Start · Lösungen · Weitere Lösungen
Lösung · Weitere LösungenDie Richtlinie entscheidet, der Zugriff kommt in Minuten, der Nachweis braucht keine Tabelle
Anwendungszugriff nach Richtlinie in Minuten, mit Nachweis
Standardpakete werden im Rahmen der Richtlinie erteilt, sensible Rollen passieren benannte Freigebende, Roboter provisionieren die Anwendungen ohne SCIM, und jede Vergabe trägt Nachweis und Ablaufdatum.
Kurzfassung für die Geschäftsführung
Zugriff wird aus interpretierten E-Mails erteilt, Freigaben werden nachgefasst, und der Prüfer findet keinen Nachweis.
Wir beginnen mit der eigenen Zugriffsrichtlinie des Kunden und übersetzen sie in Access Packages in Microsoft Entra ID Governance.
Standardzugriff kommt in Minuten, weil eine Richtlinie entscheidet statt einer E-Mail-Kette.
Microsoft Entra ID und Microsoft Entra ID Governance; SCIM-angebundene SaaS-Anwendungen; das ERP
Geschäftsproblem
Identität & Zugriff
Anträge kommen als Sätze. „Geben Sie Anna dasselbe wie Piotr“ wird von einem Administrator interpretiert, der die Systeme kennt, aber die Richtlinie nie gelesen hat, denn die Richtlinie ist ein Dokument und das Antragsformular ein Textfeld. Die Freigabe wird per E-Mail nachgefasst, und wenn ein Projekt blockiert ist, vergibt der Administrator zuerst und fragt später.
Jede Anwendung hat ihren eigenen Administrator, ihre eigene Konsole und ihre eigene Vorstellung davon, was eine Rolle ist; ein Antrag fächert sich also in vier Vergaben an vier Tagen auf, und der Anwendungsverantwortliche wird selten gefragt. Nichts hält fest, wann der Zugriff enden soll, also endet er nicht. Nachweise liegen in Postfächern, wo Prüfer ihr Fehlen feststellen. Richtlinie, Antrag und Vergabe wurden nie miteinander verbunden, und jede Prüfung testet genau diese Verbindung.
Wie es heute läuft
- MenschEine Führungskraft bittet den Service Desk um „denselben Zugriff wie ein Kollege“; der Desk macht aus dem Satz ein Ticket
- MenschEin Administrator übersetzt den Satz aus dem Gedächtnis in Rollen
- WartezeitDas Ticket wartet auf die Freigabe der Führungskraft per E-Mail, meist zwei bis fünf Tage
- SystemDer Administrator vergibt nacheinander in jeder Konsole: Verzeichnis, ERP, Projektsystem, CAD-Lizenzserver
- FehlerrisikoDer Anwendungsverantwortliche wird nicht gefragt, also entstehen Rollenkombinationen, die die Richtlinie verbietet, ohne dass jemand entscheidet
- FehlerrisikoDer Nachweis wird ins Ticket kopiert, wenn jemand daran denkt, kein Enddatum wird erfasst, und die Stichprobe des Prüfers findet die Lücke
Warum der heutige Prozess mehr kostet, als es scheint
Der teuerste Teil dieses Prozesses hat keine eigene Kostenstelle.
- Warten ist der sichtbare Kostenfaktor: Ein Projektcontroller, der eine Woche lang nicht im ERP buchen kann, ist eine Woche Arbeit für jemand anderen.
- Zugriff ohne den Anwendungsverantwortlichen bricht die Funktionstrennung lautlos; niemand hat den Konflikt entworfen, und niemand sieht ihn.
- Rechte ohne Enddatum sammeln sich an, und jedes angesammelte Recht ist eines mehr, das ein gestohlenes Passwort nutzen kann.
- Die Prüfungsvorbereitung wird zum vierteljährlichen Rekonstruktionsprojekt, und die Feststellung wiederholt sich, weil ihre Ursache strukturell ist.
Kosten des Nichtstuns
Die Ansammlung ist die Zahl, die diese Tabelle nicht zeigen kann. Jede neue Anwendung fügt der Auffächerung eine Konsole hinzu, jede Einstellung fügt Anträge hinzu, und die Berechtigungslandschaft wächst um Vergaben minus Entzüge, was heute nahezu jede Vergabe bedeutet. Die Feststellung kehrt jedes Mal in schärferem Ton zurück; zwölf Monate später hat das Unternehmen mehr Konten mit mehr Rechten und Nachweise, die immer noch davon abhängen, wer daran gedacht hat, die Freigabe einzufügen.
Eine plausible Organisation mit realistischen Größenordnungen. Die Zahlen sind zum Nachrechnen mit Ihren Daten gedacht, kein Kundenergebnis.
Eine Ingenieur- und Baugruppe, 2.800 Mitarbeitende, rund 60 Geschäftsanwendungen hinter Microsoft Entra ID; etwa 20 SaaS-Anwendungen über SCIM angebunden; ERP, Projektmanagementsystem und CAD-Lizenzserver haben keine Provisionierungsschnittstelle.
Rund 550 Zugriffsanträge im Monat; sechs von zehn betreffen eine Standardrolle, die die schriftliche Richtlinie bereits beschreibt; vier Prüfungen im Jahr.
Freitext-Tickets, von einem Administrator interpretiert, Freigaben per E-Mail nachgefasst, Vergaben von Hand in jeder Konsole, der Nachweis ins Ticket kopiert, wenn jemand daran denkt.
Rund 36 Minuten kombinierter Aufwand je Antrag über Service Desk, Administrator, Anwendungsadministratoren und Nachweisablage; etwa 40 Stunden Nachweisrekonstruktion je Prüfung.
Access Packages in Microsoft Entra ID Governance führen die schriftliche Richtlinie aus; SCIM-Anwendungen provisioniert Microsoft Entra ID; UiPath Robots provisionieren die übrigen drei; ein Register in UiPath Data Fabric hält Antrag, Freigaben, Vergabe und Ablauf fest; Ausnahmen erreichen den Administrator in Microsoft Teams.
Im modellierten Fall werden sechs von zehn Anträgen im Rahmen der Richtlinie erteilt, ohne dass jemand sie bearbeitet, jede Vergabe trägt ein Enddatum, und die Stichprobe des Prüfers wird zu einem Export. Durchgehend illustrativ; nichts davon wurde bei einem Kunden gemessen.
Vorgeschlagene Lösung
Wir beginnen mit der eigenen Zugriffsrichtlinie des Kunden und übersetzen sie in Access Packages in Microsoft Entra ID Governance: Bündel wie „Bauingenieur, Standard“ oder „Projektcontroller“, jedes mit seinen Rollen, Antragsberechtigten, Freigebenden, seiner Höchstdauer und seinem Prüfzyklus. Ein Standardpaket mit geringem Risiko wird direkt erteilt und als Richtlinienentscheidung festgehalten; nichts Sensibles kann ohne Führungskraft, Anwendungsverantwortlichen und, wo die Richtlinie es vorsieht, die Sicherheitsabteilung abgeschlossen werden. Lizenzhinweis: Entitlement Management setzt Microsoft Entra ID P2 oder Microsoft Entra ID Governance voraus.
SCIM-angebundene Anwendungen provisioniert Microsoft Entra ID selbst. Für die übrigen drei erzeugt die freigegebene Zuweisung ein Gruppenmitgliedschaftsereignis, das einen UiPath-Workflow startet: Ein Roboter legt Benutzer und Rolle über die Verwaltungsoberfläche an, liest das Ergebnis zurück und schreibt es mit dem Ablaufdatum in ein Register in UiPath Data Fabric; dieselben Roboter entziehen den Zugriff bei Ablauf. Microsoft Teams trägt die Erinnerungen an die Freigebenden, die Fertigmeldung und eine UiPath-Action-Center-Aufgabe für den Administrator, wenn ein Antrag zu keinem Paket passt oder eine Vergabe fehlschlägt.
Microsoft Entra ID Governance Entitlement Management (Access Packages, Freigabestufen, zeitlich befristete Zuweisungen); automatische Benutzerprovisionierung in Microsoft Entra ID (SCIM); Access Reviews; Warteschlangen, Ereignistrigger, Anmeldeinformationsspeicher und Prüfprotokoll von UiPath Orchestrator; UiPath-Action-Center-Aufgaben in Microsoft Teams; UiPath-Data-Fabric-Entitäten mit Audit; Microsoft-Teams-Konnektor in UiPath Integration Service
Den aus der schriftlichen Richtlinie abgeleiteten Paketkatalog; Roboter, die Konten und Rollen in den drei Anwendungen ohne SCIM anlegen, ändern und entfernen, mit Rücklesen; das Register und seinen Nachweisexport; den Entzug bei Ablauf; die Ausnahmebehandlung; die Teams-Nachrichten
Zuweisungs- und Gruppenmitgliedschaftsereignisse aus Microsoft Entra ID über den Graph-basierten Identitätskonnektor in UiPath Integration Service (der Konnektor trägt weiterhin den früheren Namen Microsoft Azure Active Directory); ERP, Projektmanagementsystem und CAD-Lizenzserver über ihre Verwaltungsoberflächen oder APIs
So läuft der automatisierte Prozess
- MenschEine Führungskraft oder ein Mitarbeitender wählt ein Access Package aus dem Katalog, mit Grund und Dauer
- AutomatisierungDie Paketrichtlinie entscheidet: Ein Standardpaket mit geringem Risiko wird im Rahmen der Richtlinie erteilt; alles andere geht an die Freigebenden, die die Richtlinie benennt
- MenschBei sensiblen Paketen geben Führungskraft, Anwendungsverantwortlicher und, wo erforderlich, die Sicherheitsabteilung frei; die Erinnerung erreicht sie in Teams, und Microsoft Entra ID Governance hält die Entscheidung fest
- SystemSCIM-angebundene Anwendungen provisioniert Microsoft Entra ID; die übrigen drei werden zu Einträgen in einer Orchestrator-Warteschlange
- AutomatisierungEin Roboter legt Konto und Rolle an, liest das Ergebnis zurück, schreibt es mit Ablaufdatum ins Register und informiert die antragstellende Person in Teams; bei Ablauf entfernt er, was er angelegt hat
- MenschEine fehlgeschlagene Vergabe oder ein Antrag, der zu keinem Paket passt, wird zur Action-Center-Aufgabe in Teams für den IT-Administrator, der entscheidet
Zusammenspiel von Mensch und Automatisierung
Die Automatisierung übernimmt
- Den Antrag als Auswahl aus Paketen präsentieren, nicht als Textfeld
- Die Richtlinie auswerten: direkte Vergabe, oder welche Freigebenden entscheiden müssen
- Provisionieren über Microsoft Entra ID oder über Roboter, mit Rücklesen
- Antrag, Freigaben, Vergabe und Ablauf erfassen und den Zugriff entziehen, sobald das Datum erreicht ist
Menschen entscheiden
- Freigaben für sensible Rollen: Führungskraft, Anwendungsverantwortlicher und Sicherheitsabteilung, jeweils namentlich
- Wer jedes Paket verantwortet, was es enthält und was die Richtlinie als geringes Risiko einstuft
- Anträge, die zu keinem Paket passen, entschieden vom IT-Administrator in Teams
Vorher und nachher
Systeme und Integrationen
Wir fügen keine Technologie hinzu, damit eine Architektur seriös aussieht. Jedes Element unten hat hier eine konkrete Aufgabe.
Eingänge
- Access-Package-Anträge aus dem My-Access-Portal
- Zuweisungs- und Gruppenmitgliedschaftsereignisse aus Microsoft Entra ID
- die schriftliche Zugriffsrichtlinie
Automatisierungsschicht
- UiPath Orchestrator
- UiPath Robots
- UiPath Integration Service
- UiPath Action Center
- UiPath Data Fabric
Zielsysteme
- Microsoft Entra ID und Microsoft Entra ID Governance
- SCIM-angebundene SaaS-Anwendungen
- das ERP
- das Projektmanagementsystem
- der CAD-Lizenzserver
Berührungspunkte für Menschen: Freigabestufen in der Access-Package-Richtlinie; Action-Center-Aufgaben in Microsoft Teams; Status und Erinnerungen in Teams; der Nachweisexport
Eingesetzte Technologien
Access Packages, Freigabestufen, zeitlich befristete Zuweisungen mit automatischem Entzug
Alegt Konten in den angebundenen SaaS-Anwendungen an, aktualisiert und entfernt sie
Aprovisionieren und entfernen Konten und Rollen in den drei Anwendungen ohne SCIM; Warteschlangen, Wiederholungen, Prüfprotokoll; Anmeldeinformationen aus Azure Key Vault
Animmt Zuweisungsereignisse aus Microsoft Entra ID auf; postet Status und Erinnerungen in Teams
AAusnahmeaufgaben für den IT-Administrator, erledigt, ohne Teams zu verlassen
Adas Register: Antrag, Freigaben, Vergabezeitpunkt, Ablauf, Entzug; der Nachweisexport
AIllustratives Wirtschaftlichkeitsmodell
Was es wert ist, mit offener Rechnung.
Eine Richtlinie kann nur die Arbeit freisetzen, über die sie entscheiden kann, deshalb steht unten ein Volumen von 330 statt 550: die sechs von zehn Anträgen, die in ein Standardpaket fallen. Sechsunddreißig Minuten sind der kombinierte Aufwand über Service Desk, Administrator, Anwendungsadministratoren und Nachweisablage; 52 € je Stunde sind ein voll belasteter IT-Spezialist in Mitteleuropa. Die vier Prüfungen im Jahr stehen unter den Kosten des Nichtstuns. Jede Zahl ist illustrativ.
Rechnen Sie mit Ihren Zahlen
Eine illustrative Schätzung aus Ihren Eingaben. Sie modelliert freigesetzte Kapazität und verspricht keine Einsparung.
Geschäftlicher Nutzen
- Standardzugriff kommt in Minuten, weil eine Richtlinie entscheidet statt einer E-Mail-Kette
- Der Weg „erteilt nach telefonischer Absprache“ schließt sich: Eine sensible Rolle kann ohne die von der Richtlinie benannten Freigebenden nicht existieren, und diese sind an der Vergabe festgehalten
- Die Stichprobe des Prüfers wird zu einer Abfrage am Register statt zu zwei Wochen Rekonstruktion, und die Feststellung wird geschlossen
- Jede Vergabe trägt ein Enddatum, und die drei Anwendungen ohne SCIM sitzen im selben Ablauf, sodass die Reichweite des Konnektors die Kontrolle nicht mehr begrenzt
Aus Sicht der Geschäftsführung
- Die Richtlinie wird zum Antragszeitpunkt durchgesetzt statt in einem Dokument beschrieben: Verbotene Rollenkombinationen werden vor der Vergabe geprüft, nicht nach der Prüfung
- Nachweise existieren standardmäßig, in der Form, die der Prüfer verlangt: wer beantragt hat, wer freigegeben hat, wann und für wie lange
- „Wer hat Zugriff worauf“ hat eine Antwort, und mit dieser Frage beginnt jede Vorfallsanalyse
KPIs für die Geschäftsführung
Sicherheit und Governance
Kontrolle ist kein Zusatz.
- Sensible Rollen lassen sich nicht außerhalb des Ablaufs erteilen: Microsoft Entra ID Governance erzwingt die benannten Freigebenden, und verbotene Rollenkombinationen werden zum Antragszeitpunkt geprüft
- Roboter halten ausschließlich Provisionierungsrechte, unter einem eigenen Dienstkonto je Anwendung; Kennwörter werden zur Laufzeit aus Azure Key Vault über den Orchestrator-Anmeldeinformationsspeicher geholt, und jede Aktion wird gegen ihren Antrag protokolliert
- Das Register ist für Anträge, Freigaben und Vergaben nur anfügbar: Eine Korrektur ist ein neuer Datensatz, nie eine Änderung
- Die Verarbeitung bleibt in der EU-Region der UiPath Automation Cloud und in Ihrem Microsoft-365-Tenant innerhalb der EU Data Boundary; Access Reviews decken ab, was dauerhaft bleibt
Warum jetzt
Prüfer und Cyberversicherer sind von „gibt es eine Richtlinie“ zu „zeigen Sie mir die Vergabe, den Freigebenden und das Enddatum“ übergegangen; die letzte Feststellung betraf den Nachweis, und die nächste wird eine Wiederholung sein
Entitlement Management, Freigaberichtlinien und Access Reviews sind Standard in Microsoft Entra ID Governance, bereits im Tenant; was schwierig blieb, die Anwendungen ohne Schnittstelle, ist gewöhnliche Roboterarbeit
Die modellierten 10.296 € Aufwand im Monat laufen weiter, solange der Service Desk Sätze interpretiert
Relevante Führungsrollen
Zugriff wird zu einem geregelten Dienst mit Katalog und Register statt einer Warteschlange interpretierter E-Mails
Die Richtlinie wird zum Antragszeitpunkt ausgeführt; sensible Rollen tragen namentliche Freigaben, und jede Vergabe läuft planmäßig ab
Administratoren hören auf, Freigaben über vier Konsolen nachzufassen, und die Abhängigkeit vom einen ERP-Rollenexperten entfällt
Der Prüfnachweis ist ein Export, und die Feststellung wird im nächsten Zyklus geschlossen
Häufige Fragen und Einwände
Für die SCIM-angebundenen Anwendungen weitgehend ja; wo eine Anwendung einen SQL-, LDAP- oder SCIM-Endpunkt bietet, können auch die lokalen Provisionierungskonnektoren von Microsoft Entra ID sie abdecken, und der Roboterschritt entfällt. Die Anwendungen ohne jede Schnittstelle sind die, aus denen die Tickets weiterhin kommen, und Roboter holen sie in dieselbe Richtlinie, denselben Ablauf und dasselbe Register.
Zehn Pakete decken in den meisten Unternehmen den Großteil des Volumens ab; wir beginnen mit den Rollen hinter einem Quartal an Anträgen und lassen die Ausnahmewarteschlange zeigen, welches Paket als Nächstes kommt.
Es ist mehr Kontrolle, schriftlich. Die Richtlinie legt fest, was geringes Risiko ist, und diese Anträge werden als erfasste Richtlinienentscheidungen erteilt; alles andere bekommt die benannten Freigebenden, jedes Mal.
Wann diese Lösung nicht passt
- Weniger als hundert Zugriffsanträge im Monat und eine Handvoll Anwendungen: Eine dokumentierte Rollenmatrix und ein disziplinierter Service Desk kosten weniger als die Lizenzen
- Keine schriftliche Zugriffsrichtlinie und niemand, der bereit ist, sie zu schreiben; das ist das erste Projekt
- Eine Migration der Identity-Governance-Plattform läuft, oder jede Anwendung ist bereits über SCIM angebunden und Pakete existieren; dann ist die Lücke die Nutzung, nicht die Automatisierung
Eine Frage für die nächste Sitzung
Richtiger, aber unbelegter Zugriff fällt in der Prüfung genauso durch wie falscher: Könnte dieses Unternehmen für die nächste Stichprobe von 25 Konten Antragsteller, Freigebenden, Datum und Enddatum jeder Vergabe aus einem System liefern statt aus einem Postfach?
Vorgehen bei der Umsetzung
Was wir liefern und was wir für den Start brauchen.
Wir liefern
- Analyse eines Quartals an Anträgen und der Zugriffsmatrix, um die zehn Rollen hinter dem Großteil des Volumens zu finden
- Paket- und Richtlinienentwurf mit dem CISO und den Anwendungsverantwortlichen: Inhalte, Freigebende, Dauern, was als geringes Risiko gilt
- Konfiguration von Microsoft Entra ID Governance und Roboter für die drei Anwendungen ohne SCIM, mit Rücklesen und Ausnahmebehandlung
- Das Register, den Nachweisexport, den Entzug bei Ablauf, die Teams-Nachrichten und einen Pilot in einer Geschäftseinheit
Wir brauchen von Ihnen
- Die schriftliche Zugriffsrichtlinie oder den Verantwortlichen, der sie schreibt, sowie die aktuelle Zugriffsmatrix
- Benannte Verantwortliche für jede Anwendung im Umfang und die Lizenzentscheidung zu Microsoft Entra ID Governance
- Administrative Konten für die Roboter, auf Provisionierung beschränkt, und ein Quartal an Antragstickets
Etappen
Bestandsaufnahme
Anträge, Matrix, in der Praxis genutzte Freigebende, die Aufteilung in SCIM- und übrige Anwendungen
Entwurf
Paketkatalog, Richtlinienzuordnung, Freigabestufen, Dauern, Sicherheitsmodell
Aufbau
Konfiguration von Microsoft Entra ID Governance, Roboter je Anwendung, Register, Teams-Aufgaben
Validierung
Historische Anträge gegen die Pakete nachgespielt; Provisionierung in Testsystemen geprüft
Inbetriebnahme
Eine Geschäftseinheit bei weiterhin offenem Ticketweg, dann Umstellung des Service Desks auf den Katalog
Abteilungsweit. Der Aufwand folgt der Zahl der Anwendungen ohne Schnittstelle, dem Abstand zwischen schriftlicher Richtlinie und Praxis und der Frage, ob Verantwortliche benannt werden können.
Neun von 25 geprüften Konten: Ticket ja, Freigabe nein. Zugriff richtig, Nachweis nicht.
Zeigen Sie uns Ihr Zugriffsantragsformular und die Zugriffsmatrix dahinter. In einem halbtägigen Workshop entwerfen wir mit Ihnen die ersten drei Access Packages und markieren, welche Anwendungen einen Roboter brauchen.
Drei Access Packages mit uns entwerfenDer Nachbarprozess hat meist dasselbe Problem
Führungskräfte bestätigen Berechtigungen, die sie nicht lesen können, und niemand entzieht Ungenutztes.
Lösung ansehen Weitere LösungenAdminrechte nur für die Aufgabe und die StundeRechte für eine Vier-Stunden-Aufgabe bleiben Jahre, in Systemen, die sie nicht ablaufen lassen können.
Lösung ansehen Weitere LösungenExterne Zugänge, die mit dem Vertrag endenDer Einkauf schließt die Bestellung. Niemand sagt es der IT. Der Externe behält sein VPN ein Jahr lang.
Lösung ansehenBranchen, in denen wir das am häufigsten umsetzenProduktion & IndustrieTransport & LogistikDienstleistungen & ITShared Services