Gruppen in Entra ID richtig organisieren, da es keine OUs gibt
Daher sollten sich Verantwortliche frühzeitig darüber Gedanken machen, wie sich die Gruppen am besten organisieren lassen und wie viele Gruppen in Entra ID überhaupt notwendig sind. Prinzipiell gibt es kein Maximum an Gruppen, welches angelegt werden kann. Das Maximum liegt an der Organisation. Wir zeigen nachfolgend was machbar ist, um die Ordnung zu erhalten.
Index
Entra ID Gruppen im Portal suchen und anzeigen
Die Gruppen in Entra ID werden direkt im Azure-Portal verwaltet, das gilt auch für die aus dem lokalen AD synchronisierten Gruppen. Bei „Entra ID“ ist dazu der Bereich „Gruppen“ zu finden. Hier zeigt das Portal zunächst alle Gruppen an.
Verwalten von Benutzergruppen in Entra ID-Portal
Im Suchfeld kann nach einzelnen Gruppen gesucht werden. Über den Schieberegler bei „Suchmodus“ kann zwischen „Enthält“ und „Beginnt mit“ umgeschaltet werden. Das erleichtert die Suche nach Gruppen. Für die Organisation der Gruppen spielt an dieser Stelle auch die Schaltfläche „Spalten“ eine wichtige Rolle. Hier kann ausgewählt werden welche Spalten im Azure-Portal angezeigt werden sollen. Auch dadurch kann die Anzeige optimiert werden, für eine bessere Ansicht der verschiedenen Informationen. Diese Filteransichten gelten für aus dem lokalen AD synchronisierten Gruppen genauso, wie für Gruppen, die direkt in Entra ID angelegt wurden.
Verwalten der angezeigten Spalten für Gruppen in Entra ID.
Über „Filter hinzufügen“ lassen sich wiederum zur Suche nach Gruppen Filter hinterlegen, zum Beispiel bezüglich des Mitgliedschaftstyps, der Quelle oder des Gruppentyps. Auch das hilft bei der Suche nach bestimmten Gruppen. In der Praxis zeigt sich jedoch, dass ohne zentrale Governance schnell ein unkontrollierter Wildwuchs an Gruppen entsteht. Dabei helfen wiederum Tools wie das erwähnte DynamicSync und auch das IDM-Portal.
Verwenden von Filtern für die Suche nach Gruppen.
Gruppenbenennungsrichtlinien festlegen
Beim Einsatz zahlreicher Gruppen spielen eindeutige Namen eine wichtige Rolle, um die Gruppen zu finden. Gruppen, die direkt in Entra ID angelegt werden, sollten einem vorgegebenen Format bestehen. Außerdem können auch blockierte Wörter verwendet werden, die in den Gruppen nicht vorkommen dürfen. Diese Filter können in der Verwaltung der Gruppen definiert werden und gelten für Gruppen, die direkt in Entra ID angelegt werden.
Wörter definieren, die nicht verwendet werden dürfen
Bei „Gruppenbenennungsrichtlinie“ kann wiederum definiert werden, dass es für Gruppen vorgegebene Präfixe und Suffixe geben muss und wie diese genau aussehen sollen. Zusammen mit den blockierten Wörtern kann dadurch eine gewisse Ordnung erreicht werden, mit denen sich Gruppen in Entra ID effektiver organisieren lassen. Auch diese Einstellungen gelten für Gruppen, die direkt in Entra ID angelegt wurden.
Mit vorgegebenen Präfixen und Suffixen können Gruppen in Entra ID besser organisiert werden.
Gruppen mit Ablaufdatum entfernen
Über den Menüpunkt „Ablaufdatum“ in der Verwaltung der Gruppen kann es sinnvoll sein für manche Gruppen ein Ablaufdatum festzulegen. Nach dem Zeitraum kann die Gruppe aus Entra ID entfernt werden. Wenn eine Gruppe dennoch weiter zum Einsatz kommen soll, kann der Gruppenbesitzer eine Verlängerung beantragen.
Vor dem Ablauf erhält der Gruppenbesitzer eine E-Mail zugestellt. Die hier verwendeten E-Mail-Adressen können direkt bei „E-Mail-Kontakt für Gruppen ohne Besitzer“ definiert werden, wenn es keinen eindeutigen Besitzer gibt. Ist in den Eigenschaften einer Gruppe ein Besitzer hinterlegt, erhält dieser eine E-Mail zugestellt. Besitzer von Gruppen können über den Menüpunkt „Besitzer“ direkt in den Einstellungen der jeweiligen Gruppe vorgegeben werden. Es kann auch mehrere Besitzer für eine Gruppe geben.
Besitzer für Gruppen definieren für eine bessere Verwaltung.
Besitzer können darüber hinaus auch selbst die ihnen zugewiesenen Gruppen verwalten, sodass auf Basis der Vorgaben von Admins immer eine gewisse Ordnung herrscht. In Entra ID ist es nicht immer notwendig, dass sich Admins um die Gruppen kümmern, sondern über die umfangreichen Delegationsmöglichkeiten kann die Pflege direkt an die jeweiligen Verantwortlichen delegiert werden.
IDM-Portal als zentrale Steuerungsschicht für Gruppen
Die Verwaltung von Gruppen in Entra ID wird langfristig erst dann effizient, wenn sie in eine übergreifende Governance-Struktur eingebettet ist.
Genau hier setzt das FirstWare IDM-Portal an: Es ermöglicht eine zentrale, strukturierte und delegierte Verwaltung von Identitäten und Gruppen, auch über Systemgrenzen hinweg.
Fachbereiche können kontrolliert eingebunden werden, während die IT gleichzeitig die Hoheit über Richtlinien und Prozesse behält. Dadurch entstehen klare Strukturen statt gewachsener Einzellösungen.
Mit dem FirstWare IDM-Portal werden Benutzer zentralisiert und direkt im AD verwaltet und anschließend in Entra ID in regelmäßigen Intervallen synchronisiert.
Fazit
Die Organisation von Gruppen in Entra ID ist ohne zusätzliche Struktur schnell unübersichtlich – insbesondere in hybriden IT-Landschaften. Einzelne Funktionen im Portal helfen im Alltag, lösen jedoch nicht das grundlegende Problem fehlender Governance.
Erst durch eine übergreifende Plattform und klare Steuerungsmechanismen entsteht eine nachhaltige, skalierbare Struktur für Identitäten und Berechtigungen.
Gerne beraten wir Sie zur Gruppenverwaltung in Entra ID und AD. Als Experten im Bereich Identity & Access Management wissen wir, worauf es bei der Benutzer- und Berechtigungsverwaltung ankommt. Kontaktieren Sie unser freundliches Team.
