Når en MSP driver kundernes Microsoft 365, kan det ske gennem en partnerrelation, hvor MSP’ens teknikere administrerer kundernes lejere fra MSP’ens egen lejer. Det er praktisk, men det betyder, at rettighederne i kundens lejer bestemmes af en relation, som kunden ikke nødvendigvis kigger på, og af grupper, som MSP’en styrer. En test af delegeret administration ser på begge sider: hvilke roller partneren har hos kunden, hvor længe de gælder, og hvem hos MSP’en der i praksis får dem.
Microsoft beskriver den granulære delegerede administration (GDAP) som en måde at give partnere mindst mulige og tidsbegrænsede rettigheder, som kunden udtrykkeligt skal godkende. Testen viser, om jeres opsætning lever op til den tanke.
Hvorfor partnerrettigheder er et særskilt fund
En administratorrolle, som en medarbejder hos kunden har, kan ses på listen over brugere med roller. En rolle, som partneren har gennem en relation, ligger et andet sted og kan være lettere at overse. Den bliver heller ikke fjernet, når kundens egne medarbejdere skifter, fordi den ikke hænger på en medarbejder hos kunden. → Administrative roller i Entra ID
For MSP’en er pointen en anden. Rettigheden i kundens lejer gives til en gruppe i MSP’ens lejer. Den, der er medlem af gruppen, har adgangen. Hvis gruppen rummer alle teknikere, eller hvis samme gruppe bruges hos alle kunder, er det MSP’ens egen styring af grupperne, der afgør, hvor bred adgangen reelt er. → Fælles administrationskonti hos MSP’en
Hvad testen ser på i kundens lejer
En test af kundens Microsoft 365, som kunden har bestilt, kan se på partnerrelationerne fra kundens side:
- Hvilke partnere der har relationer · også dem fra tidligere samarbejder.
- Hvilke roller relationerne giver · om der er brede roller, hvor smallere ville være nok.
- Varighed · om relationen har en slutdato, og om den er forlænget automatisk.
- Ældre adgangsformer · om der stadig ligger relationer fra før den granulære model med brede rettigheder.
- Logning · om kunden kan se, hvad partnerens teknikere har gjort i lejeren.
Kunden kan selv se partnerrelationerne i Microsoft 365-administrationen og fjerne en partners administratorroller. Microsoft beskriver, at fjernelse af rollerne ikke ophæver selve relationen, så partneren stadig kan fungere i en anden egenskab.
Hvad testen ser på hos MSP’en
En test af MSP’ens egen side kræver MSP’ens bestilling. Den ser på, hvordan rettighederne til kunderne fordeles internt:
- Grupperne · hvem der er medlem af de grupper, der har roller hos kunderne, og hvem der kan ændre medlemskabet.
- Fordelingen pr. kunde · om teknikere kun er med i grupperne for de kunder, de arbejder for.
- Beskyttelse af teknikernes konti · om der kræves flere faktorer og andre betingelser for at logge på i MSP’ens lejer.
- Rolleskabeloner · om den standardpakke af roller, I beder nye kunder godkende, er smallere end det, der er praktisk.
- Udløb og forlængelse · hvordan I holder øje med relationer, der udløber, og om forlængelse er en bevidst beslutning.
Testen må ikke bruge partnerrettighederne til at arbejde i kundernes lejere, medmindre kunden har givet tilladelse. Den kan vise, hvilke rettigheder en teknikerkonto ville give hos hvilke kunder, ud fra jeres egen opsætning.
Typiske fund
Fundene i området handler om rækkevidde og tid. En relation fra et afsluttet projekt, der stadig giver brede rettigheder. En rolleskabelon, hvor alle kunder er blevet bedt om den samme brede rolle, fordi det var nemmest. En gruppe hos MSP’en, som alle nye medarbejdere automatisk bliver medlem af. En relation, der forlænges uden at nogen tager stilling. Eller en tidligere partner, som kunden har glemt, men som stadig står med roller.
Prioritér efter rolle og rækkevidde. En bred rolle, der gælder mange kunder gennem samme gruppe, vejer tungest. Derefter kommer relationer uden aktiv brug, fordi de kan fjernes uden at påvirke driften, og fordi ingen vil savne dem.
Sådan strammer I op
Rettelserne beskrives som principper, ikke som opsætning:
- Smallere roller · bed kun om de roller, opgaven kræver, og forklar kunden hvorfor.
- Grupper efter kunde og opgave · teknikere får adgang til de kunder, de betjener.
- Bevidst forlængelse · relationer udløber, og forlængelse kræver en beslutning sammen med kunden.
- Rettigheder efter behov · de højeste roller aktiveres, når de skal bruges. → Tidsbegrænsede administratorrettigheder
- Fast gennemgang · både jeres grupper og kundernes relationer gennemgås med faste mellemrum.
Fortæl kunderne om ændringerne. Kunden skal godkende nye relationer og bør vide, hvorfor rollerne er ændret. Det er også en anledning til at hjælpe kunden med at fjerne relationer til partnere, der ikke længere er aktive. → Fund hos kunden
Når relationen skal ophøre
Partnerrelationen er ikke kun et spørgsmål om drift. Den er også et spørgsmål om afslutning. Når en kunde skifter leverandør, eller når et projekt slutter, skal rollerne fjernes, og den afgivende MSP bør selv tage initiativet. En kunde, der ikke ved, at relationen findes, kan ikke fjerne den.
Gør det til en fast del af jeres afslutning af et kundeforhold at fjerne egne roller og bekræfte det skriftligt over for kunden. Det samme gælder, når I overtager en kunde: bed kunden gennemgå de relationer, der allerede findes, og fjerne dem, der hører til tidligere partnere. Begge situationer er oplagte at tage med i en test, fordi rester fra tidligere samarbejder er svære at få øje på i den daglige drift. → Kunden skifter MSP
Det skal I lade være med
- At bede alle kunder om de bredeste roller · smallere roller begrænser skaden, hvis en konto misbruges.
- At lade alle teknikere være medlem af alle grupper · adgang følger opgaven.
- At forlænge relationer automatisk · forlængelse er en beslutning.
- At lade testen arbejde i kundernes lejere uden tilladelse · partnerrettigheder er ikke en tilladelse til test.
- At overse gamle relationer · de skal fjernes, også dem fra andre partnere.
- At beskytte teknikernes konti svagere end kundernes administratorer · de har samme adgang.
Hvad kan og ikke kan konkluderes
En test i kundens lejer viser, hvilke partnerrelationer og roller der fandtes på testtidspunktet. Den viser ikke, hvem hos partneren der kunne bruge dem. En test hos MSP’en viser, hvordan grupper og konti var fordelt, men ikke, hvad hver enkelt kunde har godkendt, medmindre det indgik. Først de to billeder tilsammen siger, hvor bred adgangen reelt er.
Tjekliste til partnerrettighederne
- ☐ Kender I alle relationer og roller hos hver kunde?
- ☐ Beder I kun om de roller, opgaven kræver?
- ☐ Er grupperne hos jer delt efter kunde og opgave?
- ☐ Er forlængelse af relationer en bevidst beslutning?
- ☐ Kræves flere faktorer for teknikernes konti?
- ☐ Er gamle relationer fjernet?
Kilder
- Microsoft Learn: Granular delegated admin privileges (GDAP) introduction: GDAP giver partnere granulær og tidsbegrænset adgang efter princippet om mindst mulige rettigheder, som kunden udtrykkeligt skal godkende.
- Microsoft Learn: Manage Microsoft-certified solution provider partner relationships: kundens oversigt over partnerrelationer, og at kunden kan fjerne en partners administratorroller uden at ophæve relationen.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Gæstebrugere og eksterne konti i Entra ID · Kunden skifter MSP
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
