Azure Lighthouse-Sicherheit und Berechtigungen: Wie Sie den Zugriff auf mehrere Mandanten sicher verwalten

Von Mirko Peters · 2026-10-21

Erfahren Sie, wie die Sicherheit von Azure Lighthouse funktioniert, wie Sie das Prinzip der minimalen Berechtigungen mandantenübergreifend durchsetzen und wie Kunden die volle Kontrolle über ihre Cloud behalten.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die Sicherheit von Azure Lighthouse beruht auf dem Prinzip der minimalen Berechtigungen, logischen Ressourcenprojektionen und klar vom Kunden definierten Grenzen. So können Managed Service Provider mehrmandantige Cloud-Umgebungen verwalten, ohne jemals Administratorkennwörter zu besitzen. Dabei werden integrierte Azure-Rollen und dauerhafte Überwachungsprotokolle genutzt.

Das Wichtigste in Kürze

• Kunden behalten die volle Kontrolle über ihre Azure-Mandanten, indem sie präzise Bereiche und integrierte Rollen festlegen.
• Registrierungsdefinitionen und Registrierungszuweisungen wirken wie ein dauerhafter Handschlag, den Azure bei jeder Aktion prüft.
• Die Rolle Besitzer mit vollen Rechten und der Zugriff auf die Datenebene werden in Azure Lighthouse-Delegierungen vollständig nicht unterstützt.
• Anbieter arbeiten über logische Projektionen in ihrem eigenen Portal, ohne Benutzerkennwörter oder Anmeldeinformationen weiterzugeben.
• Aktivitätsprotokolle erfassen jede Änderung im Mandanten des Kunden und bieten so einen transparenten Prüfpfad.

Die Sicherheitsarchitektur von Azure Lighthouse

Die Verwaltung mehrerer Cloud-Umgebungen erforderte früher, in jedem einzelnen Kundenmandanten eigene Administratorkonten anzulegen. Dieses alte Verfahren brachte erhebliche Sicherheitsrisiken mit sich: unübersichtliche Tabellen mit temporären Kennwörtern und vergessene Anmeldeinformationen, die in externen Systemen weiterbestanden. Azure Lighthouse verändert diese Situation grundlegend, indem es eine sichere, kryptografisch gebundene Verbindung zwischen getrennten Cloud-Umgebungen schafft.

Statt Mandanten zusammenzuführen oder Anmeldeinformationen zu teilen, nutzt Lighthouse eine logische Projektion. Die Ressourcen des Kunden bleiben vollständig in dessen eigener Cloud-Umgebung, also in seinem Mandanten, Abonnement und seinen Ressourcengruppen. Der Managed Service Provider sieht diese Ressourcen über einen gesicherten Zugang aus seinem eigenen Verwaltungsmandanten. Jede Anfrage des Anbieters durchläuft die zentrale Validierungsschicht von Azure, die die Autorisierung laufend prüft, bevor ein Befehl ausgeführt wird.

Der Zwei-Teile-Handschlag

Die Sicherheit in Azure Lighthouse beruht nicht auf blindem Vertrauen, sondern auf zwei unveränderlichen JSON-basierten Konfigurationsdateien, die der oberste Administrator des Kunden direkt bereitstellt.

Der erste Teil ist die Registrierungsdefinition. Sie liegt im Konto des Kunden und legt ausdrücklich fest, welcher externe Partner vertrauenswürdig ist und welche integrierten Rollen er erhält. Der zweite Teil ist die Registrierungszuweisung. Sie verweist auf ein bestimmtes Abonnement oder eine bestimmte Ressourcengruppe und verknüpft diese mit der Registrierungsdefinition.

Da diese Komponenten im Mandanten des Kunden liegen, behält der Kunde die volle Kontrolle. Endet ein Vertrag, kann der Kunde die Registrierungszuweisung löschen und den Zugang sofort sperren, ohne dass der Dienstleister mitwirken muss.

Das Prinzip der minimalen Berechtigungen in mandantenübergreifenden Umgebungen umsetzen

Ein zentraler Grundsatz moderner Cloud-Sicherheit ist das Prinzip der minimalen Berechtigungen: Benutzern und Systemen werden nur die absolut notwendigen Berechtigungen gewährt, die sie für ihre Aufgaben benötigen. Azure Lighthouse macht die Durchsetzung dieses Prinzips einfach, indem Berechtigungen Sicherheitsgruppen, Dienstprinzipalen und Automatisierungskonten zugeordnet werden und nicht einzelnen Benutzern.

Ein Managed Service Provider könnte den Teamzugriff beispielsweise in verschiedene Stufen gliedern:

• Support-Team: Erhält die Rolle Reader, um den Zustand virtueller Maschinen und Diagnoseprotokolle zu prüfen, ohne Änderungen vorzunehmen.
• Migrationsingenieure: Erhalten die Rolle Contributor für bestimmte Ressourcengruppen, um Workloads bereitzustellen und Updates anzuwenden.
• Automatisierungsskripte: Erhalten eingeschränkte, benutzerdefinierte Dienstkonten, um nächtliche Backups und die Erfassung von Telemetriedaten auszuführen.

Dieser granulare Ansatz stellt sicher, dass menschliche Fehler oder kompromittierte Anmeldedaten auf Seite des Dienstleisters sich nicht zu einem katastrophalen Schaden in allen verwalteten Kundenumgebungen ausweiten können.

Einschränkungen integrierter Rollen als Sicherheitsleitplanken

Um Organisationen vor einer übermäßigen Vergabe von Berechtigungen zu schützen, setzt Azure Lighthouse strikte Leitplanken dafür, was delegiert werden kann und was nicht. Am bedeutendsten: Die übergeordnete Rolle Owner wird in einer Lighthouse-Delegierung vollständig nicht unterstützt. Ein Dienstleister kann niemals die Berechtigung erhalten, anderen Berechtigungen zuzuweisen oder die uneingeschränkte Eigentümerschaft über das Abonnement des Kunden zu übernehmen.

Außerdem können Rollen, die Zugriff auf Datenebenen gewähren, etwa das Lesen von Dateien in Azure-Blob-Storage-Containern oder das Anzeigen von Datenbankeinträgen, nicht über Lighthouse delegiert werden. Lighthouse verwaltet die Steuerungsebenen der Infrastruktur und stellt so sicher, dass administrative Aufsicht niemals in Verstöße gegen den Datenschutz umschlägt.

Prüfprotokolle und Nachverfolgung der Compliance

Compliance-Verantwortliche geraten häufig in Panik, wenn sie an externe Dienstleister denken, die auf die zentrale Cloud-Infrastruktur des Unternehmens zugreifen. Azure Lighthouse nimmt diese Sorge, indem es auf Seiten des Kunden einen lückenlosen, manipulationssicheren Nachweis führt.

Jede einzelne Aktion eines Benutzers des Dienstleisters, ob das Neustarten einer virtuellen Maschine, das Ändern einer Firewallregel oder das Anpassen von Netzwerkeinstellungen, wird direkt im Azure-Aktivitätsprotokoll des Kunden erfasst. Da diese Protokolle im Mandanten des Kunden liegen, kann sie der externe Dienstleister weder ändern noch löschen. IT-Administratoren können regelmäßige Audits durchführen, um zentrale Sicherheitsfragen zu beantworten: Wer hat auf diese Ressource zugegriffen? Wann wurde sie geändert? Welcher genaue Befehl wurde ausgeführt?

Darüber hinaus können Unternehmen Azure Lighthouse mit Privileged Identity Management (PIM) kombinieren, um Berechtigungen nur bei Bedarf zu erhöhen (Just-in-Time-Zugriff). Anstatt dauerhaft Contributor-Rechte vorzuhalten, können Engineers des Dienstleisters den Zugriff erst dann anfordern, wenn ein Vorfall auftritt. Genehmigungen werden protokolliert, und Zeitlimits werden automatisch durchgesetzt.

Fazit

Azure Lighthouse löst den langjährigen Zielkonflikt zwischen robuster Cloud-Sicherheit und effizienter Verwaltung mehrerer Mandanten. Indem es die gemeinsame Nutzung von Passwörtern durch kryptografisch verifizierte, vom Kunden kontrollierte delegierte Ressourcenverwaltung ersetzt, können IT-Verantwortliche ihre Abläufe skalieren, ohne ihre Sicherheitslage zu gefährden. Um die Grundlagen hinter dieser Architektur kennenzulernen, hören Sie sich die vollständige Folge des M365 FM Podcast an, die moderne Cloud-Verwaltung ohne Fachjargon erklärt.

Häufige Fragen

Kann ein Azure-Lighthouse-Dienstleister die Passwörter meiner Organisation einsehen?

Nein. Azure Lighthouse legt Passwörter oder Benutzeranmeldedaten niemals offen, überträgt oder teilt sie nicht zwischen Mandanten. Dienstleister authentifizieren sich über ihre eigenen Identitätssysteme für Unternehmen und arbeiten über logische Projektionen auf Ihren Ressourcen.

Was passiert mit dem Azure-Lighthouse-Zugriff, wenn ein Dienstleister kompromittiert wird?

Da der Zugriff strikt auf die integrierten Rollen und Ressourcen beschränkt ist, die in der Registrierungszuweisung definiert sind, und die Rolle Owner ausgeschlossen bleibt, bleibt der mögliche Schaden eng begrenzt. Zudem kann der Kunde den Zugriff jederzeit sofort widerrufen, indem er die Registrierungszuweisung über sein eigenes Portal löscht.

Unterstützt Azure Lighthouse benutzerdefinierte RBAC-Rollen?

Nein. Azure Lighthouse unterstützt ausschließlich integrierte Azure-Rollen, die von Microsoft bereitgestellt werden. Benutzerdefinierte Rollen, die im Mandanten des Dienstleisters oder des Kunden erstellt wurden, können in Registrierungsdefinitionen nicht verwendet werden.

Wer ist befugt, Azure Lighthouse in einem Kundenmandanten einzurichten?

Nur ein Benutzer mit hochprivilegiertem Zugriff kann die Registrierungsvorlage bereitstellen und die Verbindung herstellen, und zwar ein Konto mit Berechtigungen zum Zuweisen von Rollen auf Abonnement- oder Ressourcengruppenebene, etwa User Access Administrator oder Owner.