Azure-Rollen vs. Entra-ID-Rollen: Was Cloud-Administratoren falsch verstehen

Von Mirko Peters · 2026-10-29

Hören Sie auf, Azure RBAC und Microsoft-Entra-Rollen zu verwechseln. Entdecken Sie die entscheidenden Unterschiede in Bereich, Berechtigungen und Verwaltung, um Ihre Cloud abzusichern.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Azure-Rollen und Microsoft-Entra-Rollen bilden zwei getrennte Autorisierungsgrenzen, die Cloud-Administratoren häufig verwirren. Wer versteht, wie diese getrennten Berechtigungssysteme funktionieren, vergibt die richtigen Rechte an die richtigen Identitäten, ohne unbeabsichtigt übermäßige Kontrolle über Infrastruktur oder Verzeichnisdienste zu gewähren.

Das Wichtigste in Kürze

• Azure-Rollen steuern den Zugriff auf Cloud-Ressourcenobjekte wie virtuelle Maschinen, Speicherkonten und virtuelle Netzwerke.
• Microsoft-Entra-ID-Rollen regeln Berechtigungen auf Verzeichnisebene, etwa für die Benutzerbereitstellung, die Gruppenerstellung und die Lizenzzuweisung.
• Globale Administratoren erhalten nicht automatisch die volle Kontrolle über Azure-Abonnements, sondern nur nach expliziter Konfiguration.
• Das Verständnis unterschiedlicher Bereiche verhindert verheerende Rechteausweitungen und Sicherheitslücken bei Compliance-Prüfungen.

Die grundlegende Trennung: Ressourcen versus Verzeichnis

Wenn Sie beginnen, Berechtigungen im Microsoft-Cloud-Ökosystem zu verwalten, taucht der Begriff „Rolle“ in mehreren Admin Centern auf. Diese Überschneidung der Terminologie ist die mit Abstand häufigste Quelle von Verwirrung für Ingenieure, Architekten und Supportteams. Der einfachste Weg, den Überblick zu behalten, besteht darin, zu klären, was Sie eigentlich ändern wollen.

Azure-Rollen steuern den Zugriff auf Azure-Ressourcen. Wenn Ihre Aufgabe darin besteht, eine virtuelle Maschine bereitzustellen, ein virtuelles Netzwerk zu konfigurieren, eine Firewallregel anzupassen oder Dateien in einem Speichercontainer zu lesen, bewegen Sie sich im Bereich der rollenbasierten Zugriffssteuerung (Azure RBAC). Diese Berechtigungen wirken direkt auf die Infrastruktur- und Datenebenen innerhalb Ihrer Cloud-Abonnements.

Microsoft-Entra-Rollen steuern dagegen den Zugriff auf Verzeichnisressourcen. Wenn Sie neue Benutzerkonten anlegen, Gruppenmitgliedschaften ändern, Microsoft-365-Lizenzen zuweisen oder Kennwörter zurücksetzen, arbeiten Sie in Microsoft Entra ID. Diese Aktionen betreffen die Identitätsebene Ihrer Organisation und nicht die Rechen- oder Speicherebene.

Die Verwechslung dieser beiden Systeme führt zu gefährlichen administrativen Abkürzungen. Ein Ingenieur, der annimmt, Verzeichnisrechte gewährten Infrastrukturzugriff – oder umgekehrt –, fordert oft unnötig weitreichende Berechtigungen an, nur um die tägliche Arbeit zu erledigen. Die Zuordnung Ihrer Aufgaben zur richtigen Autorisierungsebene ist die Grundlage einer sicheren Cloud-Architektur.

Geltungsbereiche und Grenzen im Vergleich

Wie weit Ihre Berechtigungen reichen, unterscheidet sich erheblich, je nachdem, ob Sie mit einer Azure-Rolle oder einer Entra-ID-Rolle arbeiten. Der Geltungsbereich bestimmt den Wirkungsradius jedes menschlichen oder automatisierten Fehlers. Deshalb ist es entscheidend, die Hierarchie beider Systeme zu beherrschen.

Geltungsbereiche von Azure-Rollen

Azure RBAC arbeitet mit einem streng hierarchischen Modell für Geltungsbereiche. Wenn Sie in Azure eine Rolle zuweisen, wenden Sie sie auf einer von vier Ebenen an:

• Verwaltungsgruppe: Die breiteste Container-Ebene, die Berechtigungen über mehrere Abonnements hinweg anwendet.
• Abonnement: Die Grenze für Abrechnung, Governance und eine Sammlung zusammengehöriger Dienste.
• Ressourcengruppe: Ein logischer Ordner, der bestimmte Ressourcen für ein Projekt oder eine Umgebung enthält.
• Ressource: Die engste Ebene, die sich auf eine einzelne virtuelle Maschine, ein Speicherkonto oder eine Datenbank bezieht.

Berechtigungen, die auf einer übergeordneten Ebene vergeben werden, werden nach unten vererbt. Wenn Sie die Leserolle auf Ebene der Verwaltungsgruppe zuweisen, kann diese Identität jede Ressource in jedem Abonnement sehen, das darunter verschachtelt ist.

Bereiche von Entra-ID-Rollen

Microsoft Entra-Rollen folgen nicht der Azure-Ressourcenhierarchie. Sie werden stattdessen auf Mandantenebene, über Verwaltungseinheiten hinweg oder gezielt für einzelne Objekte wie eine registrierte Unternehmensanwendung vergeben. Eine Entra-ID-Rolle können Sie nicht einer Ressourcengruppe oder einer virtuellen Maschine zuweisen, weil diese Objekte im Verzeichnisgraphen nicht in derselben Weise existieren.

Der Mythos und die Realität des globalen Administrators

Eine der hartnäckigsten Fehlannahmen in der Cloud-Administration lautet, dass die Rolle des globalen Administrators in Microsoft Entra uneingeschränkte Kontrolle über jedes Abonnement und jede Ressource Ihrer Azure-Umgebung verleiht. Das ist nicht der Fall.

Da Azure-Ressourcen und Entra-Verzeichnisobjekte von getrennten Autorisierungssystemen verwaltet werden, kann ein neu eingerichteter globaler Administrator virtuelle Maschinen in einem Abonnement nicht automatisch anzeigen oder verwalten, solange keine ausdrückliche Aktion erfolgt. Allerdings hat ein globaler Administrator die besondere Möglichkeit, seine eigenen Berechtigungen zu erweitern. Durch Umlegen eines bestimmten Schalters für die Zugriffsverwaltung im Azure-Portal kann sich ein globaler Administrator selbst die Rolle des Benutzerzugriffsadministrators für alle Abonnements im Mandanten zuweisen.

Dieser Mechanismus verhindert zwar, dass Administratoren versehentlich Infrastruktur zerstören, von der sie nichts wussten. Er erzeugt aber eine Lücke in der Nachvollziehbarkeit, wenn Organisationen nicht überwachen, wer diesen Erhöhungsschalter betätigt hat. Für eine starke Sicherheitslage ist es entscheidend, die Verzeichnisadministration und die Administration von Azure-Ressourcen als zwei völlig getrennte Disziplinen zu betrachten.

Fazit

Um die Feinheiten der Cloud-Berechtigungen zu verstehen, muss man erkennen, dass Azure-Rollen und Microsoft Entra-Rollen völlig unterschiedlichen Zwecken dienen. Wenn Sie Infrastrukturänderungen über Azure RBAC steuern und die Identitätsverwaltung an Entra ID binden, beseitigen Sie Unklarheiten, verringern den Auswirkungsradius und bestehen Compliance-Prüfungen mit Zuversicht.

Wenn Sie tiefer in die Funktionsweise der Zugriffssteuerung in der Microsoft Cloud einsteigen möchten, sollten Sie die verwandte Diskussion im Podcast ansehen. Hören Sie sich die vollständige Folge an für verständliche, fachchinesisch-freie Einblicke, die Ihnen helfen, Cloud-Architektur und Sicherheitspraktiken zu beherrschen.

Häufige Fragen

Hat ein globaler Administrator automatisch Zugriff auf Azure-Speicher und virtuelle Maschinen?

Nein. Ein globaler Administrator verwaltet die Verzeichnisebene (Entra ID) und hat nicht automatisch Zugriff auf Azure-Ressourcen. Dieser Zugriff muss ausdrücklich über den Portalschalter für die Benutzerzugriffsverwaltung über Abonnements hinweg erhöht werden.

Worin unterscheidet sich der Geltungsbereich einer Azure-Rolle von dem einer Entra-ID-Rolle?

Azure-Rollen gelten für Verwaltungsgruppen, Abonnements, Ressourcengruppen oder einzelne Ressourcen. Entra-ID-Rollen gelten für den gesamten Mandanten, Verwaltungseinheiten oder bestimmte Anwendungsobjekte.

Kann ich eine Entra-ID-Rolle verwenden, um Berechtigungen für eine bestimmte Azure-virtuelle Maschine zu vergeben?

Nein. Entra-ID-Rollen verwalten Verzeichnisobjekte wie Benutzer und Anwendungen. Um Berechtigungen für eine virtuelle Maschine oder eine Ressourcengruppe zu verwalten, müssen Sie die rollenbasierte Zugriffssteuerung (Azure RBAC) verwenden.

Was passiert mit den klassischen Abonnementadministratorrollen in Azure?

Klassische Administratorrollen wie Kontoadministrator, Dienstadministrator und Mitadministrator hat Microsoft vollständig eingestellt. Die gesamte moderne Zugriffsverwaltung läuft ausschließlich über Azure RBAC.