Entra ID er i dag den dør, medarbejderne går igennem hver morgen, og den samme dør fører til mail, filer, økonomisystem og administration af skyen. En test af platformen spørger derfor ikke, om Microsoft driver den sikkert, men om jeres egen opsætning holder. Svaret hviler på fire områder, som kan give fund: hvem der har administrative roller, hvordan reglerne for login er skruet sammen, hvilke programmer der har adgang til data, og hvem udefra der er inviteret ind. For IT-afdelingen er testen en gennemgang af beslutninger, som kan være truffet én ad gangen over flere år.
Hvad der er jeres, og hvad der er Microsofts
Microsoft driver platformen, men lejeren er jeres. Roller, regler, gæster, apps og indstillinger er valg, som jeres IT-afdeling eller driftsleverandør har truffet. Det er dem, testen ser på.
Microsoft har fælles regler for test af sine onlinetjenester, og testen skal holde sig inden for dem. Reglerne og køberens tilladelse er forklaret for bestilleren på penetrationtest.dk. For IT-afdelingen er det nok at vide, at testen foregår i jeres egen lejer, med konti I har oprettet, og at aktiviteter, der kan belaste tjenesten, ikke er en del af den.
De fire områder, testen afprøver
Roller og administration. Hvor mange har globale eller andre høje roller, er de tildelt permanent, og bruges de samme konti til dagligt arbejde? Microsoft anbefaler færre end fem globale administratorer og rettigheder efter behov. → Administrative roller i Entra ID
Regler for login. Gælder kravet om tofaktor alle brugere og alle programmer, eller er der undtagelser, der aldrig blev lukket igen? Testen ser på, hvad reglerne dækker, og hvad der falder udenfor. → Betinget adgang i Entra ID
Programmer med adgang. Hvilke apps har fået lov til at læse mail, filer eller kataloget, og hvem gav lov? Nogle har rettigheder på vegne af hele organisationen. → Appregistreringer og samtykke
Gæster og eksterne. Hvem er inviteret, hvad kan de se, og er de stadig aktuelle? → Gæstebrugere og eksterne konti
Ved siden af de fire områder ser testen typisk på forbindelsen til et lokalt Active Directory, hvis den findes, og på nødadgang. Begge kan ændre alvoren af fund i de andre områder.
Gennemgang og afprøvning går hånd i hånd
Meget i Entra ID er indstillinger, der kan læses. En del af testen er derfor en gennemgang med en konto, der kan se opsætningen uden at kunne ændre den. Den giver bredde: alle roller, alle regler, alle apps.
Den anden del er afprøvning med almindelige brugerkonti. Her er spørgsmålet, hvad en medarbejder, en gæst eller en konto med en mindre rolle faktisk kan nå. Det er afprøvningen, der viser, om en regel, der ser rigtig ud på papiret, også virker i praksis. → Konfigurationsgennemgang eller penetrationstest af cloud
CISA har udgivet sikkerhedsbaselines for Microsoft 365 i sit SCuBA-projekt. De er skrevet til amerikanske myndigheder, men CISA skriver, at alle organisationer kan bruge dem. De kan være et nyttigt sammenligningsgrundlag, når I skal vurdere fund fra gennemgangen.
Det, IT-afdelingen forbereder
- Testkonti · en almindelig medarbejderkonto, en konto med læseadgang til opsætningen og eventuelt en gæstekonto, alle med tofaktor som andre brugere.
- Licensoversigt · hvilke licenser lejeren har, så testeren kan skelne mellem det, der ikke er slået til, og det, der ikke findes i abonnementet.
- Kendte undtagelser · regler med bevidste undtagelser og begrundelsen for dem.
- Ejere · hvem der ejer lejeren, og hvem der kan træffe beslutninger om roller og regler.
- Leverandører · hvilke partnere der har administrativ adgang, og om de skal orienteres.
- Logning · at loggene for login og ændringer er slået til, så testens spor kan genfindes bagefter. → Logning i Microsoft 365, Azure og AWS
Fjern testkontiene og deres registrerede faktorer, når testen er slut. De er rigtige konti i jeres lejer.
Når en driftsleverandør passer lejeren
I mange mindre virksomheder er det en MSP, der har oprettet lejeren og passer den. Det ændrer ikke på, hvad der testes, men det ændrer på, hvem der skal være med. Leverandøren kender måske begrundelsen for en undtagelse eller en rolle, som ingen i virksomheden kan forklare. Leverandøren kan også selv have konti med høje rettigheder i lejeren, og de konti hører med i testen på lige fod med jeres egne.
Aftal med leverandøren før testen, hvem der svarer på spørgsmål undervejs, og hvem der skal rette bagefter. Hvis rettelser ligger uden for den aftalte drift, er det bedre at vide det, før rapporten kommer, end at opdage det, når fundene skal fordeles. Spørg også, om leverandøren bruger samme opsætning hos andre kunder. Et fund hos jer kan så være et fund hos flere. → MSP og penetrationstest
Fra fund til opgave
Fund i Entra ID er ikke nødvendigvis fejl i software. De er valg, der kan træffes om. Det gør dem både lettere og sværere at rette. Lettere, fordi en indstilling kan ændres på minutter. Sværere, fordi den kan have betydning for mange brugere på én gang.
Prioriter efter, hvad fundet giver adgang til. Roller, der giver kontrol over hele lejeren, kommer først. Derefter huller i login, der kan bruges med en stjålen adgangskode. Derefter programmer og gæster med adgang til data. Mange rettelser kan med fordel prøves af i en begrænset gruppe, før de gælder alle. Hvis lejeren er koblet til et lokalt katalog, kan en del af rettelserne ligge dér. → Hybrid identitet
Det skal I lade være med
- At teste med en global administratorkonto. Testen viser så, hvad en administrator kan, og det vidste I.
- At undtage testkontiene fra tofaktor. Så afprøver testen en opsætning, ingen medarbejder har.
- At skjule kendte undtagelser. Testeren kan finde dem, men ikke vurdere dem uden begrundelsen.
- At rette alt på én dag efter rapporten. En regel, der rammer forkert, kan låse medarbejdere ude.
- At glemme partnere med administrativ adgang. De kan være de mest privilegerede konti udefra.
Hvad kan og ikke kan konkluderes
Testen viser, hvordan jeres opsætning af Entra ID holdt på testtidspunktet, med de konti og områder, der var aftalt. Den kan ikke dokumentere Microsofts egen sikkerhed. Indstillinger ændres let, så et godt resultat holder kun, hvis ændringer af roller og regler også er under kontrol bagefter. Områder uden for opgaven, fx enheder eller enkelte programmer, er ikke dækket.
Tjekliste før Entra ID-testen
- ☐ Er de fire områder, testen skal dække, aftalt?
- ☐ Er testkonti oprettet med tofaktor som almindelige brugere?
- ☐ Er licenserne beskrevet for testeren?
- ☐ Er kendte undtagelser skrevet ned med begrundelse?
- ☐ Er partnere med administrativ adgang orienteret?
- ☐ Er logning af login og ændringer slået til?
Kilder
- Microsoft Learn: Penetration testing: test af egne ressourcer i Microsofts cloud og henvisning til Microsofts fælles regler for penetrationstest.
- Microsoft Learn: Best practices for Microsoft Entra roles: mindst mulig adgang, rettigheder efter behov og færre end fem globale administratorer.
- CISA: Secure Cloud Business Applications (SCuBA): sikkerhedsbaselines for Microsoft 365, rettet mod amerikanske myndigheder og tilgængelige for andre organisationer.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Administrative roller i Entra ID · Tofaktor med huller
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
