Verwalten von Konten für den Notfallzugriff in Microsoft Entra ID

Artikel
12/04/2024

Sie müssen unbedingt verhindern, versehentlich aus Ihrer Microsoft Entra ID-Organisation ausgeschlossen zu werden, weil Sie sich nicht anmelden oder Konten anderer Benutzer*innen als Administrator aktivieren können. Sie können die Auswirkungen eines versehentlichen Verlusts des Administratorzugriffs abmildern, indem Sie mindestens zwei Konten für den Notfallzugriff in Ihrer Organisation erstellen.

Konten für den Notfallzugriff verfügen über umfangreiche Rechte und werden keinen Einzelpersonen zugewiesen. Konten für den Notfallzugriff sind auf Notfallsituationen oder Szenarien beschränkt, in denen normale Administratorkonten nicht verwendet werden können. Wir empfehlen Ihnen, die Nutzung des Notfallkontos auf die absolut notwendigen Momente zu beschränken.

Dieser Artikel enthält Richtlinien zum Verwalten von Konten für den Notfallzugriff in Microsoft Entra ID.

Gründe zur Verwendung eines Kontos für den Notfallzugriff

Eine Organisation könnte beispielsweise in den folgenden Situationen auf ein Konto für den Notfallzugriff zurückgreifen:

Die Benutzerkonten befinden sich in einem Verbund, und der Verbund ist aktuell nicht verfügbar, weil ein Mobilfunknetz oder ein Identitätsanbieter ausgefallen ist. Wenn beispielsweise der Identitätsanbieterhost in Ihrer Umgebung nicht erreichbar ist, können sich die Benutzer möglicherweise nicht anmelden, wenn sie von Microsoft Entra ID an ihren Identitätsanbieter umgeleitet werden.
Die Administratoren sind über Microsoft Entra Multi-Faktor-Authentifizierung registriert, und keines der von ihnen verwendeten Geräte ist verfügbar, oder der Dienst ist nicht verfügbar. Benutzer können möglicherweise keine Multi-Faktor-Authentifizierung durchführen, um eine Rolle zu aktivieren. Beispielsweise können bei einem Ausfall des Mobilfunknetzes keine Anrufe entgegengenommen oder SMS empfangen werden, womit die einzigen registrierten Authentifizierungsmechanismen für ihr Gerät wegfallen.
Die Person, die zuletzt über globalen Administratorzugriff verfügte, hat die Organisation verlassen. Microsoft Entra ID verhindert, dass das letzte globale Administratorkonto gelöscht wird, aber das lokale Löschen oder Deaktivieren des Kontos wird nicht verhindert. Beide Situationen können dazu führen, dass die Organisation nicht in der Lage ist, das Konto wiederherzustellen.
Bei unvorhersehbaren Ereignissen wie Naturkatastrophen, die dazu führen, dass Mobiltelefone oder andere Netzwerke nicht verfügbar sind.

Erstellen von Konten für den Notfallzugriff

Erstellen Sie mindestens zwei Konten für den Notfallzugriff. Bei diesen Konten sollte es sich um rein cloudbasierte Konten handelt, die die Domäne *.onmicrosoft.com verwenden und nicht im Verbund sind oder in einer lokalen Umgebung synchronisiert werden.

Erstellen eines Kontos für den Notfallzugriff

Melden Sie sich beim Microsoft Entra-Admin Center als Globaler Administrator an.
Browsen Sie zu Identität>Benutzer>Alle Benutzer.
Wählen Sie Neuer Benutzer aus.
Wählen Sie Create User (Benutzer erstellen) aus.
Geben Sie dem Konto einen Benutzernamen.
Geben Sie dem Konto einen Namen.
Erstellen Sie ein langes und komplexes Kennwort für das Konto.
Weisen Sie unter Rollen die Rolle Globaler Administrator zu.
Wählen Sie unter Nutzungsspeicherort den entsprechenden Speicherort aus.
Klicken Sie auf Erstellen.
Sicheres Speichern der Anmeldeinformationen für Konten
Überwachen von Anmeldungs- und Überwachungsprotokollen
Regelmäßiges Überprüfen der Konten

Beim Konfigurieren dieser Konten müssen die folgenden Anforderungen erfüllt werden:

Die Konten für Notfallzugriff dürfen keinem einzelnen Benutzer in der Organisation zugeordnet werden. Stellen Sie sicher, dass Ihre Konten nicht mit von Mitarbeitern bereitgestellten Mobiltelefonen, Hardwaretoken, die einzelne Mitarbeiter mit sich führen, oder anderen mitarbeiterspezifischen Anmeldeinformationen verbunden sind. Durch diese Vorsichtsmaßnahme werden Fälle abgedeckt, in denen einzelne Mitarbeiter nicht erreichbar sind, wenn die Anmeldeinformationen benötigt werden. Es ist wichtig sicherzustellen, dass alle registrierten Geräte an einem bekannten, sicheren Ort aufbewahrt werden, der über verschiedene Wege mit Microsoft Entra ID kommunizieren kann.
Verwenden Sie eine sichere Authentifizierungsmethode für Ihre Konten für den Notfallzugriff, und stellen Sie sicher, dass nicht die gleichen Authentifizierungsmethoden wie für Ihre anderen Verwaltungskonten verwendet werden. Wenn Ihr normales Administratorkonto beispielsweise die Microsoft Authenticator-App für die sichere Authentifizierung verwendet, verwenden Sie einen FIDO2-Sicherheitsschlüssel für Ihre Notfallkonten. Berücksichtigen Sie die Abhängigkeiten verschiedener Authentifizierungsmethoden, um zu vermeiden, dass dem Authentifizierungsprozess externe Anforderungen hinzugefügt werden.
Die jeweiligen Geräte oder die Anmeldeinformationen dürfen nicht ablaufen oder aufgrund mangelnder Verwendung in den Bereich der automatisierten Bereinigung fallen.
In Microsoft Entra Privileged Identity Management sollten Sie die Rollenzuweisung „Globaler Administrator“ als dauerhafte Einstellung festlegen, anstatt Berechtigungen für Ihre Notfallzugriffskonten zu gewähren.

Ausschließen mindestens eines Kontos aus der telefonbasierten Multi-Faktor-Authentifizierung

Um das Risiko von Angriffen zu verringern, die aus kompromittierten Kennwörtern resultieren, empfiehlt das Microsoft Entra ID-Team, die Multi-Faktor-Authentifizierung (MFA) für alle individuellen Benutzer als verbindlich festzulegen. Diese Gruppe umfasst Administratoren und alle weiteren Benutzer (z. B. Mitarbeiter der Finanzabteilung), bei denen ein kompromittiertes Konto erhebliche Auswirkungen haben kann.

Allerdings sollte mindestens eines Ihrer Konten für Notfallzugriff nicht über den gleichen Multi-Faktor-Authentifizierungsmechanismus verfügen wie Ihre anderen Konten, die keine Notfallkonten sind. Dies schließt Drittanbieterlösungen für die Multi-Faktor-Authentifizierung ein. Wenn Sie eine Richtlinie für bedingten Zugriff festgelegt haben, um Multi-Faktor-Authentifizierung für alle Administratoren für Microsoft Entra ID und andere verbundene Software-as-a-Service-Apps (SaaS-Apps) zu erzwingen, sollten Sie die Konten für den Notfallzugriff aus dieser Anforderung ausschließen und stattdessen einen anderen Mechanismus konfigurieren. Darüber hinaus sollten Sie sicherstellen, dass die Konten nicht über eine MFA-Richtlinie pro Benutzer*in verfügen.

Ausschließen mindestens eines Kontos aus Richtlinien für bedingten Zugriff

Während eines Notfalls möchten Sie nicht, dass eine Richtlinie Ihren Zugriff möglicherweise blockiert, wenn Sie ein Problem beheben müssen. Wenn Sie den bedingten Zugriff verwenden, muss mindestens ein Konto für den Notfallzugriff von allen Richtlinien für bedingten Zugriff ausgeschlossen werden.

Hinweis

Ab Juli 2024 werden Azure-Teams mit dem Rollout zusätzlicher Sicherheitsmaßnahmen auf Mandantenebene beginnen, um die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer zu erfordern. Wie bereits dokumentiert, sollten Sie eine starke Authentifizierung für Ihre Notfallzugriffskonten verwenden. Es wird empfohlen, diese Konten so zu aktualisieren, dass FIDO2 oder zertifikatbasierte Authentifizierung verwendet wird (wenn sie als MFA konfiguriert ist), anstatt nur auf ein langes Kennwort zu vertrauen. Beide Methoden erfüllen die MFA-Anforderungen.

Verbundleitfaden

Einige Organisationen verwenden AD-Domänendienste und AD FS oder einen ähnlichen Identitätsanbieter, um einen Verbund mit Microsoft Entra ID zu bilden. Zwischen dem Notfallzugriff für lokale Systeme und dem Notfallzugriff für Clouddienste sollte unterschieden werden, und diese sollten nicht voneinander abhängig sein. Das Verwenden und Übernehmen der Authentifizierung für Konten mit Notfallzugriffsrechten aus anderen Systemen stellt ein unnötiges Risiko dar, wenn diese Systeme ausfallen.

Sicheres Speichern der Anmeldeinformationen für Konten

Organisationen müssen sicherstellen, dass die Anmeldeinformationen für Konten für den Notfallzugriff sicher aufbewahrt werden und nur den Personen bekannt sind, die für deren Verwendung autorisiert sind. Einige Kunden verwenden eine Smartcard für Windows Server AD, einen FIDO2-Sicherheitsschlüssel für Microsoft Entra ID, andere verwenden Kennwörter. Ein Kennwort für ein Konto für den Notfallzugriff wird in der Regel in zwei oder drei Teile unterteilt, die separat auf Papier festgehalten und in geschützten, feuerfesten Tresoren hinterlegt werden, die sich an sicheren, getrennten Standorten befinden.

Stellen Sie bei Verwendung von Kennwörtern sicher, dass die Konten über sichere Kennwörter verfügen, die nicht ablaufen. Im Idealfall sollten die Kennwörter mindestens 16 Zeichen umfassen und zufällig generiert werden.

Organisationen sollten die von den Notfallkonten ausgehenden Anmelde- und Überwachungsprotokollaktivitäten überwachen und Benachrichtigungen anderer Administratoren auslösen. Wenn Sie die Aktivität von Konten für den Notfallzugriff überwachen, können Sie sicherstellen, dass diese Konten nur für Tests oder tatsächliche Notfälle verwendet werden. Sie können mit Azure Log Analytics die Anmeldeprotokolle überwachen und E-Mail- und SMS-Warnungen an Ihre Administratoren senden, wenn sich Konten für den Notfallzugriff anmelden.

Voraussetzungen

Senden Sie Microsoft Entra Anmeldeprotokolle an Azure Monitor.

Abrufen von Objekt-IDs der Konten für den Notfallzugriff

Melden Sie sich beim Microsoft Entra Admin Center mindestens als Benutzeradministrator an.
Browsen Sie zu Identität>Benutzer>Alle Benutzer.
Suchen Sie nach dem Konto für den Notfallzugriff, und wählen Sie den Namen des Benutzers aus.
Kopieren und speichern Sie das Objekt-ID-Attribut, damit Sie es später verwenden können.
Wiederholen Sie die vorherigen Schritte für das zweite Konto für den Notfallzugriff.

Erstellen einer Warnungsregel

Melden Sie sich beim Azure-Portal mindestens mit der Rolle Mitwirkender an der Überwachung an.
Navigieren Sie zu Überwachung>Log Analytics-Arbeitsbereiche.
Wählen Sie einen Arbeitsbereich aus.
Wählen Sie in Ihrem Arbeitsbereich Warnungen>Neue Warnungsregel aus.
1. Überprüfen Sie unter Ressource, ob es sich bei dem Abonnement um das Abonnement handelt, dem Sie die Warnungsregel zuordnen möchten.
2. Wählen Sie unter Bedingung die Option Hinzufügen aus.
3. Wählen Sie Benutzerdefinierte Protokollsuche unter Signalname aus.
4. Geben Sie unter Suchabfrage die folgende Abfrage ein, und fügen Sie die Objekt-IDs der beiden Konten für den Notfallzugriff ein.
  
  Hinweis
  
  Fügen Sie für jedes weitere Konto für den Notfallzugriff, das Sie einschließen möchten, ein weiteres „or UserId == "ObjectGuid"“ in die Abfrage ein.
  
  Beispielabfragen:
```
// Search for a single Object ID (UserID)
SigninLogs
| project UserId 
| where UserId == "00aa00aa-bb11-cc22-dd33-44ee44ee44ee"
```
```
// Search for multiple Object IDs (UserIds)
SigninLogs
| project UserId 
| where UserId == "00aa00aa-bb11-cc22-dd33-44ee44ee44ee" or UserId == "11bb11bb-cc22-dd33-ee44-55ff55ff55ff"
```
```
// Search for a single UserPrincipalName
SigninLogs
| project UserPrincipalName 
| where UserPrincipalName == "user@yourdomain.onmicrosoft.com"
```
5. Geben Sie unter Warnungslogik Folgendes ein:
  - Basierend auf: Anzahl der Ergebnisse
  - Operator: Größer als
  - Schwellenwert: 0
6. Wählen Sie unter Auswertung basierend auf den Zeitraum (in Minuten) aus, für den die Abfrage ausgeführt werden soll, und die Häufigkeit (in Minuten) , mit der die Abfrage ausgeführt werden soll. Die Häufigkeit sollte kleiner als der Zeitraum oder gleich sein.
7. Wählen Sie Fertig aus. Sie können jetzt die geschätzten monatlichen Kosten dieser Warnung anzeigen.
Wählen Sie eine Aktionsgruppe von Benutzern aus, die durch die Warnung benachrichtigt werden soll. Wenn Sie eine erstellen möchten, finden Sie weitere Informationen unter Erstellen einer Aktionsgruppe.
Zum Anpassen der E-Mail-Benachrichtigung, die an die Mitglieder der Aktionsgruppe gesendet wird, wählen Sie unter Aktionen anpassen Aktionen aus.
Geben Sie unter Warnungsdetails den Namen der Warnungsregel an, und fügen Sie eine optionale Beschreibung hinzu.
Legen Sie den Schweregrad des Ereignisses fest. Sie sollten ihn auf Kritisch (Schweregrad 0) festlegen.
Behalten Sie unter Regel beim Erstellen aktivieren die Einstellung ja bei.
Wenn Sie Warnungen für eine Weile deaktivieren möchten, aktivieren Sie das Kontrollkästchen Warnungen unterdrücken, geben Sie die Wartezeit vor der Warnung erneut ein, und wählen Sie dann Speichern aus.
Klicken Sie auf Warnungsregel erstellen.

Erstellen einer Aktionsgruppe

Wählen Sie Erstellen einer Aktionsgruppe aus.
Geben Sie den Namen für die Aktionsgruppe und einen kurzen Namen ein.
Überprüfen Sie Abonnement und Ressourcengruppe.
Wählen Sie unter Aktionstyp E-Mail/SMS/Push/Sprachanruf aus.
Geben Sie einen Aktionsnamen ein, z. B. Globale Administrator*innen benachrichtigen.
Wählen Sie den AktionstypE-Mail/SMS/Push/Sprachanruf aus.
Wählen Sie Details bearbeiten aus, um die zu konfigurierenden Benachrichtigungsmethoden auszuwählen, geben Sie die erforderlichen Kontaktinformationen ein, und wählen Sie dann OK aus, um die Details zu speichern.
Fügen Sie ggf. zusätzliche Aktionen hinzu, die Sie auslösen möchten.
Klicken Sie auf OK.

Regelmäßiges Überprüfen der Konten

Wenn Sie Mitarbeiter in der Verwendung und Überprüfung von Konten für den Notfallzugriff schulen, führen Sie mindestens die folgenden Schritte in regelmäßigen Abständen aus:

Stellen Sie sicher, dass die für die Sicherheitsüberwachung verantwortlichen Mitarbeiter darüber informiert sind, dass eine Kontoüberprüfung stattfindet.
Stellen Sie sicher, dass der Notfallprozess zur Verwendung dieser Konten dokumentiert und aktuell ist.
Stellen Sie sicher, dass Administratoren und Sicherheitsbeauftragte, die diese Schritte bei einem Notfall möglicherweise ausführen müssen, entsprechend geschult sind.
Aktualisieren Sie die Kontoanmeldeinformationen (insbesondere alle Kennwörter) für Ihre Konten für den Notfallzugriff, und überprüfen Sie dann, ob Sie sich mit den Konten für den Notfallzugriff anmelden und damit administrative Aufgaben ausführen können.
Stellen Sie sicher, dass Benutzer*innen keine Multi-Faktor-Authentifizierung oder Self-Service-Kennwortzurücksetzung (Self-Service Password Reset, SSPR) mit einem persönlichen Gerät oder persönlichen Angaben registriert haben.
Wenn die Konten für Multi-Faktor-Authentifizierung mit einem Gerät zur Verwendung während der Anmeldung oder Rollenaktivierung registriert sind, stellen Sie sicher, dass das Gerät für alle Administratoren zugänglich ist, die es bei einem Notfall möglicherweise verwenden müssen. Stellen Sie außerdem sicher, dass das Gerät über mindestens zwei Netzwerkpfade kommunizieren kann, die keinen gemeinsamen Fehlermodus aufweisen. Beispiel: Das Gerät kann über ein Drahtlosnetzwerk der Organisation und über das Netz eines Mobilfunkanbieters mit dem Internet kommunizieren.

Diese Schritte sollten in regelmäßigen Abständen und für wichtige Änderungen ausgeführt werden:

Mindestens alle 90 Tage
Bei einem Wechsel bei den IT-Mitarbeitern, z. B. bei einem Positionswechsel, beim Ausscheiden eines Mitarbeiters oder bei einer Neueinstellung
Bei einer Änderung der Microsoft Entra-Abonnements in der Organisation