Azure AD Premium P2 Funktionen: PIM, Identity Protection und Access Reviews, die niemand aktiviert hat

Azure AD Premium P2 Funktionen: PIM, Identity Protection und Access Reviews, die niemand aktiviert hat

Azure AD Premium P2-Funktionen — Privileged Identity Management (PIM), Identity Protection und Access Reviews — sind hinter Microsofts zweiter Premium-Lizenzstufe verborgen, aber eine P2-Lizenz, die einem Nutzer zugewiesen ist, bedeutet nicht, dass eine der drei Funktionen im Tenant tatsächlich konfiguriert ist. Microsoft Entra ID P2 (der aktuelle Name für Azure AD Premium P2) steht über P1 und ist in Microsoft 365 E5, E7 und Enterprise Mobility + Security E5 enthalten. Als Einzellizenz kostet sie 10 $/Nutzer/Monat (Microsoft Entra Preise). Auf dem Papier ist das die Stufe, die jeder sicherheitsbewusste Tenant haben sollte. In der Praxis haben viele Tenants sie einem Teil oder allen Nutzern zugewiesen und nutzen fast nichts von dem, was sie tatsächlich leistet.

Diese Lücke ist relevant, weil diese drei Fähigkeiten keine optischen Zusatzfunktionen sind. Es sind genau die Dinge, die Microsoft hinter der P2-SKU absichert (Microsoft Entra ID Governance kann einige davon ersetzen, aber P2 ist der übliche Weg). Wenn Sie für die Lizenz bezahlen und keine der drei Funktionen konfiguriert ist, bezahlen Sie für Kapazität, die Sie nicht nutzen, während Ihre tatsächliche Privileged-Access- und Risikolage identisch mit einem P1-Tenant aussieht — siehe Microsoft Entra ID Sicherheit auditieren: Leitfaden für die vollständige Baseline, in die die Prüfungen dieses Artikels passen.

Laut Microsofts eigener Lizenzreferenz erfordern drei spezifische Funktionen P2 (oder Entra ID Governance) und sind unterhalb davon schlicht nicht verfügbar — nicht eingeschränkt, sondern nicht verfügbar: risikobasierte Conditional-Access-Richtlinien (Anmelderisiko und Benutzerrisiko), Privileged Identity Management sowohl für Entra-Rollen als auch für Azure-Ressourcenrollen, und die aktuelle Generation von Access Reviews (Microsoft Entra Licensing — Microsoft Learn). Dieser Artikel erklärt, was jede dieser Funktionen tut, wie "konfiguriert" auf dem Papier gegenüber im Tenant aussieht, und wie man die Lücke erkennt und schließt.

Wie jede P2-Funktion tatsächlich funktioniert

Privileged Identity Management (PIM)

Das PIM-Modell unterscheidet zwischen "eligible" (berechtigt) und "active" (aktiv) Rollenzuweisung. Ein Nutzer, der für eine Rolle eligible gemacht wurde — zum Beispiel Global Administrator — besitzt kein dauerhaftes Privileg. Um die Rolle zu nutzen, beantragt er eine Aktivierung, die MFA, eine Begründung oder eine Genehmigung durch einen festgelegten Genehmiger erfordern kann, und die resultierende aktive Zuweisung ist zeitlich begrenzt und läuft automatisch ab (Microsoft Entra ID Governance — Was ist PIM). Das ist das Just-in-Time-Modell, das dauerhaften Admin-Zugriff als Angriffsfläche beseitigt — siehe Azure Privilegierter Zugriff: Zu viele globale Admins dafür, was dauerhafter Zugriff ohne PIM tatsächlich kostet.

PIM deckt auch Azure-Ressourcenrollen ab (Owner, Contributor usw. auf beliebiger Ebene) sowie PIM für Gruppen, bei dem die Eligibility für Gruppenmitgliedschaft oder -eigentümerschaft selbst eine P2- (oder Entra ID Governance-) Lizenz für jedes eligible Mitglied, jeden Owner, Genehmiger und Reviewer erfordert — nicht nur für die Administratoren. Microsofts eigene Beispielszenarien machen die Lizenzmathematik konkret: Ein Tenant mit 42 über PIM verwalteten Administratoren, plus 5 Genehmigern und 6 Reviewern, die an monatlichen Privilegienprüfungen beteiligt sind, benötigt 53 Lizenzen, nicht 42 (Microsoft Entra Licensing — PIM-Abschnitt). Teams, die P2 nur für die Admin-Konten budgetieren, unterlizenzieren das regelmäßig und stellen fest, dass Genehmiger oder Reviewer stillschweigend ausgesperrt werden.

Identity Protection

Identity Protection bewertet Anmeldungen und Nutzer hinsichtlich Risiko anhand von Echtzeit- und Offline- (Post-Authentifizierungs-) Erkennungen — durchgesickerte Anmeldedaten, anonyme IP-Adressen, unmögliche Reisen, ungewöhnliche Anmeldeeigenschaften und durch Threat Intelligence bestätigte Kompromittierung, unter anderem (Risikoerkennungstypen und -stufen — Microsoft Learn). Erkennungen mit niedrigem Risiko verfallen automatisch nach sechs Monaten; mittlere und hohe Risiken bleiben bestehen, bis ein Admin sie behebt oder verwirft. Der Risikowert wird erst dann handlungsrelevant, wenn er in eine Conditional-Access-Anmelderisikorichtlinie oder Benutzerrisikorichtlinie eingebunden ist — ohne diese Richtlinie erzeugt Identity Protection einen Bericht, den niemand ansieht, statt einer automatisierten Kontrolle. Siehe Azure Identity Protection: Kompromittierte Konten dafür, wie diese Richtlinie aufgebaut wird.

Access Reviews

Access Reviews lassen designierte Reviewer (einen Manager, Ressourceneigentümer oder die Nutzer selbst) periodisch die Gruppenmitgliedschaft, den Anwendungszugriff, PIM-eligible Rollenzuweisungen und Gastzugriff rezertifizieren, statt sich darauf zu verlassen, dass sich jemand daran erinnert, Zugriff zu entfernen, wenn er nicht mehr benötigt wird. Die Funktionsstufe "zuvor allgemein verfügbar in Microsoft Entra ID P2" ist das, was den meisten P2-Tenants heute zur Verfügung steht (Microsoft Entra Licensing — Access Reviews). Die Lizenzierung folgt der überprüften Population, nicht nur dem Reviewer: Eine Überprüfung einer 500-köpfigen Gruppe mit drei Gruppeneigentümern als Reviewer erfordert in Microsofts eigenem Beispiel 503 Lizenzen — auch die überprüften Mitglieder benötigen Abdeckung, nicht nur die Personen, die die Überprüfung durchführen.

Erkennung: Nutzen Sie tatsächlich, wofür Sie bezahlen?

Lizenzzuweisung und Funktionskonfiguration sind zwei unterschiedliche Fragen, und das Entra Admin Center macht es leicht, die erste zu bestätigen, ohne jemals die zweite zu prüfen. So prüfen Sie beides.

Get-MgRoleManagementDirectoryRoleEligibilitySchedule (Microsoft Graph PowerShell SDK) liefert jede PIM-eligible Zuweisung im Tenant, getrennt von Get-MgRoleManagementDirectoryRoleAssignmentSchedule für aktive/permanente Zuweisungen — der Vergleich beider Listen ist der schnellste Weg zu sehen, wie viele privilegierte Rollen tatsächlich über PIM laufen versus als dauerhafte Vergaben bestehen (Microsoft Graph PowerShell-Referenz).

Behebung: Aktivieren, was Sie bereits besitzen

1. Migrieren Sie dauerhafte privilegierte Zuweisungen zu PIM-eligible. Prüfen Sie in ID Governance → Privileged Identity Management → Microsoft Entra-Rollen jede aktive Zuweisung. Entfernen Sie bei Rollen, die keinen dauerhaften Zugriff benötigen, die permanente Zuweisung und erstellen Sie eine eligible Zuweisung mit Aktivierungsdauer, MFA-Anforderung und (für Global Administrator und ähnlich sensible Rollen) Genehmigung.
2. Aktivieren Sie risikobasierten Conditional Access. Erstellen Sie unter Protection → Conditional Access eine Anmelderisikorichtlinie (z. B. MFA bei mittlerem Risiko erfordern) und eine Benutzerrisikorichtlinie (z. B. sichere Passwortänderung bei hohem Risiko erfordern). Ohne diesen Schritt ist Identity Protection ein Dashboard, keine Kontrolle.
3. Aktivieren Sie Benachrichtigungen für riskante Nutzer. Konfigurieren Sie den wöchentlichen Digest und Alerts für riskante Nutzer in den Identity-Protection-Einstellungen, damit Risiko nicht etwas ist, an das sich ein Admin erst erinnern muss.
4. Richten Sie Access Reviews zuerst für die wertvollsten Bereiche ein: PIM-eligible Rollenzuweisungen, in privilegierte Rollen verschachtelte Gruppen und Gastzugriff — siehe Azure Gastkonten: Die vergessene Angriffsfläche dafür, warum veraltete Gastkonten meist der schlimmste Übeltäter sind. Legen Sie einen wiederkehrenden Rhythmus fest (quartalsweise ist ein vernünftiger Standard) und weisen Sie Ressourceneigentümer oder Manager als Reviewer zu statt eines einzelnen zentralen Admins, der nicht den Kontext für jede Gruppe hat.
5. Prüfen Sie die Lizenzmathematik erneut, bevor Sie skalieren. Sowohl PIM für Gruppen als auch Access Reviews benötigen eine P2- (oder Governance-) Lizenz für jedes eligible Mitglied, jeden Genehmiger und Reviewer — nicht nur für die Ziel-Administratoren. Unterlizenzierung hier bedeutet, dass das Tooling still aufhört, Personen abzudecken, die es abdecken sollte.
6. Prüfen Sie gegen eine Benchmark. Die Empfehlungen des CIS Microsoft 365 Foundations Benchmark für PIM und Access Reviews geben eine konkrete, auditierbare Messlatte — nützlich sowohl um zu bestätigen, dass Sie die Lücke geschlossen haben, als auch um die P2-Ausgaben gegenüber demjenigen zu rechtfertigen, der sie genehmigt hat.

🚨 Gefahr: Wenn eine P2- (oder Governance-) Lizenz abläuft oder entfernt wird, hört PIM nicht nur auf durchzusetzen — Microsoft dokumentiert ausdrücklich, dass eligible Entra-Rollenzuweisungen entfernt werden, alle laufenden Access Reviews von Entra-Rollen enden und PIM-Konfigurationseinstellungen gelöscht werden (Microsoft Entra Licensing — Ablauf der PIM-Lizenz). Permanente Rollenzuweisungen sind davon nicht betroffen, was genau der Grund ist, warum sich auf PIM zu verlassen, ohne die Lizenzabdeckung aktuell zu halten, eine trügerische Sicherheit ist.

Wie EtcSec dies erkennt

EtcSecs Azure-Audit prüft auf AZ_NO_P2_LICENSE (P2 im Tenant vorhanden, aber die charakteristischen Funktionen ungenutzt), AZ_P2_NOT_FULLY_UTILIZED, PA_PIM_NOT_ENABLED und PA_PERMANENT_ADMIN_ASSIGNMENTS, um privilegierte Rollen zu markieren, die außerhalb von PIM gehalten werden, RISK_NO_SIGNIN_RISK_POLICY, um Identity Protection zu erkennen, das ohne durchsetzende Conditional-Access-Richtlinie läuft, und AZ_ACCESS_REVIEWS_NOT_CONFIGURED, um Tenants zu markieren, die keine wiederkehrende Access-Review-Abdeckung für privilegierte Rollen oder Gastzugriff haben.