Når en test gennemgår rollerne i Entra ID, kan listen over globale administratorer være længere, end IT-chefen havde regnet med. Den, der oprettede lejeren, blev automatisk global administrator. Siden kom kolleger, leverandører og en enkelt konsulent til, og ingen af dem blev fjernet igen. Svaret på, hvad I gør ved det, hviler på Microsofts anbefalinger for roller i Entra ID: giv den rolle, der passer til opgaven, i det omfang og den periode, der er brug for, og hold antallet af globale administratorer under fem.
Hvad rollen giver
Global administrator kan læse og ændre næsten alle administrative indstillinger i Entra ID og, med få undtagelser, i Microsoft 365. Microsoft skriver, at rollen i praksis har ubegrænset adgang og desuden kan løfte sin adgang til at læse data. Det er den rolle, der kan ændre alle andres roller, alle regler for login og alle indstillinger for deling.
Rollen er derfor ikke en almindelig arbejdsrolle. Den er en nøgle til hele lejeren. Hver konto med den er et sted, hvor en stjålen adgangskode eller en kompromitteret maskine kan blive til fuld kontrol.
Under global administrator findes en lang række smallere roller. Microsoft nævner, at der er over 65 indbyggede roller, fra administration af brugere og grupper til de enkelte tjenester som Exchange, SharePoint og Intune. Pointen er, at næsten ingen daglige opgaver kræver den højeste rolle.
Hvorfor listen bliver lang
Fundet er ikke nødvendigvis udtryk for, at nogen har gjort noget forkert. Det er summen af mange praktiske beslutninger:
- Den første konto · den, der oprettede lejeren, blev global administrator og blev ved med at være det.
- Det hurtige svar · en kollega skulle løse en opgave, og den hurtigste vej var den højeste rolle.
- Leverandører og partnere · en driftspartner fik fuld adgang til et projekt og beholdt den. → Delegeret administration i Microsoft 365 for partnere
- Manglende overblik over roller · ingen vidste, hvilken smallere rolle der passede, så det blev den brede.
- Personlige konti med roller · samme konto bruges til mail, møder og administration.
Microsoft anbefaler også, at administrative roller gives til konti, der kun findes i skyen. Hvis rollerne ligger på konti, der er synkroniseret fra et lokalt Active Directory, kan en kompromittering lokalt føre til skyen. → Hybrid identitet
Det, testen ser på
En test af rollerne er både en optælling og en vurdering af, hvordan rollerne bruges:
- Antal · hvor mange konti har globale og andre privilegerede roller, direkte eller gennem grupper.
- Tildelingsform · er rollerne tildelt permanent, eller aktiveres de efter behov.
- Kontotype · er det rene cloudkonti eller synkroniserede konti.
- Brug · bruges de samme konti til dagligt arbejde, mail og internet.
- Beskyttelse · kræver login med rollen tofaktor, og hvilken slags.
- Udefra · hvilke partnere og gæster der har administrative roller.
Det er kombinationen, der afgør alvoren. En global administrator, der er permanent tildelt, synkroniseret og bruges til mail, er et mere akut fund end en rolle, der aktiveres en gang om måneden fra en særskilt konto.
Sådan fordeler I rollerne
Microsofts anbefaling om mindst mulig adgang har tre led: et bestemt sæt rettigheder, over et bestemt område, i en bestemt periode. Det kan oversættes til en plan for IT-afdelingen. → Mindst mulig adgang i praksis
- Kortlæg opgaverne · hvad laver de, der har roller i dag, og hvilken rolle passer til det.
- Smallere roller · brugeradministration, nulstilling af adgangskoder og support får hver sin rolle frem for den globale.
- Afgrænset område · hvor det er muligt, gælder en rolle kun for en del af organisationen, fx en afdeling.
- Rettigheder efter behov · rollen aktiveres, når den skal bruges, og udløber igen. → Tidsbegrænsede administratorrettigheder
- Særskilte konti · administration sker fra konti, der kun bruges til det.
- Faste gennemgange · Microsoft anbefaler tilbagevendende gennemgang af, hvem der har roller, så tildelinger, der ikke længere bruges, fjernes.
Microsoft anbefaler desuden færre end ti tildelinger af roller, der er markeret som privilegerede. Den grænse er værd at bruge som pejlemærke ud over de globale administratorer, fordi flere roller kan føre til højere rettigheder.
Når globale administratorer skal blive
Nogle konti skal have den højeste rolle permanent. Microsoft anbefaler to rene cloudkonti til nødadgang, der ikke er knyttet til bestemte personer og kun bruges, hvis de normale konti ikke kan. De tæller med i optællingen, men de hører til en anden kategori end de personlige administratorer. → Nødadgangskonti
For de øvrige globale administratorer er spørgsmålet, om de skal have rollen hele tiden. Måske kan to eller tre personer have rollen tilgængelig efter behov, mens resten klarer sig med smallere roller.
Rækkefølgen efter rapporten
Start med de konti, der kombinerer flere forhold: høj rolle, permanent tildeling og daglig brug. De kan rettes uden et større projekt, fordi rettelsen består i at oprette en særskilt konto til administration og fjerne rollen fra den personlige.
Dernæst kommer roller hos partnere og tidligere medarbejdere. Her er arbejdet mest at finde ud af, hvem der stadig har brug for adgang, og at få det bekræftet skriftligt.
Overgangen til rettigheder efter behov er det største skridt. Den kan kræve en anden licens og en ny vane hos administratorerne, og den kan med fordel planlægges som et projekt med en pilotgruppe. Licensspørgsmålet er en beslutning for ledelsen, ikke for den enkelte tekniker, så tag det med i den status, der går videre efter testen.
Det skal I lade være med
- At fjerne roller uden at kende brugen. En integration eller en automatisering kan stoppe.
- At erstatte global administrator med en næsten lige så bred rolle. Flere roller kan give vej til de højeste rettigheder.
- At lade partnere beholde roller efter projektet. Adgang udefra skal have en slutdato.
- At tælle nødadgangskonti som et problem. De skal findes, men være beskyttet og overvåget.
- At springe den faste gennemgang over. Listen vokser igen, så snart ingen ser på den.
Hvad kan og ikke kan konkluderes
Testen viser, hvem der havde administrative roller i testperioden, hvordan de var tildelt og beskyttet, og om de kunne nås fra de konti, der indgik. Den kan ikke vise, hvilke roller jeres drift har brug for. Det skal afklares med dem, der har rollerne. En kort liste på testdagen siger heller intet om listen et halvt år senere, hvis tildelinger ikke bliver gennemgået.
Tjekliste til de administrative roller
- ☐ Er der færre end fem globale administratorer?
- ☐ Er alle roller kortlagt med ejer og opgave?
- ☐ Bruges smallere roller til de daglige opgaver?
- ☐ Er rollerne givet til rene cloudkonti?
- ☐ Aktiveres høje roller efter behov?
- ☐ Bliver tildelingerne gennemgået fast?
Kilder
- Microsoft Learn: Best practices for Microsoft Entra roles: mindst mulig adgang med rettigheder, område og periode, over 65 indbyggede roller, færre end fem globale administratorer, færre end ti privilegerede tildelinger, tilbagevendende gennemgang, to nødadgangskonti og rene cloudkonti til roller.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Entra ID-test · Privilegerede grupper i Active Directory
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
