Microsoft Entra-Bereitstellungsszenario: Modernisieren des Remotezugriffs auf lokale Apps mit MFA pro App

Artikel
07/17/2024

Die Microsoft Entra-Bereitstellungsszenarien bieten Ihnen detaillierte Leitfäden zum Kombinieren und Testen der folgenden Produkte der Microsoft Entra Suite:

In diesen Leitfäden beschreiben wir Szenarios, die zeigen, wie nützlich Microsoft Entra Suite ist und wie die Funktionen zusammenarbeiten.

Einführung in Microsoft Entra-Bereitstellungsszenarios
Microsoft Entra-Bereitstellungsszenario: Onboarden von Arbeitskräften und Gästen und Steuern des Identitäts- und Zugriffslebenszyklus in allen Ihren Apps
Microsoft Entra-Bereitstellungsszenario: Sicherer Internetzugriff basierend auf geschäftlichen Anforderungen

Szenario: Modernisieren des Remotezugriffs mit Schnellzugriff

In diesem Abschnitt wird beschrieben, wie Sie Produkte der Microsoft Entra Suite für ein Szenario konfigurieren, in dem die fiktive Organisation Contoso ihre vorhandene VPN-Lösung aktualisieren möchte. Die neue skalierbare und cloudbasierte Lösung hilft ihr beim Umstieg auf Secure Access Service Edge (SASE). Um dieses Ziel zu erreichen, stellt das Unternehmen Microsoft Entra-Internetzugriff, Microsoft Entra-Privatzugriff und Microsoft Entra ID Protection bereit.

Microsoft Entra-Privatzugriff ermöglicht Benutzer:innen (intern und remote) sicheren Zugriff auf private Unternehmensressourcen. Microsoft Entra-Privatzugriff basiert auf dem Microsoft Entra-Anwendungsproxy, um den Zugriff auf private Ressourcen unabhängig vom TCP/IP-Port und vom Protokoll zu erweitern.

Remotebenutzer:innen können über Hybrid- und Multicloudumgebungen, private Netzwerke und Rechenzentren von jedem Gerät und Netzwerk aus eine Verbindung mit privaten Apps herstellen, ohne dass eine VPN-Lösung erforderlich ist. Der Dienst bietet adaptiven Zugriff pro App basierend auf Richtlinien für bedingten Zugriff und damit eine noch präzisere Sicherheit als eine herkömmliche VPN-Lösung.

Die cloudbasierte Identitäts- und Zugriffsverwaltung (IAM) von Microsoft Entra ID Protection schützt Benutzeridentitäten und Anmeldeinformationen vor Kompromittierung.

Sie können diese allgemeinen Schritte für die Contoso-Lösung wie in diesem Szenario beschrieben nachvollziehen.

Registrieren Sie sich für die Microsoft Entra Suite. Aktivieren und konfigurieren Sie Microsoft Entra-Internetzugriff und -Privatzugriff mit den gewünschten Netzwerk- und Sicherheitseinstellungen.
Stellen Sie den Microsoft-Client für globalen sicheren Zugriff auf Benutzergeräten sowie Connectors für Microsoft Entra-Privatzugriff in privaten Netzwerken bereit. Schließen Sie Multicloud-VNets auf Basis von IaaS (Infrastructure-as-a-Service) ein, um Zugriff auf Apps und Ressourcen in Contoso-Netzwerken zu erhalten.
Richten Sie private Apps als Apps mit globalem sicherem Zugriff ein. Weisen Sie geeignete Benutzer:innen und Gruppen zu. Richten Sie Richtlinien für bedingten Zugriff für diese Apps und Benutzer:innen ein. Mit diesem Setup erzielen Sie minimalen Zugriff, indem Sie nur Benutzer:innen und Gruppen den Zugriff erlauben, die diesen auch benötigen.
Aktivieren Sie Microsoft Entra ID Protection, damit Administrator:innen Risiken untersuchen und beheben können, um Organisationen sicher und geschützt zu halten. Risiken können auch im Rahmen des bedingten Zugriffs genutzt werden, um Zugriffsentscheidungen zu treffen, und zur weiteren Untersuchung an ein SIEM-Tool (Security Information & Event Management) übergeben werden.
Verwenden Sie erweiterte Protokolle und Analysen von Microsoft Entra-Internetzugriff, Microsoft Entra-Privatzugriff und Microsoft Entra ID Protection, um den Netzwerk- und Sicherheitsstatus nachzuverfolgen und zu bewerten. Diese Konfiguration hilft Ihrem SOC-Team (Security Operations Center), Bedrohungen umgehend zu erkennen und zu untersuchen, um eine Eskalation zu verhindern.

Die Lösungen der Microsoft Entra Suite bieten gegenüber einem VPN folgende Vorteile:

Einfachere und konsolidierte Verwaltung
Niedrigere VPN-Kosten
Höhere Sicherheit und Sichtbarkeit
Reibungsloseres Benutzererlebnis und mehr Effizienz
Bereitschaft für SASE

Anforderungen für Remotezugriff mit Schnellzugriff

In diesem Abschnitt werden die Anforderungen für die Lösung in diesem Szenario definiert.

Berechtigungen für den Remotezugriff mit Schnellzugriff

Administrator:innen, die mit Features für den globalen sicheren Zugriff arbeiten, benötigen die Rollen „Administrator für globalen sicheren Zugriff“ und „Anwendungsadministrator“.

Die Konfiguration einer Richtlinie für bedingten Zugriff erfordert die Rolle „Administrator für bedingten Zugriff“ oder „Sicherheitsadministrator“. Einige Features erfordern möglicherweise weitere Rollen.

Voraussetzungen für den Remotezugriff mit Schnellzugriff

Um dieses Szenario erfolgreich bereitzustellen und zu testen, konfigurieren Sie die folgenden Voraussetzungen:

Microsoft Entra-Mandant mit Microsoft Entra ID P1-Lizenz. Konfigurieren Sie Microsoft Entra ID zum Testen von Microsoft Entra ID Protection. Erwerben Sie Lizenzen oder Testlizenzen.
- Ein Benutzerkonto mit mindestens den Rollen „Administrator für globalen sicheren Zugriff“ und „Anwendungsadministrator“, um Microsoft Security Service Edge zu konfigurieren
- Mindestens ein Clienttestbenutzerkonto in Ihrem Mandanten
Ein Windows-Clientgerät mit folgender Konfiguration:
- Windows 10 oder 11, 64-Bit-Version
- Microsoft Entra-Einbindung oder -Hybrideinbindung
- Internetverbindung und kein Unternehmensnetzwerkzugriff oder VPN
Laden Sie den Client für globalen sicheren Zugriff auf dem Clientgerät herunter, und installieren Sie ihn. Im Artikel Client für globalen sicheren Zugriff für Windows werden die Voraussetzungen und die Installation beschrieben.
Um Microsoft Entra-Privatzugriff zu testen, konfigurieren Sie einen Windows-Server als Ressourcenserver:
- Windows Server 2012 R2 oder höher
- Eine Dateifreigabe
Um Microsoft Entra-Privatzugriff zu testen, konfigurieren Sie einen Windows-Server als Connectorserver:
- Windows Server 2012 R2 oder höher
- Netzwerkkonnektivität mit dem Microsoft Entra-Dienst
- Ports 80 und 443 sind für ausgehenden Datenverkehr geöffnet.
- Lassen Sie den Zugriff auf die erforderlichen URLs zu.
Stellen Sie eine Verbindung zwischen Connectorserver und Anwendungsserver her. Überprüfen Sie den Zugriff auf die Testanwendung auf dem Anwendungsserver (z. B. durch den erfolgreichen Zugriff auf eine Dateifreigabe).

Die folgende Abbildung veranschaulicht die Mindestarchitekturanforderungen für das Bereitstellen und Testen von Microsoft Entra-Privatzugriff:

Die Abbildung zeigt Anforderungen wie einen Microsoft Entra ID-Mandanten mit P1-Lizenz.

Konfigurieren des globalen sicheren Zugriffs für den Remotezugriff mit Schnellzugriff

In diesem Abschnitt aktivieren Sie den globalen sicheren Zugriff über das Microsoft Entra Admin Center. Anschließend richten Sie die für dieses Szenario erforderlichen Anfangskonfigurationen ein.

Melden Sie sich beim Microsoft Entra-Admin Center als Globaler Administrator an.
Navigieren Sie zu globaler sicherer Zugriff>>"globaler sicherer Zugriff" in Ihrem Mandanten aktivieren. Wählen Sie Aktivieren aus, um SSE-Features zu aktivieren.
Navigieren Sie zum globalen sicheren Zugriff>Verbinden>Datenweiterleitung. Aktivieren Sie den Umschalter Privates Zugriffsprofil. Mit der Datenverkehrsweiterleitung können Sie den Typ von Netzwerkdatenverkehr konfigurieren, der durch die Dienste der Security Service Edge-Lösung von Microsoft getunnelt werden soll. Richten Sie Datenverkehrsweiterleitungsprofile ein, um Datenverkehrstypen zu verwalten.
- Das Microsoft 365-Zugriffsprofil ist für Microsoft Entra-Internetzugriff für Microsoft 365 vorgesehen.
- Das Profil für den privaten Zugriff ist für Microsoft Entra-Privatzugriff vorgesehen.
- Das Internetzugriffsprofil ist für Microsoft Entra-Internetzugriff vorgesehen. Die Security Service Edge-Lösung von Microsoft erfasst nur den Datenverkehr auf Clientgeräten, auf denen der Client für „globaler sicherer Zugriff“ installiert ist.

Installieren des Clients für globalen sicheren Zugriff für den Remotezugriff mit Schnellzugriff

Microsoft Entra-Internetzugriff für Microsoft 365 und Microsoft Entra-Privatzugriff verwenden den Client für globalen sicheren Zugriff auf Windows-Geräten. Dieser Client erfasst den Netzwerkdatenverkehr und leitet ihn an die Security Service Edge-Lösung von Microsoft weiter. Führen Sie die folgenden Installations- und Konfigurationsschritte aus:

Stellen Sie sicher, dass das Windows-Gerät in Microsoft Entra eingebunden oder hybrid eingebunden ist.
Melden Sie sich mit einer Microsoft Entra-Benutzerrolle mit lokalen Administratorrechten auf dem Windows-Gerät an.
Melden Sie sich beim Microsoft Entra Admin Center als Administrator für globalen sicheren Zugriff an.
Navigieren Sie zu >Verbinden>Clientdownload. Wählen Sie Client herunterladen aus. Schließen Sie die Installation ab.
In der Windows-Taskleiste wird der Global Secure Access-Client zuerst als getrennt angezeigt. Wenn Sie nach einigen Sekunden zur Eingabe von Anmeldeinformationen aufgefordert werden, geben Sie die Anmeldeinformationen des Testbenutzerkontos ein.
Zeigen Sie auf der Windows-Taskleiste auf das Symbol Global Secure Access-Client, und überprüfen Sie Status Verbindung.

Einrichten des Connectorservers für den Remotezugriff mit Schnellzugriff

Der Connectorserver kommuniziert mit der Microsoft Security Service Edge-Lösung als Gateway zum Unternehmensnetzwerk. Er verwendet ausgehende Verbindungen über 80 und 443 und erfordert keine eingehenden Ports. Erfahren Sie, Wie Sie Connectors für Microsoft Entra-Privatzugriff konfigurieren. Führen Sie die folgenden Konfigurationsschritte aus:

Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Administrator für globalen sicheren Zugriff an.
Navigieren Sie zu Globaler sicherer Zugriff>Verbinden>Connectors. Wählen Sie Private Netzwerkconnectors aktivieren aus.
Wählen Sie Connectordienst herunterladen.
Führen Sie den Installations-Assistenten aus, um den Connectordienst auf dem Connectorserver zu installieren. Wenn Sie dazu aufgefordert werden, geben Sie die Mandantenanmeldeinformationen ein, um die Installation abzuschließen.
Der Connectorserver wurde installiert, wenn er in Connectors angezeigt wird.

In diesem Szenario verwenden Sie die Standardconnectorgruppe mit einem Connectorserver. In einer Produktionsumgebung erstellen Sie Connectorgruppen mit mehreren Connectorservern. Einen ausführlichen Leitfaden finden Sie unter Veröffentlichen von Apps in separaten Netzwerken mithilfe von Connectorgruppen.

Erstellen einer Sicherheitsgruppe für den Remotezugriff mit Schnellzugriff

In diesem Szenario verwenden Sie eine Sicherheitsgruppe, um der Anwendung für den privaten Zugriff Berechtigungen zuzuweisen und Ziele für die Richtlinien für bedingten Zugriff zuzuweisen.

Erstellen Sie im Microsoft Entra Admin Center eine neue reine Cloudsicherheitsgruppe.
Fügen Sie ein Testbenutzerkonto als Mitglied hinzu.

Festlegen einer privaten Ressource für den Remotezugriff mit Schnellzugriff

In diesem Szenario verwenden Sie Dateifreigabedienste als Beispielressource. Sie können jede private Anwendung oder Ressource verwenden. Sie müssen wissen, welche Ports und Protokolle die Anwendung verwendet, um sie mit Microsoft Entra-Privatzugriff zu veröffentlichen.

Identifizieren Sie einen Server mit einer Dateifreigabe für die Veröffentlichung, und notieren Sie seine IP-Adresse. Dateifreigabedienste verwenden Port 445/TCP.

Veröffentlichen der Anwendung für den Remotezugriff mit Schnellzugriff

Microsoft Entra-Privatzugriff unterstützt TCP-Anwendungen (Transmission Control Protocol) über jeden Port. Führen Sie die folgenden Schritte aus, um eine Verbindung mit dem Dateiserver (TCP-Port 445) über das Internet herzustellen:

Stellen Sie auf dem Connectorserver sicher, dass Sie auf eine Dateifreigabe auf dem Dateiserver zugreifen können.
Melden Sie sich beim Microsoft Entra Admin Center als Administrator für globalen sicheren Zugriff an.
Wechseln Sie zu Globaler sicherer Zugriff>Anwendungen>Unternehmensanwendungen>+ Neue Anwendung.
Geben Sie einen Namen ein (z. B. Dateiserver1). Wählen Sie die Standardconnectorgruppe aus. Wählen Sie + Anwendungssegment hinzufügen aus. Geben Sie die IP-Adresse des Anwendungsservers und Port 441 ein.
Wählen Sie Übernehmen>Speichern aus. Überprüfen Sie, ob die Anwendung unter Unternehmensanwendungen angezeigt wird.
Navigieren Sie zu Identität>Anwendungen>Unternehmensanwendungen. Wählen Sie die neue Anwendung aus.
Wählen Sie Benutzer und Gruppen aus. Fügen Sie die Sicherheitsgruppe hinzu, die Sie zuvor mit Testbenutzer:innen erstellt haben, die über das Internet auf diese Dateifreigabe zugreifen.

Schützen der veröffentlichten Anwendung für den Remotezugriff mit Schnellzugriff

In diesem Abschnitt erstellen Sie eine Richtlinie für bedingten Zugriff, die den Zugriff auf die neue Anwendung blockiert, wenn das Risiko von Benutzer:innen erhöht wird.

Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.
Navigieren Sie zu Schutz>Bedingter Zugriff>Richtlinien.
Wählen Sie Neue Richtlinie.
Geben Sie einen Namen ein, und wählen Sie Benutzer:innen aus. Wählen Sie die Option „Benutzer und Gruppen“ aus. Wählen Sie die Sicherheitsgruppe aus, die Sie zuvor erstellt haben.
Wählen Sie Zielressourcen>Apps und die Anwendung aus, die Sie zuvor erstellt haben (z. B. Dateiserver1).
Wählen Sie Bedingungen>Benutzerrisiko>Konfigurieren>Ja aus. Wählen Sie die Risikostufen Hoch und Mittel aus. Wählen Sie Fertig aus.
Wählen Sie Zuweisen>BlockierenZugriff>Auswählen aus.
Aktivieren Sie Richtlinie aktivieren.
Überprüfen Sie Ihre Einstellungen.
Klicken Sie auf Erstellen.

Überprüfen des Zugriffs für den Remotezugriff mit Schnellzugriff

In diesem Abschnitt überprüfen Sie, ob die Benutzer:innen auf den Dateiserver zugreifen können, wenn kein Risiko besteht. Vergewissern Sie sich, dass der Zugriff blockiert wird, wenn ein Risiko erkannt wird.

Melden Sie sich auf dem Gerät an, auf dem Sie zuvor den Client für globalen sicheren Zugriff installiert haben.
Versuchen Sie, auf den Dateiserver zuzugreifen, indem Sie \\\IP_address ausführen, und überprüfen Sie, ob Sie die Dateifreigabe durchsuchen können.
Simulieren Sie bei Bedarf das Benutzerrisiko, indem Sie die Anweisungen unter Simulieren von Risikoerkennungen in Microsoft Entra ID Protection befolgen. Möglicherweise müssen Sie mehrmals versuchen, das Benutzerrisiko auf „Mittel“ oder „Hoch“ zu erhöhen.
Versuchen Sie, auf den Dateiserver zuzugreifen, um sich zu vergewissern, dass der Zugriff blockiert wird. Möglicherweise müssen Sie bis zu einer Stunde auf das Erzwingen der Blockierung warten.
Überprüfen Sie, ob die Richtlinie für bedingten Zugriff (die Sie zuvor mithilfe von Anmeldeprotokollen erstellt haben) den Zugriff blockiert. Öffnen Sie die Protokolle für die nicht interaktive Anmeldung der Anwendung ZTNA Network Access Client – Privat. Zeigen Sie die Protokolle für den Namen der Anwendung für den privaten Zugriff an, die Sie zuvor als Ressourcennamen erstellt haben.

Szenario: Modernisieren des Remotezugriffs pro App

In diesem Abschnitt wird beschrieben, wie Sie Produkte der Microsoft Entra Suite für ein Szenario konfigurieren, in dem die fiktive Organisation Contoso ihre Cybersicherheitspraxis umstellt. Sie wenden Zero Trust-Prinzipien an, die explizit überprüfen, ob die geringsten Rechte angewandt werden, und gehen von Sicherheitsverletzungen bei sämtlichen Anwendungen und Ressourcen aus. Im Ermittlungsprozess identifizierten Sie mehrere Geschäftsanwendungen, die keine moderne Authentifizierung verwenden und sich auf die Konnektivität mit dem Unternehmensnetzwerk (entweder von ihren Zweigstellen oder remote per VPN) verlassen.

Sie können diese allgemeinen Schritte für die Contoso-Lösung wie in diesem Szenario beschrieben nachvollziehen.

Um dies explizit zu überprüfen, konfigurieren Sie Microsoft Entra-Privatzugriff für den Zugriff auf Anwendungsbasis auf das Unternehmensnetzwerk. Verwenden Sie die einheitlichen Zugriffssteuerungen vom bedingtem Zugriff und von Microsoft Entra ID Protection, um Zugriff auf das Unternehmensnetzwerk basierend auf Identität, Endpunkt und Risikosignal zu gewähren und sie mit Microsoft 365 und anderen Cloudanwendungen zu verwenden.
Um die geringsten Berechtigungen zu erzwingen, verwenden Sie Microsoft Entra ID Governance, um Zugriffspakete zu erstellen, die den Netzwerkzugriff pro App zusammen mit den Anwendungen einschließend, die dies erfordern. Dieser Ansatz gewährt Mitarbeitenden Zugriff auf das Unternehmensnetzwerk über ihren Lebenszyklus (Einstellung/Versetzung/Abgang) gemäß ihre Aufgaben.

Im Rahmen dieser Transformation erzielen SecOps-Teams umfangreichere und einheitlichere Sicherheitsanalysen, um Sicherheitsbedrohungen besser erkennen zu können. Folgende Vorteile bietet die gemeinsame Verwendung der Lösungen:

Höhere Sicherheit und Sichtbarkeit Erzwingen Sie präzise und adaptive Zugriffsrichtlinien basierend auf Identität und Kontext von Benutzer:innen und Geräten sowie der Vertraulichkeit und dem Standort von Anwendungen und Daten. Verwenden Sie angereicherte Protokolle und Analysen, um Erkenntnisse zum Netzwerk- und Sicherheitsstatus zu gewinnen und Bedrohungen schneller zu erkennen und darauf zu reagieren.
Zugriff mit geringsten Berechtigungen auf lokale Anwendungen Reduzieren Sie den Zugriff auf das Unternehmensnetzwerk ausschließlich auf Dinge, die für die Anwendungen unbedingt erforderlich sind. Beziehen Sie beim Zuweisen und Steuern des Zugriffs die Aufgaben und der Änderungen während des Lebenszyklus (Einstellung/Versetzung/Abgang) ein. Mit diesem Ansatz reduzieren Sie das Risiko von Angriffsvektoren mit seitlicher Bewegung.
Produktivität steigern Aktivieren Sie gleichzeitig den Zugriff auf Anwendungen und Netzwerke, wenn Benutzer:innen der Organisation beitreten, damit sie ab dem ersten Tag loslegen können. Benutzer:innen verfügen über den richtigen Zugriff auf die erforderlichen Informationen, Gruppenmitgliedschaften und Anwendungen. Self-Service-Funktionen für Mitarbeitende, die innerhalb der Organisation versetzt werden, stellen sicher, dass der Zugriff für Personen entzogen wird, wenn sie die Organisation verlassen.

Anforderungen für den Remotezugriff pro App

In diesem Abschnitt werden die Anforderungen für die Lösung in diesem Szenario definiert.

Berechtigungen für den Remotezugriff pro App

Administrator:innen, die mit Features für den globalen sicheren Zugriff arbeiten, benötigen die Rollen „Administrator für globalen sicheren Zugriff“ und „Anwendungsadministrator“.

Für die Identity Governance-Konfiguration ist mindestens die Rolle „Identity Governance-Administrator“ erforderlich.

Lizenzen für den Remotezugriff pro App

Um alle Schritte in diesem Szenario ausführen zu können, benötigen Sie Lizenzen für den globalen sicheren Zugriff und Microsoft Entra ID Governance. Sie können Lizenzen erwerben oder Testlizenzen erhalten. Weitere Informationen zur Lizenzierung für den globalen sicheren Zugriff finden Sie im Abschnitt Was ist globaler sicherer Zugriff?.

Benutzer:innen für den Remotezugriff pro App

Um die Schritte in diesem Szenario zu konfigurieren und zu testen, benötigen Sie die folgenden Benutzerkonten:

Microsoft Entra-Administrator mit den unter „Berechtigungen“ definierten Rollen
Lokaler Active Directory-Administrator zum Konfigurieren der Cloudsynchronisierung und des Zugriffs auf die Beispielressource (Dateiserver)
Ein synchronisiertes normales Benutzerkonto zum Durchführen von Tests auf einem Clientgerät

Voraussetzungen für den privaten Zugriff

Um dieses Szenario erfolgreich bereitzustellen und zu testen, konfigurieren Sie die folgenden Voraussetzungen:

Ein Windows-Clientgerät mit folgender Konfiguration:
- Windows 10 oder 11, 64-Bit-Version
- Microsoft Entra-Einbindung oder -Hybrideinbindung
- Internetverbindung und kein Unternehmensnetzwerkzugriff oder VPN
Laden Sie den Global Secure Access-Client auf dem Clientgerät herunter, und installieren Sie diesen. Im Artikel Client für globalen sicheren Zugriff für Windows werden die Voraussetzungen und die Installation beschrieben.
Um Microsoft Entra-Privatzugriff zu testen, konfigurieren Sie einen Windows-Server als Ressourcenserver:
- Windows Server 2012 R2 oder höher
- Eine Dateifreigabe
Um Microsoft Entra-Privatzugriff zu testen, konfigurieren Sie einen Windows-Server als Connectorserver:
- Windows Server 2012 R2 oder höher
- Netzwerkkonnektivität mit dem Microsoft Entra-Dienst
- Ports 80 und 443 sind für ausgehenden Datenverkehr geöffnet.
- Lassen Sie den Zugriff auf die erforderlichen URLs zu.
Stellen Sie die Verbindung zwischen dem Connectorserver und dem Anwendungsserver her. Vergewissern Sie sich, dass Sie auf die Testanwendung auf dem Anwendungsserver zugreifen können (z. B. durch den erfolgreichen Zugriff auf eine Dateifreigabe).

Die folgende Abbildung veranschaulicht die Mindestarchitekturanforderungen für das Bereitstellen und Testen von Microsoft Entra-Privatzugriff:

Die Abbildung zeigt Anforderungen wie einen Microsoft Entra ID-Mandanten mit P1-Lizenz.

Bestimmen der privaten Ressource für den Remotezugriff pro App

Bestimmen Sie einen Server mit einer Dateifreigabe, die Sie veröffentlichen möchten, und notieren Sie seine IP-Adresse. Dateifreigabedienste verwenden Port 445/TCP.

Konfigurieren des globalen sicheren Zugriffs für den Remotezugriff pro App

Aktivieren Sie den globalen sicheren Zugriff über das Microsoft Entra Admin Center, und nehmen Sie erforderliche Anfangskonfigurationen für dieses Szenario vor.

Melden Sie sich beim Microsoft Entra-Admin Center als Globaler Administrator an.
Navigieren Sie zu globaler sicherer Zugriff>>"globaler sicherer Zugriff" in Ihrem Mandanten aktivieren. Wählen Sie Aktivieren aus, um SSE-Features in Ihrem Mandanten zu aktivieren.
Navigieren Sie zu Globaler sicherer Zugriff>Verbinden>Datenverkehrsweiterleitung. Aktivieren Sie den Umschalter Privates Zugriffsprofil. Mit der Datenverkehrsweiterleitung können Sie den Typ von Netzwerkdatenverkehr konfigurieren, der durch die Dienste der Security Service Edge-Lösung von Microsoft getunnelt werden soll. Richten Sie Datenverkehrsweiterleitungsprofile ein, um Datenverkehrstypen zu verwalten.
- Das Microsoft 365-Zugriffsprofil ist für Microsoft Entra-Internetzugriff für Microsoft 365 vorgesehen.
- Das Profil für den privaten Zugriff ist für Microsoft Entra-Privatzugriff vorgesehen.
- Das Internetzugriffsprofil ist für Microsoft Entra-Internetzugriff vorgesehen. Die Security Service Edge-Lösung von Microsoft erfasst nur den Datenverkehr auf Clientgeräten, auf denen der Client für „globaler sicherer Zugriff“ installiert ist.

Installieren des Clients für globalen sicheren Zugriff für den Remotezugriff pro App

Stellen Sie sicher, dass das Windows-Gerät in Microsoft Entra ID eingebunden oder hybrid eingebunden ist.
Melden Sie sich mit einer Microsoft Entra ID-Benutzerrolle mit lokalen Administratorrechten auf dem Windows-Gerät an.
Melden Sie sich beim Microsoft Entra Admin Center als Administrator für globalen sicheren Zugriff an.
Navigieren Sie zu >Verbinden>Clientdownload. Wählen Sie Client herunterladen aus. Schließen Sie die Installation ab.
In der Windows-Taskleiste wird der Global Secure Access-Client zuerst als getrennt angezeigt. Wenn Sie nach einigen Sekunden zur Eingabe von Anmeldeinformationen aufgefordert werden, geben Sie die Anmeldeinformationen des Testbenutzerkontos ein.
Zeigen Sie auf der Windows-Taskleiste auf das Symbol Global Secure Access-Client, und überprüfen Sie Status Verbindung.

Einrichten des Connectorservers für den Remotezugriff pro App

Der Connectorserver kommuniziert mit der Microsoft Security Service Edge-Lösung als Gateway zum Unternehmensnetzwerk. Er verwendet ausgehende Verbindungen über 80 und 443 und erfordert keine eingehenden Ports. Weitere Informationen finden Sie unter Konfigurieren von Connectors für Microsoft Entra-Privatzugriff. Führen Sie die folgenden Konfigurationsschritte aus:

Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Administrator für globalen sicheren Zugriff an.
Navigieren Sie zu Globaler sicherer Zugriff>Verbinden>Connectors. Wählen Sie Private Netzwerkconnectors aktivieren aus.
Wählen Sie Connectordienst herunterladen.
Führen Sie den Installations-Assistenten aus, um den Connectordienst auf dem Connectorserver zu installieren. Wenn Sie dazu aufgefordert werden, geben Sie die Mandantenanmeldeinformationen ein, um die Installation abzuschließen.
Der Connectorserver wurde installiert, wenn er in Connectors angezeigt wird.

Erstellen einer Sicherheitsgruppe für Anwendungen für den privaten Zugriff

In diesem Szenario verwenden Sie eine Sicherheitsgruppe, um der Anwendung für den privaten Zugriff Berechtigungen zuzuweisen und Ziele für die Richtlinien für bedingten Zugriff zuzuweisen.

Erstellen Sie im Microsoft Entra Admin Center eine neue reine Cloudsicherheitsgruppe.
Fügen Sie ein Testbenutzerkonto als Mitglied hinzu.

Veröffentlichen einer Anwendung für den Remotezugriff pro App

Stellen Sie auf dem Connectorserver sicher, dass Sie auf eine Dateifreigabe auf dem Dateiserver zugreifen können.
Melden Sie sich beim Microsoft Entra Admin Center als Global Secure Access-Administrator an.
Wechseln Sie zu Globaler sicherer Zugriff>Anwendungen>Unternehmensanwendungen>+ Neue Anwendung.
Geben Sie einen Namen ein (z. B. Dateiserver1). Wählen Sie die Standardconnectorgruppe aus. Wählen Sie + Anwendungssegment hinzufügen aus. Geben Sie die IP-Adresse des Anwendungsservers und Port 441 ein.
Wählen Sie Übernehmen>Speichern aus. Überprüfen Sie, ob die Anwendung unter Unternehmensanwendungen angezeigt wird.
Navigieren Sie zu Identität>Anwendungen>Unternehmensanwendungen. Wählen Sie die neue Anwendung aus.
Wählen Sie Benutzer und Gruppen aus. Fügen Sie die Sicherheitsgruppe hinzu, die Sie zuvor mit Testbenutzer:innen erstellt haben, die über das Internet auf diese Dateifreigabe zugreifen.

Konfigurieren der Zugriffsgovernance für den Remotezugriff pro App

In diesem Abschnitt werden die Konfigurationsschritte für diese Lösung beschrieben.

Erstellen eines Berechtigungsverwaltungskatalogs

Führen Sie die folgenden Schritte aus, um einen Berechtigungsverwaltungskatalog zu erstellen:

Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Identity Governance-Administrator an.
Navigieren Sie zu Identity Governance>Berechtigungsverwaltung>Kataloge.
Klicken Sie auf +Neuer Katalog.
Geben Sie einen eindeutigen Namen sowie eine Beschreibung für den Katalog ein. Anfordernden werden diese Informationen in den Details des Zugriffspakets angezeigt.
Um in diesem Katalog Zugriffspakete für interne Benutzer:innen zu erstellen, wählen Sie Für externe Benutzer aktiviert>Nein aus.
Öffnen Sie unter Katalog den Katalog, dem Sie Ressourcen hinzufügen möchten. Wählen Sie Ressourcen>+ Ressourcen hinzufügen aus.
Wählen Sie Typ und dann Gruppen und Teams, Anwendungen oder SharePoint-Websites aus.
Wählen Sie die zuvor erstellte Anwendung (z. B. Dateiserver1) und die Sicherheitsgruppe (z. B. Finanzteam-Dateifreigabe) aus, und fügen Sie sie hinzu. Wählen Sie Hinzufügen.

Bereitstellen von Gruppen in Active Directory

Es wird empfohlen, Gruppen in Active Directory mithilfe der Microsoft Entra-Cloudsynchronisierung bereitzustellen. Wenn Sie die Connect-Synchronisierung verwenden, wechseln Sie zu Cloudsynchronisierung. Die Artikel Voraussetzungen für die Microsoft Entra-Cloudsynchronisierung in Microsoft Entra ID und Installieren des Microsoft Entra-Bereitstellungs-Agents enthalten detaillierte Anweisungen. Gruppenrückschreiben v2 in der Microsoft Entra Connect-Synchronisierung ist seit dem 30. Juni 2024 nicht mehr verfügbar.

Führen Sie die folgenden Schritte aus, um die Microsoft Entra-Cloudsynchronisierung zu konfigurieren:

Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Hybrididentitätsadministrator an.
Navigieren Sie zu Identitäts->Hybridverwaltung>Microsoft Entra Connect>Cloud-Synchronisierung.
Wählen Sie Neue Konfiguration aus.
Wählen Sie Microsoft Entra ID-Synchronisierung mit AD aus.
Wählen Sie unter Konfigurationen Ihre Domäne aus. Wählen Sie optional Kennwort-Hashsynchronisierung aktivieren aus.
Klicken Sie auf Erstellen.
Wählen Sie für die Konfiguration Erste Schritte die Option Bereichsfilter hinzufügen (neben dem Symbol Bereichsfilter hinzufügen) oder Bereichsfilter (unter Verwalten) aus.
Wählen Sie unter Gruppen auswählen die Option Ausgewählte Sicherheitsgruppen aus. Wählen Sie Objekte bearbeiten aus. Fügen Sie die Microsoft Entra ID-Sicherheitsgruppe hinzu, die Sie zuvor erstellt haben (z. B. Finanzteam-Dateifreigabe). Sie verwenden diese Gruppe in späteren Schritten, um den Zugriff auf lokale Anwendungen mithilfe von Lebenszyklus-Workflows und Zugriffspaketen zu verwalten.

Zuweisen des Zugriffs auf den lokalen Dateiserver

Erstellen Sie auf dem ausgewählten Dateiserver eine Dateifreigabe.
Weisen Sie der Microsoft Entra ID-Sicherheitsgruppe (z. B. Finanzteam-Dateifreigabe), die Sie in Active Directory bereitgestellt haben, Leseberechtigungen zu.

Erstellen eines Zugriffspakets für den Remotezugriff pro App

Führen Sie die folgenden Schritte aus, um in der Berechtigungsverwaltung ein Zugriffspaket zu erstellen:

Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Identity Governance-Administrator an.
Navigieren Sie zu Identitätsgovernance>Berechtigungsverwaltung>Zugriffspaket.
Wählen Sie Neues Zugriffspaket aus.
Geben Sie dem Zugriffspaket unter Grundlagen einen Namen (z. B. Zugriffspaket für Finanz-Apps). Geben Sie den zuvor erstellten Katalog an.
Wählen Sie für Ressourcenrollen die Ressourcen aus, die Sie zuvor hinzugefügt haben (z. B. Dateiserver1-App und Sicherheitsgruppe Finanzteam-Dateifreigabe).
Wählen Sie unter Rolle die Option Mitglied für Finanzteam-Dateifreigabe und Benutzer für die Dateiserver1-App aus.
Wählen Sie für Anforderungen die Option Für Benutzer in Ihrem Verzeichnis aus. Aktivieren Sie alternativ das Zugriffspaket für Gastbenutzer (in einem separaten Szenario behandelt).
Wenn Sie Bestimmte Benutzer und Gruppen ausgewählt haben, wählen Sie Benutzer und Gruppen hinzufügen aus.
Wählen Sie unter Benutzer und Gruppen auswählen keine Benutzer:innen aus. Sie testen später Benutzer:innen, die Zugriff anfordern.
Optional: Geben Sie unter Genehmigung an, ob eine Genehmigung erforderlich ist, wenn Benutzer:innen dieses Zugriffspaket anfordern.
Optional: Wählen Sie unter Anfordererinformationen die Option Fragen aus. Geben Sie eine Frage ein, die Anforderern gestellt werden soll. Diese Frage wird als Anzeigezeichenfolge bezeichnet. Um Lokalisierungsoptionen hinzuzufügen, wählen Sie Lokalisierung hinzufügen aus.
Geben Sie auf der Registerkarte Lebenszyklus an, wann die Zuweisung einzelner Benutzer und Benutzerinnen für das Zugriffspaket abläuft. Sie können auch angeben, ob Benutzer ihre Zuweisungen verlängern können. Legen Sie unter Ablauf die Option Zugriffspaket läuft ab auf An Datum, Anzahl Tage, Anzahl der Stunden oder Nie fest.
Klicken Sie auf Erstellen.

Erstellen von Lebenszyklus-Workflows

In diesem Abschnitt wird beschrieben, wie Sie Workflows für neu eingestellte oder gekündigte Mitarbeitende erstellen und Workflows bei Bedarf ausführen.

Erstellen eines Workflows für Neueinstellungen

Gehen Sie zum Erstellen eines Workflows für Neueinstellungen wie folgt vor:

Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für Lebenszyklus-Workflows an.
Navigieren Sie zu Identitätsgovernance>Lebenszyklusworkflows>Workflow erstellen.
Wählen Sie für Workflow auswählen die Option Onboarding für neu eingestellte Mitarbeiter durchführen aus.
Geben Sie für Grundlagen als Anzeigenamen und Beschreibung des Workflows Onboarding für neu eingestellte Mitarbeiter durchführen – Finanzen ein. Wählen Sie Weiter aus.
Geben Sie unter Bereich konfigurieren>Regel Werte für Eigenschaft, Operator und Wert ein. Ändern Sie den Ausdruck des Bereichs auf ausschließlich die Benutzer:innen, bei denen Eigenschaft>Abteilung den WertFinanzen hat. Stellen Sie sicher, dass Testbenutzer:innen die Eigenschaft mit der Zeichenfolge Finanzen ausfüllen, damit sie sich im Workflowbereich befinden.
Wählen Sie unter Aufgaben überprüfen die Option Aufgabe hinzufügen aus, um der Vorlage eine Aufgabe hinzuzufügen. Für dieses Szenario fügen Sie Anfordern von Benutzerzugriffspaketzuweisung hinzu.
Wählen Sie für Grundlagen die Option Anfordern von Benutzerzugriffspaketzuweisung aus. Weisen Sie dieser Aufgabe einen Namen zu (z. B. Finanzzugriffspaket zuweisen). Wählen Sie eine Richtlinie aus.
Wählen Sie unter Konfigurieren das zuvor erstellte Zugriffspaket aus.
Optional: Fügen Sie wie folgt weitere Aufgaben für neu eingestellte Personen hinzu. Stellen Sie für einige dieser Aufgaben sicher, dass wichtige Attribute wie Manager und E-Mail ordnungsgemäß Benutzer:innen zugeordnet werden, wie unter Automatisieren von Onboardingaufgaben von Mitarbeitern vor dem ersten Arbeitstag mithilfe von Lebenszyklus-Workflows-APIs beschrieben.
- Benutzerkonto aktivieren
- Hinzufügen von Benutzer:innen zu Gruppen oder Teams
- Willkommens-E-Mail senden
- TAP generieren und E-Mail senden
Wählen Sie Zeitplan aktivieren aus.
Klicken Sie auf Überprüfen + erstellen.

Erstellen von Abgangsworkflows

Gehen Sie zum Erstellen eines Workflows für Abgänge wie folgt vor:

Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für Lebenszyklus-Workflows an.
Navigieren Sie zu Identitätsgovernance>Lebenszyklusworkflows>Workflow erstellen.
Wählen Sie unter Workflow auswählen die Option Offboarding eines Mitarbeiters durchführen aus.
Geben Sie für Grundlagen als Anzeigenamen und Beschreibung des Workflows Offboarding eines Mitarbeiters durchführen – Finanzen ein. Wählen Sie Weiter aus.
Geben Sie unter Bereich konfigurieren>Regel Werte für Eigenschaft, Operator und Wert ein. Ändern Sie den Ausdruck des Bereichs auf ausschließlich die Benutzer:innen, bei denen Eigenschaft>Abteilung den WertFinanzen hat. Stellen Sie sicher, dass Testbenutzer:innen die Eigenschaft mit der Zeichenfolge Finanzen ausfüllen, damit sie sich im Workflowbereich befinden.
Wählen Sie unter Aufgaben überprüfen die Option Aufgabe hinzufügen aus, um der Vorlage eine Aufgabe hinzuzufügen. Für dieses Szenario fügen Sie Anfordern von Benutzerzugriffspaketzuweisung hinzu.
Optional: Fügen Sie weitere Aufgaben bei Abgängen hinzu, z. B.:
- Benutzerkonto deaktivieren
- Entfernen eines Benutzers aus allen Gruppen
- Entfernen eines Benutzers aus allen Teams
Aktivieren Sie Zeitplan aktivieren.
Klicken Sie auf Überprüfen + erstellen.

Hinweis

Lebenszyklus-Workflows werden automatisch basierend auf definierten Triggern ausgeführt, die zeitbasierte Attribute und einen Offsetwert kombinieren. Wenn das Attribut beispielsweise employeeHireDate ist und offsetInDays den Wert „-1“ hat, sollte der Workflow einen Tag vor dem Einstellungsdatum von Mitarbeitenden ausgelöst werden. Der Wert kann zwischen –180 und 180 Tagen liegen. Die Werte employeeHireDate und employeeLeaveDateTime für Benutzer:innen müssen in Microsoft Entra ID festgelegt werden. Unter Synchronisieren von Attributen für Lifecycle-Workflows finden Sie weitere Informationen zu Attributen und Prozessen.

Ausführen des Workflows für Neueinstellungen bei Bedarf

Um dieses Szenario zu testen, ohne auf den automatisierten Zeitplan zu warten, führen Sie Lebenszyklus-Workflows bedarfsgesteuert aus.

Initiieren Sie den zuvor erstellten Workflow für Neueinstellungen.
Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für Lebenszyklus-Workflows an.
Navigieren Sie zu Identity Governance>Lebenszyklus-Workflows>Workflows.
Wählen Sie unter Workflow die Option Onboarding für neu eingestellte Mitarbeiter durchführen – Finanzen aus, den Sie zuvor erstellt haben.
Wählen Sie Bedarfsgesteuert ausführen aus.
Wählen Sie unter Benutzer auswählen die Option Benutzer hinzufügen aus.
Wählen Sie unter Benutzer hinzufügen die Benutzer:innen aus, für die Sie den Workflow bedarfsgesteuert ausführen möchten.
Wählen Sie Hinzufügen.
Bestätigen Sie Ihre Auswahl. Wählen Sie Run workflow (Workflow ausführen) aus.
Wählen Sie den Workflowverlauf aus, um den Aufgabenstatus zu überprüfen.
Überprüfen Sie nach Abschluss aller Aufgaben, ob die Benutzer:innen Zugriff auf die Anwendungen haben, die Sie im Zugriffspaket ausgewählt haben. In diesem Schritt wird das Szenario für Neueinstellungen für Benutzer:innen abgeschlossen, damit diese ab dem ersten Tag Zugriff auf die erforderlichen Apps erhalten.

Überprüfen des Zugriffs für den Remotezugriff pro App

In diesem Abschnitt simulieren Sie ein neues Mitglied des Finanzteams, das der Organisation beitritt. Sie weisen dem Benutzerkonto mit Microsoft Entra-Privatzugriff automatisch Zugriff auf die Dateifreigabe des Finanzteams und Remotezugriff auf den Dateiserver zu.

In diesem Abschnitt werden die Optionen zum Überprüfen des Zugriffs auf zugewiesene Ressourcen beschrieben.

Überprüfen der Zugriffspaketzuweisung

Führen Sie die folgenden Schritte aus, um den Status der Zugriffspaketzuweisung zu überprüfen:

Melden Sie sich als Benutzer:in bei myaccess.microsoft.com an.
Wählen Sie Zugriffspakete und dann Aktiv aus, um das zuvor angeforderte Zugriffspaket (z. B. Zugriffspaket Finanzen) anzuzeigen.

Überprüfen des App-Zugriffs

Führen Sie die folgenden Schritte aus, um den App-Zugriff zu überprüfen:

Melden Sie sich als Benutzer:in bei myaccess.microsoft.com an.
Suchen Sie die zuvor erstellte App in der App-Liste (z. B. Finanz-App), und greifen Sie darauf zu.

Überprüfen der Gruppenmitgliedschaft

Führen Sie die folgenden Schritte aus, um die Gruppenmitgliedschaft zu überprüfen:

Melden Sie sich als Benutzer:in bei myaccess.microsoft.com an.
Wählen Sie Gruppen, in der ich aktiv bin aus. Überprüfen Sie die Mitgliedschaft in der Gruppe, die Sie zuvor erstellt haben (z. B. Finanzbuchhaltung).

Überprüfen der Teams-Mitgliedschaft

Führen Sie die folgenden Schritte aus, um die Teams-Mitgliedschaft zu überprüfen:

Melden Sie sich als Benutzer:in bei Teams an.
Überprüfen Sie die Mitgliedschaft in dem Team, das Sie zuvor erstellt haben (z. B. Finanzbuchhaltung).

Überprüfen des Remotezugriffs

Führen Sie die folgenden Schritte aus, um den Benutzerzugriff auf den Dateiserver zu überprüfen:

Melden Sie sich auf dem Testgerät an, auf dem Sie zuvor den Agent für globalen sicheren Zugriff installiert haben.
Führen Sie \\\IP_address aus, und überprüfen Sie den Zugriff auf die Dateifreigabe.

Bedarfsgesteuertes Ausführen des Workflows für Abgänge

Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für Lebenszyklus-Workflows an.
Navigieren Sie zu Identity Governance>Lebenszyklus-Workflows>Workflows.
Wählen Sie in „Workflows“ den Workflow Offboarding eines Mitarbeiters durchführen – Finanzen aus, den Sie in den Schritten für Abgänge erstellt haben.
Wählen Sie Bedarfsgesteuert ausführen aus.
Wählen Sie unter Benutzer auswählen die Option Benutzer hinzufügen aus.
Wählen Sie unter Benutzer hinzufügen die Benutzer:innen aus, für die Sie den Workflow bedarfsgesteuert ausführen möchten.
Wählen Sie Hinzufügen.
Bestätigen Sie Ihre Auswahl, und wählen Sie Workflow ausführen aus.
Wählen Sie den Workflowverlauf aus, um den Aufgabenstatus zu überprüfen.
Überprüfen Sie nach Abschluss aller Aufgaben, ob den Benutzer:innen der gesamte Zugriff auf die im Zugriffspaket ausgewählten Anwendungen entzogen wurde.

Überprüfen der Zugriffsentfernung

Bestätigen Sie nach dem Ausführen des Workflows für Abgänge das Entfernen des Benutzerzugriffs auf Finanzanwendungen, das Finanzteam, SharePoint-Websites und Dateifreigaben, indem Sie die Schritte in den Abschnitten Überprüfen des App-Zugriffs und Überprüfen des Remotezugriffs wiederholen. Mit diesem Schritt stellen Sie sicher, dass die Benutzer:innen nicht mehr auf diese Ressourcen zugreifen können.

Freigeben über