# Benutzerdefinierte Sicherheitsattribute Custom Security Attributes

Attribute Sets, Definitionen, ABAC, RBAC, Graph CRUD, Audit Logs und Governance-Muster für strukturierte Sicherheitsmetadaten. Attribute sets, definitions, ABAC, RBAC, Graph CRUD, audit logs, and governance patterns for structured security metadata.

ABAC-Signal ABAC signal

Custom Security Attributes bringen klassifizierende Metadaten in die Identitätsebene und ermöglichen feineres Autorisierungsdesign. Custom security attributes bring classification metadata into the identity layer and enable finer-grained authorization design.

Starkes Delegationsmodell Strong delegation model

Definition, Zuweisung und Leseberechtigung sind über dedizierte Rollen sauber trennbar. Definition, assignment, and read permissions can be cleanly separated through dedicated roles.

Mehr als nur Benutzer More than just users

Attribute können auf Benutzer, Service Principals, Anwendungen und in Vorschau auf Gruppen angewandt werden. Attributes can be applied to users, service principals, applications, and in preview to groups.

Governance-first Governance first

Namen, Wertebereiche und Ownership müssen wie ein Schema behandelt werden, obwohl keine klassische AD-Schemaerweiterung erfolgt. Names, value ranges, and ownership must be treated like schema even though no classic AD schema extension occurs.

## Überblick, Use Cases und Limits Overview, use cases, and limits

Custom Security Attributes sind mandantenweite, strukturierte Metadaten für sicherheitsrelevante Klassifikation. Typische Einsatzfelder sind Mandanten- oder Datenklassifikation, Applikationsownership, Umgebungsmarkierungen, Geschäftsbereichs-Tags und Attribut-basierte Zugriffssteuerung. Custom security attributes are tenant-wide structured metadata for security-relevant classification. Typical use cases are tenant or data classification, application ownership, environment markings, business-unit tags, and attribute-based access control.

Limit Limit | Wert Value | Kommentar Comment
--- | --- | ---
Attribute Sets pro Tenant Attribute sets per tenant | Bis zu 500. Up to 500. | Sets logisch und langfristig benennen. Name sets logically and for long-term use.
Definitionen pro Set Definitions per set | Bis zu 500 laut gewünschtem Zielmodell dieser Referenz. Up to 500 according to the target model for this reference. | Praktisch dennoch sparsam bleiben. Still stay conservative in practice.
Wertetypen Value types | String, Integer, Boolean. String, Integer, Boolean. | Datentyp früh festlegen; späterer Wechsel ist aufwendig. Choose the data type early; later change is costly.
Multi-Value Multi-value | Unterstützt für ausgewählte Definitionen. Supported for selected definitions. | Nur dort nutzen, wo wirklich mehrere Werte nötig sind. Use only where multiple values are truly needed.
Predefined Values Predefined values | Optional erlaubte Werte zur Governance. Optional allowed values for governance. | Hilft Tippfehler und Wildwuchs zu vermeiden. Helps avoid typos and sprawl.

## Attribute Sets, Definitionen und Zuweisungen Attribute sets, definitions, and assignments

Baustein Building block | Beschreibung Description | Empfehlung Recommendation
--- | --- | ---
Attribute Set Attribute set | Container für logisch zusammengehörige Attribute wie dataClass oder appOwner. Container for logically related attributes such as dataClass or appOwner. | Nach Domäne oder Governance-Thema gliedern. Group by domain or governance theme.
Definition Definition | Konkretes Attribut mit Typ, Mehrwertigkeit und optionalen erlaubten Werten. Concrete attribute with type, multivalue flag, and optional allowed values. | Kurze sprechende Namen plus Beschreibung. Use short readable names plus a description.
Assignment Assignment | Wertzuordnung auf unterstützte Objekte. Value assignment on supported objects. | Automatisierbar über Graph oder PowerShell. Automatable through Graph or PowerShell.
RBAC RBAC | Definition und Assignment können separat verwaltet werden. Definition and assignment can be governed separately. | Least Privilege konsequent umsetzen. Apply least privilege consistently.

Zielobjekt Target object | Status Status | Praxisbeispiel Practical example
--- | --- | ---
Benutzer Users | Allgemein verfügbar. Generally available. | Klassifikation nach Standort, Schutzniveau oder Datenrolle. Classification by location, protection level, or data role.
Service Principals Service principals | Allgemein verfügbar. Generally available. | Applikationsowner, Betriebsumgebung, Tier. Application owner, operating environment, tier.
Applications Applications | Allgemein verfügbar. Generally available. | Produkt, Compliance, Business Criticality. Product, compliance, business criticality.
Groups Groups | Preview laut Anforderung. Preview according to the requirement. | ABAC-Szenarien mit Gruppenkontext. ABAC scenarios with group context.

## Filtering, ABAC und Conditional Access Integration Filtering, ABAC, and Conditional Access integration

Szenario Scenario | Wie Custom Security Attributes helfen How custom security attributes help | Hinweis Note
--- | --- | ---
ABAC auf Azure-Ressourcen ABAC on Azure resources | Attribute werden in Berechtigungsentscheidungen als zusätzliche Bedingung genutzt. Attributes are used as an extra condition in authorization decisions. | Saubere Taxonomie ist entscheidend. A clean taxonomy is critical.
Dynamische Gruppen Dynamic groups | Preview-Szenarien erlauben Gruppenbildung anhand von Attributen. Preview scenarios allow grouping based on attributes. | Regeln und Latenz genau testen. Test rules and latency carefully.
Conditional Access Conditional Access | Klassifikationen können in CA-Designs als Kontext dienen, etwa für App- oder Workload-Kategorien. Classifications can serve as context in CA designs, for example for app or workload categories. | Nicht jede Bedingung ist in jedem Portalpfad sofort sichtbar. Not every condition is immediately visible in every portal path.
Berichte und Governance Reporting and governance | Attribute liefern Gruppierung für Inventare, Reviews und Ownership-Matrizen. Attributes provide grouping for inventories, reviews, and ownership matrices. | Vor allem für große App-Portfolios wertvoll. Especially valuable for large app portfolios.

⚠️ Governance-Falle ⚠️ Governance pitfall

Custom Security Attributes dürfen nicht als unkontrolliertes Freitextfeld enden. Definiere Eigentümer, Review-Intervalle, Namenskonventionen und erlaubte Werte von Anfang an. Custom security attributes must not become uncontrolled free text. Define owners, review intervals, naming conventions, and allowed values from the start.

## RBAC, Audit Logs, Graph API und PowerShell RBAC, audit logs, Graph API, and PowerShell

Rolle Role | Berechtigung Permission | Typischer Nutzer Typical user
--- | --- | ---
Attribute Definition Administrator Attribute Definition Administrator | Erstellt und ändert Sets und Definitionen. Creates and updates sets and definitions. | Zentrales IAM- oder Governance-Team. Central IAM or governance team.
Attribute Definition Reader Attribute Definition Reader | Liest Metadaten der Definitionen. Reads definition metadata. | Architektur, Audit, Security. Architecture, audit, security.
Attribute Assignment Administrator Attribute Assignment Administrator | Setzt Werte auf unterstützten Objekten. Sets values on supported objects. | Applikations- oder HR-nahe Prozesse. Application or HR-adjacent processes.
Attribute Assignment Reader Attribute Assignment Reader | Liest gesetzte Attributwerte. Reads assigned attribute values. | Reporterstellung und Rezertifizierung. Reporting and recertification.

Audit-Ereignis Audit event | Beispiel Example | Nutzen Use
--- | --- | ---
Definition erstellt Definition created | Neues Set oder neues Attribut angelegt. New set or new attribute created. | Nachvollziehbarkeit von Schemaentscheidungen. Traceability of schema decisions.
Definition geändert Definition changed | Allowed values oder Mehrwertigkeit geändert. Allowed values or multivalue setting changed. | Erkennen potenziell brechender Änderungen. Detect potentially breaking changes.
Assignment geändert Assignment changed | Benutzer oder App bekommt neuen Klassifikationswert. User or app receives a new classification value. | Forensik und Rezertifizierung. Forensics and recertification.

Graph-API Graph API | Pfad Path | Operation Operation
--- | --- | ---
Definitionen Definitions | /directory/customSecurityAttributeDefinitions /directory/customSecurityAttributeDefinitions | CRUD für Sets und Definitionen. CRUD for sets and definitions.
Benutzer Users | /users/{id} /users/{id} | customSecurityAttributes im Objekt aktualisieren. Update customSecurityAttributes on the object.
Service Principals Service principals | /servicePrincipals/{id} /servicePrincipals/{id} | Arbeitslastklassifikation pflegen. Maintain workload classification.
Applications Applications | /applications/{id} /applications/{id} | App-Metadaten für Governance ergänzen. Enrich app metadata for governance.

JSON JSON

    {
      "attributeSet": "appGovernance",
      "description": "Application governance attributes",
      "name": "environment",
      "type": "String",
      "isCollection": false,
      "usePreDefinedValuesOnly": true,
      "allowedValues": [
        { "id": "prod", "isActive": true },
        { "id": "test", "isActive": true },
        { "id": "dev",  "isActive": true }
      ]
    }

PowerShell PowerShell

    Connect-MgGraph -Scopes "CustomSecAttributeDefinition.ReadWrite.All","Application.ReadWrite.All"
    Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/v1.0/directory/customSecurityAttributeDefinitions"

## Betriebscheckliste Operational checklist

Checkpunkt Checkpoint | Erwarteter Zustand Expected state | Bewertung Assessment
--- | --- | ---
Namenskonvention festgelegt Naming convention defined | Set- und Attributnamen folgen Governance-Regeln. Set and attribute names follow governance rules. | Ja/Nein Yes/No
Owner je Set Owner per set | Fach- oder Technikverantwortung dokumentiert. Business or technical ownership documented. | Ja/Nein Yes/No
Allowed Values geprüft Allowed values reviewed | Freitext nur wo wirklich nötig. Free text only where truly needed. | Ja/Nein Yes/No
RBAC getrennt RBAC separated | Definition und Assignment getrennt delegiert. Definition and assignment delegated separately. | Ja/Nein Yes/No
Audit aktiv Audit active | Änderungen an Definitionen und Assignments nachvollziehbar. Changes to definitions and assignments are traceable. | Ja/Nein Yes/No
ABAC-Zielbild abgestimmt ABAC target aligned | Downstream-Ressourcen kennen die Taxonomie. Downstream resources understand the taxonomy. | Ja/Nein Yes/No
Preview-Features bewertet Preview features assessed | Gruppen und dynamische Regeln bewusst eingesetzt. Groups and dynamic rules used intentionally. | Ja/Nein Yes/No
Bereinigungsprozess Cleanup process | Obsolete Werte und Definitionen rezertifiziert. Obsolete values and definitions recertified. | Ja/Nein Yes/No

## Glossar & Schnellreferenz Glossary & quick reference

Begriff Term | Definition Definition
--- | ---
Attribute Set Attribute Set | Container logisch zusammengehöriger Attribute. Container for logically related attributes.
Definition Definition | Konkretes Attribut mit Typ und Regeln. Concrete attribute with type and rules.
Assignment Assignment | Wertzuordnung auf Objekt. Value assignment on an object.
Allowed Values Allowed Values | Vordefinierte zulässige Werte. Predefined allowed values.
ABAC ABAC | Attribute-based access control. Attribute-based access control.
Assignment Reader Assignment Reader | Lesezugriff auf gesetzte Werte. Read access to assigned values.
Definition Admin Definition Admin | Verwaltet Sets und Definitionen. Manages sets and definitions.
Multi-value Multi-value | Mehrere Werte pro Attribut. Multiple values per attribute.