Entitlement Management in Entra ID: Zugriff anfragen statt Zugriff zuteilen
In vielen Tenants läuft Zugriff auf Gruppen, Apps oder SharePoint-Seiten über denselben Weg: Ein Mitarbeiter schreibt eine Mail oder ein Ticket, ein Admin fügt ihn manuell zur Gruppe hinzu, und niemand trägt sich einen Termin ein, um die Mitgliedschaft später wieder zu entfernen. Nach ein paar Jahren ist unklar, wer eigentlich noch Zugriff auf was braucht — und wer ihn nur behalten hat, weil ihn niemand entfernt hat.
Entitlement Management (Teil von Microsoft Entra ID Governance) löst genau dieses Problem. Es verschiebt Zugriff von "Admin trägt manuell ein" zu "Nutzer beantragt selbst, ein definierter Workflow genehmigt, und die Zugriffsdauer läuft automatisch ab".
Lizenz-Hinweis aus der Praxis
Beim Testen für diesen Artikel bin ich in meinem eigenen Tenant direkt gegen eine 401-Fehlermeldung auf der Access-Packages-Seite gelaufen: You don't have access. Der Grund ist simpel — Entitlement Management braucht eine Microsoft Entra ID Governance- oder zumindest Entra ID P2-Lizenz für alle Mitarbeitenden im Geltungsbereich der Policies. Ohne diese Lizenz zeigt das Admin Center zwar noch die Navigation, blockt den eigentlichen Zugriff aber knallhart ab. Bevor du loslegst, lohnt sich also ein Blick auf die Lizenzierungs-Grundlagen.
Grundbegriffe: Catalog, Access Package, Policy
Entitlement Management führt drei zentrale Objekte ein, die aufeinander aufbauen:
| Begriff | Bedeutung |
|---|---|
| Catalog | Container für zusammengehörige Ressourcen und Access Packages. Ermöglicht Delegation — ein Catalog Owner kann eigene Access Packages verwalten, ohne globaler Admin zu sein. |
| Access Package | Ein Bündel aus Ressourcen (Gruppen, Apps, SharePoint-Seiten) mit der jeweils benötigten Rolle, das eine Person für ein Projekt oder eine Aufgabe braucht. |
| Policy | Die Regeln für ein Access Package: Wer darf es anfragen, wer genehmigt, und wie lange gilt eine Zuweisung, bevor sie automatisch abläuft. |
| Resource Role | Eine konkrete Rolle an einer Ressource, z. B. die Member- oder Owner-Rolle einer Gruppe, oder eine App-Rolle einer Enterprise Application. |
Ein Access Package kann mehrere Ressourcen gleichzeitig bündeln — zum Beispiel eine Sicherheitsgruppe, eine Enterprise Application und eine SharePoint-Seite in einem einzigen Paket. Und ein Access Package kann mehrere Policies gleichzeitig haben: eine für Mitarbeitende im eigenen Tenant, eine zweite für externe Identitäten aus einer verbundenen Organisation.
Wann Entitlement Management den Unterschied macht
Access Packages ersetzen nicht jede Form der Zugriffsvergabe — für die Grundausstattung jedes Mitarbeitenden bleiben dynamische Gruppen und group-based Licensing der richtige Weg. Entitlement Management spielt seine Stärke dort aus, wo Zugriff zusätzlich, zeitlich befristet oder abteilungsübergreifend delegiert sein muss:
- Migration von Rollenmodellen aus einem Third-Party-IGA-Produkt nach Entra ID.
- Zeitlich befristeter Zugriff für eine konkrete Aufgabe, z. B. Lesezugriff auf Ressourcen einer anderen Abteilung.
- Zugriff, der die Freigabe der Führungskraft oder eines anderen benannten Genehmigers braucht.
- Automatische Zuweisung für eine Zielgruppe (z. B. alle Mitarbeitenden einer Abteilung), aber gleichzeitig für Personen außerhalb dieser Gruppe anfragbar.
- Fachbereiche, die ihre eigenen Zugriffsrichtlinien ohne IT-Beteiligung pflegen wollen.
- Projekte mit mehreren Organisationen, bei denen Identitäten per Microsoft Entra B2B aus einer Partnerfirma eingebunden werden.
Für alle anderen Fälle — insbesondere die Standardausstattung neuer Mitarbeitender — bleibt eine dynamische Gruppe mit Lifecycle Workflows meist der einfachere und robustere Ansatz.
Ein erstes Access Package aufbauen
Der folgende Runbook führt durch den Aufbau eines ersten Access Packages: Catalog anlegen, Ressourcen hinzufügen, Access Package mit Resource Roles konfigurieren, und eine Request-Policy mit Genehmigung und Ablaufdatum definieren.
Mehrstufige Genehmigung für sensible Zugriffe
Nicht jede Anfrage lässt sich mit einer einzigen Genehmigung abschließen. Enthält ein Access Package eine Ressource mit vertraulichen Daten, kannst du eine zweite oder dritte Genehmigungsstufe ergänzen — zum Beispiel den Ressourcen-Owner als zweiten und einen Security Reviewer als dritten Approver. Jede Stufe braucht nur eine Zustimmung, um zur nächsten Stufe zu wechseln; lehnt ein Approver innerhalb einer Stufe ab, endet die Anfrage sofort, ohne dass ein anderer Approver in dieser Stufe die Ablehnung noch überstimmen könnte.
| Stufe | Typischer Approver | Zweck |
|---|---|---|
| 1 | Manager | Bestätigt den fachlichen Bedarf |
| 2 | Ressourcen-Owner | Bestätigt die Eignung für die konkrete Ressource |
| 3 | Security Reviewer | Prüft Risiko- und Compliance-Kriterien, die dem Ressourcen-Owner nicht bekannt sind |
Für jede Stufe lässt sich zusätzlich eine Frist setzen, nach der eine unbeantwortete Anfrage automatisch an alternative Approver weitergeleitet wird — sinnvoll, wenn ein Approver im Urlaub ist und eine Anfrage sonst tagelang liegen bliebe.
Entitlement Management ist kein Ersatz für Access Reviews
Eine zeitlich befristete Zuweisung mit Ablaufdatum verhindert unbegrenzt lange Berechtigungen, sagt aber nichts darüber aus, ob der Zugriff während der Laufzeit noch gebraucht wird. Für diese Frage ergänzt Microsoft Entra Access Reviews die Ablaufregel eines Access Packages um eine wiederkehrende Rezertifizierung: Ein Reviewer — oft der Manager oder Ressourcen-Owner — bestätigt in festen Intervallen aktiv, dass eine bestehende Zuweisung weiterhin notwendig ist, statt sie einfach unkommentiert bis zum Ablaufdatum laufen zu lassen.
Beide Mechanismen ergänzen sich: Die Lifecycle-Policy im Access Package sorgt dafür, dass nichts für immer bestehen bleibt. Access Reviews sorgen dafür, dass ein Zugriff auch innerhalb seiner Laufzeit noch einmal aktiv hinterfragt wird.
Fazit
Entitlement Management verschiebt Zugriffsvergabe von reaktiven IT-Tickets zu einem strukturierten, selbstständigen Antragsprozess mit eingebauter Genehmigung und Ablaufdatum. Die Einstiegshürde ist dabei nicht technisch — Catalog, Access Package und Policy sind in wenigen Schritten aufgebaut — sondern lizenzrechtlich: Ohne Entra ID Governance oder mindestens P2-Lizenzen für alle im Geltungsbereich bleibt die Funktion gesperrt. Wer diese Voraussetzung erfüllt, bekommt im Gegenzug einen Prozess, der sich deutlich besser dokumentieren und auditieren lässt als eine handverlesene Gruppenmitgliedschaft, die vor drei Jahren mal jemand per Mail angefragt hat.