RBAC Rollen & Berechtigungskonzept

Eligible Assignments konfigurieren

Entra ID Admin Center → Identity Governance → Privileged Identity Management → Entra ID roles.

Für jede Rolle, die über PIM verwaltet werden soll:

• Assignment type: Eligible (nicht Active!)
• Betroffene User/Gruppen zuweisen

Activation Settings konfigurieren

Für jede Rolle unter Settings:

• Maximum activation duration: 8 Stunden
• On activation, require: Azure MFA
• Require justification on activation: Ja
• Require approval: Ja (für Global Admin / Security Admin)
• Approvers: IT-Leitung oder Security Team festlegen

Notification Settings konfigurieren

• Send email when eligible members activate this role: Ja
• Empfänger: Security-Team und IT-Leitung
• Send email when members are assigned as eligible: Ja

Access Reviews einrichten

Identity Governance → Access Reviews → New access review:

• Scope: Privilegierte Rollen (Intune Admin, Security Admin, Global Admin)
• Frequency: Alle 90 Tage
• Reviewers: IT-Leitung oder CISO
• Auto-Apply: Ja — nicht bestätigte Zuweisungen werden automatisch entfernt

Sicherheitsgruppe erstellen

Entra ID Admin Center → Groups → New group:

• Type: Security
• Name: ROL-IntuneAdmins, ROL-HelpdeskOperators, etc.
• Members: Betroffene User hinzufügen

Rolle der Gruppe zuweisen

Entra ID → Roles and administrators → Rolle auswählen (z. B. Intune Administrator) → Add assignments → Sicherheitsgruppe auswählen.

Bei PIM: Assignment type auf „Eligible” setzen (nicht „Active”).

Zuweisung dokumentieren

RBAC-Matrix im Kunden-Wiki aktualisieren. Jede Rollenzuweisung muss nachvollziehbar dokumentiert sein (wer, wann, warum, durch wen genehmigt).

Custom Role erstellen

Intune Admin Center → Tenant administration → Roles → Create role.

Name und Beschreibung vergeben (z. B. App Manager – Concat Standard).

Berechtigungen konfigurieren

Nur die minimal erforderlichen Berechtigungen aktivieren (siehe Tabellen oben).

Beispiel für App Manager:

• ✅ Mobile Apps: Create, Read, Update, Delete, Assign
• ✅ Managed Apps: Read
• ❌ Device Configurations: Kein Zugriff
• ❌ Enrollment: Kein Zugriff

Scope Tags zuweisen (optional)

Bei Multi-Standort-Kunden können Scope Tags verwendet werden, um den Zugriff auf bestimmte Gerätegruppen einzuschränken (z. B. nur Geräte des Standorts München).

Rolle einer Gruppe zuweisen

Assignments → Add Scope Group (welche Geräte/User darf die Rolle verwalten?) → Add Members (wer erhält die Rolle?) → Group auswählen.

Scope Tags erstellen

Intune Admin Center → Tenant administration → Roles → Scope tags → Create.

Beispiel:

Scope Tags an Objekte zuweisen

Bei jeder Configuration Policy, App, Compliance Policy, etc. den passenden Scope Tag setzen:

• Policy erstellen/bearbeiten → Tab „Scope tags” → Tag zuweisen

Scope Tags in RBAC-Rollen integrieren

Bei der Rollenzuweisung (Custom oder Built-in): Scope Tags der Rolle zuweisen. Der Admin sieht dann nur Objekte mit dem passenden Tag.