Conditional Access richtig schneiden

Wie viele Richtlinien sind zu viele?

Conditional Access in Microsoft Entra ID ist schnell eingerichtet und ebenso schnell unübersichtlich. Wir sehen regelmäßig Umgebungen mit über sechzig Richtlinien, von denen niemand mehr sagen kann, welche im konkreten Fall greift – und ob eine davon inzwischen wirkungslos ist.

Vom Ausnahmefall her denken

Bewährt hat sich ein kleines Grundgerüst aus wenigen, breit greifenden Richtlinien, ergänzt um klar benannte Ausnahmen mit Ablaufdatum. Entscheidend ist die Benennung: Wer eine Richtlinie „CA-014″ nennt, hat den Überblick schon aufgegeben.

• Ein Grundgerüst für alle Nutzenden, das ohne Ausnahme gilt
• Getrennte Richtlinien für administrative Rollen, strenger gefasst
• Ausnahmen ausschließlich befristet und mit fachlicher Begründung
• Notfallzugänge dokumentiert, überwacht und regelmäßig getestet

Vor dem Scharfschalten

Jede neue Richtlinie läuft bei uns zuerst im Report-Only-Modus – lange genug, um auch monatliche Abläufe zu erwischen. Der Aufwand ist gering gegenüber einem Freitagabend, an dem sich die Buchhaltung nicht mehr anmelden kann.