Privileged Identity Management (PIM) Privileged Identity Management (PIM)

Just-in-Time-Privilegien für Entra-Rollen, Gruppen und Azure-Ressourcen mit Genehmigung, Audit und Reviews. Just-in-time privilege management for Entra roles, groups, and Azure resources with approval, audit, and reviews.

Überblick Overview

PIM reduziert permanente Privilegien, indem Rollen nicht dauerhaft aktiv zugewiesen werden, sondern als eligible bereitstehen. Erst bei Bedarf aktiviert der Benutzer die Rolle just in time. PIM reduces standing privilege by keeping roles eligible instead of permanently active. Only when needed does the user activate the role just in time.

PIM unterstützt Microsoft-Entra-Rollen, Azure-Ressourcen und – je nach Feature – auch Gruppen. Typische Schutzmaßnahmen sind MFA bei Aktivierung, Begründung, Ticketnummer, Genehmigung und maximale Aktivierungsdauer. PIM supports Microsoft Entra roles, Azure resources, and depending on the feature, groups as well. Typical safeguards are MFA at activation, justification, ticket number, approval, and a maximum activation time.

Eligible vs. Active Eligible vs. active

Aktivierung Activation

Die Aktivierung ist der kontrollierte Übergang von eligible zu active. In diesem Schritt können mehrere Sicherheitsmaßnahmen verlangt werden, bevor Rechte tatsächlich wirksam werden. Activation is the controlled transition from eligible to active. Multiple security measures can be required in this step before permissions actually become effective.

• Benutzer öffnet My roles in PIM.The user opens My roles in PIM.
• Rolle auswählen und Activate starten.Select the role and start Activate.
• Bei Bedarf MFA, Justification, Ticketnummer oder Genehmigung liefern.Provide MFA, justification, ticket number, or approval when required.
• Aktivierungsdauer innerhalb des erlaubten Maximums wählen.Choose an activation time within the allowed maximum.
• Nach Ablauf oder manueller Deaktivierung entfernt PIM die aktive Zuweisung wieder.After expiry or manual deactivation, PIM removes the active assignment again.

Durch Anwendungscaches kann sich eine frisch aktivierte oder gerade entfallene Berechtigung nicht immer augenblicklich in jeder Oberfläche zeigen. Ab- und Anmeldung beheben viele dieser Effekte. Because of application caching, a freshly activated or expired permission might not appear immediately in every interface. Sign-out and sign-in resolve many of these effects.

# Aktivierungs-Checkliste
# 1. Ticket oder Change vorhanden?
# 2. Scope korrekt und minimal?
# 3. Dauer so kurz wie möglich?
# 4. MFA und Genehmigung erfolgt?
# 5. Nachgelagerte Dokumentation geplant?

Rolleneinstellungen Role settings

Genehmigung Approval

Wenn eine Rolle Genehmigung verlangt, bleibt die Aktivierung bis zur Freigabe im Status pending. Approver sollten klare Kriterien und definierte Reaktionszeiten haben. When a role requires approval, the activation remains pending until approved. Approvers should have clear criteria and defined response times.

• Approver prüft Zweck, Ticket, Zeitfenster und Umfang der Aktivierung.The approver reviews purpose, ticket, time window, and activation scope.
• Freigaben für Standardfälle standardisieren, um Wartezeiten zu reduzieren.Standardize approvals for common cases to reduce waiting time.
• Ablehnungen mit Begründung dokumentieren.Document denials with a reason.
• Genehmigungen regelmäßig auditieren, besonders für Global Administrator und ähnliche Rollen.Audit approvals regularly, especially for Global Administrator and similar roles.

Access Reviews Access reviews

Access Reviews stellen sicher, dass privilegierte Zuweisungen weiterhin nötig sind. Besonders wichtig sind wiederkehrende Reviews für eligible und active Zuweisungen sensibler Rollen. Access reviews ensure that privileged assignments are still needed. Recurring reviews for eligible and active assignments of sensitive roles are especially important.

• Reviewer können Manager, Rollenverantwortliche oder dedizierte Security-/IAM-Owner sein.Reviewers can be managers, role owners, or dedicated security/IAM owners.
• Automatisches Entfernen nicht bestätigter Berechtigungen reduziert Altlasten.Automatically removing unconfirmed access reduces entitlement debt.
• Für privilegierte Rollen sollte die Review-Frequenz höher sein als für normale Gruppenberechtigungen.Review frequency should be higher for privileged roles than for normal group access.

PIM for Groups PIM for Groups

PIM for Groups erweitert JIT auf Gruppenmitgliedschaften und Besitz. Das ist besonders nützlich, wenn privilegierte Berechtigungen indirekt über Gruppen und nicht direkt über Rollen vergeben werden. PIM for Groups extends JIT to group memberships and ownership. This is especially useful when privileged permissions are granted indirectly through groups instead of directly through roles.

• Geeignet für Security Groups und Microsoft 365 Groups mit sensitiven Berechtigungen.Suitable for security groups and Microsoft 365 groups with sensitive permissions.
• Eligible Member und Eligible Owner helfen, Gruppenadministration kontrolliert abzuwickeln.Eligible member and eligible owner assignments help control group administration.
• Mit Access Reviews lassen sich alte Gruppenberechtigungen systematisch entfernen.Access reviews help systematically remove stale group privileges.

Azure Resources Azure resources

PIM kann auch Azure-RBAC-Rollen auf Management Group-, Subscription-, Resource Group- oder Resource-Ebene steuern. So lassen sich Owner-, User Access Administrator- oder Contributor-Rechte zeitlich begrenzen. PIM can also manage Azure RBAC roles at management group, subscription, resource group, or resource level. This allows Owner, User Access Administrator, or Contributor rights to be time-bound.

• Azure-Rollen mit derselben Disziplin wie Entra-Rollen behandeln.Treat Azure roles with the same discipline as Entra roles.
• Produktions-Subscriptions besonders streng konfigurieren.Configure production subscriptions especially strictly.
• Groups + Azure RBAC + PIM gezielt kombinieren, wenn indirekte Zuweisung operativ sinnvoller ist.Deliberately combine groups, Azure RBAC, and PIM when indirect assignment is operationally cleaner.

Alerts Alerts

PIM-Alerts weisen auf riskante Konfigurationen oder ungewöhnliche Vorgänge hin, zum Beispiel zu viele permanente Admins, fehlende MFA-Anforderungen oder verdächtige Rollenzuweisungen. PIM alerts point to risky configurations or unusual events, for example too many permanent admins, missing MFA requirements, or suspicious role assignments.

• Alerts regelmäßig durch IAM oder SOC sichten lassen.Have IAM or SOC review alerts regularly.
• Nicht nur die Warnung schließen, sondern die zugrunde liegende Konfigurationsschwäche beheben.Do not just close the warning—fix the underlying weakness.
• Alert-Trends sind oft wertvoller als Einzelereignisse.Alert trends are often more valuable than single events.

Audit Audit

Die Audit-Historie zeigt, wer welche Rolle wann zugewiesen, aktiviert, genehmigt oder entfernt hat. Diese Daten sind essenziell für forensische Nachvollziehbarkeit und Compliance-Nachweise. Audit history shows who assigned, activated, approved, or removed which role and when. These data are essential for forensic traceability and compliance evidence.

• Aktivierungen und Genehmigungen mit Tickets und Changes verknüpfen.Link activations and approvals with tickets and changes.
• Audit-Daten regelmäßig exportieren oder in SIEM/Sentinel integrieren.Export audit data regularly or integrate them into SIEM or Sentinel.
• Nicht nur erfolgreiche, sondern auch abgelehnte und fehlgeschlagene Vorgänge beobachten.Track denied and failed events, not only successful ones.

GET https://graph.microsoft.com/v1.0/auditLogs/directoryAudits?$filter=category eq 'RoleManagement'

GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignmentScheduleInstances

GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleEligibilityScheduleInstances

PowerShell & Graph PowerShell & Graph

Für Automatisierung sind vor allem die Schedule-Requests-Objekte relevant: Eligibility Requests definieren berechtigte Zuweisungen, Assignment Requests aktivieren oder erstellen aktive Berechtigungen. For automation, schedule request objects are most relevant: eligibility requests define eligible assignments, while assignment requests activate or create active permissions.

# List current user's eligible role assignments
GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleEligibilityScheduleRequests/filterByCurrentUser(on='principal')

# Self-activate an eligible role
POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignmentScheduleRequests
Content-Type: application/json

{
  "action": "selfActivate",
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "roleDefinitionId": "8424c6f0-a189-499e-bbd0-26c1753c96d4",
  "directoryScopeId": "/",
  "justification": "Need temporary access for change CHG-2026-1042",
  "scheduleInfo": {
    "startDateTime": "2026-06-11T08:00:00Z",
    "expiration": {
      "type": "afterDuration",
      "duration": "PT2H"
    }
  },
  "ticketInfo": {
    "ticketNumber": "CHG-2026-1042",
    "ticketSystem": "ServiceNow"
  }
}

# Create an eligible assignment
POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleEligibilityScheduleRequests
Content-Type: application/json

{
  "action": "adminAssign",
  "justification": "Eligible assignment for on-call admin",
  "roleDefinitionId": "f2ef992c-3afb-46b9-b7cf-a126ee74c451",
  "directoryScopeId": "/",
  "principalId": "bbbbbbbb-cccc-dddd-1111-222222222222",
  "scheduleInfo": {
    "startDateTime": "2026-06-11T08:00:00Z",
    "expiration": {
      "type": "noExpiration"
    }
  }
}

Connect-MgGraph -Scopes "RoleEligibilitySchedule.ReadWrite.Directory","RoleAssignmentSchedule.ReadWrite.Directory"

# Query eligible assignments
Invoke-MgGraphRequest -Method GET `
  -Uri "https://graph.microsoft.com/v1.0/roleManagement/directory/roleEligibilityScheduleRequests/filterByCurrentUser(on='principal')"

# Self-activate
$body = @{
    action           = "selfActivate"
    principalId      = "aaaaaaaa-bbbb-cccc-1111-222222222222"
    roleDefinitionId = "8424c6f0-a189-499e-bbd0-26c1753c96d4"
    directoryScopeId = "/"
    justification    = "Need access for emergency user update"
    scheduleInfo     = @{
        startDateTime = "2026-06-11T08:00:00Z"
        expiration    = @{
            type     = "afterDuration"
            duration = "PT1H"
        }
    }
}

Invoke-MgGraphRequest -Method POST `
  -Uri "https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignmentScheduleRequests" `
  -Body ($body | ConvertTo-Json -Depth 8) `
  -ContentType "application/json" 

# Rollendefinitionen anzeigen
Invoke-MgGraphRequest -Method GET `
  -Uri "https://graph.microsoft.com/v1.0/roleManagement/directory/roleDefinitions"

# Aktive Instanzen
Invoke-MgGraphRequest -Method GET `
  -Uri "https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignmentScheduleInstances"

# Eligible Instanzen
Invoke-MgGraphRequest -Method GET `
  -Uri "https://graph.microsoft.com/v1.0/roleManagement/directory/roleEligibilityScheduleInstances" 

PIM Role Settings Complete ReferencePIM role settings complete reference

Die PIM-Rolleneinstellungen definieren nicht nur das Benutzererlebnis, sondern das eigentliche Sicherheitsmodell der Rolle. Gute Designs unterscheiden nach Rollentier, Aktivierungsdauer, Genehmigungsbedarf, Ticketbindung und Notification-Noise – nicht nur nach dem Schalter „Eligible oder Active“.PIM role settings define not only the user experience but the actual security model of the role. Good designs differentiate by role tier, activation duration, approval need, ticket linkage, and notification noise—not only by the switch “eligible or active.”

PIM API Complete ReferencePIM API complete reference

Graph trennt PIM in Requests, Schedules und Instances. Requests erzeugen oder verändern Zustände, Schedules halten die geplante Zuweisung, Instances zeigen den aktuell wirksamen Zustand. Für Automatisierung ist diese Dreiteilung entscheidend.Graph splits PIM into requests, schedules, and instances. Requests create or modify states, schedules hold the planned assignment, and instances show the currently effective state. This three-way model is essential for automation.

{
  "action": "adminAssign",
  "justification": "Eligible assignment for tier-1 on-call",
  "principalId": "bbbbbbbb-cccc-dddd-1111-222222222222",
  "roleDefinitionId": "f2ef992c-3afb-46b9-b7cf-a126ee74c451",
  "directoryScopeId": "/",
  "scheduleInfo": {
    "startDateTime": "2026-06-11T08:00:00Z",
    "expiration": {
      "type": "afterDateTime",
      "endDateTime": "2026-12-31T23:59:59Z"
    }
  }
}

{
  "action": "selfActivate",
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
  "roleDefinitionId": "8424c6f0-a189-499e-bbd0-26c1753c96d4",
  "directoryScopeId": "/",
  "justification": "Emergency change CHG-2026-1042",
  "ticketInfo": {
    "ticketNumber": "CHG-2026-1042",
    "ticketSystem": "ServiceNow"
  },
  "scheduleInfo": {
    "startDateTime": "2026-06-11T08:00:00Z",
    "expiration": {
      "type": "afterDuration",
      "duration": "PT1H"
    }
  }
}

PIM Alerts ReferencePIM alerts reference

PIM-Alerts sind mehr als Hygiene-Hinweise: Sie zeigen oft strukturelle Governance-Schwächen. Wer nur den Alarm schließt, aber Standing Privilege, fehlende MFA oder Direktzuweisungen nicht behebt, konserviert das eigentliche Risiko.PIM alerts are more than hygiene notices: they often expose structural governance weaknesses. If you only close the alert but do not fix standing privilege, missing MFA, or direct assignments, you preserve the real risk.