Latest / M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch / SharePoint-Berechtigungen im großen Maßstab prüfen: Audits mit PnP PowerShell, Microsoft Graph und Azure Automation (KI-Synchronfassung)

Transcript

SharePoint-Berechtigungen im großen Maßstab prüfen: Audits mit PnP PowerShell, Microsoft Graph und Azure Automation (KI-Synchronfassung) · M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch

• 0:00
  Bereit für 10 Tage voller Microsoft 365, Co-Pilot, KI, Azure und den Menschen, die die Zukunft der Arbeit gestalten?
• 0:08
  Diesen Januar ist die M365-Con zurück und wir legen noch eine Schippe drauf.
• 0:12
  Seien Sie dabei bei Live-Sessions, Praxis-Demos und Expertenwissen von MVPs und Branchenprofis aus aller Welt.
• 0:18
  Keine generischen Folien, keine endlosen Schlagworte.
• 0:22
  Wir gehen die echten Herausforderungen an.
• 0:23
  Co-Pilot Studio, KI-Agenten, Fabrik, Sicherheit, Governance und Automatisierung, leider.
• 0:28
  Egal ob IT-Profi-Entwickler oder Führungskraft, es gibt Sessions, die genau auf Sie zugeschnitten sind, sind.
• 0:35
  An 10 vollen Tagen können Sie zahlreiche Technologien erkunden und sich mit einer globalen Community vernetzen.
• 0:40
  Verfolgen Sie es live und nehmen Sie praktische Erkenntnisse mit zurück in Ihr Unternehmen.
• 0:45
  Januar 2027, 10 Tage, eine Microsoft-Community. Die Registrierung ist jetzt eröffnet.
• 0:52
  Sichern Sie sich noch heute Ihren Platz.
• 0:54
  Das ist mtreuerfunk60con.net
• 0:58
  Melden Sie sich jetzt unter mtreuerfunk60con.net an. Wir sehen uns live im Januar.
• 1:05
  Ihre SharePoint-Berechtigungen sind wahrscheinlich ein einziges Durcheinander.
• 1:07
  Nicht, weil Sie sie nicht verwalten, sondern weil niemand bei tausenden täglich wechselnden Seiten Schritt halten kann.
• 1:12
  Was erschrecken Sie daran?
• 1:13
  Die meisten Organisationen haben keinen einzigen Bericht, der zeigt, wer worauf Zugriff hat.
• 1:16
  In dieser Session zeige ich Ihnen die genauen Schritte, um jede Seite, jede Bibliothek und jeden Benutzer zu scannen, ohne eine einzige Seite manuell anzufassen.
• 1:26
  Am Ende wissen Sie, wie man die Arbeit, die normalerweise Wochen dauert, automatisiert, sodass täglich präzise Berichte vorliegen und Sie können endlich ruhig schlafen, da Sie die Kontrolle haben, da Sie die Kontrolle haben.
• 1:35
  Warum traditionelle Berechtigungsprüfungen im Unternehmensmaßstab scheitern
• 1:40
  Sie kennen diese jährliche Berechtigungsprüfung, auf die sich jeder so sehr freut?
• 1:45
  Die Tabelle wird verschickt, die Website-Besitzer gehen ihre Listen durch, Manager geben sie frei
• 1:48
  und für etwa 24 Stunden fühlt es sich an, als hätten Sie alles unter Kontrolle.
• 1:54
  Schon in der nächsten Woche hat jemand einen Ordner mit einem neuen Auftragnehmer geteilt
• 1:57
  oder eine Projektseite wurde unbemerkt erstellt
• 1:58
  und der finale Datensatz, den Sie gerade archiviert haben, geht schon meilenweit an der Realität vorbei.
• 2:04
  Bei einer kleinen Sammlung ist es noch möglich, Änderungen abzufangen, bevor Sie außer Kontrolle geraten.
• 2:09
  Sie ziehen die Liste der Website-Mitglieder, prüfen vielleicht ein paar Gruppen
• 2:12
  und bestätigen, dass niemand unbefugten Zugriff hat.
• 2:14
  In dieser Welt funktioniert die manuelle Überprüfung.
• 2:17
  Der Berechtigungsbaum ist kurz genug, um ihn auf einem Bildschirm zu sehen
• 2:19
  und die Anzahl der Personen, die Änderungen vornehmen, ist überschaubar.
• 2:23
  Es ist langweilig, aber machbar.
• 2:25
  Im Unternehmensmaßstab bricht dieses Modell schnell zusammen.
• 2:28
  Sie schauen nicht mehr auf ein ordentliches Set von fünf Intranet-Seiten.
• 2:30
  Sie sehen sich vielleicht 10.000 Seiten über Abteilungen, Regionen und Geschäftsbereiche hinweg gegenüber.
• 2:35
  Und diese sind nicht statisch.
• 2:37
  Teams erstellen täglich neue Seiten.
• 2:39
  Archivierte Projekte verschwinden nie ganz
• 2:40
  und ständige Inhaltsänderungen führen dazu, dass sich Berechtigungen laufend ändern.
• 2:44
  Das Zeitfenster zwischen ihrer Überprüfung und der nächsten bedeutenden Änderung
• 2:47
  beträgt manchmal nur wenige Stunden.
• 2:49
  Noch schlimmer SharePoint ist täuschend, wenn man versucht, es mit bloßem Auge zu erfassen.
• 2:52
  Berechtigungen können von der übergeordneten Website geerbt,
• 2:54
  auf Bibliotheksebene überschrieben, in einem Ordner angepasst
• 2:56
  und bei einer einzelnen Datei erneut korrigiert werden.
• 2:59
  Der Zugriff eines Benutzers ist oft nicht offensichtlich,
• 3:01
  da er über eine verschachtelte Gruppe erfolgt,
• 3:03
  vielleicht sogar über eine aus Azure-IDs synchronisierte Sicherheitsgruppe,
• 3:06
  die selbst weitere Gruppen enthält.
• 3:08
  Ein fehlender Klick in diese Ebenen genügt
• 3:10
  und Sie haben keine Ahnung, dass sie dort vorhanden sind.
• 3:12
  Compliance-Teams erwarten nach wie vor saubere Audit-Protokolle
• 3:14
  und Nachweise über regelmäßige Überprüfungen.
• 3:16
  Die Realität ist, dass Sie eine Armee von Administratoren bräuchten,
• 3:19
  um jede Website-Struktur manuell zu durchlaufen,
• 3:22
  jede Berechtigung zu notieren und deren Gültigkeit zu bestätigen.
• 3:25
  Dabei ist noch gar nicht die Zeit eingerechnet,
• 3:27
  um geerbte und gruppenbasierte Zugriffe erneut zu prüfen,
• 3:29
  die sich in dem Moment ändern,
• 3:30
  indem jemand einem Benutzer in einem anderen Team zuweist.
• 3:32
  Die praktische Umsetzung steht einfach in keinem Verhältnis so.
• 3:35
  Ich habe mit einer Organisation zusammengearbeitet,
• 3:36
  die über 80 Admin-Stunden für eine einzige vierteljährliche Überprüfung aufgewendet hat.
• 3:40
  Sie teilten die Arbeitslast auf,
• 3:41
  erstellten Mitgliedschaftsberichte
• 3:42
  und hatten sogar einen formellen Prozess festgelegt.
• 3:45
  Die Abschlussdatei sah gründlich aus,
• 3:47
  aber zwei Wochen später fand ein Penetrationstest Gäste
• 3:50
  mit Bearbeitungszugriff auf vertrauliche Ordner,
• 3:52
  die völlig übersehen worden waren.
• 3:53
  Nicht, weil jemand bei seiner Arbeit versagt hätte,
• 3:57
  sondern weil der Zugriff über eine verschachtelte Gruppe erfolgte,
• 4:00
  die im manuellen Bericht nie auftauchte.
• 4:02
  Das ist die Lücke, die in den Schlaf rauben wird.
• 4:04
  Veraltete Berechtigungen, die tief in Strukturen verborgen sind
• 4:06
  oder ehemalige Mitarbeiter,
• 4:08
  deren Konten in synchronisierten Gruppen verbleiben.
• 4:11
  Gastkonten, die eigentlich hätten ablaufen sollen,
• 4:12
  es aber nicht taten.
• 4:13
  Man übersieht sie leicht
• 4:14
  und wenn sie sich auf eine manuelle Durchsicht verlassen,
• 4:16
  setzen sie ebenso sehr auf Glück wie auf Prozesse.
• 4:18
  Sie erkennen, dass das Modell der jährlichen Momentaufnahme
• 4:20
  nicht deshalb fehlerhaft ist, weil Menschen faul sind.
• 4:23
  Es ist fehlerhaft, weil sich das System,
• 4:25
  das es erfassen will, ständig verändert.
• 4:27
  Berechtigungen sind lebendige Daten.
• 4:29
  Sie wie eine statische Liste zu behandeln,
• 4:30
  bedeutet, dass sie immer in der Vergangenheit leben
• 4:32
  und nie den Live-Status ihrer Umgebung kennen.
• 4:34
  Die Lösung besteht nicht darin,
• 4:35
  mehr Personal für die Überprüfung herzustellen.
• 4:37
  Es geht darum, einen Weg zu finden,
• 4:39
  diese Daten automatisch abzufragen und zu konsolidieren,
• 4:41
  damit ihre Berichte jede Änderung sofort widerspiegeln.
• 4:44
  Der nächste Schritt ist die Verbindung zu jeder Website,
• 4:46
  ohne sich einzeln durchgecken zu müssen
• 4:48
  und genau hier kommt ein leistungsfähigeres Tool ins Spiel.
• 4:52
  Schaffung der Grundlage mit PNP PowerShell
• 4:54
  Stellen Sie sich vor, Sie öffnen ein PowerShell-Fenster,
• 4:56
  führen einen Befehl aus
• 4:57
  und sind mit jeder SharePoint-Website in Ihrem Tenant verbunden.
• 5:01
  Keine Browser-Tabs,
• 5:02
  kein endloses Klicken durch Website-Sammlungen,
• 5:03
  sondern ein direkter Zugang zur gesamten Umgebung
• 5:05
  von einer einzigen Stelle aus.
• 5:07
  Genau das bietet dir PNP PowerShell
• 5:09
  und wenn du es bisher nur für kleine Ad-Hoc-Skripte verwendet hast,
• 5:12
  mag es überraschen, wie leistungsfähig es eigentlich ist.
• 5:15
  Ist.
• 5:16
  PNP PowerShell ist im Grunde deine Brücke
• 5:18
  zwischen SharePoint Online und deiner Automatisierungsumgebung.
• 5:21
  Äh.
• 5:22
  Es verpackt die Microsoft APIs in benutzerfreundlichere Befehle
• 5:25
  und bietet dir gleichzeitig Zugriff auf erweiterte Funktionen
• 5:28
  unter der Oberfläche.
• 5:30
  Im kleinen Rahmen kommst du mit einer interaktiven
• 5:32
  Connect PNP Online-Verbindung zurecht,
• 5:34
  bei der du dich mit deinem Konto anmeldest
• 5:35
  und Zeitdaten abrufst.
• 5:38
  Doch bei größeren Umgebungen werden interaktive Anmeldungen zum Albtraum.
• 5:40
  Du kannst nicht erwarten, dass geplante Prozesse darauf warten,
• 5:43
  dass jemand ein Passwort eingibt oder eine Abfrage bestätigt.
• 5:46
  Genau hier zeigen sich die Schwachstellen naiver Skripte.
• 5:50
  Vielleicht bist du gerade bei der Hälfte der Site-Auflistung,
• 5:52
  wenn dein Token abläuft.
• 5:53
  Du könntest den Dienst zu schnell überlasten
• 5:55
  und Drosselungsgrenzen erreichen
• 5:57
  oder feststellen, dass nicht jede Site dieselbe Struktur aufweist.
• 6:00
  Darst.
• 6:02
  Einige verwenden moderne Teamvorlagen,
• 6:04
  andere sind klassische Sammlungen mit ausgefallenen Berechtigungen
• 6:06
  und Einstellungen an unerwarteten Stellen.
• 6:09
  Je mehr du versuchst es mit Gewalt zu erzwingen,
• 6:10
  desto anfälliger wird das Ganze.
• 6:12
  Ein besserer Weg ist der Wechsel zu App-Only-Verbindungen.
• 6:16
  In der Praxis bedeutet das,
• 6:18
  eine Azure-ID-App-Registrierung zu erstellen,
• 6:20
  ihr die erforderlichen SharePoint- und Graph-Berechtigungen zu erteilen
• 6:22
  und sich mit einem Zertifikat,
• 6:24
  statt ein Benutzerkonto zu authentifizieren.
• 6:27
  Diese zertifikatsbasierte Authentifizierung
• 6:29
  ist für unbeaufsichtigte Prozesse weiter stabiler.
• 6:31
  DNP PowerShell unterstützt dies von Haus aus.
• 6:33
  Sobald das Zertifikat sicher gespeichert ist,
• 6:36
  vorzugsweise in einem Dienst wie Azure Key Vault,
• 6:38
  können sich deine Skripte ohne Abfragen
• 6:40
  und ohne das Risiko abgelaufener Passwörter verbinden.
• 6:43
  Wie aber findest du nun all die Sites,
• 6:45
  mit denen du dich verbinden musst?
• 6:46
  Auf Tenentebene kannst du keine hartcodierte Liste pflegen.
• 6:49
  Du kannst Connect PNP Online
• 6:50
  mit der suchbasierten Site-Enumeration verwenden
• 6:52
  oder dich mit Microsoft Graph integrieren,
• 6:54
  um jede Site-Collection-URL dynamisch abzurufen.
• 6:58
  Graph ist meist konsistenter,
• 6:59
  aber der PNP-Suchansatz kann den kleineren Tenents
• 7:01
  schnelle Erfolge liefern.
• 7:03
  Der Schlüssel ist jedoch,
• 7:04
  dass die Enumeration selbst hinanweit
• 7:06
  und automatisiert erfolgen muss.
• 7:07
  Es darf keine manuelle Kuratierung geben.
• 7:09
  Sobald du eine Liste hast,
• 7:10
  musst du dennoch rücksichtsvoll mit dem Dienst umgehen.
• 7:13
  Bündle deine Anfragen.
• 7:14
  Verwende Pausen oder Drosselungsmechanismen.
• 7:16
  Es geht nicht nur darum,
• 7:17
  429 Fehler von Microsoft zu vermeiden.
• 7:19
  Es geht darum, sicherzustellen,
• 7:20
  dass dein Prozess in einem realistischen Zeitrahmen abschließt,
• 7:22
  ohne die Endpunkte zu überlasten.
• 7:25
  Dies gut zu handhaben bedeutet,
• 7:27
  deine Schleifen so zu strukturieren,
• 7:28
  dass sie eine überschaubare Teilmenge von Sites
• 7:30
  gleichzeitig verarbeiten,
• 7:31
  Zwischenergebnisse schreiben
• 7:32
  und bei einem Sitzungsabbruch sauber fortfahren.
• 7:36
  Ein Beispiel für sichere Handhabung
• 7:38
  wäre ein PowerShell Runbook,
• 7:39
  das ihr Zertifikat zur Laufzeit aus dem Keyword abruft,
• 7:42
  eine Verbindung zum Admincenter herstellt,
• 7:44
  alle Website-URLs über Graph abfragt
• 7:46
  und diese dann in kontrollierten Chargen durchläuft.
• 7:50
  Keine Anmeldeaufforderung,
• 7:51
  keine festkodierten Anmeldedaten,
• 7:53
  vollständig wiederholbar.
• 7:54
  Sie könnten dies heute bei Bedarf ausführen
• 7:55
  und morgen nach einem Zeitplan.
• 7:56
  An diesem Punkt haben Sie Ihre Konsole
• 7:58
  im Grunde mit dem Nervensystem
• 7:59
  Ihres SharePoint-Tenants verbunden.
• 8:02
  Sie können jede Website programmatisch erreichen,
• 8:03
  ohne jemals die Benutzeroberfläche zu berühren.
• 8:06
  Das löst die erste Hürde
• 8:07
  für die unternehmensweite Berechtigungsprüfung,
• 8:08
  Minerkennung und Verbindung.
• 8:10
  Aber was Sie jetzt haben,
• 8:11
  ist immer noch oberflächlich.
• 8:13
  Sie können Website-Eigenschaften abrufen,
• 8:15
  vielleicht Gruppen auf oberster Ebene,
• 8:16
  aber Sie sehen noch nicht
• 8:17
  die verschachtelten, verehrten Zugriffe,
• 8:19
  die für die Compliance wichtig sind.
• 8:21
  Um diese Tiefe zu erreichen,
• 8:22
  müssen Sie auf einen reichhaltigeren Datensatz zugreifen,
• 8:24
  als PNP allein bietet.
• 8:25
  Die Befehle hier sind großartig
• 8:27
  für die Orchestrierung von Verbindungen
• 8:28
  und das Durchlaufen von Websites,
• 8:30
  aber um die vollständige Berechtigungshistorie
• 8:32
  für jede Datei und jeden Ordner zu entschlüsseln,
• 8:34
  müssen wir eine weitere API hinzuziehen,
• 8:36
  die darauf ausgelegt ist,
• 8:37
  diese Beziehungen sauber offen zu legen.
• 8:39
  Hier kommt die nächste Ebene
• 8:40
  dieses Ansatzes ins Spiel,
• 8:41
  nämlich das Auslesen von Berechtigungsdaten
• 8:43
  mit der Microsoft Graph API.
• 8:46
  Wenn die Verbindung mit PNP PowerShell
• 8:47
  in die Schlüssel zu jeder Website gibt,
• 8:49
  ist die Nutzung der Microsoft Graph API,
• 8:51
  wie das Betreten jeder Einzelnen,
• 8:52
  um die vollständige Gästeliste zu sehen.
• 8:56
  Wer ist da, weil er direkt eingeladen wurde?
• 8:58
  Wer ist Teil einer Gruppe?
• 8:59
  Und wer kommt durch eine vererbte Tür herein,
• 9:01
  die Sie nicht einmal bemerkt haben?
• 9:03
  Hä?
• 9:04
  Das ist der Punkt, an dem Sie aufhören zu raten
• 9:06
  und eine klare, einheitliche Sicht
• 9:07
  auf Tausende von Websites und Bibliotheken
• 9:08
  gleichzeitig erhalten.
• 9:10
  Graph liegt viel in Microsoft 365 Diensten zugrunde.
• 9:14
  Bei Berechtigungen fungiert es als Rückgrat,
• 9:16
  dass es Ihnen ermöglicht,
• 9:17
  SharePoint, OneDrive und Teams
• 9:18
  konsistent abzufragen.
• 9:19
  Der Unterschied ist,
• 9:21
  dass es Ihnen nicht nur eine flache Liste liefert.
• 9:23
  Es ermöglicht Ihnen,
• 9:24
  Website-Objekte, Listen, Bibliotheken, Dateien
• 9:26
  und die jeweils zugehörigen Berechtigungsobjekte
• 9:28
  abzurufen.
• 9:30
  Das ist wichtig,
• 9:30
  weil in SharePoint-Berechtigungen
• 9:31
  nichts ordentlich an einem Ort gespeichert ist.
• 9:35
  Direkte Zuweisungen existieren
• 9:36
  neben Gruppenmitgliedschaften,
• 9:37
  die sich in Azure AD-Gruppen befinden können,
• 9:38
  welche wiederum eigene verschachtelte Gruppen enthalten.
• 9:40
  Zum Beispiel kann der Microsoft-Sites-Class
• 9:43
  site-it-permissions-end.in
• 9:45
  Informationen über Freigabelinks und Zugriffsberechtigungen
• 9:48
  auf Website-Ebene liefern,
• 9:49
  aber das deckt nicht alles ab.
• 9:50
  Berechtigungen auf Listenebene
• 9:52
  erfordern möglicherweise
• 9:53
  sites-it-list-it-permissions
• 9:57
  und Zugriffsaufrufe auf Element- oder Dateiebene
• 10:00
  könnten drive-it-it-it-it-it-it-permissions benötigen.
• 10:04
  Um zu verstehen,
• 10:05
  wer tatsächlich was hat,
• 10:06
  müssen Sie diese Ergebnisse zusammenführen.
• 10:09
  Na, dazu gehört das Nachschlagen
• 10:11
  von Gruppenmitgliedschaften über Gruppen-IDs
• 10:13
  und das Auflösen von Benutzerobjekten,
• 10:15
  damit Sie genau wissen,
• 10:16
  wer hinter einem Gruppeneintrag steckt.
• 10:19
  Kompliziert wird es,
• 10:19
  wenn die Vererbung unsichtbar bleibt,
• 10:21
  weil Sie nur die direkten Berechtigungen betrachten.
• 10:24
  Eine Datei hat vielleicht keine eindeutigen Berechtigungen,
• 10:26
  was eigentlich bedeutet,
• 10:27
  suchen Sie eine Ebene höher.
• 10:29
  Wenn Sie dort aufhören,
• 10:30
  übersehen Sie ganze Kategorien von Zugriffsberechtigungen.
• 10:32
  Sie benötigen also eine Logik,
• 10:34
  die die Kette von der Datei über den Ordner
• 10:35
  und die Bibliothek bis zur Website hinauf geht,
• 10:37
  jede Ebene prüft
• 10:38
  und die Daten zusammenführt,
• 10:40
  bis der gesamte Vererbungspfad sichtbar ist.
• 10:43
  Paginierung und Drosselung sind hier eine weitere Realität.
• 10:47
  Graph-Antworten brechen oft nach 200 Elementen ab
• 10:49
  und Sie müssen den OData-Next-Link-Token folgen,
• 10:52
  um den Rest abzurufen.
• 10:54
  In großem Maßstab bedeutet das,
• 10:55
  Anforderungsschleifen zu erstellen,
• 10:56
  die Tausende von Antworten verarbeiten können,
• 10:58
  ohne Zeitüberschreitungen
• 10:59
  oder Kontextverluste oder Kontextverlust.
• 11:01
  Die Drosselung erfolgt über 429 Antworten
• 11:04
  mit einem vorgeschlagenen Retreat-After-Wert.
• 11:06
  Ihr Code muss dies berücksichtigen,
• 11:07
  sonst kommen Sie schnell nicht weiter.
• 11:09
  Eine Falle in die Administratoren tappen
• 11:11
  ist das ausschließlich Sammeln direkter Berechtigung.
• 11:13
  Das erzeugt einen sauber aussehenden Datensatz,
• 11:15
  der jedoch gefährlich unvollständig ist.
• 11:17
  Die Kombination mehrer Graph-Aufrufe löst dieses Problem.
• 11:19
  Berechtigungen auf Dateiebene
• 11:21
  plus Daten auf Bibliothekslisten und Website-Ebene
• 11:23
  quer verwiesen mit vollständigen
• 11:25
  Azure-ID-Gruppenmitgliedschaftserweiterungen.
• 11:28
  Das Endziel sind keine separaten Tabellen für jeden Typ,
• 11:31
  sondern ein flacher, normalisierter Datensatz,
• 11:33
  in dem jede Zeile die Ressource,
• 11:35
  den aufgelösten Benutzer
• 11:36
  und die effektive Zugriffsebene zeigt,
• 11:37
  unabhängig davon, wie sie gewährt wurde,
• 11:40
  unabhängig davon.
• 11:40
  Ein praktischer Ansatz ist die Datenerfassung in zwei Durchgängen.
• 11:44
  Zuerst werden alle Ressourcen, Websites,
• 11:46
  Listen und kritischen Bibliotheken
• 11:47
  oder Dokumentensätze aufgelistet.
• 11:50
  Zweitens werden für jede Ressource
• 11:51
  die direkten Berechtigungen abgefragt
• 11:53
  und dann die Hierarchie nach oben durchlaufen,
• 11:54
  um vererbte Einträge zu erfassen.
• 11:56
  Dabei werden alle gefundenen Gruppen-IDs
• 11:58
  durch Aufrufen der Gruppenmitgliedschafts-Endpunkte
• 11:59
  in tatsächliche Benutzerkonten aufgelöst.
• 12:02
  Auf diese Weise arbeiten sie bei der Analyse
• 12:04
  nur mit greifbaren Benutzer- und Gastobjekten
• 12:06
  und nicht mit kryptischen IDs.
• 12:08
  Das Ergebnis ist ein nutzbarer Datensatz.
• 12:10
  Sie können nach Benutzern sortieren
• 12:12
  und jede Ressource sehen, auf die sie zugreifen
• 12:13
  oder nach Ressourcen sortieren
• 12:14
  und jedes Konto mit Zugriff sehen.
• 12:16
  Sie können Filter für Gäste
• 12:18
  oder externe Benutzer anwenden
• 12:19
  und erhalten,
• 12:21
  sofortige Antworten
• 12:21
  ohne neue Berichte erstellen zu müssen.
• 12:24
  Dies ist eine Transparenz,
• 12:25
  die eine jährliche manuelle Überprüfung
• 12:26
  niemals erreichen könnte,
• 12:28
  da Sie sie jederzeit ausführen können
• 12:29
  und sicher sein können,
• 12:30
  dass nichts in einer dreistufigen
• 12:31
  Gruppenverschachtelung verborgen ist.
• 12:34
  Bei dieser Genauigkeit ist der nächste
• 12:36
  logische Schritt,
• 12:37
  die manuelle Ausführung komplett einzustellen.
• 12:40
  Wenn Sie die Abfragen
• 12:41
  nach einem Zeitplan automatisch ausführen können,
• 12:42
  haben Sie immer ein aktuelles Bild,
• 12:43
  ohne dass jemand ständig ein PowerShell-Fenster überwachen muss.
• 12:47
  Hier kommt die Orchestrierung ins Spiel,
• 12:48
  die die Prüfung mit Azure Automation automatisiert.
• 12:51
  Stellen Sie sich vor,
• 12:52
  Sie beginnen Ihren Tag
• 12:53
  und finden einen vollständigen aktuellen Berechtigungsbericht
• 12:55
  in Ihrem Posteingang.
• 12:56
  Keine nächtlichen Skripte,
• 12:57
  kein Fernzugriff auf einen Server,
• 12:59
  keine manuellen Exporte.
• 13:00
  Das ist der Reiz daran,
• 13:01
  den gesamten Prozess auf Autopilot zu stellen
• 13:03
  und Azure Automation ist eine der besten Möglichkeiten,
• 13:05
  dies zu erweichen,
• 13:06
  dies zu erreichen.
• 13:07
  Es ist im Grunde der Zeitplaner
• 13:09
  und die Ausführungsengine
• 13:10
  für all die PNP,
• 13:11
  PowerShell und Microsoft Graph-Arbeiten,
• 13:12
  die Sie bereits zusammengestellt haben,
• 13:14
  ohne dass Sie vor der Tastatur sitzen müssen.
• 13:17
  Ihren Azure Automation Runbooks leben
• 13:18
  und laufen Ihre Skripte in der Cloud.
• 13:21
  Anstatt Sie auf einem Server zu belassen,
• 13:22
  den jemand neu starten
• 13:23
  oder auf den jemand den Zugriff verlieren könnte,
• 13:24
  laden Sie Sie in einen verwalteten Dienst hoch.
• 13:26
  Dieser Dienst übernimmt die Ausführung,
• 13:28
  protokolliert die Ergebnisse
• 13:29
  und ermöglicht es Ihnen,
• 13:29
  sie nach einem Zeitplan auszulösen.
• 13:31
  Aber wenn Skripte laufen,
• 13:33
  ohne dass Sie zuschauen,
• 13:34
  können Dinge auf eine Weise schief gehen,
• 13:35
  die leicht zu übersehen ist
• 13:36
  wie ein abgelaufenes Zertifikat,
• 13:38
  das die Authentifizierung stoppt
• 13:39
  oder ein lang.
• 13:40
  Laufender Auftrag,
• 13:41
  der auf halbem Weg ein Timeout erreicht,
• 13:42
  der auf halbem Weg ein Timeout erreicht.
• 13:44
  Wenn Sie diese nicht einplanen,
• 13:45
  erhalten Sie einen Bericht,
• 13:46
  der stillschweigend fehlschlägt
• 13:47
  oder schlimmer noch unvollständige Daten liefert,
• 13:49
  die auf den ersten Blick in Ordnung aussehen.
• 13:51
  Der Ausgangspunkt ist die Sicherung
• 13:52
  Ihrer Authentifizierung.
• 13:54
  Das Einfügen von Anmeldeinformationen
• 13:55
  in ein Skript ist ein schneller Weg,
• 13:56
  ein Sicherheitsteam sehr unglücklich zu machen.
• 13:59
  Der richtige Ansatz ist,
• 14:00
  Ihr Zertifikat oder Clientgeheimnis
• 14:01
  in Azure Key Vault zu speichern
• 14:02
  und das Runbook ist der Laufzeit abrufen zu lassen.
• 14:05
  Key Vault hält die sensiblen Daten verschlüsselt
• 14:07
  und rollenbasierte Zugriffskontrollen
• 14:09
  stellen sicher,
• 14:09
  dass nur Ihr Automatisierungskonto
• 14:11
  Sie abrufen kann.
• 14:13
  Wenn das Zertifikat abläuft,
• 14:14
  können Sie es an einem Ort erneuern,
• 14:15
  ohne jedes Skript bearbeiten zu müssen.
• 14:18
  Die Zeitplanung in Azure Automation
• 14:19
  ist flexibel.
• 14:20
  Tägliche Durchläufe erfassen
• 14:21
  ein nahezu Echtzeitbild,
• 14:22
  aber wenn sich Ihre Umgebung langsamer ändert,
• 14:25
  könnte ein wöchentlicher Zeitplan ausreichen.
• 14:27
  Sie können genaue Zeiten festlegen,
• 14:29
  sich an Randzeiten orientieren,
• 14:30
  um die Last auf dem Mandanten zu reduzieren
• 14:32
  und Durchläufe sogar als Reaktion
• 14:34
  auf Ereignisse starten,
• 14:35
  anstatt nur nach der Uhr.
• 14:37
  Wenn der Auftrag mehr Ressourcen benötigt,
• 14:39
  als die Azure Sandbox bieten kann,
• 14:41
  zum Beispiel,
• 14:42
  wenn Sie es mit extrem großen Mandanten
• 14:43
  zu tun haben
• 14:44
  und sehr lange Aufzählungen ausführen,
• 14:46
  ermöglichen Hybrid Runbook Worker
• 14:48
  die Ausführung dieser Skripte vor Ort
• 14:49
  oder auf einer dedizierten VM,
• 14:51
  während sie weiterhin von Azure Automation
• 14:53
  verwaltet werden.
• 14:55
  Die Protokollierung ist genauso wichtig
• 14:56
  wie die Ausgabe selbst.
• 14:58
  Ohne Protokolle
• 14:59
  wird die Fehlersuche zum Raten.
• 15:00
  Azure Automation kann sowohl Standardausgabe
• 15:02
  als auch Fehlerstreams
• 15:03
  in Auftragsprotokollen erfassen,
• 15:04
  die Sie im Portal überprüfen
• 15:05
  oder für eine längerfristige Speicherung
• 15:07
  exportieren können.
• 15:08
  Diese Historie zu bewahren bedeutet,
• 15:10
  dass Sie nachweisen können,
• 15:10
  dass die Prüfung zu einem bestimmten Zeitpunkt lief
• 15:12
  und genau sehen können,
• 15:12
  was passiert ist,
• 15:13
  wenn sie nicht abgeschlossen wurde.
• 15:14
  Für die Compliance kann dieser Prüffahrt
• 15:16
  genauso wertvoll sein
• 15:17
  wie der Berechtigungsbericht selbst.
• 15:19
  Sobald das Skript abgeschlossen ist,
• 15:20
  haben Sie verschiedene Optionen,
• 15:21
  wo die Daten gespeichert werden sollen.
• 15:23
  Sie können die CSV- oder JSON-Ausgabe
• 15:25
  in eine SharePoint-Dokumenten-Bibliothek schreiben,
• 15:27
  in einen Azure-Blob-Speicher ablegen
• 15:28
  oder per SMTP-Relay- oder Logik-App
• 15:30
  an eine automatisierte E-Mail-Anhängen
• 15:33
  mit der Methode an.
• 15:35
  SharePoint eignet sich gut für den Teamzugriff,
• 15:37
  Blob-Speicher bewältigt sehr große Dateien
• 15:39
  und E-Mails sind sofort verfügbar,
• 15:40
  aber bei sensiblen Datensätzen weniger sicher.
• 15:42
  Es geht darum,
• 15:43
  die Bereitstellungsmethode zu wählen,
• 15:44
  die zu ihrem Überprüfungsprozess passt.
• 15:46
  Eine weitere Ebene besteht darin,
• 15:47
  zu identifizieren,
• 15:48
  wann etwas wirkliche Aufmerksamkeit erfordert.
• 15:49
  Dafür lässt Sie eine grundlegende
• 15:51
  Änderungskennung integrieren,
• 15:52
  indem man zum Beispiel
• 15:53
  den heutigen Datensatz
• 15:53
  mit dem von gestern vergleicht
• 15:54
  und bei einem neuen Gastbenutzer
• 15:57
  auf einer sensiblen Website
• 15:58
  eine Nachricht sendet.