Entra ID ÜbersichtEntra ID Overview

Grundlagen, Lizenzstufen, Portale, Limits und erste Automatisierungsschritte für Administratoren.Foundations, licensing tiers, portals, limits, and first automation steps for administrators.

Was ist Microsoft Entra ID?What is Microsoft Entra ID?

Microsoft Entra ID ist der cloudbasierte Identitäts- und Zugriffsverwaltungsdienst von Microsoft. Der Dienst stellt Benutzer, Gruppen, Geräte, Anwendungen, Authentifizierungsrichtlinien und Governance-Funktionen zentral bereit.Microsoft Entra ID is Microsoft's cloud-based identity and access management service. It centrally provides users, groups, devices, applications, authentication policies, and governance features.

Technisch ist Entra ID der direkte Nachfolger von Azure Active Directory. Der Namenswechsel im Juni 2023 änderte das Produktbranding, nicht jedoch die Kernarchitektur oder die Graph-APIs.Technically, Entra ID is the direct successor to Azure Active Directory. The June 2023 rename changed the product branding, not the core architecture or Graph APIs.

Connect-MgGraph -Scopes "Organization.Read.All"
Get-MgOrganization |
  Select-Object Id, DisplayName, TenantType

GET https://graph.microsoft.com/v1.0/organization?$select=id,displayName,tenantType
Authorization: Bearer <token>

Tenant-KonzepteTenant concepts

Ein Tenant ist die logische Sicherheitsgrenze für Verzeichnisobjekte, Richtlinien, Apps und administrative Rollen. Jeder Tenant besitzt eine unveränderliche Tenant-ID und mindestens eine initiale Domäne im Format tenant.onmicrosoft.com.A tenant is the logical security boundary for directory objects, policies, apps, and administrative roles. Every tenant has an immutable tenant ID and at least one initial domain in the tenant.onmicrosoft.com format.

Connect-MgGraph -Scopes "Organization.Read.All","Domain.Read.All"
Get-MgOrganization | Select-Object Id, DisplayName
Get-MgDomain | Select-Object Id, IsVerified, IsDefault

GET https://graph.microsoft.com/v1.0/organization?$select=id,displayName,verifiedDomains
GET https://graph.microsoft.com/v1.0/domains?$select=id,isVerified,isDefault
Authorization: Bearer <token>

Portal-NavigationPortal navigation

Microsoft Entra ID wird heute über mehrere Verwaltungsportale administriert. Das Entra Admin Center ist die primäre Oberfläche für Identitäten, während Azure Portal und Microsoft 365 Admin Center weiterhin angrenzende Aufgaben enthalten.Microsoft Entra ID is administered through several portals. The Entra admin center is the primary surface for identities, while Azure portal and Microsoft 365 admin center still contain adjacent tasks.

Connect-MgGraph -Scopes "Organization.Read.All"
Get-MgContext | Select-Object TenantId, Scopes, AuthType

GET https://graph.microsoft.com/v1.0/organization
Authorization: Bearer <token>

Editionen-VergleichEdition comparison

Die Lizenzstufen Free, P1 und P2 bauen aufeinander auf. Free deckt Basisverzeichnis, SSO und einfache Sicherheit ab, P1 erweitert Automatisierung und Zugriffssteuerung, P2 ergänzt Risiko- und Privilegmanagement.The Free, P1, and P2 licensing tiers build on each other. Free covers core directory, SSO, and basic security; P1 adds automation and access control; P2 adds risk and privilege management.

Connect-MgGraph -Scopes "Organization.Read.All","Directory.Read.All"
Get-MgSubscribedSku |
  Select-Object SkuPartNumber, ConsumedUnits, PrepaidUnits

GET https://graph.microsoft.com/v1.0/subscribedSkus
Authorization: Bearer <token>

Wichtige LimitsImportant limits

Servicegrenzen sind besonders relevant für große Tenants, Automatisierung, Token-Größen und Governance-Designs. Einige Limits sind hart, andere können über Support oder Architekturentscheidungen abgefedert werden.Service limits are especially relevant for large tenants, automation, token sizes, and governance designs. Some limits are hard limits, others can be mitigated through support or architecture decisions.

Connect-MgGraph -Scopes "User.Read.All","Group.Read.All","Application.Read.All"
@{
  Users = (Get-MgUser -All).Count
  Groups = (Get-MgGroup -All).Count
  Applications = (Get-MgApplication -All).Count
}

GET https://graph.microsoft.com/v1.0/users/$count
GET https://graph.microsoft.com/v1.0/groups/$count
GET https://graph.microsoft.com/v1.0/applications/$count
ConsistencyLevel: eventual
Authorization: Bearer <token>

Entra ID vs On-Premises ADEntra ID vs on-premises AD

Microsoft Entra ID ersetzt kein klassisches Active Directory in jedem Szenario. Vielmehr adressiert es moderne Cloud- und SaaS-Identitäten, während AD klassische Windows- und Netzwerkdomänen bedient.Microsoft Entra ID does not replace classic Active Directory in every scenario. Instead, it addresses modern cloud and SaaS identities, while AD serves classic Windows and network domains.

Connect-MgGraph -Scopes "Organization.Read.All","Device.Read.All"
Get-MgDevice -Top 10 |
  Select-Object DisplayName, TrustType, IsCompliant

GET https://graph.microsoft.com/v1.0/devices?$select=displayName,trustType,isCompliant&$top=10
Authorization: Bearer <token>

Entra SuiteEntra Suite

Microsoft Entra ist nicht nur ein einzelner Dienst, sondern eine Produktfamilie. Administratoren sollten die Suite-Komponenten verstehen, weil Lizenzierung, Architektur und Rollen häufig über Entra ID hinausreichen.Microsoft Entra is not just a single service but a product family. Administrators should understand the suite components because licensing, architecture, and roles often extend beyond Entra ID itself.

Connect-MgGraph -Scopes "Directory.Read.All"
Get-MgServicePrincipal -Filter "startsWith(displayName,'Microsoft Entra')" -ConsistencyLevel eventual

GET https://graph.microsoft.com/v1.0/servicePrincipals?$filter=startsWith(displayName,'Microsoft Entra')
ConsistencyLevel: eventual
Authorization: Bearer <token>

PowerShell erste SchrittePowerShell first steps

Für neue Administratoren empfiehlt sich Microsoft Graph PowerShell als Standardtool. Das ältere AzureAD-Modul ist funktional überholt und sollte nur noch in Legacy-Szenarien genutzt werden.For new administrators, Microsoft Graph PowerShell is the recommended default tool. The older AzureAD module is functionally outdated and should only be used in legacy scenarios.

Install-Module Microsoft.Graph -Scope CurrentUser
Import-Module Microsoft.Graph
Connect-MgGraph -Scopes "User.Read.All","Group.Read.All","Directory.Read.All"
Get-MgContext

POST https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/token
Content-Type: application/x-www-form-urlencoded

client_id=<app-id>&scope=https%3A%2F%2Fgraph.microsoft.com%2F.default&client_secret=<secret>&grant_type=client_credentials

Wichtige URLsImportant URLs

Eine saubere Referenzseite sollte nicht nur Konzepte erklären, sondern auch auf die richtigen Admin- und Dokumentationsendpunkte verweisen. Das spart Zeit im täglichen Betrieb und bei Incident Response.A good reference page should not only explain concepts but also point to the right admin and documentation endpoints. That saves time during daily operations and incident response.

Start-Process "https://entra.microsoft.com"
Start-Process "https://developer.microsoft.com/graph/graph-explorer"

GET https://graph.microsoft.com/v1.0/organization
Authorization: Bearer <token>

GitHub-Repositories für Entra-ID-EngineeringGitHub repositories for Entra ID engineering

Diese Repositories sparen Recherchezeit, weil sie offizielle Referenzimplementierungen, SDK-Quellen und reale Issue-Diskussionen bündeln. Für Level-500-Betrieb lohnt sich der Blick in Code, Releases, Samples und bekannte Probleme.These repositories eliminate search time because they bundle official reference implementations, SDK source, and real-world issue discussions. For level-500 operations, inspect the code, releases, samples, and known issues directly.

RepositoryRepository	BeschreibungDescription	Typischer Use CaseTypical use case	StarsStars
microsoft/entra-id-samplesmicrosoft/entra-id-samples	Offizielle Microsoft-Beispiele für Workforce, External ID, Daemons, CAE, OBO und Geräte-Szenarien.Official Microsoft samples for workforce, External ID, daemons, CAE, OBO, and device scenarios.	Erste Referenz für moderne Authentifizierungsflüsse und einsatznahe Demo-Apps.First-stop reference for modern authentication flows and production-style demo apps.
microsoftgraph/msgraph-sdk-powershellmicrosoftgraph/msgraph-sdk-powershell	Quellcode, Module und Release-Historie des Microsoft Graph PowerShell SDK.Source, modules, and release history of the Microsoft Graph PowerShell SDK.	Relevant für Cmdlet-Verhalten, Breaking Changes und Issues im Automatisierungsbetrieb.Useful for cmdlet behavior, breaking changes, and automation troubleshooting.
AzureAD/microsoft-authentication-library-for-dotnetAzureAD/microsoft-authentication-library-for-dotnet	MSAL.NET für Desktop-, Web-, Daemon- und API-Szenarien mit Entra ID.MSAL.NET for desktop, web, daemon, and API scenarios with Entra ID.	Standardbibliothek für .NET-Apps mit OIDC, OAuth 2.0, CAE und Token-Cache.Primary library for .NET apps using OIDC, OAuth 2.0, CAE, and token cache patterns.
AzureAD/microsoft-authentication-library-for-jsAzureAD/microsoft-authentication-library-for-js	MSAL.js für SPA, Node.js und Browser-Authentifizierung mit PKCE.MSAL.js for SPA, Node.js, and browser authentication with PKCE.	Pflichtreferenz für React, Angular, Next.js und browserbasierte Tokenflüsse.Mandatory reference for React, Angular, Next.js, and browser-based token flows.
AzureAD/microsoft-authentication-library-for-pythonAzureAD/microsoft-authentication-library-for-python	MSAL Python für Automatisierung, Flask/FastAPI und Device Code Flows.MSAL Python for automation, Flask/FastAPI, and device code flows.	Ideal für Scripting, DevOps-Integrationen und Server-to-server-Anwendungen.Ideal for scripting, DevOps integrations, and server-to-server applications.
Azure-Samples/active-directory-aspnetcore-webapp-openidconnect-v2Azure-Samples/active-directory-aspnetcore-webapp-openidconnect-v2	ASP.NET Core Beispiel für OpenID Connect, Cookies, Token Acquisition und Graph-Aufrufe.ASP.NET Core sample for OpenID Connect, cookies, token acquisition, and Graph calls.	Zeigt klassische Enterprise-Webapp-Muster inklusive Sign-In, Consent und Downstream APIs.Shows classic enterprise web-app patterns including sign-in, consent, and downstream APIs.
Azure-Samples/ms-identity-python-webappAzure-Samples/ms-identity-python-webapp	Python-Webapp-Referenz mit MSAL, Session-Management und Microsoft Graph.Python web app reference using MSAL, session management, and Microsoft Graph.	Hilfreich für Flask-basierte Workforce-Apps und Proof-of-Concepts.Helpful for Flask-based workforce apps and proof-of-concepts.

microsoft/entra-id-samplesmicrosoft/entra-id-samples

Offizielle Microsoft-Beispiele für Workforce, External ID, Daemons, CAE, OBO und Geräte-Szenarien.Official Microsoft samples for workforce, External ID, daemons, CAE, OBO, and device scenarios.

Repository-URL: https://github.com/microsoft/entra-id-samples. Typischer Einsatzzweck: Erste Referenz für moderne Authentifizierungsflüsse und einsatznahe Demo-Apps.Repository URL: https://github.com/microsoft/entra-id-samples. Typical use case: First-stop reference for modern authentication flows and production-style demo apps.

microsoftgraph/msgraph-sdk-powershellmicrosoftgraph/msgraph-sdk-powershell

Quellcode, Module und Release-Historie des Microsoft Graph PowerShell SDK.Source, modules, and release history of the Microsoft Graph PowerShell SDK.

Repository-URL: https://github.com/microsoftgraph/msgraph-sdk-powershell. Typischer Einsatzzweck: Relevant für Cmdlet-Verhalten, Breaking Changes und Issues im Automatisierungsbetrieb.Repository URL: https://github.com/microsoftgraph/msgraph-sdk-powershell. Typical use case: Useful for cmdlet behavior, breaking changes, and automation troubleshooting.

AzureAD/microsoft-authentication-library-for-dotnetAzureAD/microsoft-authentication-library-for-dotnet

MSAL.NET für Desktop-, Web-, Daemon- und API-Szenarien mit Entra ID.MSAL.NET for desktop, web, daemon, and API scenarios with Entra ID.

Repository-URL: https://github.com/AzureAD/microsoft-authentication-library-for-dotnet. Typischer Einsatzzweck: Standardbibliothek für .NET-Apps mit OIDC, OAuth 2.0, CAE und Token-Cache.Repository URL: https://github.com/AzureAD/microsoft-authentication-library-for-dotnet. Typical use case: Primary library for .NET apps using OIDC, OAuth 2.0, CAE, and token cache patterns.

AzureAD/microsoft-authentication-library-for-jsAzureAD/microsoft-authentication-library-for-js

MSAL.js für SPA, Node.js und Browser-Authentifizierung mit PKCE.MSAL.js for SPA, Node.js, and browser authentication with PKCE.

Repository-URL: https://github.com/AzureAD/microsoft-authentication-library-for-js. Typischer Einsatzzweck: Pflichtreferenz für React, Angular, Next.js und browserbasierte Tokenflüsse.Repository URL: https://github.com/AzureAD/microsoft-authentication-library-for-js. Typical use case: Mandatory reference for React, Angular, Next.js, and browser-based token flows.

AzureAD/microsoft-authentication-library-for-pythonAzureAD/microsoft-authentication-library-for-python

MSAL Python für Automatisierung, Flask/FastAPI und Device Code Flows.MSAL Python for automation, Flask/FastAPI, and device code flows.

Repository-URL: https://github.com/AzureAD/microsoft-authentication-library-for-python. Typischer Einsatzzweck: Ideal für Scripting, DevOps-Integrationen und Server-to-server-Anwendungen.Repository URL: https://github.com/AzureAD/microsoft-authentication-library-for-python. Typical use case: Ideal for scripting, DevOps integrations, and server-to-server applications.

Azure-Samples/active-directory-aspnetcore-webapp-openidconnect-v2Azure-Samples/active-directory-aspnetcore-webapp-openidconnect-v2

ASP.NET Core Beispiel für OpenID Connect, Cookies, Token Acquisition und Graph-Aufrufe.ASP.NET Core sample for OpenID Connect, cookies, token acquisition, and Graph calls.

Repository-URL: https://github.com/Azure-Samples/active-directory-aspnetcore-webapp-openidconnect-v2. Typischer Einsatzzweck: Zeigt klassische Enterprise-Webapp-Muster inklusive Sign-In, Consent und Downstream APIs.Repository URL: https://github.com/Azure-Samples/active-directory-aspnetcore-webapp-openidconnect-v2. Typical use case: Shows classic enterprise web-app patterns including sign-in, consent, and downstream APIs.

Azure-Samples/ms-identity-python-webappAzure-Samples/ms-identity-python-webapp

Python-Webapp-Referenz mit MSAL, Session-Management und Microsoft Graph.Python web app reference using MSAL, session management, and Microsoft Graph.

Repository-URL: https://github.com/Azure-Samples/ms-identity-python-webapp. Typischer Einsatzzweck: Hilfreich für Flask-basierte Workforce-Apps und Proof-of-Concepts.Repository URL: https://github.com/Azure-Samples/ms-identity-python-webapp. Typical use case: Helpful for Flask-based workforce apps and proof-of-concepts.

Entra ID REST API Endpunkte – KomplettreferenzEntra ID REST API endpoints – complete reference

Die folgende Tabelle konzentriert sich auf identitätsnahe Microsoft-Graph-Endpunkte, die Administratoren in Workforce-, Security-, Governance- und App-Szenarien regelmäßig benötigen. Methodik: jeweils die operative Methode, ein typischer Least-Privilege-Scope und der Hauptzweck des Endpunkts.The following table focuses on identity-oriented Microsoft Graph endpoints that administrators repeatedly use across workforce, security, governance, and application scenarios. Each entry shows the operational method, a typical least-privilege permission, and the endpoint’s primary purpose.

Wichtige Audit-Events und Directory-AktivitätenImportant audit events and directory activities

Directory Audits sind der Primärbeleg für administrative Änderungen. Für jede Änderung sollten Sie neben der Aktivität auch actor, correlationId, modifiedProperties, result und targetResources auswerten.Directory audits are the primary evidence source for administrative changes. For each change, evaluate actor, correlationId, modifiedProperties, result, and targetResources in addition to the activity name.

Service Limits – Deep DiveService limits – deep dive

Die published limits aus Microsoft Learn sind nur die erste Ebene. Im Betrieb zählen zusätzlich Token-Overage, Dienstspezifika, alte Portalgrenzen und Latenz unter Last. Nutzen Sie die Tabelle deshalb als Design- und Betriebsreferenz, nicht nur als Verkaufslimit.Published limits from Microsoft Learn are only the first layer. Real operations are also constrained by token overage behavior, workload-specific limits, old portal caps, and latency under load. Use the table as both a design and operations reference, not merely as a commercial limit list.

Entra ID PowerShell Module – Deep DiveEntra ID PowerShell module – deep dive

Das Microsoft Graph PowerShell SDK ist modular. Für schnelle Ladezeiten, reproduzierbare Pipelines und minimale Scope-Anforderungen sollten produktive Skripte nur die tatsächlich benötigten Submodule importieren.The Microsoft Graph PowerShell SDK is modular. For fast load times, reproducible pipelines, and minimal scopes, production scripts should import only the submodules they actually need.

Microsoft.Graph.UsersMicrosoft.Graph.Users

Benutzer, Manager, Methoden und Sign-in-nahe Attribute.Users, managers, methods, and sign-in adjacent attributes.

Install-Module Microsoft.Graph.Users -Scope CurrentUser
Import-Module Microsoft.Graph.Users
Get-Command -Module Microsoft.Graph.Users | Select-Object -First 10 Name

Microsoft.Graph.GroupsMicrosoft.Graph.Groups

Gruppenobjekte, Besitzer, Mitglieder und Lizenzierung.Group objects, owners, members, and licensing.

Install-Module Microsoft.Graph.Groups -Scope CurrentUser
Import-Module Microsoft.Graph.Groups
Get-Command -Module Microsoft.Graph.Groups | Select-Object -First 10 Name

Microsoft.Graph.Identity.DirectoryManagementMicrosoft.Graph.Identity.DirectoryManagement

Domains, Directory Roles, Administrative Units und Organisation.Domains, directory roles, administrative units, and organization metadata.

Install-Module Microsoft.Graph.Identity.DirectoryManagement -Scope CurrentUser
Import-Module Microsoft.Graph.Identity.DirectoryManagement
Get-Command -Module Microsoft.Graph.Identity.DirectoryManagement | Select-Object -First 10 Name

Microsoft.Graph.Identity.SignInsMicrosoft.Graph.Identity.SignIns

Sign-ins, Risk Detections, Risky Users und Auth Reports.Sign-ins, risk detections, risky users, and auth reports.

Install-Module Microsoft.Graph.Identity.SignIns -Scope CurrentUser
Import-Module Microsoft.Graph.Identity.SignIns
Get-Command -Module Microsoft.Graph.Identity.SignIns | Select-Object -First 10 Name

Microsoft.Graph.Identity.GovernanceMicrosoft.Graph.Identity.Governance

Access Reviews, Entitlement Management und Lifecycle Workflows.Access reviews, entitlement management, and lifecycle workflows.

Install-Module Microsoft.Graph.Identity.Governance -Scope CurrentUser
Import-Module Microsoft.Graph.Identity.Governance
Get-Command -Module Microsoft.Graph.Identity.Governance | Select-Object -First 10 Name

Microsoft.Graph.ApplicationsMicrosoft.Graph.Applications

App-Registrierungen, Enterprise Apps, Secrets, Certificates und App Roles.App registrations, enterprise apps, secrets, certificates, and app roles.

Install-Module Microsoft.Graph.Applications -Scope CurrentUser
Import-Module Microsoft.Graph.Applications
Get-Command -Module Microsoft.Graph.Applications | Select-Object -First 10 Name

Microsoft.Graph.AuthenticationMicrosoft.Graph.Authentication

Verbindungsaufbau, Token-Akquise, Kontext und Profile.Connection, token acquisition, context, and profiles.

Install-Module Microsoft.Graph.Authentication -Scope CurrentUser
Import-Module Microsoft.Graph.Authentication
Get-Command -Module Microsoft.Graph.Authentication | Select-Object -First 10 Name

Install-Module Microsoft.Graph.Authentication,Microsoft.Graph.Users,Microsoft.Graph.Groups -Scope CurrentUser
Connect-MgGraph -Scopes "User.Read.All","Group.Read.All","AuditLog.Read.All"
Get-MgContext
Get-MgUser -Top 5 -Property DisplayName,UserPrincipalName
Get-MgGroup -Top 5 -Property DisplayName,GroupTypes