# Entra Permissions Management Entra Permissions Management

Cloud Infrastructure Entitlement Management (CIEM) für Azure, AWS und GCP – Permissions Creep Index, Remediation, Alerts und Reporting. Cloud Infrastructure Entitlement Management (CIEM) for Azure, AWS, and GCP – Permissions Creep Index, remediation, alerts, and reporting.

Multi-Cloud CIEM Multi-cloud CIEM

Einheitliche Sicht auf Berechtigungen in Azure, AWS und GCP in einem Dashboard.Unified view of permissions across Azure, AWS, and GCP in a single dashboard.

Permissions Creep Index (PCI)Permissions Creep Index (PCI)

Numerischer Score, der angibt, wie weit die tatsächliche Nutzung von den vergebenen Berechtigungen abweicht.Numerical score indicating how much actual usage deviates from granted permissions.

Remediation Remediation

Automatisierte oder manuelle Rechtekorrektur: Overprovisioned Identities auf Minimum reduzieren.Automated or manual rights correction: reduce overprovisioned identities to minimum.

Alerts & Reports Alerts & Reports

Echtzeit-Benachrichtigungen bei anomalen Berechtigungsnutzungen und regelmäßige Compliance-Reports.Real-time notifications for anomalous permission usage and periodic compliance reports.

## Überblick – CIEM Overview – CIEM

Microsoft Entra Permissions Management ist ein Cloud Infrastructure Entitlement Management (CIEM)-Produkt, das den Grundsatz des Least Privilege auf Multi-Cloud-Infrastrukturberechtigungen anwendet. Es analysiert, welche Berechtigungen für alle Identitäten (Benutzer, Rollen, Service Accounts, Managed Identities) in Azure, AWS und GCP vergeben wurden, und vergleicht dies mit dem tatsächlichen Nutzungsverhalten. Microsoft Entra Permissions Management is a Cloud Infrastructure Entitlement Management (CIEM) product that applies the principle of least privilege to multi-cloud infrastructure permissions. It analyzes which permissions are granted to all identities (users, roles, service accounts, managed identities) in Azure, AWS, and GCP, and compares this with actual usage behavior.

ℹ️ Lizenzierung ℹ️ Licensing

Entra Permissions Management ist eine separate Add-on-Lizenz (nicht in P1/P2 enthalten) und wird pro verwalteter Ressource abgerechnet. Es ist auch Bestandteil der Microsoft Entra Suite. Die Einrichtung erfordert keinen Azure-Konnector-Agenten; die Datenerfassung erfolgt über API-Verbindungen. Entra Permissions Management is a separate add-on license (not included in P1/P2) and is billed per managed resource. It is also part of the Microsoft Entra Suite. Setup requires no Azure connector agent; data collection happens via API connections.

## Unterstützte Plattformen Supported platforms

Plattform Platform | Verbindungstyp Connection type | Erhobene Daten Collected data
--- | --- | ---
Microsoft Azure Microsoft Azure | App-Registrierung mit Leseberechtigungen auf Subscription-Ebene App registration with read permissions at subscription level | RBAC-Zuweisungen, Azure Activity Log, Ressourcen-Inventory RBAC-Zuweisungen, Azure Activity Log, Ressourcen-Inventory
Amazon Web Services (AWS)Amazon Web Services (AWS) | IAM-Rolle mit AWS-managed ReadOnlyAccess Policy IAM role with AWS-managed ReadOnlyAccess policy | IAM Users, Roles, Policies, CloudTrail Events IAM Users, Roles, Policies, CloudTrail Events
Google Cloud Platform (GCP)Google Cloud Platform (GCP) | Service Account mit Viewer + Security Reviewer + Audit Log-Leserechten Service account with Viewer + Security Reviewer + Audit Log read permissions | IAM Bindings, Audit Logs, Resource Hierarchy IAM Bindings, Audit Logs, Resource Hierarchy

## Permission Creep Index (PCI)Permission Creep Index (PCI)

Der Permissions Creep Index (PCI) ist eine zentrale Kennzahl. Er berechnet für jede Identität das Verhältnis zwischen vergebenen und tatsächlich genutzten Berechtigungen. Ein hoher PCI-Wert (0–100) bedeutet, dass die Identität deutlich mehr Rechte hat, als sie nutzt. The Permissions Creep Index (PCI) is a central metric. For each identity it calculates the ratio between granted and actually used permissions. A high PCI value (0–100) means the identity has significantly more rights than it uses.

PCI-Bereich PCI-Bereich | Risikostufe Risk level | Empfehlung Recommendation
--- | --- | ---
0–33 0–33 | Niedrig (grün)Low (green) | Akzeptabel; reguläres Review Acceptable; regular review
34–66 34–66 | Mittel (gelb)Medium (yellow) | Ungenutzte Berechtigungen prüfen und reduzieren Review and reduce unused permissions
67–100 67–100 | Hoch (rot)High (red) | Sofortige Remediation; Right-size auf genutzte Berechtigungen Immediate remediation; right-size to used permissions

Der PCI aggregiert auf Tenant-, Account- oder Ressourcengruppenebene und erlaubt sowohl eine Gesamtübersicht als auch einen Drill-down auf einzelne Identitäten. The PCI aggregates at tenant, account, or resource group level and allows both an overall view and a drill-down to individual identities.

## Unterstützte Identitätstypen Supported identity types

Identitätstyp Identity type | Azure Azure | AWS AWS | GCP GCP
--- | --- | --- | ---
Benutzer Users | ✅✅ | ✅✅ | ✅✅
Gruppen Groups | ✅✅ | ✅✅ | ✅✅
Service Principals / Anwendungen Service principals / Applications | ✅✅ | ✅ (Roles)✅ (Roles) | ✅ (Service Accounts)✅ (Service Accounts)
Managed Identities Managed Identities | ✅✅ | –– | ––
Serverless Functions Serverless Functions | ✅✅ | ✅ (Lambda)✅ (Lambda) | ✅ (Cloud Functions)✅ (Cloud Functions)
EC2-/VM-Instanzen EC2/VM instances | ✅✅ | ✅✅ | ✅✅

## Remediation Remediation

Entra Permissions Management bietet verschiedene Remediationsoptionen, von manuellen Empfehlungen bis hin zu automatisierten On-Demand-Requests über einen Just-in-Time-Mechanismus. Entra Permissions Management offers various remediation options, from manual recommendations to automated on-demand requests via a Just-in-Time mechanism.

Remediationstyp Remediation type | Beschreibung Description | Automatisierbar Automatable
--- | --- | ---
Right-size Right-size | Berechtigungen auf tatsächlich genutzte Aktionen reduzieren Reduce permissions to actually used actions | Halbautomatisch (Vorschlag + Genehmigung)Semi-automated (suggestion + approval)
Revoke Unused Permissions Revoke Unused Permissions | Seit X Tagen nicht genutzte Berechtigungen entfernen Remove permissions not used for X days | ✅✅
Permissions on Demand (JIT)Permissions on Demand (JIT) | Zeitgebundene Berechtigungseskalation auf Anfrage; Workflow mit Genehmigung Time-bound permission escalation on request; workflow with approval | ✅ (Approval Workflow)✅ (Approval Workflow)
Role Generation Role Generation | Automatisch custom Role/Policy aus tatsächlicher Nutzung generieren Automatically generate custom role/policy from actual usage | ✅✅

## Erkennung und Alerts Detection and alerts

Entra Permissions Management erkennt anomale Berechtigungsnutzungen und sendet Alerts in Echtzeit. Alerts können an E-Mail, ServiceNow oder andere ITSM-Systeme weitergeleitet werden. Entra Permissions Management detects anomalous permission usage and sends alerts in real time. Alerts can be forwarded to email, ServiceNow, or other ITSM systems.

Alert-Typ Alert type | Beschreibung Description
--- | ---
Statistisch ungewöhnliche Aktion Statistically unusual action | Identität nutzt Aktion, die zuvor selten oder nie ausgeführt wurde Identity uses an action rarely or never performed before
Privilege Escalation Privilege Escalation | Identität führt Aktionen aus, die eigene Berechtigungen erhöhen könnten Identity performs actions that could increase own permissions
Cross-Account Access Cross-Account Access | Zugriff über Account-Grenzen hinweg (z. B. AWS AssumeRole auf fremdes Konto)Access across account boundaries (e.g. AWS AssumeRole on foreign account)
Inactive Identity Inactive Identity | Identität mit hohem PCI, die seit Langem inaktiv ist Identity with high PCI that has been inactive for a long time
Data Exfiltration Risk Data Exfiltration Risk | Ungewöhnlich viele Leseaktionen auf Storage-Ressourcen Unusually high number of read actions on storage resources
Anomalous MFA Bypass Anomalous MFA Bypass | Service Account nutzt Aktionen, die normalerweise MFA-Schütz erfordern Service account uses actions that normally require MFA protection

## Berichte Reports

Bericht Report | Inhalt Content | Format Format
--- | --- | ---
PCI Distribution PCI Distribution | PCI-Verteilung aller Identitäten nach Risikostufe PCI distribution of all identities by risk level | CSV, PDF CSV, PDF
Identity Detail Identity Detail | Alle vergebenen und genutzten Aktionen einer spezifischen Identität All granted and used actions of a specific identity | CSV CSV
Permissions Analytics Permissions Analytics | Top-Über-Berechtigte, inaktive Identitäten, ungenutzte Rollen Top over-permissioned, inactive identities, unused roles | Dashboard + CSV Dashboard + CSV
Activity Activity | Alle Aktionen aller Identitäten im Beobachtungszeitraum All actions of all identities in the observation period | CSV CSV
Privilege Creep Privilege Creep | Trend des PCI über Zeit pro Account oder Ressourcengruppe PCI trend over time per account or resource group | Dashboard Dashboard

## Berechtigungsanalyse Permissions analysis

Die Berechtigungsanalyse in Microsoft Entra Permissions Management zeigt, welche Berechtigungen tatsächlich genutzt werden und welche ungenutzt sind. Basis ist das Konzept Permissions Used vs. Granted. The permissions analysis in Microsoft Entra Permissions Management shows which permissions are actually used and which are unused. It is based on the concept of Permissions Used vs. Granted.

Analysetyp Analysis type | Beschreibung Description
--- | ---
Permissions Used Permissions Used | In den letzten 90 Tagen ausgeführte Aktionen Actions executed in the last 90 days
Permissions Granted Permissions Granted | Alle zugewiesenen Berechtigungen inkl. ungenutzter All assigned permissions including unused ones
High-Risk Permissions High-Risk Permissions | Kritische Aktionen (Datenzugriff, IAM-Änderungen, Compute)Critical actions (data access, IAM changes, compute)
Identity Risk Score Identity Risk Score | Risikobewertung pro Identität basierend auf PCI und Nutzungsmustern Risk score per identity based on PCI and usage patterns

## Permissions Monitoring Permissions monitoring

Das kontinuierliche Monitoring überwacht Berechtigungsänderungen, unerwartete Aktivitäten und neu erkannte Risiken in AWS, Azure und GCP. Alerts können an E-Mail, Microsoft Teams oder SIEM weitergeleitet werden. Continuous monitoring tracks permission changes, unexpected activities, and newly identified risks across AWS, Azure, and GCP. Alerts can be forwarded to email, Microsoft Teams, or SIEM.

Monitoring-Typ Monitoring type | Beschreibung Description | Beispiel-Alert Example alert
--- | --- | ---
Activity Triggers Activity Triggers | Regelbasierte Alerts bei bestimmten API-Aufrufen Rule-based alerts on specific API calls | iam:CreateAccessKey iam:CreateAccessKey
Anomaly Detection Anomaly Detection | KI-basierte Erkennung ungewöhnlicher Muster AI-based detection of unusual patterns | Zugriff um 3 Uhr morgens aus unbekannter Region Access at 3 AM from unknown region
New High-Risk Permissions New High-Risk Permissions | Neu zugewiesene kritische Berechtigungen Newly assigned critical permissions | s3:DeleteBucket s3:DeleteBucket

## Onboarding und Einrichtung Onboarding and setup

### Azure

PowerShell / Azure CLI

    # App-Registrierung für Permissions Management anlegen
    # Create app registration for Permissions Management
    $app = New-MgApplication -DisplayName "EntraPermissionsManagement" -SignInAudience "AzureADMyOrg"
    $sp = New-MgServicePrincipal -AppId $app.AppId

    # Leseberechtigungen auf Subscription-Ebene vergeben
    # Grant read permissions at subscription level
    $subscriptionId = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
    New-AzRoleAssignment -ObjectId $sp.Id `
        -RoleDefinitionName "Reader" `
        -Scope "/subscriptions/$subscriptionId"

    # Zusätzlich benötigte Microsoft Graph-Berechtigungen für Gruppenauflösung
    # Additionally required Microsoft Graph permissions for group resolution
    # → In App-Registrierung: Directory.Read.All (Application Permission, Admin Consent)

### AWS

JSON – AWS IAM Trust Policy

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Federated": "arn:aws:iam::123456789012:oidc-provider/sts.windows.net/tenant-id"
          },
          "Action": "sts:AssumeRoleWithWebIdentity",
          "Condition": {
            "StringEquals": {
              "sts.windows.net/tenant-id:aud": "api://AzureADTokenExchangeEntraPermissionsManagement"
            }
          }
        }
      ]
    }

    # AWS Policy für die Rolle: ReadOnlyAccess (AWS Managed) + SecurityAudit

## Integration mit Conditional Access Integration with Conditional Access

Entra Permissions Management identifiziert hochriskante Identitäten, die dann als Grundlage für verschärfte CA-Policies dienen können. Durch die Kombination beider Tools entsteht ein geschlossener Regelkreis aus Erkennung und Durchsetzung. Entra Permissions Management identifies high-risk identities, which can then serve as the basis for stricter CA policies. By combining both tools, a closed feedback loop of detection and enforcement is created.

✅ Empfohlener Workflow✅ Recommended workflow

1. PCI-Bericht abrufen und Identitäten mit hohem Score exportieren. 2. Identitäten mit PCI > 67 sofort auf Right-size setzen. 3. Service Accounts und Managed Identities auf Permissions-on-Demand umstellen. 4. Regelmäßige CA Access Reviews für überberechtigte Benutzer. 5. Alerts in SIEM oder ITSM weiterleiten für proaktives Incident Management. 1. Retrieve PCI report and export identities with high score. 2. Immediately right-size identities with PCI > 67. 3. Convert service accounts and managed identities to Permissions on Demand. 4. Regular CA access reviews for over-permissioned users. 5. Forward alerts to SIEM or ITSM for proactive incident management.

## Abgrenzung zu PIM Distinction from PIM

Merkmal Aspect | Entra PIM Entra PIM | Entra Permissions Management Entra Permissions Management
--- | --- | ---
Fokus Focus | Entra ID-Rollen und Azure RBAC Entra ID roles and Azure RBAC | Multi-Cloud IAM (Azure, AWS, GCP)Multi-cloud IAM (Azure, AWS, GCP)
JIT JIT | Rollenaktivierung für Entra/Azure Role activation for Entra/Azure | Permissions on Demand für alle drei Clouds Permissions on Demand for all three clouds
Erkennung Detection | Rollenüberprüfung / Access Reviews Role review / Access Reviews | PCI, Anomalie-Erkennung, Nutzungsanalyse PCI, anomaly detection, usage analytics
Lizenz License | Entra ID P2 Entra ID P2 | Permissions Management Add-on / Entra Suite Permissions Management add-on / Entra Suite

## Permissions on Demand – Just-in-Time Workflow Permissions on demand – just-in-time workflow

Permissions on Demand ermöglicht eine JIT-Eskalation von Cloud-Berechtigungen für Azure, AWS und GCP. Benutzer können erhöhte Berechtigungen für einen definierten Zeitraum anfordern; ein Genehmigungsworkflow und automatische Revokation stellen sicher, dass dauerhaft überhöhte Rechte vermieden werden. Permissions on Demand enables JIT escalation of cloud permissions for Azure, AWS, and GCP. Users can request elevated permissions for a defined time period; an approval workflow and automatic revocation ensure that permanently excessive rights are avoided.

Schritt Step | Aktion Action | Akteur Actor
--- | --- | ---
1 1 | Berechtigung anfordern Request permission | Benutzer über Self-Service-Portal oder API User via self-service portal or API
2 2 | Anfrage weiterleiten Forward request | Entra Permissions Management → Genehmiger Entra Permissions Management → approver
3 3 | Genehmigen oder ablehnen Approve or deny | Resource Owner oder Administrator Resource owner or administrator
4 4 | Berechtigung zeitlich begrenzt vergeben Grant time-limited permission | Entra Permissions Management → Cloud Provider IAM Entra Permissions Management → cloud provider IAM
5 5 | Automatische Revokation nach Ablauf Automatic revocation after expiry | Entra Permissions Management Entra Permissions Management

## GCP Onboarding GCP onboarding

gcloud – Service Account für Permissions Management Service account for Permissions Management

    # Service Account erstellen
    gcloud iam service-accounts create entra-pm-reader \
      --description="Entra Permissions Management Reader" \
      --display-name="Entra PM Reader"

    # Viewer-Rolle auf Projektebene zuweisen
    gcloud projects add-iam-policy-binding PROJECT_ID \
      --member="serviceAccount:entra-pm-reader@PROJECT_ID.iam.gserviceaccount.com" \
      --role="roles/viewer"

    # Security Reviewer-Rolle hinzufügen
    gcloud projects add-iam-policy-binding PROJECT_ID \
      --member="serviceAccount:entra-pm-reader@PROJECT_ID.iam.gserviceaccount.com" \
      --role="roles/iam.securityReviewer"

    # Audit Log Viewer hinzufügen
    gcloud projects add-iam-policy-binding PROJECT_ID \
      --member="serviceAccount:entra-pm-reader@PROJECT_ID.iam.gserviceaccount.com" \
      --role="roles/logging.viewer"

    # Workload Identity Federation konfigurieren
    gcloud iam workload-identity-pools create entra-pm-pool \
      --location="global" --description="Pool for Entra Permissions Management"

## Kennzahlen und KPIs Metrics and KPIs

KPI KPI | Zielwert Target value | Bedeutung Significance
--- | --- | ---
Durchschnittlicher PCI Durchschnittlicher PCI | < 33< 33 | Geringe Über-Provisionierung im Durchschnitt Low over-provisioning on average
% Identitäten mit PCI > 67% identities with PCI > 67 | < 5 %< 5 % | Wenige hochriskante Identitäten Few high-risk identities
Inaktive Identitäten (> 90 Tage)Inactive identities (> 90 days) | < 2 %< 2 % | Wenige verwaiste Konten und Rollen Few orphaned accounts and roles
JIT-Nutzungsrate JIT-Nutzungsrate | > 80 % privilegierter Zugriffe> 80 % privilegierter Zugriffe | Hohe Adoption des JIT-Modells High adoption of JIT model
Offene Alerts Offene Alerts | MTTR < 24 h MTTR < 24 h | Schnelle Reaktion auf Anomalien Fast response to anomalies

✅ Empfohlener Einstieg✅ Recommended entry point

Beginnen Sie mit dem Read-Only-Onboarding aller drei Cloud-Plattformen und dem PCI-Dashboard, bevor Sie Remediation-Aktionen ausführen. Das initiale Inventar benötigt 24–48 Stunden für die erste vollständige Analyse. Start with the read-only onboarding of all three cloud platforms and the PCI dashboard before executing remediation actions. The initial inventory requires 24–48 hours for the first complete analysis.

## Lifecycle-Policies für Cloud-Identitäten Lifecycle policies for cloud identities

Entra Permissions Management empfiehlt die Implementierung von Lifecycle-Policies für Cloud-Identitäten, um automatisch verwaiste Konten, ungenutzte Rollen und abgelaufene Berechtigungen zu erkennen und zu behandeln. Entra Permissions Management recommends implementing lifecycle policies for cloud identities to automatically detect and address orphaned accounts, unused roles, and expired permissions.

Identitätstyp Identity type | Lifecycle-Ereignis Lifecycle event | Empfohlene Aktion Recommended action
--- | --- | ---
Benutzer (Abgang)User (offboarding) | Account deaktiviert/gelöscht Account disabled/deleted | Cloud-Berechtigungen sofort entfernen Remove cloud permissions immediately
Service Account Service Account | Anwendung außer Betrieb Application decommissioned | IAM-Rolle und Schlüssel widerrufen Revoke IAM role and keys
Managed Identity Managed Identity | Azure-Ressource gelöscht Azure resource deleted | RBAC-Zuweisungen prüfen und bereinigen Review and clean up RBAC assignments
Temporäre Rolle (JIT)Temporary role (JIT) | Zeitfenster abgelaufen Time window expired | Automatische Revokation durch Permissions Management Automatic revocation by Permissions Management

## Best Practices Best practices

- Beginnen Sie mit Read-Only-Onboarding aller Accounts; führen Sie erst nach dem ersten PCI-Inventar Remediations durch.Start with read-only onboarding of all accounts; only perform remediations after the first PCI inventory.
- Priorisieren Sie Identitäten mit PCI > 67 und mehr als 30 Tagen Inaktivität – diese sind das höchste Risiko.Prioritize identities with PCI > 67 and more than 30 days of inactivity – these represent the highest risk.
- Implementieren Sie Permissions on Demand als Standard für alle privilegierten Aktionen (IAM-Änderungen, Ressourcenerstellung).Implement Permissions on Demand as standard for all privileged actions (IAM changes, resource creation).
- Exportieren Sie PCI-Trends nach Log Analytics für Compliance-Reporting und Trend-Analyse über Quartalsgrenzen hinweg.Export PCI trends to Log Analytics for compliance reporting and trend analysis across quarters.
- Integrieren Sie Alerts in bestehende ITSM/SIEM-Infrastruktur für nahtloses Incident Management.Integrate alerts into existing ITSM/SIEM infrastructure for seamless incident management.

## PowerShell & CLI-Referenz PowerShell & CLI Reference

Für die Automatisierung von Entra Permissions Management stehen REST-APIs und CLI-Tools zur Verfügung.For automating Entra Permissions Management, REST APIs and CLI tools are available.

PowerShell / AZ CLI

    # Azure – Rollenzuweisungen mit PCI analysieren (Azure Resource Graph)
    $query = "AuthorizationResources
    | where type =~ 'Microsoft.Authorization/roleAssignments'
    | extend principalId = tostring(properties.principalId)
    | extend roleDefId = tostring(properties.roleDefinitionId)
    | project principalId, roleDefId, subscriptionId, resourceGroup"
    Search-AzGraph -Query $query | Export-Csv -Path ".\role-assignments.csv" -NoTypeInformation

    # AWS – IAM Berechtigungsanalyse via Access Analyzer
    aws accessanalyzer list-findings --analyzer-arn arn:aws:access-analyzer:eu-west-1:123456789012:analyzer/ConsoleAnalyzer

    # GCP – IAM Policy Bindings für Projekt abrufen
    gcloud projects get-iam-policy myproject --format=json | ConvertFrom-Json |
        Select-Object -ExpandProperty bindings |
        Where-Object { $_.role -like "*admin*" }

## Alerttypen & Schweregrade Alert Types & Severity Levels

Entra Permissions Management generiert automatisierte Alerts für verdächtige Berechtigungsaktivitäten.Entra Permissions Management generates automated alerts for suspicious permissions activities.

Alert-Typ Alert Type | Schweregrad Severity | Beschreibung Description
--- | --- | ---
Super Identity entdeckt Super identity detected | Kritisch Critical | Identität mit globalem Admin-Berechtigungen Identity with global admin permissions
Ungenutzte hochprivilegierte Rolle Unused high-privilege role | Hoch High | 90+ Tage keine Nutzung trotz hohen Berechtigungen 90+ days unused despite high permissions
PCI-Anstieg PCI increase | Mittel Medium | PCI stieg um >20 Punkte in 7 Tagen PCI increased by >20 points in 7 days
Anomale Ressourcennutzung Anomalous resource usage | Mittel Medium | Ungewöhnliche Aktivität außerhalb der Arbeitszeit Unusual activity outside working hours
Neuer Admin-Benutzer New admin user | Niedrig Low | Admin-Rolle in letzten 24 Stunden vergeben Admin role granted in last 24 hours

## Remediation-Workflow Remediation Workflow

Der Remediation-Workflow in Entra Permissions Management folgt einem standardisierten Prozess von der Erkennung bis zur Korrektur.The remediation workflow in Entra Permissions Management follows a standardised process from detection to correction.

Phase Phase | Aktivität Activity | Tool Tool
--- | --- | ---
1. Erkennung Detection | PCI & Alert Review PCI & alert review | Dashboard Dashboard
2. Analyse Analysis | Analytics-Berichte, Aktivitätshistorie Analytics reports, activity history | Analytics Tab Analytics Tab
3. Empfehlung Recommendation | Right-Size Permission Empfehlungen Right-size permission recommendations | Remediation Tab Remediation tab
4. Genehmigung Approval | JIT-Anfrage oder Ticket JIT request or ticket | ServiceNow / Email ServiceNow / Email
5. Korrektur Correction | Rollenentfernung oder Anpassung Role removal or adjustment | Azure RBAC / IAM Azure RBAC / IAM
6. Verifikation Verification | PCI-Rückgang bestätigen Confirm PCI decrease | Dashboard nach 24h Dashboard after 24h

## Verwandte Seiten Related pages

- Privileged Identity Management (PIM)Privileged Identity Management (PIM)
- Governance & Lifecycle Governance & Lifecycle
- Rollen & Administratoren Roles & Administrators
- Monitoring & Audit Monitoring & Audit
- Conditional Access Conditional Access