M365Con 2027 – die kostenlose Online-Konferenz · 11–22 Jan 2027 · 120 sessions→ m365con.net
M365.FM DUB
DeutschDE
EnglishEnglishDeutschDeutschEspañolEspañolFrançaisFrançaisItalianoItalianoPortuguêsPortuguêsNederlandsNederlandsPolskiPolskiBahasa IndonesiaBahasa IndonesiaРусскийРусскийУкраїнськаУкраїнськаالعربيةالعربيةעבריתעברית日本語日本語한국어한국어
☰
CommunityAlle FolgenPodcastBlogVideosBibliothekGästeProfilLernenPodcast

Blog · Mirko Peters

So erstellen Sie einen Berichtsbericht zu Microsoft-Purview-Rollengruppen mit PowerShell

Von · · Aktualisiert

Erstellen Sie mit PowerShell einen Bericht über Ihre Berechtigungen für Microsoft-Purview-Rollengruppen. Prüfen Sie Compliance, eDiscovery und Microsoft 365 mit dieser Anleitung.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die Verwaltung von Rollengruppen in Purview ist entscheidend für Sicherheit und Compliance in Ihrer Organisation. Sie können diesen Prozess mit PowerShell vereinfachen, da sich damit Aufgaben automatisieren und Zeit sparen lassen. Mit PowerShell erstellen Sie problemlos einen Bericht, der die Mitgliedschaften in Purview-Rollengruppen auflistet. Diese Anleitung führt Sie Schritt für Schritt durch die nötigen Vorgänge, um sich mit Purview zu verbinden und Ihren Bericht effektiv zu erstellen.

Das Wichtigste in Kürze

7 überraschende Fakten zum Bericht über Microsoft-Purview-Rollengruppen

Voraussetzungen für PowerShell

Prerequisites for PowerShell

Erforderliche Berechtigungen

Bevor Sie mit PowerShell Berichte in Purview erstellen, stellen Sie sicher, dass Sie über die notwendigen Berechtigungen verfügen. Sie benötigen administrativen Zugriff auf Purview. Dieser Zugriff ermöglicht es Ihnen, Rollengruppen effektiv einzusehen und zu verwalten. Ohne diese Berechtigungen können beim Ausführen von Skripten oder beim Abrufen von Daten Fehler auftreten.

PowerShell-Installation

Um PowerShell-Skripte auszuführen, muss PowerShell auf Ihrem Computer installiert sein. Die mindestens erforderliche Version ist 5.1. Falls sie nicht installiert ist, können Sie sie von der offiziellen Microsoft-Website herunterladen. Zusätzlich benötigen Sie bestimmte Module für die Verbindung mit Microsoft Purview. Die erforderlichen Module sind CAMP und AIPService.

Hier finden Sie eine kurze Checkliste, mit der Sie die Voraussetzungen prüfen:

Wenn Sie diese Voraussetzungen erfüllen, verläuft die Erstellung Ihres Purview-Rollengruppenberichts reibungslos.

Zusammenfassung der Schritte

  1. Überprüfen Sie Ihre PowerShell-Version.
  2. Installieren Sie die erforderlichen Module.
  3. Bestätigen Sie Ihre administrativen Zugriffsrechte in Purview.

Wenn Sie diese Schritte befolgen, sind Sie optimal vorbereitet, PowerShell für Ihre Berichtsanforderungen effektiv einzusetzen.

Mit Microsoft Purview verbinden

Verbindung einrichten

Gehen Sie wie folgt vor, um sich mit PowerShell mit Microsoft Purview zu verbinden:

  1. Stellen Sie sicher, dass Sie ein Azure-Abonnement haben: Sie benötigen ein gültiges Azure-Abonnement und einen damit verknüpften Microsoft Entra-Mandanten.
  2. Melden Sie sich am Azure-Portal an: Verwenden Sie Ihre Azure-Kontoanmeldedaten, um auf das Portal zuzugreifen.
  3. Installieren Sie Azure PowerShell oder die Azure CLI: Stellen Sie sicher, dass die erforderlichen Tools auf Ihrem Client-Computer installiert sind.
  4. Erstellen Sie eine Ressourcengruppe: Falls Sie noch keine haben, führen Sie den folgenden Befehl aus:
    New-AzResourceGroup -Name myResourceGroup -Location 'East US'
  5. Erstellen oder bereitstellen Sie das Microsoft Purview-Konto: Verwenden Sie diesen Befehl, um Ihr Purview-Konto einzurichten:
    New-AzPurviewAccount

Wenn Sie diese Schritte befolgen, stellen Sie zuverlässig eine sichere Verbindung zu Microsoft Purview her.

Anmeldedaten authentifizieren

Sobald die Verbindung eingerichtet ist, müssen Sie Ihre Anmeldedaten authentifizieren. So gehen Sie vor:

  1. Öffnen Sie PowerShell: Starten Sie PowerShell auf Ihrem Computer.
  2. Führen Sie den Anmeldebefehl aus: Verwenden Sie den folgenden Befehl, um sich anzumelden:
    Connect-AzAccount
    Dieser Befehl fordert Sie auf, Ihre Azure-Kontoanmeldedaten einzugeben.
  3. Überprüfen Sie die Verbindung: Prüfen Sie nach der Anmeldung, ob Sie Zugriff auf Ihr Purview-Konto haben, indem Sie Folgendes ausführen:
    Get-AzPurviewAccount

Falls bei der Verbindung Fehler auftreten, prüfen Sie die folgenden häufigen Ursachen:

Wenn Sie diese Schritte befolgen, können Sie sich erfolgreich mit Microsoft Purview verbinden und Ihre Anmeldedaten authentifizieren. So schaffen Sie die Grundlage für die Erstellung Ihres Rollengruppenberichts.

Purview-Rollengruppenbericht erstellen

Generate Purview Role Group Report

PowerShell-Skript für die Mitgliedschaftsberichterstellung

Um einen Purview-Rollengruppenbericht zu erstellen, können Sie das folgende PowerShell-Skript verwenden. Das Skript stellt eine Verbindung zu Microsoft Graph her und ruft die Mitgliedschaften von Rollengruppen ab. Gehen Sie wie folgt vor, um Ihren Bericht zu erstellen:

  1. Verbindung zu Microsoft Graph herstellen: Verwenden Sie die erforderlichen Bereiche, um auf die benötigten Daten zuzugreifen.
  2. Verbindung zu Exchange Online herstellen: Stellen Sie sicher, dass Sie Zugriff auf den Sicherheits- und Compliance-Endpunkt haben.
  3. Rollengruppen abrufen: Führen Sie das Cmdlet Get-RoleGroup aus, um alle Rollengruppen in Ihrem Mandanten zu finden.
  4. Mitgliedschaften auflisten: Ermitteln Sie für jede Rollengruppe die aktuellen Mitglieder. Unterscheiden Sie dabei zwischen den verschiedenen Typen von Entra ID-Objekten.
  5. PowerShell-Listen aktualisieren: Erstellen Sie Listen, in denen Sie die Details jeder Rollenzuweisung und jeder Rollengruppenmitgliedschaft speichern.
  6. Eindeutige Kennungen ermitteln: Finden Sie eindeutige Kennungen, die Rollenzuweisungen besitzen, etwa Benutzer oder Dienstprinzipale.
  7. Objektdetails erfassen: Sammeln Sie für jede eindeutige Kennung zusätzliche Details wie Abteilung und Land.
  8. Informationen sortieren: Ordnen Sie die Benutzerzuweisungen nach Objekttyp und Name, damit die Auswertung einfacher wird.
  9. HTML-Bericht erstellen: Erstellen Sie einen HTML-Bericht, der die Details jeder aktiven Rollengruppe und ihrer Mitgliedschaften enthält.

Hier ist ein Beispielskript, das diese Schritte umsetzt:

# Connect to Microsoft Graph
Connect-MgGraph -Scopes "Group.Read.All"

# Get role groups
$roleGroups = Get-RoleGroup

# Initialize lists
$roleGroupMemberships = @()

foreach ($group in $roleGroups) {
    $members = Get-RbacGroupMember -GroupId $group.Id
    foreach ($member in $members) {
        $roleGroupMemberships += [PSCustomObject]@{
            RoleGroupName = $group.DisplayName
            MemberName    = $member.DisplayName
            MemberType    = $member.ObjectType
        }
    }
}

# Generate HTML report
$roleGroupMemberships | ConvertTo-Html -Property RoleGroupName, MemberName, MemberType -Title "Purview Role Group Membership Report" | Out-File "PurviewRoleGroupReport.html"

Mit diesem Skript erstellen Sie einen umfassenden Bericht über die Mitgliedschaften von Rollengruppen in Purview.

Ausgabedaten verstehen

Nach dem Ausführen des PowerShell-Skripts erhalten Sie einen HTML-Bericht mit den Mitgliedschaften der Rollengruppen. So interpretieren Sie die Ausgabedaten:

Wenn Sie diese Daten auswerten, erhalten Sie einen guten Überblick über die Rollengruppenmitgliedschaften in Ihrer Organisation. Diese Informationen sind entscheidend, um eine ordnungsgemäße rollenbasierte Zugriffssteuerung (RBAC) sicherzustellen und die Compliance im Bereich Sicherheit aufrechtzuerhalten.

Beachten Sie, dass die Genauigkeit der im Bericht angezeigten Mitgliedschaften vom aktuellen Stand Ihrer Purview-Umgebung abhängt. Wenn Sie Ihre Skripte und Berichte regelmäßig aktualisieren, bleiben Sie bei Änderungen an den Rollengruppenmitgliedschaften stets auf dem Laufenden.

Best Practices für die Berichterstellung

Regelmäßige Berichte planen

Um Compliance und Sicherheit zu gewährleisten, sollten Sie regelmäßige Berichte zu den Purview-Rollengruppen planen. Regelmäßige Berichte helfen Ihnen, stets zu wissen, wer Compliance-Rollen innehat, und stellen sicher, dass Ihre Organisation die Sicherheitsrichtlinien einhält. So planen Sie diese Berichte effektiv:

  1. PowerShell-Cmdlets verwenden: Nutzen Sie PowerShell-Cmdlets, um die Berichterstellung zu automatisieren. Sie können ein Skript erstellen, das in festgelegten Intervallen ausgeführt wird.
  2. Aufgabenplanung einrichten: Verwenden Sie die Windows-Aufgabenplanung, um Ihr PowerShell-Skript automatisch auszuführen. So erhalten Sie aktualisierte Berichte ohne manuellen Aufwand.
  3. Berichtsformate auswählen: Speichern Sie Ihre Berichte in sicheren Formaten wie .PDF. Das schützt vertrauliche Informationen und erleichtert die Weitergabe an berechtigte Benutzer.

Tipp: Wenden Sie beim Gewähren von Zugriff auf Berichte stets das Prinzip der minimalen Berechtigungen an. Dadurch sinkt das Risiko eines unbefugten Zugriffs.

Berichtsdaten analysieren

Sobald Sie Ihre Berichte erstellt haben, ist die Analyse der Daten entscheidend. Wenn Sie die Mitgliedschaften in Compliance-Rollengruppen kennen, können Sie potenzielle Sicherheitsrisiken erkennen. Diese Strategien helfen Ihnen bei der Analyse:

Wenn Sie diese Best Practices befolgen, verbessern Sie Ihren Berichtsprozess und stellen sicher, dass Ihre Organisation die Compliance-Standards von Microsoft 365 einhält.

In diesem Leitfaden haben Sie gelernt, wie Sie mit PowerShell einen Purview-Rollengruppenbericht erstellen. Sie haben sich bei Microsoft Purview angemeldet, Ihre Anmeldedaten authentifiziert und ein PowerShell-Skript ausgeführt, um die Rollengruppenmitgliedschaften abzurufen.

Regelmäßige Berichte sind für Sicherheit und Compliance unverzichtbar. Sie helfen Ihnen, Zugriffe zu überwachen und potenzielle Risiken zu erkennen.

Ich empfehle Ihnen, diesen Prozess in Ihre Arbeitsabläufe zu integrieren. So stärken Sie die Sicherheitslage Ihrer Organisation und stellen die Einhaltung branchenüblicher Standards sicher.

Häufige Fragen

Was ist Microsoft Purview?

Microsoft Purview ist eine einheitliche Data-Governance-Lösung, die Ihnen hilft, Ihre Daten in verschiedenen Umgebungen zu verwalten und zu schützen. Sie bietet Werkzeuge für Datenerkennung, Klassifizierung und Compliance.

Warum PowerShell für Purview-Berichte verwenden?

Mit PowerShell wird die Berichterstellung automatisiert. Das spart Zeit und reduziert manuelle Fehler. Sie können Rollengruppenmitgliedschaften in Purview effizient abrufen und verwalten.

Wie oft sollte ich Berichte zu Purview-Rollengruppen erstellen?

Sie sollten Berichte zu Purview-Rollengruppen regelmäßig erstellen, idealerweise monatlich oder vierteljährlich. So behalten Sie Zugriffe im Blick und stellen die Einhaltung der Sicherheitsrichtlinien sicher.

Was tun, wenn beim Ausführen des PowerShell-Skripts Fehler auftreten?

Wenn Fehler auftreten, prüfen Sie Ihre Berechtigungen, stellen Sie sicher, dass alle erforderlichen Module installiert sind, und überprüfen Sie die Verbindung zu Microsoft Purview. Die Fehlermeldungen geben oft konkrete Hinweise.

Kann ich das Berichtsformat anpassen?

Ja, Sie können das Berichtsformat anpassen. Ändern Sie das PowerShell-Skript so, dass es je nach Bedarf ein anderes Ausgabeformat erzeugt, zum Beispiel CSV- oder PDF-Dateien.

Purview-Portal und Purview-Compliance

Diese häufigen Fragen behandeln die Erstellung eines Berichts zu Purview-Rollengruppen mit PowerShell. Außerdem erläutern sie die zugehörigen Berechtigungen, die Rollenverwaltung und die Protokollierung in Microsoft Purview und Microsoft 365.

PowerShell-Modul, Microsoft Purview-Berechtigungen und Purview-RBAC-Rollen

Die Anleitung zeigt, wie Sie mit dem PowerShell-Modul und dem Microsoft Graph PowerShell SDK die Mitglieder von Rollengruppen auflisten, die integrierten Rollendefinitionen prüfen und Berichte für Compliance- und eDiscovery-Szenarien erstellen.

Was ist ein Bericht zu Purview-Rollengruppen mit PowerShell, und warum sollte ich einen erstellen?

Ein Bericht zu Purview-Rollengruppen mit PowerShell ist eine generierte Liste (CSV oder JSON) mit Rollengruppen, Rollenzuweisungen (Purview-RBAC-Rollen und Zuordnungen zu integrierten Rollen) und Rollengruppenmitgliedern über Microsoft Purview-Lösungen und Microsoft 365-Dienste hinweg. Sie erstellen ihn, um Rollenberechtigungen zu prüfen, nachzuvollziehen, wer privilegierten Rollenzugriff hat (Rolle „Globaler Administrator“ oder Administratorrolle), Compliance-Überprüfungen zu unterstützen, eDiscovery-Fälle vorzubereiten oder die Ergebnisse in Änderungsmanagement und die Überprüfung von Berechtigungen für Insider-Risikomanagement einfließen zu lassen.

Welches PowerShell-Modul brauche ich, um einen Bericht zu Microsoft Purview-Rollengruppen zu erstellen?

Welche Module Sie kombinieren, hängt von Ihrer Umgebung ab. Mit dem Microsoft Graph PowerShell SDK fragen Sie Rollenzuweisungen im Microsoft Purview-Portal und Mitglieder von Rollengruppen ab. Für einige Rollengruppen in Microsoft 365 und speziell für eDiscovery verwenden Sie das Exchange Online Management Module oder die Security-&-Compliance-Module. Beispiele für Purview-Data- und Purview-Compliance-Portal-Aufgaben dokumentiert Microsoft gelegentlich auf Microsoft Learn.

Welche Berechtigungen benötige ich, um einen Bericht zu Purview-Rollengruppen mit PowerShell auszuführen?

In der Regel benötigen Sie erhöhte Rollen, etwa die Rolle „Globaler Administrator“ oder eine delegierte Administratorrolle mit Rollenverwaltungsrechten, oder bestimmte Microsoft Purview-Berechtigungen wie administrative Rollen im Purview-Portal (privilegierte Rolle oder Administratorrolle). Für einige Abfragen kann die Mitgliedschaft in der Rollengruppe Organization Management oder in der Rollengruppe eDiscovery Manager erforderlich sein. Stellen Sie beim Einsatz des Microsoft Graph PowerShell SDK sicher, dass die Graph-Berechtigungen zum Lesen von Rollenzuweisungen und Überwachungsprotokolleinträgen erteilt wurden.

Wie kann ich mit dem Microsoft Graph PowerShell SDK die Mitglieder von Rollengruppen und ihre Rollen auflisten?

Melden Sie sich mit delegierten oder App-Berechtigungen an, die roleManagement.read.* und Directory.Read.All umfassen. Fragen Sie anschließend roleDefinitions und roleAssignments ab, um Purview-RBAC-Rollen den Rollengruppen zuzuordnen und deren Mitglieder aufzulisten. Exportieren Sie die Ergebnisse als CSV, um den Bericht zu erstellen. Für Exchange Online-spezifische Gruppen wie die Rollengruppe eDiscovery Manager benötigen Sie unter Umständen das Exchange Online Management Module, um die Mitglieder der Rollengruppe und die Berechtigungen für die Inhaltssuche aufzulisten.

Kann ich eDiscovery- und Informationsschutzrollen in denselben Bericht aufnehmen?

Ja. Kombinieren Sie Daten aus dem Microsoft Purview-Portal (für Microsoft Purview-Lösungen und Microsoft Purview Data-Rollen), aus Microsoft 365-Diensten (Inhaltssuche, eDiscovery-Fälle, Rolle eDiscovery Manager und Rollengruppe eDiscovery Manager) sowie aus den Zuweisungen von Microsoft Information Protection. Verwenden Sie mehrere PowerShell-Module oder Graph-Abfragen, um die Rollenberechtigungen zusammenzuführen, und normalisieren und exportieren Sie sie anschließend als einen gemeinsamen Bericht.

Wie überwache ich Änderungen an Rollengruppen und verfolge Rollenberechtigungen im Zeitverlauf?

Nutzen Sie das Überwachungsprotokoll sowie die Anmelde- und Überwachungsereignisse von Azure AD (Microsoft Entra / Microsoft Entra ID), die Sie über das Microsoft Graph PowerShell SDK oder die Überwachungs-APIs im Purview-Compliance-Portal abrufen. Planen Sie regelmäßige Exporte der Rollenzuweisungen und Mitgliederlisten der Rollengruppen, um Änderungen zu erkennen. Gespeicherte historische Snapshots ermöglichen die Erkennung von Abweichungen und unterstützen die Sammlung von Compliance-Nachweisen.

Welche typischen Einschränkungen integrierter Rollen sollte ich in Berichten zu Purview-Rollengruppen beachten?

Integrierte Rollendefinitionen können sehr weit gefasst sein, etwa Global Administrator oder Compliance Administrator. Sie können Zugriff auf Purview-Compliance, Bereinigungsvorgänge oder privilegierte Daten über mehrere Bereiche hinweg gewähren. Ein Bericht sollte Überschneidungen integrierter Rollen, Standardrollengruppen und Zuweisungen hervorheben, die effektiv erhöhten Zugriff auf Microsoft Purview Data, Microsoft Defender XDR oder Microsoft 365 Copilot-Daten gewähren. Beachten Sie, dass sich einige integrierte Rollen nicht ändern lassen, Sie diese aber zählen und überwachen können.

Wie verwalte ich Rollengruppen für die delegierte Administration und reduziere die Exposition gegenüber privilegierten Rollen?

Ermitteln Sie Mitglieder von Rollengruppen, denen privilegierte Rollen zugewiesen sind, und setzen Sie das Prinzip der minimalen Berechtigungen um. Erstellen Sie nach Möglichkeit engere benutzerdefinierte Rollen, entfernen Sie nicht benötigte Rollengruppenmitgliedschaften und verwenden Sie Break-Glass-Kontrollen für Notfallzugriffe. Der Bericht sollte Benutzer in der Rollengruppe Organization Management, Inhaber von Administratorrollen und alle Dienstprinzipale mit Rollenzuweisungen markieren, damit das Risiko privilegierter Rollen minimiert wird.

Wo finde ich Beispiele und bewährte Methoden für die Erstellung und Automatisierung dieser Berichte?

Unter Microsoft Learn finden Sie die Dokumentation und PowerShell-Beispiele für das Microsoft Graph PowerShell SDK, das Exchange Online-Verwaltungsmodul und die APIs des Compliance-Portals. Zu den bewährten Methoden gehören die Automatisierung geplanter Exporte, das Erfassen von Überwachungsprotokolleinträgen, das Dokumentieren von Rollenberechtigungen als Berechtigungssatz sowie die Integration der Ergebnisse in Governance-Workflows für die Rollenverwaltung, Überprüfungen von Rollenberechtigungen und Compliance-Audits.

Microsoft Purview Compliance

Verwandte Artikel

RSS