Leitfaden zu benutzerdefinierten Rollen in Microsoft Entra ID

Von Mirko Peters · 2026-04-30 · Aktualisiert 2026-07-18

Erfahren Sie, wie Sie benutzerdefinierte Rollen in Microsoft Entra ID praktisch einsetzen. Der Leitfaden behandelt Sicherheit, Governance, Zugriffssteuerung, Implementierung und reale Anwendungsfälle.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Dieser umfassende Leitfaden erklärt alles, was Sie über benutzerdefinierte Rollen in Azure Entra ID wissen müssen. Ob Sie Ihre Microsoft 365-Umgebung absichern oder gezielt Zugriff auf Azure-Ressourcen vergeben möchten: Benutzerdefinierte Rollen helfen Ihnen, Berechtigungen genau so zuzuschneiden, wie Sie sie brauchen.

Wir betrachten, was benutzerdefinierte Rollen sind, worin sie sich von integrierten Rollen unterscheiden und wie sie eine präzise Zugriffssteuerung ermöglichen. Schritt-für-Schritt-Anleitungen zeigen Ihnen, wie Sie Ihre Umgebung übersichtlich und sicher halten, Rollen im Laufe der Zeit verwalten und verhindern, dass Sie mehr Zugriff vergeben als nötig. Am Ende wissen Sie nicht nur, wie Sie benutzerdefinierte Rollen einrichten und verwalten, sondern auch, wie Sie dabei Sicherheit und Compliance gewährleisten.

Benutzerdefinierte Rollen in Azure Entra ID verstehen

Beginnen wir mit den Grundlagen: Was sind benutzerdefinierte Rollen in Azure Entra ID, warum sind sie wichtig und wie fügen sie sich in die übergreifende Strategie zur Zugriffsverwaltung Ihrer Organisation ein?

Azure Entra ID, früher bekannt als Azure Active Directory, steht im Zentrum von Identität und Zugriff auf Cloud-Ressourcen in Azure und Microsoft 365. Microsoft stellt eine solide Auswahl integrierter Rollen bereit. Manchmal sind diese Rollen jedoch zu weit gefasst oder passen nicht genau zu den besonderen Anforderungen Ihres Unternehmens.

Benutzerdefinierte Rollen schließen diese Lücke, indem Sie festlegen, welche Berechtigungen Benutzer und Gruppen erhalten, bis hinunter zu einzelnen Aktionen. Sie müssen niemandem mehr Zugriff gewähren, der über das Nötige hinausgeht, nur weil eine integrierte Rolle zu viel erlaubt.

In den folgenden Abschnitten lernen Sie die grundlegenden Prinzipien benutzerdefinierter Rollen kennen. So können Sie ein sicheres, flexibles Zugriffsmodell aufbauen, das Ihre Umgebung schützt und die Arbeitsweise Ihrer Teams unterstützt. Schauen wir uns an, worin sich integrierte und benutzerdefinierte Rollen unterscheiden und welche Ressourcen diese Form der Steuerung unterstützen.

Was sind benutzerdefinierte Rollen in Azure und warum sollten Sie sie einsetzen

Benutzerdefinierte Rollen in Azure sind selbst definierte Berechtigungssätze, die Sie anlegen können, wenn die integrierten Rollen von Microsoft nicht zu den Anforderungen Ihrer Organisation passen. Jede Rolle legt genau fest, welche Aktionen ein Benutzer oder eine Gruppe innerhalb Ihrer Azure- oder Microsoft 365-Umgebung ausführen darf.

Integrierte Rollen decken gängige Szenarien ab, etwa „Besitzer“, „Mitwirkender“ oder „Leser“. Benutzerdefinierte Rollen hingegen bieten eine granulare Steuerung. Sie bestimmen, welche Berechtigungen eine Rolle gewährt. So erhalten Ihre Benutzer nur Zugriff auf die Ressourcen und Aktionen, die sie tatsächlich benötigen, und nicht mehr.

Der eigentliche Nutzen benutzerdefinierter Rollen lässt sich auf zwei zentrale Vorteile zurückführen: Flexibilität und Sicherheit. Mit benutzerdefinierten Rollen setzen Sie das Prinzip der minimalen Berechtigungen durch, indem Sie Benutzern nur die Berechtigungen geben, die sie für ihre Aufgabe brauchen, und keine darüber hinaus. Das senkt das Risiko, verhindert versehentliche Änderungen und unterstützt Ihre Ziele für Audits und Compliance.

Wenn Sie gezielt einzelne Berechtigungen vergeben, müssen Sie nicht zu weitreichenden Zugriffsrechten greifen, nur damit jemand eine einzelne Aufgabe erledigen kann. Dieser präzise Ansatz verhindert eine Anhäufung unnötiger Berechtigungen, schließt Sicherheitslücken und sorgt dafür, dass Ihre Umgebung übersichtlich und handhabbar bleibt. Für Organisationen, die auf starke Cloud-Governance setzen, sind benutzerdefinierte Rollen in Entra ID ein unverzichtbares Werkzeug. Eine vertiefende Strategie zur Azure-Governance finden Sie in diesem Leitfaden zur Azure-Governance-Strategie für Unternehmen. Er zeigt, wie durchgesetzte Richtlinien und benutzerdefiniertes RBAC vor Richtlinienabweichungen und betrieblichem Chaos schützen.

Unterstützte Objekte und Geltungsbereiche für benutzerdefinierte Azure-Rollen

• Verwaltungsgruppen: Wenden Sie benutzerdefinierte Rollen auf oberster Ebene an, um Berechtigungen über mehrere Azure-Abonnements Ihrer Organisation hinweg zu verwalten. Nützlich für globale Richtlinien und große Umgebungen.
• Abonnements: Weisen Sie benutzerdefinierte Rollen auf Abonnementebene zu, um Berechtigungen für alle Ressourcen und Workloads innerhalb dieses Azure-Abonnements zu steuern.
• Ressourcengruppen: Begrenzen Sie benutzerdefinierte Rollen enger auf eine Gruppe zusammengehöriger Ressourcen. So können Sie genau das delegieren, was für ein Projekt oder eine Anwendung benötigt wird.
• Einzelne Ressourcen/Arbeitsbereiche: Legen Sie benutzerdefinierte Rollen für einzelne Ressourcen fest, etwa ein Speicherkonto oder einen bestimmten Arbeitsbereich, wenn Sie den engstmöglichen Geltungsbereich benötigen.
• Entra ID (Azure AD)-Objekte: Sie können benutzerdefinierte Rollen direkt Benutzern, Gruppen (einschließlich Sicherheits- und Microsoft 365-Gruppen) und Dienstprinzipalen zuweisen. So lassen sich sowohl interne als auch externe Zugriffsszenarien flexibel abbilden.

Benutzerdefinierte Rollen folgen der Hierarchie von Azure: Berechtigungen werden auf untergeordneten Ebenen vererbt oder überschrieben. So unterstützen sie die Strategien Ihrer Organisation für das Least-Privilege-Prinzip und die Aufgabentrennung.

Benutzerdefinierte Rollen in Azure Entra ID erstellen und verwalten

Benutzerdefinierte Rollen in Azure Entra ID zum Laufen zu bringen, ist mehr als nur ein Schalter umzulegen. Es erfordert ein sorgfältiges Gleichgewicht: Sie müssen wissen, welcher Zugriff benötigt wird, Rollen mit den passenden Berechtigungen einrichten und einen Plan haben, wie Sie diese Rollen bei Änderungen pflegen.

Dieser Abschnitt führt Sie durch den gesamten Lebenszyklus: das Erstellen einer benutzerdefinierten Rolle, deren sichere Aktualisierung bei veränderten Anforderungen und das Löschen von Rollen, die nicht mehr benötigt werden. Außerdem zeigen wir Ihnen, wie Sie die richtigen Berechtigungen für Ihren Anwendungsfall auswählen, einschließlich bewährter Methoden für den Einsatz von Platzhalterberechtigungen (das klassische zweischneidige Schwert).

Ziel ist es, dass Sie benutzerdefinierte Rollen erstellen, anpassen und außer Betrieb nehmen können, ohne dabei etwas zu beschädigen. So bleibt Ihre Umgebung sicher und konform. Wir gehen alles Schritt für Schritt durch und geben praxisnahe Tipps, die sowohl für den Einstieg als auch für die Verwaltung eines komplexen, wachsenden Mandanten gelten.

Benutzerdefinierte Azure-Rollen erstellen, bearbeiten und löschen

• Benutzerdefinierte Rolle erstellenErmitteln Sie die konkreten Aufgaben, die die Rolle erlauben soll, etwa schreibgeschützten Zugriff auf bestimmte Ressourcen oder das Neustarten virtueller Computer.
• Ermitteln Sie die benötigten Berechtigungen anhand der Aktionsdefinitionen von Azure (z. B. Microsoft.Compute/virtualMachines/restart/action).
• Definieren Sie mit dem Azure-Portal, der Azure CLI oder Azure PowerShell eine neue benutzerdefinierte Rolle. Geben Sie dabei Rollennamen, Beschreibung, zuweisbare Bereiche und das Array der Berechtigungen an.
• Prüfen und speichern Sie die benutzerdefinierte Rolle. Testen Sie sie in einer kontrollierten Umgebung, um sicherzustellen, dass der Zugriff auf das Notwendige beschränkt bleibt.
• Benutzerdefinierte Rolle bearbeiten (aktualisieren)Wenn sich Geschäftsanforderungen oder Sicherheitsanforderungen ändern, können Sie die Berechtigungen, Beschreibungen oder zugewiesenen Bereiche der Rolle anpassen.
• Dokumentieren Sie Änderungen immer und überprüfen Sie erneut, dass nur die vorgesehenen Berechtigungen vorhanden sind. Vermeiden Sie das Hinzufügen von Berechtigungen, die den Zugriff stärker erweitern als nötig.
• Informieren Sie betroffene Benutzer und Teams über Änderungen, um Überraschungen und Störungen zu vermeiden.
• Benutzerdefinierte Rolle löschenPrüfen Sie vor dem Löschen einer benutzerdefinierten Rolle deren aktive Zuweisungen. Stellen Sie sicher, dass keine kritischen Prozesse oder Benutzer von ihr abhängen.
• Entfernen Sie die Rolle von Benutzern und Gruppen, migrieren Sie den Zugriff bei Bedarf und stellen Sie sicher, dass die Löschung den Geschäftsbetrieb nicht unterbricht.
• Entfernen Sie die Rolle mit den Azure-Werkzeugen vollständig. Dokumentieren Sie entfernte Rollen für Compliance-Zwecke und zur historischen Nachvollziehbarkeit.

Wenn Sie diese Schritte befolgen, bleiben Sie compliant, halten die Sicherheit eng im Griff und stellen gleichzeitig sicher, dass sich Ihr Zugriffsmodell mit Ihrer wachsenden Azure-Umgebung mitentwickelt.

Berechtigungen festlegen und Platzhalterberechtigungen sicher verwenden

• Berechtigungen bewusst auswählenListen Sie zunächst die konkreten Aktionen auf, die Ihre Benutzer benötigen, und nicht „alles, was denkbar ist“. Informieren Sie sich zu Zugriffslücken und zur Abstimmung der Berechtigungen auf Compliance-Anforderungen in Microsofts Best Practices für Sicherheit und Governance in Power Platform.
• Fassen Sie zusammengehörige Berechtigungen zusammen, um übermäßige Zuweisungen („Permission Bloat“) zu reduzieren.
• Wann Platzhalterberechtigungen (*) verwendet werden solltenPlatzhalter gewähren alle Berechtigungen innerhalb einer Kategorie (etwa Microsoft.Storage/*). Sie sind mächtig, aber riskant. Verwenden Sie sie nur, wenn der Anwendungsfall für die Rolle tatsächlich breiten Zugriff erfordert.
• Listen Sie Berechtigungen nach Möglichkeit explizit auf, statt Platzhalter zu verwenden. So verhindern Sie unbeabsichtigte Rechteausweitung oder unerwünschte Nebenwirkungen.
• „Contribute“-Berechtigungen mit Bedacht vergebenContributor- bzw. „Contribute“-Berechtigungen umfassen häufig unsichere oder unerwartete Aktionen. Prüfen Sie immer genau, was die Definition abdeckt, und schränken Sie sie nach Möglichkeit ein.
• Entfernen Sie Lösch- oder Besitzaktionen, wenn sie nicht benötigt werden. Nutzen Sie dafür „denyAssignments“ oder benutzerdefinierte Rollen, die riskante Fähigkeiten gezielt ausklammern.
• Rollen vor der Zuweisung testenWeisen Sie Ihre benutzerdefinierte Rolle einem Testbenutzer in einer Sandbox-Umgebung zu. Spielen Sie übliche Aktionen sowie mögliche „Unfälle“ durch, um zu sehen, was wirklich erlaubt ist.
• Erwartetes und tatsächliches Verhalten dokumentieren. Bei Abweichungen die Berechtigungen anpassen, bevor Sie die Änderungen produktiv schalten.
• Kontinuierliche Überprüfung und AktualisierungBehalten Sie die Nutzung der Rollen im Blick, zusammen mit den übergreifenden Auditprozessen. Entfernen oder beschränken Sie Berechtigungen, wenn das Unternehmen sie nicht mehr benötigt.
• Überprüfen Sie Rollen regelmäßig, um sicherzustellen, dass die Governance weiterhin den sich entwickelnden Compliance-Standards entspricht.

Mit einer bewussten Modellierung von Berechtigungen und einem zurückhaltenden Einsatz von Platzhaltern behalten Sie Ihre Azure-Umgebung straff und reaktionsschnell im Griff und verringern gleichzeitig das Risiko zugriffsbezogener Sicherheitsvorfälle.

Benutzerdefinierte Rollen Benutzern und Gruppen in Entra ID zuweisen

Nachdem Sie festgelegt haben, welche benutzerdefinierten Rollen Sie benötigen, geht es als Nächstes darum, sie den richtigen Personen zuzuweisen. Azure Entra ID ermöglicht es Ihnen, diese Rollen einzelnen Personen, Teams oder sogar externen Partnern zuzuweisen – so behalten Sie die Kontrolle und bleiben flexibel, wer was tun darf.

Dieser Abschnitt zeigt, wie Sie benutzerdefinierte Rollen auf verschiedenen Ebenen zuweisen, etwa für Arbeitsbereiche und Websites, und wie Sie mit internen und externen Gruppen arbeiten. Zuweisungen sind keine einmalige Angelegenheit: Sie sollten strategisch vorgehen und sicherstellen, dass der Zugriff korrekt bleibt, wenn Projekte enden, Mitarbeitende wechseln oder externe Dienstleister kommen und gehen.

Außerdem erhalten Sie Tipps, wie Sie Zuweisungen so strukturieren, dass sie sich leicht überprüfen lassen und das Risiko minimal bleibt. Da Rollenzuweisungen oft zum Problem werden, wenn sie außer Kontrolle geraten, zeigen wir Strategien, mit denen sie überschaubar und konform bleiben – einschließlich der Nutzung integrierter Entra-Werkzeuge für die laufende Governance. Mehr über die Gefahren vergessener Gastkonten erfahren Sie unter Verwaltung des Lebenszyklus von Microsoft 365-Gastkonten, das Ihnen hilft, die Identitätshygiene zu verbessern.

Benutzerdefinierte Rollen auf Arbeitsbereichs- und Website-Ebene zuweisen

• Zuweisungen auf ArbeitsbereichsebeneWählen Sie im Azure-Portal die Arbeitsbereichsressource aus und öffnen Sie anschließend „Zugriffssteuerung (IAM)“.
• Klicken Sie auf „Rollenzuweisung hinzufügen“, wählen Sie Ihre benutzerdefinierte Rolle aus und wählen Sie Benutzer oder Gruppen aus, denen Sie Berechtigungen genau für diesen Arbeitsbereich erteilen möchten.
• Verwenden Sie Zuweisungen auf Arbeitsbereichsebene für Entwicklungs- und Testteams oder für sensible Anwendungen, die einen eng begrenzten Zugriff benötigen.
• Zuweisungen auf Website- (oder Ressourcen-)EbeneNavigieren Sie direkt zur jeweiligen Website oder Ressource, öffnen Sie die IAM-Steuerung und weisen Sie Ihre benutzerdefinierte Rolle nur für dieses Element zu.
• So bleibt der Zugriff sicher und isoliert, insbesondere wenn Sie Ressourcen über mehrere Projekte oder Abteilungen hinweg verwalten.
• Ideal für Administratoren einzelner Websites, Anwendungsverantwortliche oder externe Dienstleister, die keinen weiteren Zugriff benötigen.
• Zuweisungen auf AbonnementebeneÖffnen Sie das Azure-Abonnement, wechseln Sie in den Bereich IAM und weisen Sie benutzerdefinierte Rollen Benutzern oder Gruppen zu, die Berechtigungen für alle Ressourcen im Abonnement benötigen.
• Zuweisungen auf Abonnementebene eignen sich gut für Cloudadministratoren oder Plattformteams, die umfangreiche Workloads betreuen.
• Bewährte MethodenVergeben Sie immer den kleinstmöglichen Geltungsbereich. Es ist besser, Zugriff auf Arbeitsbereichs- oder Website-Ebene zu gewähren als auf das gesamte Abonnement, sofern dies nicht zwingend erforderlich ist.
• Dokumentieren Sie jede Zuweisung mit der geschäftlichen Begründung. Das hilft bei Audits und späteren Aufräumarbeiten.
• Überprüfen Sie Rollenzuweisungen regelmäßig und entziehen Sie sie Benutzern, die keinen Zugriff mehr benötigen.

Mit diesen Vorgehensweisen vermeiden Sie versehentliche Überexponierung und sorgen für konsequent rollenbasierten Zugriff auf allen Ebenen von Azure.

Verwaltung benutzerdefinierter Rollenzuweisungen und Gruppen

• Verwaltete Gruppen zuweisen: Weisen Sie benutzerdefinierte Rollen Entra-ID-Gruppen statt einzelnen Benutzern zu. So bleibt die Zugriffsverwaltung skalierbar und einheitlich.
• Gruppenmitgliedschaften überprüfen: Prüfen Sie Gruppenlisten regelmäßig und entfernen Sie Benutzer, die keinen Zugriff mehr benötigen oder deren Rolle sich geändert hat.
• Zuweisungsüberprüfungen automatisieren: Nutzen Sie die Zugriffsüberprüfungen in Entra ID (etwa Access Reviews oder Berechtigungsverwaltung), um regelmäßig zu bestätigen, dass Gruppenmitgliedschaften und Rollenzuweisungen noch gültig sind.
• Risiken für externe Partner begrenzen: Legen Sie Ablaufdaten fest oder verwenden Sie zeitlich begrenzten Zugriff für Gäste und externe Dienstleister, damit verbleibende Zuweisungen automatisch bereinigt werden.
• Überwachen und prüfen: Verfolgen Sie Rollenzuweisungen über Protokollierung und Berichte. Erweiterte Auditprozesse, wie sie in Ansätzen zur Kontrolle externer Freigaben für SharePoint und OneDrive vorkommen (Rahmenwerke zur Kontrolle externer Freigaben für SharePoint/OneDrive), sind entscheidend, um unsichtbare Zugriffsrisiken zu verhindern und Sicherheitslücken zu schließen.

Tools und Oberflächen für die Verwaltung benutzerdefinierter Rollen in Azure

Niemand möchte sich durch endlose Azure-Bildschirme klicken, wenn es einen einfacheren Weg gibt. Mit Azure stehen Ihnen mehrere Oberflächen zur Verfügung – die Azure CLI, PowerShell und die REST-API –, um die Erstellung und Verwaltung benutzerdefinierter Rollen zu automatisieren und zu skripten.

Diese Flexibilität hilft Ihnen, zu skalieren, zu standardisieren und manuelle Fehler zu reduzieren. Ob Sie lieber im Portal klicken, die Kommandozeile bevorzugen oder Infrastructure-as-Code-Pipelines betreiben: Für Sie gibt es das passende Werkzeug. Jedes Tool ermöglicht es Ihnen, benutzerdefinierte Rollen zügig zu erstellen, zu aktualisieren, zuzuweisen und zu überwachen – und sich in den Workflow Ihres Teams einzufügen, der am besten funktioniert.

Die folgenden Abschnitte stellen jede Oberfläche anhand praktischer Beispiele vor, damit Sie Effizienz, Konsistenz und Kontrolle verbessern können. Wer auf Automatisierung setzt, findet in diesen Werkzeugen außerdem eine saubere Anbindung an übergreifende Governance-Frameworks und DevOps-Praktiken in Microsoft 365 und Azure. Wenn Ihr Fokus auf größeren organisatorischen und architektonischen Themen liegt, achten Sie auf Erkenntnisse aus aktuellen Podcasts zu Microsoft 365 Copilot und Enterprise-Architektur, auch wenn die ursprüngliche Seite zur PowerShell-Automatisierung inzwischen verschoben wurde.

Verwaltung benutzerdefinierter Rollen mit Azure CLI und PowerShell

• Erstellen einer benutzerdefinierten Rolle mit der Azure CLIVerwenden Sie den Befehl az role definition create --role-definition mit einer JSON-Datei, die Ihre benutzerdefinierte Rolle beschreibt.
• Definieren Sie Aktionen, zuweisbare Bereiche und einen aussagekräftigen Namen. Speichern Sie die Rollendatei für spätere Überprüfungen in der Versionsverwaltung.
• Beispiel: az role definition create --role-definition ./customReaderRole.json
• Bearbeiten oder Aktualisieren einer RolleExportieren Sie die Rollendefinition mit az role definition list oder az role definition show. Nehmen Sie Ihre Änderungen vor und wenden Sie sie anschließend mit az role definition update --role-definition sicher an.
• Dokumentieren Sie Änderungen nachvollziehbar, um Compliance-Anforderungen und Rollback-Szenarien abzudecken.
• Zuweisen einer Rolle mit der Azure CLIaz role assignment create --assignee [user/group/object_id] --role "[role name]" --scope [resource_id]
• Ideal, um neue Benutzer schnell einzubinden oder den Teamzugriff gesammelt anzupassen.
• Verwendung der PowerShell-ModuleImportieren Sie das Az-Modul und verwenden Sie New-AzRoleDefinition zum Erstellen sowie Set-AzRoleDefinition zum Ändern von Rollen.
• PowerShell eignet sich besonders für die Skripterstellung bei Massenänderungen oder für die Integration in bestehende, Windows-basierte Administrationswerkzeuge.
• Rollenzuweisungen lassen sich mit New-AzRoleAssignment skripten, um sie schnell auszurollen.
• SkriptautomatisierungPowerShell- und CLI-Skripte lassen sich planen oder in CI/CD-Pipelines einbinden, um die Verwaltung benutzerdefinierter Rollen wiederholbar und ohne manuelles Eingreifen auszuführen.
• Integrieren Sie Protokollierung und einfache Fehlerprüfungen, um Änderungen zu dokumentieren und Audits zu unterstützen.

Mit Skripten steigern Sie die Genauigkeit, sparen Zeit und behalten benutzerdefinierte Rollen im Griff – selbst in großem Umfang.

Automatisierung der Verwaltung benutzerdefinierter Rollen mit der Azure REST API

Die Azure REST API ermöglicht die direkte, programmgesteuerte Verwaltung benutzerdefinierter Rollen in großem Umfang. Sie können benutzerdefinierte Rollendefinitionen direkt aus Ihren Automatisierungspipelines heraus erstellen, aktualisieren und prüfen und so nahtlos in DevOps- und CI/CD-Workflows integrieren.

Mit Endpunkten wie /providers/Microsoft.Authorization/roleDefinitions und /roleAssignments können Sie Automatisierungen aufbauen, die Ihr Berechtigungsmodell konsistent und nachvollziehbar halten. Das ist besonders hilfreich für große Organisationen oder für Umgebungen mit häufigen Änderungen, in denen alles dokumentiert und reproduzierbar sein muss – von der API-gestützten Gestaltung benutzerdefinierter Rollen über die Zuweisung bis hin zu laufenden Überprüfungen.

Vergessen Sie nicht, Ein- und Ausgabeformate der API zu validieren, und verwalten Sie Rollen stets über sichere, authentifizierte Verbindungen, um die Compliance-Anforderungen zuverlässig zu erfüllen.

Bewährte Methoden für Pflege und Sicherheit benutzerdefinierter Rollen

Benutzerdefinierte Rollen zu erstellen ist nur der Anfang. Wenn Sie Wartung und gute Hygiene vernachlässigen, kann Ihr Berechtigungsmodell mit der Zeit unübersichtlich und riskant werden.

Bewährte Methoden verfolgen zwei Ziele: sicher und gleichzeitig gut strukturiert zu bleiben. Dazu gehören regelmäßige Audits, um ungenutzte Rollen aufzuspüren, die Ausweitung von Berechtigungen einzudämmen und sicherzustellen, dass Rollen zu den sich wandelnden Geschäftsanforderungen passen. Außerdem gehört dazu, die technische Dokumentation aktuell zu halten, für die Automatisierung passende Dateiformate zu verwenden und Compliance jederzeit im Blick zu behalten.

Als Nächstes sehen Sie, wie Sie nicht mehr benötigte Rollen bereinigen, und tauchen in die technischen Details ein, wie Rollen in Azure aufgebaut und validiert werden. Im Mittelpunkt steht, Ihre Umgebung schlank, sicher und für alles gerüstet zu halten. Für noch stärkere Microsoft-Sicherheit lohnt ein Blick darauf, wie sich Tools wie Microsoft Purview und Defender in Best-Practice-Frameworks integrieren lassen, etwa in den Ansatz, der unter ironclad M365 security beschrieben wird.

Benutzerdefinierte Rollen prüfen und nicht genutzte bereinigen

• Rollenzuweisungen prüfen: Prüfen Sie regelmäßig, welche Benutzer und Gruppen benutzerdefinierte Rollen besitzen und welche Zugriffe diese Rollen gewähren.
• Nicht genutzte oder redundante Rollen erkennen: Nutzen Sie die Berichte und Zugriffsprotokolle von Azure, um Rollen ohne aktuelle Aktivität oder Rollen zu finden, die integrierte oder andere benutzerdefinierte Rollen doppeln.
• Für die Compliance dokumentieren: Halten Sie fest, warum eine Rolle existiert, wann sie zuletzt genutzt wurde und wer sie verantwortet. Das erleichtert Audits und Compliance-Prüfungen.
• Mit Bedacht entfernen: Heben Sie die Zuweisung benutzerdefinierter Rollen auf, bevor Sie sie löschen, damit keine Workflows unterbrochen werden. Prüfen Sie vor dem Entfernen immer, ob keine aktive Abhängigkeit besteht.
• Rollenprüfungen automatisieren: Planen Sie regelmäßige Prüfungen mit Azure-Tools oder mit den Überwachungsfunktionen von Microsoft Purview (Benutzeraktivitäten mit Microsoft Purview überwachen), um veraltete Rollen und unnötige Berechtigungen zu erkennen, bevor sie sich ansammeln.

Ein- und Ausgabeformate für Rollendefinitionen in Azure

Rollendefinitionen in Azure verwenden das JSON-Format, sowohl für die Eingabe (beim Erstellen oder Aktualisieren) als auch für die Ausgabe (beim Exportieren oder Prüfen). Diese Struktur hält benutzerdefinierte Rollen konsistent und lässt sie sich auch in großem Umfang leicht verwalten.

Zu den Pflichtfeldern einer Rollendefinition gehören Name, Id, Description, Actions (das Berechtigungsarray), NotActions (explizite Verbote) und AssignableScopes (der Bereich, in dem die Rolle verwendet werden kann). Optionale Eigenschaften verdeutlichen die Absicht hinter der Rolle und erleichtern die Verwaltung in Automatisierungsskripts.

Das Berechtigungsarray listet jede erlaubte Aktion auf, etwa „Microsoft.Storage/read“ oder „Microsoft.KeyVault/vaults/secrets/set“. Platzhalter (etwa „*/read“) werden akzeptiert, sollten aber sparsam eingesetzt werden, wie bereits weiter oben beschrieben.

Zur Validierung testen und bereitstellen Sie Ihre JSON-Dateien über das Azure-Portal, die Azure CLI oder PowerShell. Die Azure-API gibt ebenfalls JSON zurück, sodass Sie Rollendefinitionen extrahieren und versionieren können – als Teil Ihrer Infrastructure-as-Code-Pipelines. Prüfen Sie die Formatierung immer zweimal, bevor Sie Änderungen übertragen: Ein ungültiges Format führt zu Bereitstellungsfehlern oder, schlimmer, zu Sicherheitslücken, weil Aktualisierungen fehlschlagen.

Teams, die in großem Umfang automatisieren, sollten diese JSON-Dateien in einem Versionskontrollsystem ablegen. So ist jede Änderung nachvollziehbar, wird geprüft und bei Bedarf zurückgesetzt. Diese Vorgehensweise unterstützt die Dokumentation, das Zurücksetzen nach Fehlern und Compliance-Prüfungen mit möglichst geringem Aufwand.

Überprivilegierte benutzerdefinierte Rollen vermeiden und Sicherheitsrisiken minimieren

Der größte Fehler bei benutzerdefinierten Rollen? Man will hilfreich sein und vergibt versehentlich viel zu weitreichende Berechtigungen. Überprivilegierte Rollen öffnen die Tür für versehentliche Datenlecks, Systemausfälle, Rechteausweitung oder schlicht Chaos, wenn jemand die Berechtigung „alles löschen“ besitzt, die er gar nicht haben sollte.

Um die Umgebung sicher zu halten, sollten Sie stets das Prinzip der minimalen Berechtigungen im Blick behalten. Ordnen Sie zunächst die benötigten Aktionen realen Arbeitsaufgaben zu und entfernen Sie alles, was darüber hinausgeht. Prüfen Sie jede Berechtigung und fragen Sie: „Braucht dieser Benutzer das wirklich?“ Nutzen Sie die integrierten Analysefunktionen und Zugriffsüberprüfungen von Azure, um riskante Zuweisungen oder zu breit gefasste benutzerdefinierte Rollen aufzuspüren.

Es empfiehlt sich außerdem, regelmäßig nach „Berechtigungswildwuchs“ zu suchen – dem schleichenden Anwachsen von Zugriffsrechten, wenn Personen Projekte oder Rollen wechseln, ihre alten Zugriffe aber behalten. Nutzen Sie Tools für Identity Governance, stellen Sie selten genutzte Rollen außer Dienst und stellen Sie sicher, dass keine benutzerdefinierte Rolle einem Benutzer erlaubt, sich selbst oder andere mit höheren Rechten auszustatten. Das schließt einen der Hauptwege zur Rechteausweitung und hält Ihre Sicherheitslage straff.

Wenn Sie mit wuchernden Identitäten und riskanten Richtlinienlücken zu kämpfen haben, hören Sie sich die Lektionen zum Entra ID conditional access security loop an. Die Folge bietet viele Tipps, wie Sie das Wachstum bedingter Zugriffe in den Griff bekommen und Ihr Cloud-Sicherheitsmodell unter Kontrolle behalten.

Lebenszyklusverwaltung und Governance-Strategien für benutzerdefinierte Rollen

Benutzerdefinierte Rollen zu verwalten heißt nicht, sie einmal einzurichten und dann zu vergessen. Wie jedes gute IT-Asset brauchen benutzerdefinierte Rollen einen Lebenszyklus: sorgfältige Planung, professionelle Einführung, regelmäßige Aktualisierung und eine geordnete Außerbetriebnahme, wenn sie ihren Zweck erfüllt haben. Organisationen mit formalen Prozessen – etwa Change Management, Genehmigungsworkflows und Gremien für Zugriffs-Governance – kommen mit Änderungen in der Regel besser zurecht und erleben weniger unangenehme Überraschungen.

Genehmigungsworkflows stellen sicher, dass die richtigen Personen eine neue oder aktualisierte Rolle freigeben, bevor sie wirksam wird. Das ist entscheidend für die Compliance – besonders in regulierten Branchen – und hilft, Fehler abzufangen, bevor sie zu Sicherheitsproblemen werden. Die Versionierung von Dokumenten hilft nachzuvollziehen, was sich geändert hat, und sorgt für Abwärtskompatibilität. So sinkt das Risiko, abhängige Prozesse zu beschädigen, wenn eine Rolle aktualisiert wird.

Wenn eine Rolle auslaufen oder veraltet sein soll, planen Sie die Kommunikation, testen die betroffenen Systeme und nutzen gestaffelte Migrationen auf die neuen Rollenversionen. So vermeiden Sie Zugriffslücken, und Ihr Team (und Ihre Prüfer) bleiben zufrieden. Organisationen mit plattformübergreifender Umgebung sollten Rollendefinitionen über alle Plattformen hinweg abbilden, um eine einheitliche Identity-Governance und Richtliniendurchsetzung sicherzustellen.

Starke Governance ist die letzte Verteidigungslinie, wenn es kritisch wird – besonders, wenn Umgebungen komplexer werden oder Sie Automatisierung und KI einführen. Für Organisationen, die Risiken in großem Umfang managen, hilft ein Governance-Gremium, einen Prozess für Überprüfung, Verantwortlichkeit und Compliance sicherzustellen – egal, welche Änderungen auf Sie zukommen.

Das könnte Sie auch interessieren

Wenn Sie sich mit benutzerdefinierten Rollen in Microsoft Entra ID beschäftigen, ergänzen die folgenden Episoden praxisnahen Kontext zu Identitätssicherheit, Governance, privilegiertem Zugriff und Implementierung:

• Microsoft Defender XDR – Simply Explained — Verbinden Sie Identity-Governance mit Sicherheitssignalen, Untersuchung und Reaktion.
• Conditional Access – Simply Explained — Erfahren Sie, wie richtlinienbasierte Zugriffskontrollen Identitätsentscheidungen durchsetzen.
• Privileged Identity Management – Simply Explained — Verstehen Sie Just-in-Time-Berechtigungen, Genehmigungen und Zugriffsüberprüfungen.
• Microsoft Teams Governance – The Illusion of Control — Erfahren Sie, wie Governance Berechtigungen und Verantwortlichkeiten in wiederholbare Abläufe überführt.