung angeben, und die Gruppe bereinigt sich selbst, wenn Benutzer ihre Exception nicht verlängern.

Hinweis: Wenn du Access Reviews noch nie verwendet hast, musst du in deinem Tenant die Access Review-Funktion aktiveren.

Lass uns nun Schritt für Schritt einen Access Review für deine Ausnahmegruppe einrichten: Navigiere vom Azure-Portal zur Identity Governance Seite. Erstelle im dem Menü "Getting started" einen neuen Access Review.

Im Formular "Create an access review" gibst du die Informationen für die Zugriffsüberprüfung inklusive Startdatum an. Das Startdatum kann in der Zukunft liegen. Um die Benutzer innerhalb einer Ausnahmegruppe regelmäßig zu überprüfen, kannst du die Häufigkeit für eine Überprüfung anbgeben, z.B. wöchentlich, monatlich, vierteljährlich oder jährlich. Du kannst außerdem eine Dauer festlegen, wie lange eine Überprüfung aktiv sein soll und ob sie nach mehreren Wiederholungen automatisch enden soll. Wenn du nur an dem Review von Gastbenutzern interessiert bist, kannst du den Kreis auf "Guest users only" einschränken oder aber du beziehst alle Benutzer inkl. Gäste mit ein. Da wir in unserem Scenario die Condional Access Regeln überprüfen wollen, sprechen wir in diesem Fall alle in der Gruppe an. Im DropDown "Users to review" wählst du die Gruppe aus, die du prüfen möchtest. In der DropDown "Reviewers" aktivierst du die Option "Mitglieder (selbst)" aus, damit die Benutzer ihren eigenen Zugriff überprüfen können.

Mit einem Programm kannst du alle Governance-Risikomanagement- oder Compliance-Aktivitäten zusammenfassen, die für dein Unternehmen relevant sind. Es ist sinnvoll, unterschiedliche Maßnahmen für das Lifecycle-Management zu nutzen, z. B. interne Überprüfungen, rechtliche Vorgaben, die durch GDPR oder SOX erforderlich sind. Dadurch können Auditoren die relevanten Access Reviews anhand der Gruppierung nach Programmen leicht einsehen.

Lege die Access Review als Teil deines (Standard-)Programms fest. In den Endeinstellungen kannst du festlegen, dass die Entscheidungen der Prüfer automatisch in das Ergebnis einbezogen werden sollen. Du kannst auch festlegen, was passieren soll, wenn Reviewer nicht geantwortet haben. Du kannst ihnen beispielsweise den Zugriff entziehen oder genehmigen oder aber auch die Systemempfehlungen basierend auf der letzten Anmeldeaktivität eines Benutzers übernehmen. Ist ein Benutzer 30 Tage inaktiv, wird er entfernt. Du kannst einige Zusatzinformationen angeben, die in den Einladungs- und Erinnerungs-E-Mails an die zugewiesenen Prüfer angezeigt werden. Danach klickst du auf "Start", um deine Überprüfung zu starten. Sie wird in deiner Liste einschließlich des Status angezeigt.

Die zugewiesenen Prüfer (in unserem Fall die Mitglieder der Ausnahmegruppe) erhalten eine E-Mail zur Selbstprüfung ihrer Anforderung, ob die Ausnahme beibehalten werden soll. Die Reviewer müssen auf den Link "Review Access" klicken und werden dann zum My Access Portal weitergeleitet. Die Prüfer erhalten darüber hinaus Erinnerungen, wenn sie ihre Anfrage nicht geprüft haben.

Die Benutzer werden um eine Rückmeldung gebeten. Wenn die Ausnahme beibehalten werden soll, ist die Angabe eines Grundes zwingend erforderlich. Es kann aber auch angegeben werden, dass die Mitgliedschaft in der Ausnahmegruppe aufgehoben werden soll.

Der Administrator kann nachverfolgen, wie die Reviewer hinsichtlich ihrer Gruppenzugehörigkeit entschieden haben, und hat jederzeit Zugriff auf die aktuelle Anzahl der erteilten Ausnahmen.

Die Ergebnisseiten liefern detaillierte Informationen zu den von den Reviewern angegebenen Gründen und zeigen einige Empfehlungen, wie die Mitgliedschaft der Benutzer in der Gruppe zu behandeln ist. Hier siehst du beispielsweise, dass sich einige Benutzer innerhalb der letzten 30 Tage überhaupt nicht im Tenant angemeldet haben.