Entra Permissions Management Entra Permissions Management

Cloud Infrastructure Entitlement Management (CIEM) für Azure, AWS und GCP – Permissions Creep Index, Remediation, Alerts und Reporting. Cloud Infrastructure Entitlement Management (CIEM) for Azure, AWS, and GCP – Permissions Creep Index, remediation, alerts, and reporting.

Überblick – CIEMOverview – CIEM

Microsoft Entra Permissions Management ist ein Cloud Infrastructure Entitlement Management (CIEM)-Produkt, das den Grundsatz des Least Privilege auf Multi-Cloud-Infrastrukturberechtigungen anwendet. Es analysiert, welche Berechtigungen für alle Identitäten (Benutzer, Rollen, Service Accounts, Managed Identities) in Azure, AWS und GCP vergeben wurden, und vergleicht dies mit dem tatsächlichen Nutzungsverhalten. Microsoft Entra Permissions Management is a Cloud Infrastructure Entitlement Management (CIEM) product that applies the principle of least privilege to multi-cloud infrastructure permissions. It analyzes which permissions are granted to all identities (users, roles, service accounts, managed identities) in Azure, AWS, and GCP, and compares this with actual usage behavior.

Unterstützte PlattformenSupported platforms

Permission Creep Index (PCI)Permission Creep Index (PCI)

Der Permissions Creep Index (PCI) ist eine zentrale Kennzahl. Er berechnet für jede Identität das Verhältnis zwischen vergebenen und tatsächlich genutzten Berechtigungen. Ein hoher PCI-Wert (0–100) bedeutet, dass die Identität deutlich mehr Rechte hat, als sie nutzt. The Permissions Creep Index (PCI) is a central metric. For each identity it calculates the ratio between granted and actually used permissions. A high PCI value (0–100) means the identity has significantly more rights than it uses.

Der PCI aggregiert auf Tenant-, Account- oder Ressourcengruppenebene und erlaubt sowohl eine Gesamtübersicht als auch einen Drill-down auf einzelne Identitäten. The PCI aggregates at tenant, account, or resource group level and allows both an overall view and a drill-down to individual identities.

Unterstützte IdentitätstypenSupported identity types

RemediationRemediation

Entra Permissions Management bietet verschiedene Remediationsoptionen, von manuellen Empfehlungen bis hin zu automatisierten On-Demand-Requests über einen Just-in-Time-Mechanismus. Entra Permissions Management offers various remediation options, from manual recommendations to automated on-demand requests via a Just-in-Time mechanism.

Erkennung und AlertsDetection and alerts

Entra Permissions Management erkennt anomale Berechtigungsnutzungen und sendet Alerts in Echtzeit. Alerts können an E-Mail, ServiceNow oder andere ITSM-Systeme weitergeleitet werden. Entra Permissions Management detects anomalous permission usage and sends alerts in real time. Alerts can be forwarded to email, ServiceNow, or other ITSM systems.

BerichteReports

BerechtigungsanalysePermissions analysis

Die Berechtigungsanalyse in Microsoft Entra Permissions Management zeigt, welche Berechtigungen tatsächlich genutzt werden und welche ungenutzt sind. Basis ist das Konzept Permissions Used vs. Granted. The permissions analysis in Microsoft Entra Permissions Management shows which permissions are actually used and which are unused. It is based on the concept of Permissions Used vs. Granted.

Permissions MonitoringPermissions monitoring

Das kontinuierliche Monitoring überwacht Berechtigungsänderungen, unerwartete Aktivitäten und neu erkannte Risiken in AWS, Azure und GCP. Alerts können an E-Mail, Microsoft Teams oder SIEM weitergeleitet werden. Continuous monitoring tracks permission changes, unexpected activities, and newly identified risks across AWS, Azure, and GCP. Alerts can be forwarded to email, Microsoft Teams, or SIEM.

Onboarding und EinrichtungOnboarding and setup

Azure

# App-Registrierung für Permissions Management anlegen
# Create app registration for Permissions Management
$app = New-MgApplication -DisplayName "EntraPermissionsManagement" -SignInAudience "AzureADMyOrg"
$sp = New-MgServicePrincipal -AppId $app.AppId

# Leseberechtigungen auf Subscription-Ebene vergeben
# Grant read permissions at subscription level
$subscriptionId = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
New-AzRoleAssignment -ObjectId $sp.Id `
    -RoleDefinitionName "Reader" `
    -Scope "/subscriptions/$subscriptionId"

# Zusätzlich benötigte Microsoft Graph-Berechtigungen für Gruppenauflösung
# Additionally required Microsoft Graph permissions for group resolution
# → In App-Registrierung: Directory.Read.All (Application Permission, Admin Consent)

AWS

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::123456789012:oidc-provider/sts.windows.net/tenant-id"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "sts.windows.net/tenant-id:aud": "api://AzureADTokenExchangeEntraPermissionsManagement"
        }
      }
    }
  ]
}

# AWS Policy für die Rolle: ReadOnlyAccess (AWS Managed) + SecurityAudit

Integration mit Conditional AccessIntegration with Conditional Access

Entra Permissions Management identifiziert hochriskante Identitäten, die dann als Grundlage für verschärfte CA-Policies dienen können. Durch die Kombination beider Tools entsteht ein geschlossener Regelkreis aus Erkennung und Durchsetzung. Entra Permissions Management identifies high-risk identities, which can then serve as the basis for stricter CA policies. By combining both tools, a closed feedback loop of detection and enforcement is created.

Abgrenzung zu PIMDistinction from PIM

Permissions on Demand – Just-in-Time WorkflowPermissions on demand – just-in-time workflow

Permissions on Demand ermöglicht eine JIT-Eskalation von Cloud-Berechtigungen für Azure, AWS und GCP. Benutzer können erhöhte Berechtigungen für einen definierten Zeitraum anfordern; ein Genehmigungsworkflow und automatische Revokation stellen sicher, dass dauerhaft überhöhte Rechte vermieden werden. Permissions on Demand enables JIT escalation of cloud permissions for Azure, AWS, and GCP. Users can request elevated permissions for a defined time period; an approval workflow and automatic revocation ensure that permanently excessive rights are avoided.

GCP OnboardingGCP onboarding

# Service Account erstellen
gcloud iam service-accounts create entra-pm-reader \
  --description="Entra Permissions Management Reader" \
  --display-name="Entra PM Reader"

# Viewer-Rolle auf Projektebene zuweisen
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:entra-pm-reader@PROJECT_ID.iam.gserviceaccount.com" \
  --role="roles/viewer"

# Security Reviewer-Rolle hinzufügen
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:entra-pm-reader@PROJECT_ID.iam.gserviceaccount.com" \
  --role="roles/iam.securityReviewer"

# Audit Log Viewer hinzufügen
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:entra-pm-reader@PROJECT_ID.iam.gserviceaccount.com" \
  --role="roles/logging.viewer"

# Workload Identity Federation konfigurieren
gcloud iam workload-identity-pools create entra-pm-pool \
  --location="global" --description="Pool for Entra Permissions Management"

Kennzahlen und KPIsMetrics and KPIs

Lifecycle-Policies für Cloud-IdentitätenLifecycle policies for cloud identities

Entra Permissions Management empfiehlt die Implementierung von Lifecycle-Policies für Cloud-Identitäten, um automatisch verwaiste Konten, ungenutzte Rollen und abgelaufene Berechtigungen zu erkennen und zu behandeln. Entra Permissions Management recommends implementing lifecycle policies for cloud identities to automatically detect and address orphaned accounts, unused roles, and expired permissions.

Best PracticesBest practices

• Beginnen Sie mit Read-Only-Onboarding aller Accounts; führen Sie erst nach dem ersten PCI-Inventar Remediations durch.Start with read-only onboarding of all accounts; only perform remediations after the first PCI inventory.
• Priorisieren Sie Identitäten mit PCI > 67 und mehr als 30 Tagen Inaktivität – diese sind das höchste Risiko.Prioritize identities with PCI > 67 and more than 30 days of inactivity – these represent the highest risk.
• Implementieren Sie Permissions on Demand als Standard für alle privilegierten Aktionen (IAM-Änderungen, Ressourcenerstellung).Implement Permissions on Demand as standard for all privileged actions (IAM changes, resource creation).
• Exportieren Sie PCI-Trends nach Log Analytics für Compliance-Reporting und Trend-Analyse über Quartalsgrenzen hinweg.Export PCI trends to Log Analytics for compliance reporting and trend analysis across quarters.
• Integrieren Sie Alerts in bestehende ITSM/SIEM-Infrastruktur für nahtloses Incident Management.Integrate alerts into existing ITSM/SIEM infrastructure for seamless incident management.

PowerShell & CLI-ReferenzPowerShell & CLI Reference

Für die Automatisierung von Entra Permissions Management stehen REST-APIs und CLI-Tools zur Verfügung.For automating Entra Permissions Management, REST APIs and CLI tools are available.

# Azure – Rollenzuweisungen mit PCI analysieren (Azure Resource Graph)
$query = "AuthorizationResources
| where type =~ 'Microsoft.Authorization/roleAssignments'
| extend principalId = tostring(properties.principalId)
| extend roleDefId = tostring(properties.roleDefinitionId)
| project principalId, roleDefId, subscriptionId, resourceGroup"
Search-AzGraph -Query $query | Export-Csv -Path ".\role-assignments.csv" -NoTypeInformation

# AWS – IAM Berechtigungsanalyse via Access Analyzer
aws accessanalyzer list-findings --analyzer-arn arn:aws:access-analyzer:eu-west-1:123456789012:analyzer/ConsoleAnalyzer

# GCP – IAM Policy Bindings für Projekt abrufen
gcloud projects get-iam-policy myproject --format=json | ConvertFrom-Json |
    Select-Object -ExpandProperty bindings |
    Where-Object { $_.role -like "*admin*" }

Alerttypen & SchweregradeAlert Types & Severity Levels

Entra Permissions Management generiert automatisierte Alerts für verdächtige Berechtigungsaktivitäten.Entra Permissions Management generates automated alerts for suspicious permissions activities.

Remediation-WorkflowRemediation Workflow

Der Remediation-Workflow in Entra Permissions Management folgt einem standardisierten Prozess von der Erkennung bis zur Korrektur.The remediation workflow in Entra Permissions Management follows a standardised process from detection to correction.

Verwandte SeitenRelated pages

• Privileged Identity Management (PIM)Privileged Identity Management (PIM)
• Governance & LifecycleGovernance & Lifecycle
• Rollen & AdministratorenRoles & Administrators
• Monitoring & AuditMonitoring & Audit
• Conditional AccessConditional Access