So verwalten Sie Dienstprinzipale in Entra ID effektiv

Von Mirko Peters · 2026-03-22 · Aktualisiert 2026-03-24

Sichern Sie Dienstprinzipale in Microsoft Entra ID für ein besseres Identitätsmanagement ab. Erfahren Sie mehr über Anwendungs- und Dienstprinzipal-Objekte in Ihrem Mandanten.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die Verwaltung von Dienstprinzipalen und App-Registrierungen in Entra ID ist entscheidend für Sicherheit und Zugriffskontrolle. Ein wirksames Governance-Modell hilft Ihnen, schwerwiegende Sicherheitsvorfälle zu verhindern, etwa Rechteausweitung und Kompromittierung des Mandanten. Angreifer können schlecht verwaltete Dienstprinzipale beispielsweise ausnutzen, um Administratorkennwörter zurückzusetzen und unautorisierten Zugriff auf kritische Systeme zu erlangen. Mit soliden Verwaltungspraktiken reduzieren Sie diese Risiken und stellen sicher, dass Ihre Umgebung sicher bleibt. Zu den wichtigsten Schritten gehören das Verständnis von Dienstprinzipalen, die Vergabe passender Berechtigungen und die regelmäßige Überprüfung der Zugriffsrichtlinien.

Wenn Sie lernen möchten, wie Sie Dienstprinzipale in Entra ID effektiv verwalten, zeigen Ihnen diese weniger bekannten Fakten, wie Sie automatisierte Identitäten absichern und betreiben können.

1. Dienstprinzipale sind von App-Objekten zu unterscheiden: Ein Anwendungsobjekt ist die globale Anwendungsdefinition, ein Dienstprinzipal dagegen die lokale Identität in einem Mandanten. Ein Anwendungsobjekt kann über mehrere Mandanten hinweg viele Dienstprinzipale haben.
2. Sie können Anmeldeinformationen haben, die nie ablaufen: Entra ID erlaubt das Erstellen von Clientgeheimnissen oder Zertifikaten ohne Ablaufdatum, sei es durch Design oder durch Fehlkonfiguration. Werden diese nicht manuell rotiert, steigt das langfristige Risiko.
3. Verwaltete Identitäten nutzen im Hintergrund Dienstprinzipale: Sowohl systemzugewiesene als auch benutzerzugewiesene verwaltete Identitäten werden im Verzeichnis als Dienstprinzipale abgebildet. Dadurch lassen sich RBAC und bedingte Zugriffsrichtlinien auf sie anwenden.
4. Dienstprinzipale lassen sich in bedingtem Zugriff verwenden: Bedingter Zugriff richtet sich zwar primär an Benutzer, kann aber Anwendungskontexte auswerten. Einige Richtlinien wirken sich auch auf Dienstprinzipale aus, insbesondere in Kombination mit dem Authentifizierungskontext einer Anwendung.
5. Sie unterstützen delegierte und Anwendungsberechtigungen gleichzeitig: Ein einzelner Dienstprinzipal kann sowohl delegierte Berechtigungen (im Auftrag eines Benutzers) als auch Anwendungsberechtigungen (nur App) besitzen. Das erhöht die Komplexität bei der Durchsetzung des Least-Privilege-Prinzips.
6. Anmeldeprotokolle enthalten nicht interaktive App-Authentifizierungen: Entra ID protokolliert Anmeldungen von Dienstprinzipalen. Damit lassen sich ungewöhnliche App-Aktivitäten erkennen. Diese Protokolle werden im Vergleich zu Benutzeranmeldungen jedoch häufig übersehen.
7. Zustimmungs- und Berechtigungsverwaltung können verborgene Zugriffspfade hinterlassen: Unternehmensanwendungen und Dienstprinzipale, die über die Administratorzustimmung oder die Berechtigungsverwaltung (Entitlement Management) vergeben wurden, können indirekte Zugriffspfade schaffen. Diese lassen sich ohne gründliche Überprüfung von Berechtigungen und Zugriffsrechten nur schwer aufspüren.

Das Wichtigste in Kürze

• Verstehen Sie den Unterschied zwischen App-Registrierungen und Dienstprinzipalen in Entra ID.
• Stellen Sie sicher, dass Sie die richtigen Berechtigungen haben, bevor Sie Dienstprinzipale verwalten, um Verzögerungen zu vermeiden.
• Folgen Sie einem klaren Prozess zur Registrierung von Anwendungen in Entra ID, einschließlich der Eingabe aller erforderlichen Angaben.
• Nutzen Sie mehrere Authentifizierungsmethoden, um die Sicherheit Ihrer Anwendungen zu erhöhen.
• Implementieren Sie die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC), um Dienstprinzipalen passende Berechtigungen zuzuweisen.
• Überprüfen Sie Ihre Zugriffsrichtlinien regelmäßig, damit sie mit bewährten Sicherheitsverfahren übereinstimmen.
• Führen Sie Audits durch, um Änderungen zu überwachen und unautorisierte Zugriffe oder Aktivitäten zu erkennen.
• Wenden Sie das Least-Privilege-Prinzip an, indem Sie Dienstprinzipalen nur die notwendigen Berechtigungen gewähren.

Voraussetzungen für die Entra-ID-Verwaltung

Grundlagen zu Dienstprinzipalen

Bevor Sie Dienstprinzipale in Entra ID verwalten, sollten Sie einige grundlegende Konzepte verstehen. Dazu gehören folgende Kernpunkte:

• Eine App-Registrierung (Application Registration, App) ist ein global eindeutiges Objekt, das eine Anwendung in Entra ID repräsentiert.
• Ein Dienstprinzipal (Service Principal, SP) ist eine bestimmte Instanz dieses Anwendungsobjekts innerhalb eines einzelnen Mandanten.
• Wenn Sie eine App-Registrierung erstellen, erzeugt Entra ID automatisch einen Dienstprinzipal im selben Mandanten.
• Dienstprinzipale verfügen über eigene Anmeldeinformationen und Berechtigungen. Diese sind vom Anwendungsobjekt getrennt.
• Aktionen im Mandanten, etwa das Anlegen eines Benutzers, führt der Service Principal aus.

Das Entra ID-Portal kann verwirrend sein. Dienstprinzipale erscheinen unter 'Unternehmensanwendungen', und der Begriff 'Service Principal' wird selten verwendet. Dadurch entstehen leicht Missverständnisse über das Verhältnis zwischen App-Registrierungen und Service Principals.

Erforderliche Berechtigungen

Um Service Principals effektiv zu verwalten, benötigen Sie die richtigen Berechtigungen. Hier finden Sie eine Zusammenfassung der wesentlichen Voraussetzungen:

Mit diesen Berechtigungen können Sie die notwendigen Aktionen ohne Hindernisse durchführen. Prüfen Sie stets, ob Ihr Konto die erforderlichen Berechtigungen besitzt, bevor Sie App-Registrierungen oder Rollenzuweisungen vornehmen.

Wenn Sie diese Voraussetzungen kennen, schaffen Sie eine solide Grundlage für die Verwaltung von Service Principals in Entra ID. Dieses Wissen hilft Ihnen, die Komplexität der Zugriffsverwaltung zu beherrschen und die Sicherheit Ihrer Organisation zu stärken.

App-Registrierung in Entra ID

Schritte zur Registrierung einer Anwendung

Eine Anwendung in Entra ID zu registrieren ist unkompliziert. Gehen Sie so vor:

1. Am Entra ID-Portal anmelden: Melden Sie sich mit Ihrem Microsoft Entra-Konto am Portal an.
2. Zu App-Registrierungen wechseln: Wählen Sie im linken Menü „App-Registrierungen“ aus.
3. Auf Neue Registrierung klicken: Mit dieser Option erstellen Sie eine neue Anwendung.
4. Anwendungsdetails ausfüllen:
   • Name: Wählen Sie einen eindeutigen Namen für Ihre Anwendung.
   • Unterstützte Kontotypen: Legen Sie fest, wer die Anwendung nutzen darf (z. B. nur Konten in diesem Organisationsverzeichnis).
   • Umleitungs-URI: Geben Sie den URI an, zu dem Benutzer nach der Authentifizierung weitergeleitet werden. Das ist bei Webanwendungen entscheidend.
5. Prüfen und registrieren: Nachdem Sie alle erforderlichen Angaben gemacht haben, klicken Sie auf „Registrieren“, um die Anwendung anzulegen.

Nach der Registrierung können Sie mit der Edition Free bis zu 50.000 Microsoft Entra-Ressourcen in einem einzelnen Mandanten erstellen. Wenn Sie Ihre Domain verifizieren, lässt sich dieses Limit auf 300.000 Ressourcen erhöhen. Außerdem können Sie für maximal 48 Apps Anmeldeinformationen für kennwortbasiertes Single Sign-On konfigurieren.

Anwendungseinstellungen konfigurieren

Nach der Registrierung sollten Sie die Einstellungen der Anwendung für optimale Sicherheit und Funktionalität konfigurieren. Diese bewährten Methoden helfen dabei:

1. Mehrere Authentifizierungsmethoden in Entra ID konfigurieren: Nutzen Sie verschiedene Methoden, etwa Multi-Faktor-Authentifizierung (MFA) und kennwortlose Authentifizierung, um die Sicherheit zu erhöhen.
2. Entra ID-Gruppen für die Vergabe von Berechtigungen nutzen: Erstellen Sie Benutzergruppen, um den Zugriff wirksam zu steuern. So erhalten Benutzer nur die Berechtigungen, die sie tatsächlich benötigen.
3. Richtlinien für bedingten Zugriff (Conditional Access Policies, CAP) verwenden: Implementieren Sie CAPs, um Bedingungen für den Ressourcenzugriff festzulegen. Die granulare Steuerung ergänzt die Sicherheit um eine zusätzliche Schutzebene.

Ziehen Sie außerdem in Betracht, eine App-Inventur durchzuführen. Ermitteln und erfassen Sie alle Apps, die mit Entra verbunden sind, damit Sie sie wirksam verwalten können. Bewerten Sie regelmäßig die Berechtigungen, die jeder App zugewiesen sind, und nutzen Sie die Ergebnisse für Ihre Sicherheitsstrategie. Entfernen Sie nicht genutzte Apps, um Ihre Angriffsfläche zu verringern.

Wenn Sie diese Schritte und Best Practices befolgen, stellen Sie sicher, dass Ihre Anwendung innerhalb von Entra ID gut konfiguriert und abgesichert ist.

Rollenzuweisung für Dienstprinzipale

Überblick über RBAC

Die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) ist eine zentrale Funktion in Entra ID. Sie hilft Ihnen zu steuern, wer auf welche Ressourcen in Ihrer Organisation zugreifen darf. Mit RBAC können Sie Dienstprinzipalen Rollen zuweisen und so sicherstellen, dass sie genau die Berechtigungen haben, die sie für ihre Aufgaben benötigen, ohne die Sicherheit zu gefährden.

In Entra ID gibt es zwei Arten von Rollendefinitionen:

• Integrierte Rollen: Diese verfügen über einen festen Satz an Berechtigungen. Sie können diese nicht ändern, decken aber gängige Szenarien ab.
• Benutzerdefinierte Rollen: Diese ermöglichen es Ihnen, Berechtigungen auf spezifische Anforderungen zuzuschneiden. Das Erstellen einer benutzerdefinierten Rolle erfolgt in zwei Schritten: Sie definieren die Rolle und weisen sie anschließend zu.

Die Unterscheidung dieser Rollentypen hilft Ihnen, den passenden Ansatz für Ihre Anwendungen zu wählen. Weitere Informationen zu RBAC finden Sie in der Übersicht zur rollenbasierten Zugriffssteuerung.

Rollen zuweisen

Die Zuweisung von Rollen an Dienstprinzipale ist für eine wirksame Verwaltung unverzichtbar. Gehen Sie wie folgt vor, um Rollen korrekt zuzuweisen:

1. Rollenzuweisungen erstellen: Verwenden Sie das Microsoft Entra Admin Center, Microsoft Graph PowerShell oder die Microsoft Graph API. Beachten Sie, dass die Azure CLI für diese Aufgabe nicht unterstützt wird.
2. Anwendung registrieren: Stellen Sie sicher, dass Sie eine Microsoft Entra-App registriert und über das Azure-Portal einen Dienstprinzipal erstellt haben.
3. Die richtige Rolle auswählen: Prüfen Sie die verfügbaren Rollen, um festzustellen, welche die erforderlichen Berechtigungen für Ihre Anwendung bietet.

Die folgende Übersichtstabelle fasst den Prozess der Rollenzuweisung zusammen:

Wenn Sie diese Schritte befolgen, stellen Sie sicher, dass Ihre Dienstprinzipale die passenden Zugriffsrechte haben, um ihre Funktionen sicher auszuführen. Eine saubere Rollenzuweisung erhöht nicht nur die Sicherheit, sondern vereinfacht auch die Abläufe in Ihrer Organisation.

Authentifizierungsmethoden für Entra ID

Überblick über die Authentifizierung

Bei der Verwaltung von Dienstprinzipalen in Entra ID stehen Ihnen zwei primäre Authentifizierungsmethoden zur Auswahl: Authentifizierung mit Clientgeheimnis und zertifikatbasierte Authentifizierung. Jede Methode hat ihre eigenen Vorteile und Einsatzbereiche.

Authentifizierung mit Clientgeheimnis

Bei der Authentifizierung mit Clientgeheimnis wird eine passwortähnliche Zeichenfolge verwendet, das sogenannte Clientgeheimnis. Diese Methode ist unkompliziert und wird häufig für Anwendungen eingesetzt, die schnell eingerichtet werden sollen. Dennoch sollten Sie Clientgeheimnisse wie Passwörter behandeln. Speichern Sie sie sicher und rotieren Sie sie regelmäßig, um die Sicherheit aufrechtzuerhalten.

• Vorteile:

  • Einfach zu implementieren.
  • Geeignet für Test- und Entwicklungsumgebungen.

• Nachteile:

  • Weniger sicher als die zertifikatbasierte Authentifizierung.
  • Anfällig für Offenlegung, wenn sie nicht sorgfältig verwaltet werden.

Zertifikatbasierte Authentifizierung

Bei der zertifikatbasierten Authentifizierung weist sich der Dienstprinzipal mithilfe eines digitalen Zertifikats aus. Diese Methode ist sicherer als Clientgeheimnisse und wird für Produktionsumgebungen empfohlen. Für optimale Sicherheit sollten Sie ein vertrauenswürdiges Zertifikat einer Zertifizierungsstelle (CA) verwenden. Selbstsignierte Zertifikate können für Tests genutzt werden, sind aber für Produktionsumgebungen nicht empfehlenswert.

• Vorteile:

  • Höheres Sicherheitsniveau.
  • Verringert das Risiko eines Diebstahls von Anmeldedaten.

• Nachteile:

  • Die Einrichtung ist aufwendiger.
  • Die Verwaltung von Zertifikaten ist erforderlich.

Authentifizierung konfigurieren

Um die Authentifizierung konfigurieren für Ihren Dienstprinzipal in Entra ID, gehen Sie wie folgt vor:

1. Öffnen Sie die Startseite des Microsoft Entra Admin Centers.
2. Navigieren Sie zu Entra ID > App-Registrierungen und wählen Sie anschließend Ihre Anwendung aus.
3. Kopieren Sie auf der Übersichtsseite der App den Wert für die Verzeichnis-ID (Mandant) und speichern Sie ihn im Code Ihrer Anwendung.
4. Kopieren Sie den Wert für die Anwendungs-ID (Client) und speichern Sie ihn im Code Ihrer Anwendung.
5. Wählen Sie zwischen zertifikatbasierter Authentifizierung oder Clientgeheimnis. Empfohlen wird, ein vertrauenswürdiges Zertifikat hochzuladen, das von einer Zertifizierungsstelle ausgestellt wurde.
6. Wenn Sie ein Zertifikat verwenden, laden Sie es über Entra ID > App-Registrierungen > Zertifikate und Geheimnisse > Zertifikat hochladen hoch.
7. Wenn Sie ein Clientgeheimnis verwenden, erstellen Sie es über Entra ID > App-Registrierungen > Zertifikate und Geheimnisse > Clientgeheimnisse > Neues Clientgeheimnis.

Wenn Sie diese Schritte befolgen, stellen Sie sicher, dass sich Ihr Dienstprinzipal sicher authentifiziert. So kann er auf die Ressourcen zugreifen, die er benötigt, und Sicherheitsrisiken werden minimiert.

Zugriffsrichtlinien in Entra ID

Zugriffsrichtlinien verstehen

Zugriffsrichtlinien in Entra ID spielen eine zentrale Rolle beim Schutz Ihrer Anwendungen und Daten. Sie legen fest, wer auf welche Ressourcen unter welchen Bedingungen zugreifen darf. Folgende wichtige Typen von Zugriffsrichtlinien sollten Sie kennen:

• MFA für riskante Anmeldungen erforderlich machen: Diese Richtlinie fordert Benutzer zur Multi-Faktor-Authentifizierung auf, wenn eine Anmeldung verdächtig erscheint.
• Kompromittierte Konten blockieren oder bereinigen: Diese Richtlinie schränkt den Zugriff auf Konten automatisch ein, die Anzeichen einer Kompromittierung aufweisen.

Durch die Umsetzung dieser Zugriffsrichtlinien stärken Sie Ihre Sicherheitslage. Sie helfen Ihnen, Risiken wirksam zu steuern, indem sie Reaktionen auf potenzielle Bedrohungen automatisieren. Beispielsweise bewerten Conditional-Access-Richtlinien Faktoren wie Benutzeridentität, Gerätekonformität und Risikosignale in Echtzeit, bevor sie Zugriff gewähren. Dieser proaktive Ansatz verbessert nicht nur die Sicherheit, sondern stellt auch die Einhaltung der Vorgaben Ihrer Organisation sicher.

Zugriffsrichtlinien konfigurieren

Das Konfigurieren von Zugriffsrichtlinien für Dienstprinzipale in Entra ID ist unkompliziert. Gehen Sie wie folgt vor, um Ihre Richtlinien wirksam einzurichten:

1. Melden Sie sich beim Microsoft Entra Admin Center an und navigieren Sie zu Entra ID » Unternehmensanwendungen.
2. Klicken Sie auf den Dienstprinzipal, den Sie einschränken möchten, und wechseln Sie unter der Registerkarte Verwalten zu Eigenschaften.
3. Setzen Sie Für Benutzer zum Anmelden aktiviert? auf Nein und klicken Sie auf Speichern, um Benutzeranmeldungen für die Anwendung zu deaktivieren.
4. Um eine Conditional-Access-Richtlinie erstellen, melden Sie sich beim Microsoft Entra Admin Center an und navigieren Sie zu Entra ID » Conditional Access.
5. Klicken Sie auf + Neue Richtlinie erstellen und geben Sie einen Namen für die Richtlinie ein.
6. Gehen Sie unter Zuweisungen zu Benutzer oder Workload-Identitäten.
7. Wählen Sie unter Worauf wirkt sich diese Richtlinie aus die Option Workload-Identitäten aus. Klicken Sie unter Einschließen auf Dienstprinzipale auswählen und wählen Sie die passenden Dienstprinzipale aus der Liste aus.
8. Gehen Sie im Abschnitt Zielressourcen unter Einschließen und wählen Sie Alle Ressourcen (früher „Alle Cloud-Apps“) aus.
9. Konfigurieren Sie im Abschnitt Bedingungen die spezifischen Anforderungen, die festlegen, wann die Richtlinie greifen soll.
10. Gehen Sie unter Zugriffssteuerungen zu „Gewähren“, wählen Sie Zugriff blockieren und klicken Sie auf „Auswählen“.
11. Setzen Sie Richtlinie aktivieren auf Ein und klicken Sie auf „Erstellen“, um eine Conditional-Access-Richtlinie für Microsoft Entra Workload-Identitäten zu erstellen.

Wenn Sie diese Schritte befolgen, stellen Sie sicher, dass Ihre Dienstprinzipale unter strengen Zugriffskontrollen arbeiten. Das schützt nicht nur Ihre Ressourcen, sondern entspricht auch bewährten Methoden für Sicherheit und Compliance.

Bewährte Methoden für Dienstprinzipale

Sicherheitsempfehlungen

Um Ihre Dienstprinzipale in Entra ID zu schützen, befolgen Sie diese Sicherheitsempfehlungen:

• Verwenden Sie Clientzertifikate statt Clientgeheimnisse, um die Sicherheit zu erhöhen.
• Nutzen Sie Azure Key Vault, um Zertifikate und Geheimnisse sicher zu verwalten.
• Setzen Sie für Dienstprinzipale das Least-Privilege-Prinzip um. Das bedeutet, nur die Berechtigungen zu vergeben, die für ihre Aufgaben tatsächlich nötig sind.
• Überwachen Sie die Anmeldungen von Dienstprinzipalen über die Anmeldeprotokolle von Microsoft Entra. So erkennen Sie ungewöhnliche Aktivitäten.
• Verwenden Sie den bedingten Zugriff, um Zugriffe von nicht vertrauenswürdigen Standorten einzuschränken. Das bietet eine zusätzliche Schutzebene.
• Überprüfen Sie regelmäßig die Mitgliedschaften in Tier-0-Rollen, um sicherzustellen, dass die Berechtigungsstufen angemessen sind. So verhindern Sie unbefugten Zugriff auf kritische Ressourcen.

Mit diesen Maßnahmen erhöhen Sie die Sicherheit Ihrer Dienstprinzipale deutlich und verringern das Risiko unbefugter Zugriffe.

Regelmäßige Audits

Regelmäßige Audits sind unverzichtbar, um die Sicherheit und Integrität Ihrer Dienstprinzipale zu gewährleisten. Hier sind einige gängige Audit-Maßnahmen, die Sie umsetzen sollten:

Regelmäßige Audits helfen Ihnen, den Status Ihrer Dienstprinzipale im Blick zu behalten. Sie ermöglichen es, unbefugte Änderungen und verdächtige Aktivitäten frühzeitig zu erkennen, sodass Ihre Umgebung sicher bleibt.

Wenn Sie diese bewährten Methoden befolgen, können Sie Ihre Dienstprinzipale in Entra ID wirksam verwalten und so Sicherheit und Compliance verbessern.

Zusammengefasst umfasst die wirksame Verwaltung von Dienstprinzipalen in Entra ID mehrere zentrale Schritte und bewährte Methoden. Sie sollten:

• Anwendungen korrekt registrieren und ihre Einstellungen konfigurieren.
• Rollen nach dem Least-Privilege-Prinzip zuweisen.
• Robuste Authentifizierungsmethoden implementieren.
• Zugriffsrichtlinien und Berechtigungen regelmäßig überprüfen.

Die laufende Verwaltung ist entscheidend. Der Komfort von Selbstbedienung erhöht den Bedarf an verbessertem Zugriffsmanagement. Regelmäßige Überprüfungen helfen, die Kontrolle über Zugriffsrechte zu behalten. Jedes Gastkonto sollte einen internen Eigentümer haben, der für die fortlaufende Begründung des Zugriffs verantwortlich ist. Mit diesen Strategien erhöhen Sie die Sicherheit und stellen eine wirksame Governance Ihrer Dienstprinzipale sicher.

Diese Checkliste unterstützt Sie dabei, bewährte Methoden zur wirksamen Verwaltung von Dienstprinzipalen in Entra ID umzusetzen.

• Inventur und Erkennung: Ermitteln Sie alle Dienstprinzipale über Mandanten und Abonnements hinweg (erstellen Sie einen wiederkehrenden Scan/Bericht).
• Zuordnung zu Anwendungen und Eigentümern: Verknüpfen Sie jeden Dienstprinzipal mit der zugehörigen Anwendung, dem Fachverantwortlichen und dem Supportkontakt.
• Zugriffs- und Zweckklassifizierung: Dokumentieren Sie Zweck, Umgebung (Produktion/Entwicklung/Test) und erforderliche Berechtigungen für jeden Dienstprinzipal.
• Least-Privilege-Prinzip: Prüfen Sie zugewiesene Rollen und Berechtigungen und reduzieren oder entfernen Sie alles, was nicht auf das notwendige Minimum entfällt.
• Verwaltete Identitäten bevorzugen: Ersetzen Sie App-Registrierungen und Dienstprinzipale nach Möglichkeit durch verwaltete Identitäten für Azure-Ressourcen.
• Anmeldedaten sauber verwalten: Vermeiden Sie langlebige Anmeldedaten, setzen Sie Zertifikate statt Clientgeheimnisse ein und rotieren Sie Anmeldedaten regelmäßig.
• Credential-Richtlinien durchsetzen: Bedingten Zugriff und Azure AD-Richtlinien für Kennwörter und Geheimnisse für Anwendungsanmeldeinformationen implementieren, sofern zutreffend.
• MFA/bedingten Zugriff für interaktive Nutzung erzwingen: Anmeldeinformationen, die eine interaktive Anmeldung zulassen, blockieren oder einschränken, sofern dies nicht notwendig und geschützt ist.
• Just-In-Time (JIT)- oder zeitlich begrenzten Zugriff aktivieren: Dienstprinzipalen hoch privilegierte Rollen nach Möglichkeit nur zeitlich begrenzt zuweisen.
• Namenskonventionen und Metadaten: Klare Namensstandards anwenden und Dienstprinzipale mit Umgebung, Eigentümer und Ablaufdatum als Metadaten kennzeichnen.
• Ablauf- und Lebenszyklusrichtlinien: Ablaufdatum für Geheimnisse und Zertifikate festlegen und den Lebenszyklus automatisieren (bereitstellen, erneuern, widerrufen, deaktivieren).
• Ungenutzte Dienstprinzipale deaktivieren: Dienstprinzipale, die innerhalb eines festgelegten Zeitraums nicht verwendet wurden, nach Abstimmung mit den Eigentümern deaktivieren oder löschen.
• Anmeldungen und riskante Nutzung überwachen: Protokollierung und Warnmeldungen für ungewöhnliche Anmeldungen, Aktivitäten mit hohem Risiko und Rechteerweiterungen aktivieren.
• Zentrale Protokollierung und SIEM-Integration: Überwachungsprotokolle, Anmeldeereignisse und Bereitstellungsänderungen zur Korrelation und Aufbewahrung an Ihr SIEM weiterleiten.
• Zugriffsüberprüfungen und regelmäßige Audits: Regelmäßig Zugriffsüberprüfungen durchführen, um die Notwendigkeit und die Genehmigung durch den Eigentümer für jeden Dienstprinzipal zu bestätigen.
• APIs und Berechtigungen absichern: Delegierte Berechtigungen mit eingeschränktem Umfang oder eng definierte App-only-Bereiche verwenden.
• Geheimnisse sicher speichern: Clientgeheimnisse und Zertifikate in Azure Key Vault oder einem gleichwertigen Tresor speichern und den Zugriff auf den Tresor auf die erforderlichen Prinzipale beschränken.
• Automatisierte Behebung: Automatisierte Playbooks implementieren, die kompromittierte oder abgelaufene Dienstprinzipale deaktivieren und Anmeldeinformationen rotieren.
• Richtliniendurchsetzung: Azure AD bzw. Microsoft Entra ID Conditional Access, Microsoft Entra Permissions Management und Azure Policy einsetzen, um Standards durchzusetzen.
• Dokumentation und Runbooks: Runbooks für die Bereitstellung, die Notfallrotation von Anmeldeinformationen und die Deaktivierung von Dienstprinzipalen pflegen.
• Zugriff und Failover testen: Anwendungsauthentifizierungen nach einer Rotation von Anmeldeinformationen oder Konfigurationsänderungen in einer Nicht-Produktionsumgebung validieren.
• Sicheres Onboarding und Offboarding: Die Bereitstellung und Deaktivierung von Dienstprinzipalen in CI/CD- und Change-Control-Prozesse integrieren.
• Automatisierungskonten mit minimalen Rechten: Dedizierte Dienstprinzipale für Automatisierungsaufgaben mit eng begrenzten Rechten und klar festgelegter Verantwortung verwenden.
• Externen Zugriff bzw. Gastzugriff prüfen: Dienstprinzipale überprüfen, die von externen Apps erstellt wurden, und Zugriff erst nach einer Sicherheitsprüfung gewähren.
• Nachweise zur Compliance führen: Genehmigungen, Überprüfungen und Rotationsereignisse dokumentieren, um die Einhaltung interner und externer Anforderungen nachzuweisen.
• Teams und Eigentümer schulen: Anwendungseigentümer und Entwickler darin schulen, Dienstprinzipale in Microsoft Entra ID effektiv zu verwalten und sichere Praktiken für Anmeldeinformationen anzuwenden.

Häufige Fragen: Zusätzliche Ressourcen zu Microsoft Entra ID-Dienstprinzipalen

Was ist ein Dienstprinzipal in Microsoft Entra ID und worin unterscheidet er sich von einem Anwendungsobjekt?

Ein Dienstprinzipal in Microsoft Entra ID ist die lokale Repräsentation einer Anwendungsinstanz in einem Mandanten oder Verzeichnis. Er wird in jedem Mandanten erstellt, in dem die Anwendung verwendet wird, und verweist auf das global eindeutige Anwendungsobjekt (das Anwendungsobjekt liegt im Basismandanten). Das Anwendungsobjekt definiert die Anwendung global, während der Dienstprinzipal die Zugriffsrichtlinie und festlegt, was die Anwendung in einem bestimmten Mandanten tun darf.

Wie werden Dienstprinzipale erstellt und wann wird ein Dienstprinzipal erstellt?

Ein Dienstprinzipal wird in der Regel automatisch erstellt, wenn Sie eine Microsoft Entra-Anwendung registrieren und eine Anwendungsinstanz in einem Mandanten verwendet wird, oder wenn ein Benutzer Berechtigungen für eine mandantenübergreifende App zustimmt. Sie können einen Dienstprinzipal auch manuell über das Azure-Portal, Microsoft Graph oder über Automatisierung erstellen, wenn die Anwendung in einem Mandanten bereitgestellt wird, in dem sie Zugriff auf geschützte Ressourcen benötigt.

Welche Best Practices gibt es für die Absicherung von Dienstprinzipalen in Microsoft Entra?

Sichern Sie Dienstprinzipale, indem Sie Berechtigungen mit minimalen Rechten vergeben, Anmeldeinformationen (Kennwörter und Zertifikate) regelmäßig rotieren und schützen, nach Möglichkeit verwaltete Identitäten verwenden, Richtlinien für bedingten Zugriff durchsetzen, Anmelde- und Überwachungsprotokolle überwachen und Hochrisiko-Prinzipale über filterbasierte Zugriffssteuerungen ausschließen. Nutzen Sie bedingten Zugriff, um für den Zugriff auf sensible Ressourcen konforme Geräte oder MFA vorzuschreiben.

Wie verwalte ich Anmeldeinformationen wie Kennwörter und Zertifikate für Dienstprinzipale?

Speichern Sie Kennwörter und Zertifikate in einem sicheren Speicher (Key Vault), legen Sie Ablaufrichtlinien fest, verwenden Sie nach Möglichkeit zertifikatbasierte Authentifizierung und automatisieren Sie die Rotation über Microsoft Graph oder CI/CD-Pipelines. Bei langlebigen Anmeldeinformationen richten Sie Warnungen für bevorstehende Ablaufdaten ein und setzen Richtlinien durch, die veraltete oder unsichere Geheimnisse verhindern.

Wie kann ich Dienstprinzipale mit Microsoft Graph abfragen und automatisiert verwalten?

Mit der Microsoft Graph API können Sie Dienstprinzipal-Objekte in Microsoft Entra ID auflisten, filtern, erstellen, aktualisieren und entfernen. Mit Filtern finden Sie Prinzipale anhand von appId, displayName oder Besitzer. Außerdem können Sie erteilte Berechtigungen verwalten, Besitzer zuweisen und die Synchronisierung von Dienstprinzipalen über Umgebungen hinweg mit Skripten oder Connectors automatisieren, die sich auf die global eindeutigen Bezeichner (GUIDs) beziehen.

Welche Rolle spielt die Zuweisung von Besitzern, und wie sollte die Besitzerschaft geregelt werden?

Die Zuweisung von Besitzern delegiert die administrative Kontrolle über einen Dienstprinzipal, sodass Besitzer Anmeldeinformationen und Berechtigungen verwalten können. Setzen Sie auf rollenbasierten Zugriff und mehrere Besitzer, damit der Betrieb auch bei Ausfällen weiterläuft. Protokollieren Sie Änderungen an Besitzern und vermeiden Sie es, Besitzerrechte an Benutzerkonten zu vergeben, die nicht an eine langfristige Identität gebunden sind. Besser geeignet ist ein Team oder ein Dienstkonto, das durch Richtlinien eingeschränkt ist.

Wie wirken sich Synchronisierung sowie Mandanten- und Verzeichnisaspekte auf Dienstprinzipale aus?

Synchronisierungsszenarien, etwa die Synchronisierung von Unternehmensanwendungen oder Identitäten über Mandanten hinweg, können Dienstprinzipale in Zielmandanten erstellen. Prüfen Sie, ob die Anwendung Single-Tenant oder Multi-Tenant ist, in welchem Basismandanten sie registriert wurde und ob ein Benutzer aus diesem Mandanten zustimmen muss. Planen Sie die Synchronisierung so, dass doppelte Dienstprinzipale vermieden werden, und nutzen Sie Filter, um unnötige Objekte auszuschließen.

Wann sollte ich eine verwaltete Identität statt eines selbst erstellten Dienstprinzipals verwenden?

Verwenden Sie verwaltete Identitäten, wenn die Workload in Azure läuft und eine plattformverwaltete Identität nutzen kann, um Token ohne eingebettete Anmeldeinformationen abzurufen. Verwaltete Identitäten reduzieren den Aufwand für die Verwaltung von Kennwörtern und vereinfachen Sicherheitsupdates. Wo sie unterstützt werden, sind sie in Microsoft-Szenarien die empfohlene Option, um Dienstprinzipale abzusichern.

Wie kann ich den Zugriff auf Ressourcen, die durch Dienstprinzipale geschützt sind, überwachen und Probleme beheben?

Aktivieren und prüfen Sie Anmelde- und Überwachungsprotokolle in Microsoft Entra ID und Azure AD, rufen Sie Ereignisse über Microsoft Graph ab, grenzen Sie die Ergebnisse mit Filtern ein und binden Sie die Protokolle in Ihr SIEM ein. Sammeln Sie bei technischen Supportfällen oder komplexen Problemen vorab die objectId und appId des Dienstprinzipals, Zeitstempel und Fehlermeldungen, bevor Sie den Support kontaktieren. Für die weitere Untersuchung helfen Microsoft Learn und weitere Ressourcen.