365 Tenants: Sicherheitseinstellungen von Microsoft 365 erfassen, vergleichen und ausrollen
Was 365 Tenants in Entra ID und Microsoft 365 liest, wie Vorlagen und Abweichungen funktionieren und wie Conditional Access sicher in den Mandanten kommt.
365 Tenants hält die Sicherheitseinstellungen eines Microsoft-365-Mandanten fest, vergleicht sie mit einer Vorlage und rollt die Vorlage auf Wunsch aus. Gelesen werden Einstellungen und Richtlinien. Mails, Dateien und Chats liest 365 Tenants nicht.
Voraussetzungen
- Ein Mandant bei Microsoft 365, mit Conbool verbunden.
- Ein Administrator dieses Mandanten für die Zustimmung zu den Apps.
- Für Conditional Access: Entra ID P1 im Mandanten, enthalten etwa in Microsoft 365 Business Premium. Ohne P1 lässt sich alles lesen und vergleichen, Richtlinien für bedingten Zugriff werden dann aber nicht geschrieben.
- In Conbool eines der drei Rechte des Produkts: ansehen, verwalten oder ausrollen. Die Rechte vergibt der Inhaber des Kontos über die Rollen.
Die zwei Apps
365 Tenants arbeitet mit zwei Apps, jede mit eigener Zustimmung.
- Lesen. Erfasst Einstellungen und erkennt Änderungen. Ändert nichts im Mandanten. Für Momentaufnahme, Verlauf, Vergleich und Abweichungen genügt diese App.
- Ausrollen. Schreibt freigegebene Vorlagen in den Mandanten. Nur nötig, wenn ausgerollt wird.
Die Zustimmung erteilen Sie unter 365 Tenants → Einstellungen → Verbindung. Mit Prüfen zeigt die Seite, ob jede erwartete Berechtigung angekommen ist. Fehlt eine, nennt die Seite sie, und die betroffenen Bereiche stehen als „Nicht geprüft“ da.
Was erfasst wird
| Bereich | Gelesen | Geschrieben |
|---|---|---|
| Conditional Access | ja | ja |
| Benannte Standorte | ja | ja |
| Eigene Authentifizierungsstärken | ja | ja |
| Authentifizierungskontexte | ja | ja |
| Security Defaults | ja | ja |
| Authentifizierungsmethoden | ja | ja |
| Rechte von Benutzern und Gästen | ja | ja |
| Mandantenübergreifender Zugriff | ja | ja |
| Microsoft-365-Gruppen | ja | ja |
| Freigabe und Synchronisierung in SharePoint und OneDrive | ja | ja |
| Lizenzen und Dienstpläne | ja | nein |
Momentaufnahme und Verlauf
Unter Einstellungen → Selbsttätige Aufnahme wählen Sie den Abstand: alle 4 Stunden, alle 12 Stunden oder täglich. Jede Aufnahme liest alle Bereiche. Was sich zwischen zwei Aufnahmen geändert hat, steht unter Änderungen, mit dem Urheber aus dem Verzeichnisprotokoll, sobald Microsoft ihn liefert. Die Liste lässt sich durchsuchen, filtern und als CSV herunterladen.
War eine Aufnahme unvollständig, gilt für die Bereiche mit „Nicht geprüft“ der Stand der letzten gelungenen Aufnahme.
Vorlagen
Eine Vorlage entsteht auf zwei Wegen.
- Aus der Bibliothek. „Conbool gehärtet“ enthält zehn Einträge: MFA für alle Benutzer, MFA für Administratoren, MFA für die Azure-Verwaltung, Legacy-Authentifizierung blockieren, Security Defaults ablösen, Authenticator und Passkeys eingeschaltet lassen, Gastrechte einschränken, Gäste nicht als Besitzer von Gruppen, Freigabe nur an bekannte Gäste und kein pauschales Vertrauen zu fremden Organisationen. Mit Übernehmen wird daraus ein Entwurf in Ihrem Konto.
- Aus einem Referenzmandanten. Unter Vorlagen → Vorlage aus diesem Mandanten wird der heutige Stand zum Entwurf. Kennungen, Adressen und Domänen des Quellmandanten werden dabei zu Platzhaltern oder müssen erklärt werden, damit keine fremden Werte in andere Mandanten wandern.
Ein Entwurf wird mit Freigeben zur Fassung. Freigegebene Fassungen sind unveränderlich. Eine neue Fassung legen Sie mit Neue Fassung an; der Vergleich zeigt, was neu, geändert oder entfallen ist. Eine Fassung lässt sich zurückziehen; bestehende Zuweisungen bleiben dann auf ihr stehen.
Vor der Freigabe prüft 365 Tenants jede Fassung. Gesperrt ist die Freigabe unter anderem, wenn eine sperrende Richtlinie die Notfallkonten nicht ausnimmt.
Zuweisen und Abweichungen
Unter Ausrollen → Vorlage zuweisen wählen Sie eine freigegebene Fassung und tragen die Angaben des Mandanten für die Platzhalter ein, zum Beispiel:
- Notfallkonten: Anmeldenamen oder Objektkennungen, je Zeile eines. Jede sperrende Richtlinie nimmt sie aus.
- IP-Bereiche: in CIDR-Schreibweise, einer je Zeile.
Danach zeigt die Seite die Abweichungen von der Vorlage je Feld: fehlt, abweichend oder nicht anwendbar. Ein strengerer Wert im Mandanten zählt nicht als Abweichung. Was der Mandant nicht lizenziert hat, wird weder geschrieben noch gezählt.
Ausrollen
- Trockenlauf. Der Plan zeigt jeden Vorgang, der geschrieben würde, und den Grund für jeden übersprungenen. Geändert wird nichts.
- Ausführen anfordern und freigeben. Die Freigabe ist ein eigener Schritt mit dem Recht „ausrollen“.
- Ausführen. Die schreibende App setzt die Vorgänge um. Richtlinien für bedingten Zugriff stehen danach im Berichtsmodus und sperren noch niemanden.
Scharfschalten
Scharfschalten macht die Richtlinien der Vorlage wirksam und schaltet die Security Defaults ab, beides im selben Lauf. Vorher prüft Scharfschalten prüfen:
- Notfallkonten: Mindestens eines muss tauglich sein, also vorhanden, aktiv, Globaler Administrator und nicht aus einem lokalen Verzeichnis synchronisiert.
- Auswertung des Berichtsmodus: Je Richtlinie die Anmeldungen seit dem Ausrollen, interaktiv und nicht interaktiv, mit der Zahl der Anmeldungen, die abgelehnt worden wären oder eine Bestätigung gebraucht hätten, und den betroffenen Konten und Anwendungen. Ohne lesbare Anmeldeprotokolle gibt es kein Scharfschalten.
- Beobachtungsfrist: Vorgabe sind sieben Tage seit dem Ausrollen. Wer sie verkürzt, bestätigt das ausdrücklich.
Die Auswertung bestätigen Sie mit einem Haken. Ist sie älter als eine Stunde, wird sie neu verlangt.
Scheitert das Scharfschalten, schaltet 365 Tenants die Security Defaults wieder ein, und der Mandant steht wie vor dem Lauf. Gelingt das Wiedereinschalten nicht, meldet die Übersicht „Mandant ohne erzwungene MFA“ und versucht es alle zehn Minuten erneut.
Zurückrollen
Der jüngste Lauf lässt sich zurückrollen. Geänderte Werte werden zurückgestellt, neu angelegte Richtlinien abgeschaltet. Gelöscht wird nie etwas. Was seit dem Lauf jemand anderes geändert hat, bleibt stehen und wird genannt. Ein Zurückrollen, das den Mandanten ohne erzwungene MFA ließe, ist gesperrt.
Meldungen
365 Tenants meldet:
- eine Änderung im Mandanten, die Schutz wegnimmt oder eine Tür öffnet, auch bevor Microsoft den Urheber geliefert hat,
- einen freigegebenen Lauf,
- einen gescheiterten Lauf,
- eine gescheiterte selbsttätige Aufnahme, einmal je Folge,
- einen Mandanten ohne erzwungene MFA nach einem gescheiterten Scharfschalten.
Vergleich zweier Mandanten
Unter Vergleich stellen Sie den gespeicherten Stand zweier Mandanten nebeneinander: Unterschiede, Gleiches und was es nur auf einer Seite gibt. Dafür braucht es ein zweites Konto mit 365 Tenants und Leserecht darin. Der Vergleich liest nichts bei Microsoft.
Was nicht zum Umfang gehört
- Intune und Geräteverwaltung.
- Sicherung von Benutzern, Gruppen und Anwendungen. Dafür gibt es Entra ID Backup in 365 Backup.
- Berechtigungen in SharePoint, OneDrive und Teams im Einzelnen. Dafür gibt es 365 Permissions.