Autorisierung besprechen

  • 3 Minuten

Autorisierung umfasst, worauf eine Identität zugreifen kann und was sie tun darf, sobald sie Zugriff hat. Identitätsautorisierung stellt Folgendes zur Verfügung:

  • Weisen Sie Berechtigungen zu, um die Sicherheit zu erhöhen und die Verwaltung zu reduzieren
  • Zentral verwalten der Richtliniensteuerung
  • Vereinfachen der Durchsetzung durch Standardisierung eines gemeinsamen Ansatzes

Die Autorisierung bestimmt, über welchen Zugriff eine überprüfte Identität verfügen soll, und verfolgt und erzwingt diesen Zugriff und die Nutzung. Mit der Autorisierung konzentrieren Sie sich auf:

Autorisierungskonzept Beschreibung und Verwendung
Berechtigungstyp Berechtigungszuweisungen beziehen sich darauf, ob einer Identität Zugriff auf eine bestimmte Ressource gewährt wurde oder nicht, also ob sie dazu berechtigt ist. Dementsprechend werden Berechtigungen über viele verschiedene Typen verwaltet. Die Zuweisung von Berechtigungen erfolgt auf Anwendungsebene entweder zentral über Gruppen, durch rollenbasierte Zugriffssteuerung oder Attribute (ABAC) definiert, oder wird zentral mithilfe eines richtlinienbasierten Ansatzes (PBAC) angewendet.
Zugriffsrichtlinien Zugriffsrichtlinien konzentrieren sich auf eine Reihe von Anwendungen, Daten und die Benutzer und Gruppen, die Aktivitäten ausführen können. Stellen Sie sich dies als Sammlung von Regeln vor, die für die Erledigung Ihrer Arbeit gelten. Konzentrieren Sie sich auf den geringsten Zugriff, den Sie benötigen.
Erzwingung Die Durchsetzungsfunktion konzentriert sich darauf, wie eine Organisation die Durchsetzung von Autorisierungsaktivitäten umsetzt. In den meisten Fällen behandeln Organisationen die Durchsetzung auf der Anwendungsebene. Dies bedeutet, dass die Durchsetzung durch eine API innerhalb der Anwendung selbst erfolgt. Einige Formen der Durchsetzung bestehen in der Nutzung eines Reverse-Proxy (z. B. UAG), um die Durchsetzung der Autorisierung nach außen zu verlagern. Ein aktueller Trend besteht in der Verwendung einer externen Richtlinienquelle (z. B. XACML), um zu bestimmen, wie die Identität mit der Ressource interagiert.

Was ist Autorisierung?

Die Autorisierung (manchmal als AuthZ abgekürzt) wird verwendet, um Berechtigungen festzulegen, die zum Auswerten des Zugriffs auf Ressourcen oder Funktionen verwendet werden. Im Gegensatz dazu wird die Authentifizierung (manchmal als AuthN abgekürzt) verwendet, um zu bestätigen, dass eine Entität, z. B. ein Benutzer oder ein Dienst, tatsächlich die vorgegebene Entität ist. Autorisierung kann auch die Angabe umfassen, auf welche Funktionalität (oder welche Ressourcen) eine Entität zugreifen darf. Oder der Schwerpunkt liegt auf den Daten, auf welche diese Entität zugreifen kann. Und schließlich, was sie mit diesen Daten tun kann. Eine solide Definition der Zugriffssteuerung.

Gängige Arten von Autorisierungsansätzen:

  • Zugriffssteuerungslisten (Access Control Lists, ACLs) – Eine explizite Liste spezieller Entitäten, die Zugriff auf eine Ressource oder Funktionalität haben oder nicht. Bietet eine feine Kontrolle über Ressourcen, ist aber bei großen Benutzergruppen und Ressourcen oft schwer zu verwalten.
  • Rollenbasierte Zugriffssteuerung (RBAC) – Der am häufigsten verwendete Ansatz zum Erzwingen der Autorisierung. Rollen werden definiert, um die Arten von Aktivitäten zu beschreiben, die eine Entität ausführen kann. Erteilen Sie Zugriff für Rollen statt für einzelne Entitäten. Ein Administrator kann dann verschiedenen Entitäten Rollen zuweisen, um zu steuern, welche Entitäten auf welche Ressourcen und Funktionen zugreifen können.
  • Attributbasierte Zugriffssteuerung (Access Control, ABAC) – Regeln werden auf Attribute der Entität, die zugegriffenen Ressourcen und die aktuelle Umgebung angewendet, um zu bestimmen, ob der Zugriff auf einige Ressourcen oder Funktionen zulässig ist. Ein Beispiel dafür wäre, dass Benutzer, die Manager sind, an Werktagen von 9:00 bis 17:00 Uhr nur auf Dateien zugreifen dürfen, die mit dem Metadatentag „Manager nur während der Arbeitszeit“ gekennzeichnet sind. In diesem Fall wird der Zugriff durch Überprüfung des Benutzerattributs (Status als Manager), des Ressourcenattributs (Metadatentag für eine Datei) und eines Umgebungsattributs (aktuelle Uhrzeit) bestimmt.
  • Richtlinienbasierte Zugriffssteuerung (PBAC) – Eine Strategie für die Verwaltung des Benutzerzugriffs auf ein oder mehrere Systeme, bei der die Geschäftsrolle des Benutzers mit Richtlinien kombiniert wird, um zu bestimmen, über welchen Zugriff der Benutzer verfügt.

Authentifizierungskontext

Eine neue Funktion in Microsoft Entra ID, die sich noch in der Vorschau befindet. Der Authentifizierungskontext kann verwendet werden, um Daten und Aktionen in Anwendungen besser zu schützen. Bei diesen Anwendungen kann es sich um Ihre eigenen benutzerdefinierten Anwendungen, benutzerdefinierte Geschäftsbereichsanwendungen (LOB), Anwendungen wie SharePoint oder Anwendungen handeln, die durch Microsoft Defender für Cloud Apps geschützt sind. Beispielsweise kann eine Organisation Dateien auf SharePoint-Websites aufbewahren, z. B. das Menü für das Mittagessen oder ihr geheimes BBQ-Saucenrezept. Jeder hat Zugriff auf die Website mit dem Mittagsmenü. Jedoch müssen Benutzer, die Zugriff auf die geheime Website mit dem Grillsaucenrezept haben, die Verbindung von einem verwalteten Gerät herstellen. Sie können sie sogar zwingen, bestimmten Nutzungsbedingungen zuzustimmen.