# Administrative Units Administrative Units

Delegation nach Region oder Abteilung, Restricted Management, dynamische Regeln, AU-Scoped Roles und Graph/PowerShell-Referenz. Delegation by region or department, restricted management, dynamic rules, AU-scoped roles, and Graph/PowerShell reference.

Delegation nach Region Regional delegation

Administrative Units begrenzen Verwaltungsrechte auf definierte Teilmengen des Verzeichnisses. Administrative units limit administrative rights to defined subsets of the directory.

Restricted Management Restricted management

Schützt besonders sensible Identitäten zusätzlich gegen nicht autorisierte Verzeichnisadministration. Protects especially sensitive identities against unauthorized directory administration.

Dynamische Mitgliedschaft Dynamic membership

Regelbasiertes Scoping reduziert manuellen Aufwand in dezentralen Organisationen. Rule-based scoping reduces manual effort in decentralized organizations.

Graph- und Rollenfokus Graph and role focus

Erstellung, Mitgliedschaft und Rollenzuweisung lassen sich vollständig automatisieren und auditieren. Creation, membership, and role assignment can be fully automated and audited.

## Überblick, Typen und Mitgliedschaft Overview, types, and membership

Thema Topic | Beschreibung Description | Hinweis Note
--- | --- | ---
Standard AU Standard AU | Begrenzt Rollenrechte auf Mitglieder der AU. Limits role rights to AU members. | Geeignet für regionale oder fachliche Delegation. Suitable for regional or departmental delegation.
Restricted Management AU Restricted management AU | Zusätzlicher Schutz für besonders sensible Benutzer und Gruppen. Additional protection for especially sensitive users and groups. | Erfordert sorgfältige Rollen- und Prozessplanung. Requires careful role and process planning.
Statische Mitgliedschaft Static membership | Benutzer, Gruppen oder Geräte werden manuell hinzugefügt. Users, groups, or devices are added manually. | Einfach, aber pflegeintensiver. Simple but more maintenance intensive.
Dynamische Mitgliedschaft Dynamic membership | Mitglieder werden über Regeln bestimmt. Members are determined through rules. | Sehr nützlich für Regionen, Länder, Kostenstellen. Very useful for regions, countries, and cost centers.
Verschachtelte Gruppen Nested groups | Gruppen können Mitglied sein; effektive Delegation muss mit Gruppendesign abgestimmt werden. Groups can be members; effective delegation must be aligned with group design. | Transitive Effekte immer testen. Always test transitive effects.

## Rollen mit AU-Scoping und Restricted Management Roles that support AU scoping and restricted management

Rolle Role | Bedeutung Meaning | Praxis Practice
--- | --- | ---
Authentication Administrator Authentication Administrator | Unterstützt AU-Scoping für die im AU enthaltenen Benutzer, Gruppen oder Geräte. Supports AU scoping for users, groups, or devices contained in the AU. | Vor Zuweisung die exakte Aufgabentrennung dokumentieren. Document the exact separation of duties before assignment.
Cloud Device Administrator Cloud Device Administrator | Unterstützt AU-Scoping für die im AU enthaltenen Benutzer, Gruppen oder Geräte. Supports AU scoping for users, groups, or devices contained in the AU. | Vor Zuweisung die exakte Aufgabentrennung dokumentieren. Document the exact separation of duties before assignment.
Groups Administrator Groups Administrator | Unterstützt AU-Scoping für die im AU enthaltenen Benutzer, Gruppen oder Geräte. Supports AU scoping for users, groups, or devices contained in the AU. | Vor Zuweisung die exakte Aufgabentrennung dokumentieren. Document the exact separation of duties before assignment.
Helpdesk Administrator Helpdesk Administrator | Unterstützt AU-Scoping für die im AU enthaltenen Benutzer, Gruppen oder Geräte. Supports AU scoping for users, groups, or devices contained in the AU. | Vor Zuweisung die exakte Aufgabentrennung dokumentieren. Document the exact separation of duties before assignment.
License Administrator License Administrator | Unterstützt AU-Scoping für die im AU enthaltenen Benutzer, Gruppen oder Geräte. Supports AU scoping for users, groups, or devices contained in the AU. | Vor Zuweisung die exakte Aufgabentrennung dokumentieren. Document the exact separation of duties before assignment.
Password Administrator Password Administrator | Unterstützt AU-Scoping für die im AU enthaltenen Benutzer, Gruppen oder Geräte. Supports AU scoping for users, groups, or devices contained in the AU. | Vor Zuweisung die exakte Aufgabentrennung dokumentieren. Document the exact separation of duties before assignment.
Printer Administrator Printer Administrator | Unterstützt AU-Scoping für die im AU enthaltenen Benutzer, Gruppen oder Geräte. Supports AU scoping for users, groups, or devices contained in the AU. | Vor Zuweisung die exakte Aufgabentrennung dokumentieren. Document the exact separation of duties before assignment.
Privileged Authentication Administrator Privileged Authentication Administrator | Unterstützt AU-Scoping für die im AU enthaltenen Benutzer, Gruppen oder Geräte. Supports AU scoping for users, groups, or devices contained in the AU. | Vor Zuweisung die exakte Aufgabentrennung dokumentieren. Document the exact separation of duties before assignment.
SharePoint Administrator SharePoint Administrator | Unterstützt AU-Scoping für die im AU enthaltenen Benutzer, Gruppen oder Geräte. Supports AU scoping for users, groups, or devices contained in the AU. | Vor Zuweisung die exakte Aufgabentrennung dokumentieren. Document the exact separation of duties before assignment.
Teams Administrator Teams Administrator | Unterstützt AU-Scoping für die im AU enthaltenen Benutzer, Gruppen oder Geräte. Supports AU scoping for users, groups, or devices contained in the AU. | Vor Zuweisung die exakte Aufgabentrennung dokumentieren. Document the exact separation of duties before assignment.
Teams Devices Administrator Teams Devices Administrator | Unterstützt AU-Scoping für die im AU enthaltenen Benutzer, Gruppen oder Geräte. Supports AU scoping for users, groups, or devices contained in the AU. | Vor Zuweisung die exakte Aufgabentrennung dokumentieren. Document the exact separation of duties before assignment.
User Administrator User Administrator | Unterstützt AU-Scoping für die im AU enthaltenen Benutzer, Gruppen oder Geräte. Supports AU scoping for users, groups, or devices contained in the AU. | Vor Zuweisung die exakte Aufgabentrennung dokumentieren. Document the exact separation of duties before assignment.

Restricted-Management-Effekt Restricted management effect | Was blockiert wird What is blocked | Worauf achten What to watch
--- | --- | ---
Geschützte Benutzerverwaltung Protected user administration | Breite Adminrechte wirken nicht mehr automatisch auf Mitglieder der Restricted AU. Broad admin rights no longer automatically apply to members of the restricted AU. | Berechtigungen explizit und minimal zuweisen. Assign permissions explicitly and minimally.
Höhere Hürde für Helpdesk Higher bar for helpdesk | Standard-Helpdesk-Prozesse greifen nicht zwangsläufig. Standard helpdesk processes do not necessarily apply. | Sonderprozesse für VIPs und Break-Glass definieren. Define special processes for VIPs and break-glass.
Audit-Relevanz Audit relevance | Änderungen an Restricted AUs sind besonders prüfungsrelevant. Changes to restricted AUs are especially audit relevant. | Benachrichtigungen und regelmäßige Reviews einrichten. Set up notifications and regular reviews.

## Dynamische Regeln und Delegationsmuster Dynamic rules and delegation patterns

Regelthema Rule topic | Beispiel Example | Kommentar Comment
--- | --- | ---
Land Country | user.country -eq "DE" user.country -eq "DE" | Klassisches regionales Scoping. Classic regional scoping.
Abteilung Department | user.department -eq "Finance" user.department -eq "Finance" | Hilfreich für Fachbereichsdelegation. Helpful for department delegation.
Nutzung von -in Use of -in | user.companyName -in ["Contoso","Fabrikam"] user.companyName -in ["Contoso","Fabrikam"] | Gut für mehrere Tochtergesellschaften. Good for multiple subsidiaries.
Geräteeigenschaft Device property | device.deviceOwnership -eq "Company" device.deviceOwnership -eq "Company" | Für Geräte-AUs und Cloud Device Admins. For device AUs and cloud device admins.
Nicht-Operatoren Negation operators | user.department -ne "Executive" user.department -ne "Executive" | Nur mit Vorsicht für Exklusionen. Use carefully for exclusions.
Kombination Combination | (user.country -eq "DE") and (user.department -eq "Retail") (user.country -eq "DE") and (user.department -eq "Retail") | Klar dokumentieren, um Drift zu vermeiden. Document clearly to avoid drift.

- Regionale IT-Admins: AU pro Land oder Region plus User Administrator und Helpdesk Administrator. Regional IT admins: AU per country or region plus User Administrator and Helpdesk Administrator.
- Fachbereichs-Helpdesk: AU nach Abteilung plus Password Administrator oder Authentication Administrator. Department helpdesk: AU by department plus Password Administrator or Authentication Administrator.
- Gerätebetrieb: Geräte-AU plus Cloud Device Administrator für dedizierte Gerätezonen. Device operations: device AU plus Cloud Device Administrator for dedicated device zones.
- VIP-/Executive-Schutz: Restricted Management AU für Vorstand, Security Leads und Break-Glass-Nutzer. VIP/executive protection: restricted management AU for executives, security leads, and break-glass users.

## Graph API, PowerShell, Audit und Limits Graph API, PowerShell, audit, and limits

API / Cmdlet API / cmdlet | Zweck Purpose | Hinweis Note
--- | --- | ---
POST /directory/administrativeUnits POST /directory/administrativeUnits | Erstellt eine AU. Creates an AU. | Für Restricted Management zusätzliche Eigenschaften setzen. Set additional properties for restricted management.
POST /directory/administrativeUnits/{id}/members/$ref POST /directory/administrativeUnits/{id}/members/$ref | Fügt Mitglieder hinzu. Adds members. | Unterstützte Objekttypen beachten. Observe supported object types.
Get-MgDirectoryAdministrativeUnit Get-MgDirectoryAdministrativeUnit | Liest AUs und deren Eigenschaften. Reads AUs and their properties. | Gut für Inventur und Export. Good for inventory and export.
New-MgRoleManagementDirectoryRoleAssignment New-MgRoleManagementDirectoryRoleAssignment | Weist Rolle auf AU-Scope zu. Assigns a role at AU scope. | scopeId bzw. directoryScopeId korrekt angeben. Provide the correct scopeId or directoryScopeId.

JSON JSON

    {
      "displayName": "AU-DE-Retail",
      "description": "Administrative unit for German retail users",
      "membershipType": "Dynamic",
      "membershipRule": "(user.country -eq "DE") and (user.department -eq "Retail")"
    }

PowerShell PowerShell

    Connect-MgGraph -Scopes "AdministrativeUnit.ReadWrite.All","RoleManagement.ReadWrite.Directory"
    Get-MgDirectoryAdministrativeUnit -All |
        Select-Object Id, DisplayName, MembershipType

Bekannte Grenze / Thema Known limit / topic | Bedeutung Meaning | Empfehlung Recommendation
--- | --- | ---
Nur bestimmte Rollen Only selected roles | Nicht jede Entra-Rolle unterstützt AU-Scoping. Not every Entra role supports AU scoping. | Immer aktuelle Rollenmatrix prüfen. Always validate the current role matrix.
Regellatenz Rule latency | Dynamische Mitgliedschaft ist nicht instantan. Dynamic membership is not instantaneous. | Bei JIT-Prozessen keine Null-Minuten-Erwartung annehmen. Do not assume zero-minute latency for JIT processes.
Gruppennesting Group nesting | Komplexe Verschachtelung erschwert Delegationsanalyse. Complex nesting makes delegation analysis harder. | Flache Gruppendesigns bevorzugen. Prefer flatter group designs.
Audit Audit | Rollen- und Mitgliedschaftsänderungen sind revisionsrelevant. Role and membership changes are audit relevant. | Review- und Alert-Prozesse etablieren. Establish review and alert processes.

## Betriebscheckliste Operational checklist

Checkpunkt Checkpoint | Erwarteter Zustand Expected state | Bewertung Assessment
--- | --- | ---
Scope-Modell dokumentiert Scope model documented | Regionen, Abteilungen und Rollen klar beschrieben. Regions, departments, and roles clearly documented. | Ja/Nein Yes/No
Restricted AUs identifiziert Restricted AUs identified | VIPs und sensible Gruppen separat geschützt. VIPs and sensitive groups protected separately. | Ja/Nein Yes/No
Dynamische Regeln geprüft Dynamic rules validated | Regeln liefern erwartete Mitglieder. Rules yield expected members. | Ja/Nein Yes/No
Role assignments minimal Role assignments minimal | Nur erforderliche Rollen pro AU vergeben. Only required roles assigned per AU. | Ja/Nein Yes/No
Owner/Helpdesk Prozesse Owner/helpdesk processes | Tickets und Eskalationen kennen AU-Grenzen. Tickets and escalations understand AU boundaries. | Ja/Nein Yes/No
Audit geprüft Audit reviewed | Mitgliedschafts- und Rollenevents landen im Monitoring. Membership and role events reach monitoring. | Ja/Nein Yes/No
Nesting reduziert Nesting reduced | Komplexität der Gruppenstruktur begrenzt. Group structure complexity limited. | Ja/Nein Yes/No
Break-glass ausgenommen Break-glass excluded | Notfallkonten bewusst in/aus AUs geplant. Emergency accounts are deliberately handled in/out of AUs. | Ja/Nein Yes/No

## Glossar & Schnellreferenz Glossary & quick reference

Begriff Term | Definition Definition
--- | ---
AU AU | Administrative Unit. Administrative Unit.
Directory Scope Directory Scope | Begrenzter Verwaltungsbereich im Verzeichnis. Limited administration scope in the directory.
Restricted Management Restricted Management | Zusätzlicher Schutz für sensible Objekte. Additional protection for sensitive objects.
Dynamic Membership Dynamic Membership | Rule-based member calculation. Regelbasierte Mitgliedsberechnung.
Scoped Role Scoped Role | Rolle mit AU-spezifischem Wirkbereich. Role with AU-specific effect scope.
DirectoryScopeId DirectoryScopeId | Graph-Feld für Scope-Zuweisung. Graph field for scope assignment.
Group Nesting Group Nesting | Verschachtelte Gruppeneffekte in AUs. Nested group effects inside AUs.
Role Assignment Role Assignment | Zuweisung einer Rolle auf AU-Scope. Assignment of a role on AU scope.