365 Tenants: zuweisen, ausrollen, scharfschalten und zurückrollen

Wie eine Vorlage einem Mandanten zugewiesen wird, wie Abweichungen gezählt werden, wie ein Lauf mit Trockenlauf und Freigabe abläuft und wie Scharfschalten und Zurückrollen abgesichert sind.

Zuweisen

Unter Ausrollen → Vorlage zuweisen wählen Sie eine freigegebene Fassung und tragen die Angaben des Mandanten für die Platzhalter ein, zum Beispiel:

Notfallkonten: Anmeldenamen oder Objektkennungen, je Zeile eines. Jede sperrende Richtlinie nimmt sie aus.
IP-Bereiche: in CIDR-Schreibweise, einer je Zeile.

Abweichungen

Danach zeigt die Seite die Abweichungen von der Vorlage je Feld: fehlt, abweichend oder nicht anwendbar. Ein strengerer Wert im Mandanten zählt nicht als Abweichung. Was der Mandant nicht lizenziert hat, wird weder geschrieben noch gezählt.

Ein Lauf

Trockenlauf. Der Plan zeigt jeden Vorgang, der geschrieben würde, und den Grund für jeden übersprungenen. Was 365 Tenants nicht lesen konnte, etwa Exchange ohne Rollen, steht als „nicht gelesen“ da und wird nie geschrieben. Geändert wird nichts.
Ausführen anfordern und freigeben. Die Freigabe ist ein eigener Schritt mit dem Recht „ausrollen“.
Ausführen. Die App zum Ausrollen setzt die Vorgänge um und prüft danach jeden Wert. Richtlinien für bedingten Zugriff stehen danach im Berichtsmodus und sperren noch niemanden.

Ein Lauf dauert je nach Umfang bis zu einigen Minuten. Die Seite zeigt den Fortschritt und lädt selbst nach; ein geschlossenes Fenster hält den Lauf nicht an.

Zwei Fälle, die der Plan nennt:

Fehlt im Mandanten eine App von Microsoft, die eine Richtlinie braucht, etwa „Microsoft Intune Enrollment“, überspringt der Lauf diese Richtlinie. Der Grund nennt, wie ein Administrator die App einmal anlegt.
Manche Mandanten verlangen bei Exchange Online vor dem Sperren der Weiterleitung nach außen eine einmalige Freischaltung der Organisation. 365 Tenants schaltet sie dann selbst frei und schickt die Einstellung erneut. Die Freischaltung lässt sich bei Microsoft nicht zurücknehmen, ändert für Benutzer aber nichts.

Scharfschalten

Scharfschalten macht die Richtlinien der Vorlage wirksam und schaltet die Security Defaults ab, beides im selben Lauf. Vorher prüft Scharfschalten prüfen:

Notfallkonten: Mindestens eines muss tauglich sein, also vorhanden, aktiv, Globaler Administrator und nicht aus einem lokalen Verzeichnis synchronisiert.
Auswertung des Berichtsmodus: Je Richtlinie die Anmeldungen seit dem Ausrollen, interaktiv und nicht interaktiv, mit der Zahl der Anmeldungen, die abgelehnt worden wären oder eine Bestätigung gebraucht hätten, und den betroffenen Konten und Anwendungen. Ohne lesbare Anmeldeprotokolle gibt es kein Scharfschalten.
Beobachtungsfrist: Vorgabe sind sieben Tage seit dem Ausrollen. Wer sie verkürzt, bestätigt das ausdrücklich.

Die Auswertung bestätigen Sie mit einem Haken. Ist sie älter als eine Stunde, wird sie neu verlangt.

Scheitert das Scharfschalten, schaltet 365 Tenants die Security Defaults wieder ein, und der Mandant steht wie vor dem Lauf. Gelingt das Wiedereinschalten nicht, meldet die Übersicht „Mandant ohne erzwungene MFA“ und versucht es alle zehn Minuten erneut.

Zurückrollen

Der jüngste Lauf lässt sich zurückrollen.

Geänderte Werte werden zurückgestellt.
Neu angelegte Richtlinien für bedingten Zugriff werden abgeschaltet.
Andere neu angelegte Objekte, etwa Richtlinien in Intune oder benannte Standorte, bleiben stehen und werden im Bericht genannt. Eine Richtlinie in Intune nehmen Sie bei Bedarf in Intune selbst zurück.
Was seit dem Lauf jemand anderes geändert hat, bleibt stehen und wird genannt.
Gelöscht wird nie etwas. Ein Zurückrollen, das den Mandanten ohne erzwungene MFA ließe, ist gesperrt.