En administrator bruger de højeste rettigheder nogle minutter om dagen, måske kun nogle gange om måneden. Resten af tiden ligger rettighederne på kontoen og venter, og det er i den tid, en stjålen adgangskode eller en kompromitteret maskine kan bruge dem. Mange fund i en test af Active Directory og Entra ID ender derfor med samme anbefaling: giv rettighederne, når de skal bruges, og lad dem udløbe igen. Svaret på, hvordan I gør det i praksis, hviler på det, Microsoft kalder just-in-time-adgang: rollen er ikke aktiv på forhånd, men kan aktiveres for en begrænset periode, med en begrundelse og eventuelt med godkendelse.
Hvad princippet løser
Fund om for mange administratorer handler ikke nødvendigvis kun om antallet. De handler om, at rettighederne er der hele tiden. En konto med en permanent høj rolle er en mulig vej til kontrol, også når ejeren sover, holder ferie eller har skiftet arbejdsopgaver.
Tidsbegrænsede rettigheder ændrer billedet. Kontoen er stadig berettiget til rollen, men har den ikke aktivt. For at bruge den skal administratoren aktivere den, typisk med tofaktor og en begrundelse, og rollen forsvinder igen efter den aftalte periode. Microsoft skriver, at der ikke er nogen forskel på den adgang, en permanent og en berettiget tildeling giver, når rollen er aktiv. Forskellen er alene, at adgangen ikke er der hele tiden.
Princippet er en del af den bredere tanke om mindst mulig adgang: de rigtige rettigheder, over det rigtige område, i den rigtige periode. → Mindst mulig adgang i praksis
Hvilke fund det er svaret på
I en rapport kan anbefalingen dukke op efter fund som:
- Mange permanente globale administratorer · i Entra ID. → Administrative roller i Entra ID
- Faste medlemmer af de højeste grupper · i det lokale Active Directory. → Privilegerede grupper i Active Directory
- Brede roller i Azure · ejere og bidragydere på hele abonnementer, der sjældent bruger rettighederne. → Roller i Azure
- Partnere med fast adgang · leverandører, der har administrative rettigheder hele året for at kunne hjælpe en gang imellem.
- Ingen spor af brug · det er ikke muligt at se, hvornår en høj rolle faktisk blev brugt, og hvorfor.
Det sidste fund er en sidegevinst ved princippet. Når en rolle skal aktiveres, bliver aktiveringen registreret med tidspunkt og begrundelse. Det gør det også lettere at besvare spørgsmålet fra testeren eller revisoren om, hvem der brugte de højeste rettigheder i en given periode, og hvad det var til.
Sådan virker det i Entra ID
Microsoft beskriver Privileged Identity Management som den tjeneste i Entra ID, der giver tidsbegrænset og godkendelsesbaseret aktivering af roller. Funktionerne kan sammenfattes sådan:
- Rettigheder efter behov · rollen aktiveres, når den skal bruges.
- Tidsbegrænset tildeling · rettigheder kan også have en start- og slutdato, fx for et projekt.
- Godkendelse · aktivering af udvalgte roller kræver, at en anden siger ja.
- Tofaktor ved aktivering · aktiveringen kræver en ekstra faktor.
- Begrundelse · administratoren skriver, hvorfor rollen aktiveres.
- Besked · andre får besked, når en høj rolle bliver aktiveret.
- Gennemgang · det bekræftes jævnligt, at de berettigede stadig skal være det.
- Historik · aktiveringer kan hentes ud til revision.
Tjenesten kræver bestemte licenser. Det er en af grundene til, at anbefalingen kan ende som en budgetbeslutning frem for en teknisk ændring.
I det lokale Active Directory findes der ikke den samme tjeneste som standard, men princippet kan følges med midlertidigt medlemskab af de højeste grupper og faste rutiner for at give og fjerne det. Microsoft anbefaler netop, at de højeste grupper ikke har faste medlemmer til daglig.
Sådan indfører I det
Overgangen er mere et spørgsmål om vaner end om teknik. Administratorer, der er vant til at have alt ved hånden, skal nu bede om det.
- Start med de højeste roller · globale administratorer og tilsvarende roller i Azure og AD flyttes først.
- Vælg en pilotgruppe · nogle få administratorer prøver ordningen og melder tilbage om tidsforbrug og besvær.
- Sæt fornuftige perioder · lange nok til at arbejdet kan gøres, korte nok til at rollen ikke bliver liggende.
- Beslut, hvor godkendelse er nødvendig · ikke alle roller kræver en anden persons ja.
- Udvid til partnere · leverandørers adgang gøres tidsbegrænset og knyttet til opgaver. → Delegeret administration i Microsoft 365 for partnere
- Gennemgå fast · listen over berettigede bliver set efter, så den ikke vokser.
Nødadgangskontiene er undtagelsen. Microsoft anbefaler, at de har den højeste rolle permanent aktiv, så de virker, også hvis aktiveringen ikke gør. → Nødadgangskonti
Hvad det betyder for hverdagen
Den mest almindelige indvending er tiden. En administrator, der skal løse et problem om natten, vil ikke vente på, at en kollega godkender en aktivering. Indvendingen er rimelig, og den skal have et svar, før ordningen indføres, ellers bliver den omgået.
Svaret er sjældent at droppe princippet. Det er at skelne mellem roller. De roller, der kan ændre alt, kræver godkendelse, og der udpeges godkendere, som kan nås på de tidspunkter, vagten arbejder. Smallere roller, der bruges til den daglige drift, kan aktiveres uden godkendelse, men stadig med tofaktor og begrundelse.
Vagtordninger hos en driftsleverandør skal tænkes med. Hvis leverandøren har en vagt, der skal kunne gribe ind, skal vagten have en berettiget rolle, ikke en permanent, og aktiveringerne skal kunne ses af jer bagefter. Det giver et bedre grundlag for at følge op på, hvad der skete om natten, end en fast adgang, der ikke efterlader andre spor end selve ændringerne.
Det skal I lade være med
- At gøre alle berettigede til alt. Så er der stadig mange veje, blot med et ekstra trin.
- At sætte perioderne så lange, at rollen reelt er permanent. Princippet mister sin virkning.
- At kræve godkendelse uden at have godkendere. Microsoft advarer om, at det kan låse administrationen helt.
- At glemme nødadgangen. Hvis aktiveringen fejler, skal der stadig være en vej ind.
- At indføre det uden at forklare hvorfor. Administratorer finder genveje, hvis ordningen føles som mistillid.
Hvad kan og ikke kan konkluderes
En test kan vise, hvilke rettigheder der var permanente, og hvad det betød for vejene til kontrol i testperioden. Den kan ikke vise, hvor godt en ordning med tidsbegrænsede rettigheder fungerer i hverdagen. Det afgøres af, om perioderne er rimelige, om gennemgangene bliver gjort, og om undtagelserne holdes små. En retest kan vise, om de høje roller ikke længere er permanente, men ikke om vanerne holder.
Tjekliste til tidsbegrænsede rettigheder
- ☐ Er de højeste roller gjort berettigede frem for permanente?
- ☐ Kræver aktivering tofaktor og en begrundelse?
- ☐ Er der godkendere for de roller, der kræver godkendelse?
- ☐ Er partneres adgang knyttet til opgaver og perioder?
- ☐ Har nødadgangskontiene permanent adgang?
- ☐ Bliver listen over berettigede gennemgået fast?
Kilder
- Microsoft Learn: What is Privileged Identity Management?: rettigheder efter behov, tidsbegrænset tildeling, godkendelse, tofaktor og begrundelse ved aktivering, besked, gennemgang, historik, licenskrav og forskellen på berettiget og aktiv tildeling.
- Microsoft Learn: Best practices for Microsoft Entra roles: rettigheder efter behov som del af mindst mulig adgang og nødadgangskonti med den højeste rolle.
- Microsoft Learn: Implementing least-privilege administrative models: ingen faste daglige medlemmer i de højeste grupper i Active Directory og midlertidigt medlemskab.
- Microsoft Learn: Manage emergency access accounts in Microsoft Entra ID: permanent aktiv rolle for nødadgangskonti og risikoen for at låse administrationen, hvis aktivering kræver godkendelse uden godkendere.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Privilegerede grupper i Active Directory · Lagdelt administration
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
