Optimale Berechtigungsverwaltung

Leitfaden und Best Practices für ein effektives Rechtemanagement

Ein effektives Rechtemanagement für Unternehmensanwendungen ist in der heutigen digitalisierten Geschäftswelt unerlässlich. Bei Nexcom setzen wir auf Microsoft SharePoint und Microsoft Entra AD, um unseren Kunden eine robuste, sichere und leicht zu verwaltende Lösung anzubieten. Im Folgenden werden wir detailliert auf unsere Best-Practice-Lösung für eine optimale Berechtigungsverwaltung in SharePoint eingehen.

Zentrales Rechtemanagement mit Microsoft Entra AD

Wir empfehlen, die Berechtigungsgruppen für SharePoint-Websites nicht direkt in SharePoint anzulegen, sondern die automatisch vom System erzeugten AD-Berechtigungsgruppen in Microsoft Entra AD (früher Azure AD) zu nutzen. Diese Vorgehensweise bietet eine zentrale Verwaltung der Nutzerberechtigungen und gewährleistet eine unternehmensweite Einheitlichkeit in der Rechtevergabe.

Technische Umsetzung

Automatische Berechtigungsgruppen nutzen

• Beim Anlegen einer SharePoint-Website (egal ob Teamwebsite, Kommunikationswebsite oder Hubwebsite) werden vom System automatisch die Berechtigungsgruppen „Mitglieder“ und „Besitzer“ in Entra AD erzeugt.
• Diese Gruppen sind so konfiguriert, dass sie die wesentlichen Berechtigungsstufen enthalten, die den Zugriff und die Verwaltung der Inhalte innerhalb der SharePoint-Website regeln.

Berechtigungsgruppen in Entra AD verwalten

• Die zentral erzeugten Gruppen werden in Entra AD verwaltet, was eine konsistente und zentrale Administration der Nutzerberechtigungen ermöglicht.
• Administratoren können Benutzer zu diesen Gruppen in Entra AD hinzufügen oder entfernen, wodurch diese Änderungen sofort in allen verknüpften SharePoint-Websites und Teams wirksam werden.

Berechtigungsstufen in SharePoint

• Die „Besitzer“-Gruppe erhält Vollzugriff auf die SharePoint-Website, was bedeutet, dass Mitglieder dieser Gruppe uneingeschränkte Berechtigungen haben, einschließlich der Möglichkeit, die Website-Einstellungen zu ändern und neue Benutzer hinzuzufügen.
• Die „Mitglieder“-Gruppe hat Berechtigungen zum Anzeigen, Hinzufügen, Aktualisieren und Löschen von Listenelementen und Dokumenten. Diese Gruppe kann keine administrativen Änderungen vornehmen, was die Sicherheit der Website erhöht.

Erweiterte Berechtigungen und Detailberechtigungen

• Neben den standardisierten Gruppen können bei Bedarf zusätzliche Berechtigungsstufen direkt in SharePoint konfiguriert werden. Diese können speziell auf die Anforderungen des Unternehmens zugeschnitten sein.
• Die zusätzlichen Berechtigungsstufen basieren auf den vorhandenen 33 Detailberechtigungen, die in Listenberechtigungen, Websiteberechtigungen und persönliche Berechtigungen unterteilt sind. Beispielsweise könnte eine „Lese“-Gruppe erstellt werden, die nur Ansichtsrechte hat.

Automatisierung und Skripting

• Für größere Unternehmen kann die Verwaltung von Berechtigungen durch Automatisierung und Skripting in PowerShell erheblich erleichtert werden. Mit PowerShell-Skripten können Administratoren beispielsweise Massenänderungen vornehmen oder regelmäßige Überprüfungen der Gruppenmitgliedschaften durchführen.
• Es ist auch möglich, benutzerdefinierte Skripte zu erstellen, die automatisch Berichte über Benutzerberechtigungen generieren und an die Sicherheitsverantwortlichen des Unternehmens senden.

Auditierung und Überwachung

• Entra AD bietet erweiterte Überwachungs- und Berichtsfunktionen, die es ermöglichen, Änderungen an Berechtigungen und Gruppenmitgliedschaften nachzuverfolgen. Dies ist besonders wichtig für Unternehmen, die strengen Compliance-Vorschriften unterliegen.
• Administratoren können Auditprotokolle einsehen, um festzustellen, wer wann welche Änderungen vorgenommen hat. Diese Protokolle können auch zur Identifizierung und Behebung von Sicherheitslücken genutzt werden.

Integration mit Microsoft Teams

• Jedes in Microsoft Teams erstellte Team wird automatisch als eigene Teamwebsite in SharePoint angelegt, wodurch die in Entra AD verwalteten Berechtigungsgruppen auch auf diese Teams angewendet werden.
• Die Konsistenz der Rechtevergabe zwischen SharePoint und Teams wird dadurch gewährleistet, dass die gleichen AD-Berechtigungsgruppen und Berechtigungsstufen verwendet werden. Dies reduziert den Verwaltungsaufwand und stellt sicher, dass Benutzer nur einmal verwaltet werden müssen.

Rollenbasierte Zugriffskontrolle (RBAC)

• Die zentrale Verwaltung in Entra AD unterstützt auch rollenbasierte Zugriffskontrollen (RBAC), wodurch Administratoren Rollen definieren können, die bestimmten Berechtigungsgruppen zugewiesen werden. Dies erleichtert die Verwaltung komplexer Berechtigungsanforderungen.
• Beispielsweise kann eine „Projektmanager“-Rolle erstellt werden, die automatisch bestimmte Berechtigungen in allen relevanten SharePoint-Websites und Teams erhält.

Vorteile der zentralen Verwaltung

• Durch die zentrale Verwaltung in Entra AD wird die Rechtevergabe vereinfacht und konsistenter gestaltet. Benutzer und Gruppen können zentral verwaltet werden, was den Verwaltungsaufwand reduziert und die Sicherheit erhöht.
• Sicherheitsrichtlinien und Berechtigungen können unternehmensweit einheitlich angewendet werden, was die Effizienz und Sicherheit im gesamten Unternehmen verbessert.

Fazit

Durch die Nutzung der automatisch generierten Berechtigungsgruppen in Entra AD für SharePoint-Websites und die zentrale Verwaltung dieser Gruppen in Entra AD erreichen wir ein konsistentes, sicheres und einfach zu verwaltendes Rechtemanagement. Dieser Ansatz ermöglicht eine strukturierte Zuweisung und Verwaltung von Berechtigungen auf einer Plattform, die sowohl individuelle Benutzeranforderungen als auch unternehmensweite Sicherheitsrichtlinien erfüllt.

Die Integration von Teams in dieses System bietet zusätzliche Vorteile, indem sie sicherstellt, dass die gleichen Berechtigungsstandards und -prozesse sowohl für SharePoint-Websites als auch für Teams in Microsoft Teams gelten. Dies ist ein entscheidender Aspekt für Unternehmen, die intensiv Microsoft Teams nutzen.

Unser Ansatz für eine optimale Benutzerverwaltung in SharePoint ermöglicht die bestmögliche Verwaltung von Rechten, eine effiziente Nutzung der Ressourcen von SharePoint und Teams, verbessert die Sicherheit und steigert die Produktivität im gesamten Unternehmen. Durch die Kombination von SharePoint, Entra AD und Microsoft Teams können wir ein durchgängiges und effizientes Rechtemanagement für die gesamte Microsoft 365-Umgebung gewährleisten. Der Schlüssel dazu liegt in der zentralen Verwaltung von Berechtigungen in Entra AD und der Nutzung dieser Berechtigungsgruppen in SharePoint und Teams.