Skip to main content

​
Was diese Integration beiträgt

Microsoft Entra ID kann normalisierte Identitäts-, Anmelde-, Risiko-, Geräte- und Angriffssimulationsaktivitäten beisteuern. Geprüfte Beispiele sind:
  • account.compromised – als kompromittiert gekennzeichnetes Konto
  • auth.login.unusual – Anmeldungen aus ungewöhnlichen Kontexten
  • phishing.simulation.clicked – auf eine Simulation geklickt, ohne sie zu melden
Dies sind repräsentative Beispiele und keine Garantie dafür, dass jedes Ereignis in jedem Mandanten verfügbar ist. Siehe wie Integrationsdaten zu Signalen werden.

​
Was Living Security benötigt

Bereiche (Anwendungsberechtigungen):

​
Sie entscheiden, was diese Verbindung tun kann

Diese Verbindung liest Daten. Sie kann auch in Ihrem Verzeichnis handeln, aber nur, wenn Sie dies zulassen. Jede der oben genannten Berechtigungen außer der letzten ist schreibgeschützt. Erteilen Sie nur diese, und die Verbindung kann in Ihrem Mandanten niemals etwas ändern – die Plattform erkennt dies und bietet Gruppenaktionen gar nicht erst an. Fügen Sie GroupMember.ReadWrite.All hinzu, und Aktionen zur Gruppenmitgliedschaft stehen für die Verwendung in Playbooks zur Verfügung. Nichts geschieht von selbst: Sie müssen weiterhin festlegen, welche Gruppen die Plattform verändern darf (siehe unten), und ein Playbook erstellen, das diese Aktionen verwendet. Sie können Ihre Entscheidung jederzeit ändern. Es genügt, eine Berechtigung in Microsoft Entra ID hinzuzufügen oder zu entfernen und die Administratoreinwilligung erneut zu erteilen – Sie müssen die Anmeldeinformationen nicht erneut in der Plattform eingeben, und Ihre Datensynchronisierungen laufen währenddessen weiter. Die Änderung wird innerhalb von etwa einer Stunde wirksam.
Aktionen zur Gruppenmitgliedschaft sind zusätzlich auf Gruppen beschränkt, die Sie festlegen. Nach dem Verbinden wählt ein Administrator in der Verbindung eine explizite Zulassungsliste von Gruppen aus. Solange diese Liste nicht existiert, sind Gruppenaktionen auch bei erteilter Berechtigung nicht verfügbar – daher bedeutet GroupMember.ReadWrite.All niemals „jede Gruppe im Mandanten“.Wählen Sie diese Gruppen sorgfältig aus: Vermeiden Sie jede Gruppe, die Administratorrollen, privilegierten Zugriff oder Lizenzberechtigungen gewährt.
Erforderliche Rolle: Application Administrator oder Global Administrator in Microsoft Entra ID
Zwei dieser Berechtigungen sind neuere Ergänzungen. Wenn Sie Microsoft Entra ID verbunden haben, bevor sie in dieser Liste aufgeführt waren, fügen Sie sie Ihrer bestehenden App-Registrierung hinzu und erteilen Sie die Administratoreinwilligung erneut – Microsoft verlangt, dass die Einwilligung bei jeder Änderung von Berechtigungen erneut erteilt wird. Alle anderen Datenströme funktionieren in der Zwischenzeit normal weiter.Policy.Read.ConditionalAccess – Ohne diese Berechtigung entfernt Microsoft die Details zum bedingten Zugriff aus jedem Anmeldedatensatz. Der Datensatz meldet weiterhin, dass eine Richtlinie für bedingten Zugriff erfüllt wurde, aber die Liste der Richtlinien ist leer. Nichts schlägt fehl, und nichts warnt Sie: Anmeldedaten treffen weiterhin ein, und die Verbindung bleibt fehlerfrei. Die Plattform kann lediglich nicht erkennen, welche Anmeldungen durch Multi-Faktor-Authentifizierung erfüllt wurden, sodass die MFA-Aktivität dieser Verbindung leer bleibt.IdentityRiskEvent.Read.All – Das Lesen von Risikoerkennungen erfordert außerdem eine Lizenz für Microsoft Entra ID P1 oder P2. Die Erkennung kompromittierter Anmeldeinformationen selbst ist in jeder Stufe einschließlich P1 verfügbar; die Premium-Erkennungen werden unterhalb von P2 als generic gemeldet.

​
Voraussetzungen

  • Sie benötigen Application Administrator- oder Global Administrator-Zugriff in Microsoft Entra ID, um Anwendungen zu registrieren und die Administratoreinwilligung zu erteilen.

​
Teil A – In Microsoft Entra ID

Ihr Microsoft Entra ID-Administrator führt diese Schritte aus.
1

Neue Anwendung registrieren

  1. Melden Sie sich im Microsoft Entra admin center an.
  2. Navigieren Sie in der linken Navigation zu Entra ID → App registrations.
  3. Klicken Sie auf New registration.
  4. Geben Sie einen aussagekräftigen Namen für die App ein, zum Beispiel Living Security Platform.
  5. Wählen Sie unter Supported account types die Option Accounts in this organizational directory only aus.
  6. Lassen Sie Redirect URI leer – diese Integration verwendet den Client-Credentials-Flow.
  7. Klicken Sie auf Register.
Notieren Sie nach der Registrierung die folgenden Werte von der Seite Overview:
  • Application (client) ID
  • Directory (tenant) ID
2

Microsoft Graph-Anwendungsberechtigungen hinzufügen

  1. Klicken Sie auf der Seite Overview Ihrer App im linken Menü auf API permissions.
  2. Klicken Sie auf Add a permission.
  3. Wählen Sie Microsoft Graph aus.
  4. Wählen Sie Application permissions aus.
  5. Suchen Sie jede der folgenden Berechtigungen, wählen Sie sie aus und klicken Sie dann auf Add permissions:
    • User.Read.All
    • SecurityAlert.Read.All
    • AuditLog.Read.All
    • Policy.Read.ConditionalAccess
    • AttackSimulation.Read.All
    • Device.Read.All
    • DeviceManagementManagedDevices.Read.All
    • IdentityRiskEvent.Read.All
  6. Fügen Sie GroupMember.ReadWrite.All nur dann hinzu, wenn Playbooks die Gruppenmitgliedschaft ändern können sollen. Überspringen Sie diesen Schritt, damit diese Verbindung schreibgeschützt bleibt.
Dies sind die Mindestberechtigungen für alle Datenströme. Wenn Sie nur einen Teil der Datenströme aktivieren möchten, können Sie die Berechtigungen für nicht genutzte Datenströme weglassen.
3

Administratoreinwilligung erteilen

Anwendungsberechtigungen erfordern eine ausdrückliche Administratoreinwilligung.
  1. Klicken Sie auf der Seite API permissions auf Grant admin consent for <your tenant name>.
  2. Klicken Sie im Bestätigungsdialog auf Ja.
  3. Prüfen Sie, dass jede Berechtigung in der Spalte Status den Wert Granted anzeigt.
Wenn die Schaltfläche Grant admin consent ausgegraut ist, benötigen Sie die Berechtigungen Privileged Role Administrator oder Global Administrator. Die Administratoreinwilligung muss jedes Mal erneut erteilt werden, wenn Sie neue Berechtigungen hinzufügen.
4

Client-Geheimnis erstellen

  1. Klicken Sie auf der Seite Overview Ihrer App im linken Menü auf Certificates & secrets.
  2. Klicken Sie auf die Registerkarte Client secrets und dann auf New client secret.
  3. Geben Sie eine Beschreibung ein (z. B. Living Security Platform).
  4. Wählen Sie ein Ablaufdatum, das zu Ihrer Rotationsrichtlinie passt.
  5. Klicken Sie auf Add.
Kopieren Sie den Wert des Geheimnisses sofort. Microsoft Entra ID zeigt das vollständige Client-Geheimnis nur einmal an. Wenn Sie die Seite verlassen, bevor Sie es kopiert haben, müssen Sie das Geheimnis löschen und ein neues erstellen.
Bewahren Sie das Geheimnis sicher auf. Richten Sie eine Kalendererinnerung ein, um es vor Ablauf zu rotieren – ein abgelaufenes Geheimnis führt dazu, dass Synchronisierungen mit 401 Unauthorized fehlschlagen.
5

Graph API host und Authority host bestimmen

Für die meisten Organisationen in der kommerziellen Cloud verwenden Sie die Standardwerte:Verwenden Sie für Government- oder Sovereign-Clouds die passenden Endpunkte für Ihre Umgebung.
Graph API host und Authority host müssen zusammenpassen – Token der Autorität einer Cloud sind für den Graph-Endpunkt einer anderen Cloud nicht gültig.

​
Teil B – In der Living Security Platform

Der Programmverantwortliche führt diesen Schritt aus, oder der Systemadministrator, falls dieser in die Plattform eingeladen wurde.
Sie sind nun mit Microsoft Entra ID (Client Credentials) verbunden.

​
Fehlerbehebung

Die Anmeldeinformationen sind ungültig oder abgelaufen. Prüfen Sie Folgendes:
  1. Das Client-Geheimnis ist nicht abgelaufen und wurde nicht rotiert
  2. Mandanten-ID und Client-ID sind korrekt
  3. Der Authority host entspricht Ihrer Cloud-Umgebung
Der App-Registrierung fehlen Berechtigungen, oder die Administratoreinwilligung wurde nicht erteilt. Prüfen Sie Folgendes:
  1. Alle erforderlichen Berechtigungen sind unter API permissions aufgeführt
  2. Jede Berechtigung zeigt den Status Granted (grünes Häkchen)
  3. Die Administratoreinwilligung wurde nach dem Hinzufügen der Berechtigungen erteilt
Wenn Sie nach der ersten Einwilligung neue Berechtigungen hinzugefügt haben, müssen Sie die Administratoreinwilligung erneut erteilen.
Der App fehlt möglicherweise die spezifische Berechtigung für diesen Datenstrom:
  • Keine Benutzer → User.Read.All fehlt
  • Keine Sicherheitswarnungen → SecurityAlert.Read.All fehlt
  • Keine Anmeldeprotokolle → AuditLog.Read.All fehlt
  • Keine Ergebnisse von Angriffssimulationen → AttackSimulation.Read.All fehlt
  • Keine Entra ID-Geräte → Device.Read.All fehlt
  • Keine von Intune verwalteten Geräte → DeviceManagementManagedDevices.Read.All fehlt
  • Keine Risikoerkennungen → IdentityRiskEvent.Read.All fehlt, die Administratoreinwilligung wurde nach dem Hinzufügen nicht erneut erteilt, oder der Mandant liegt unterhalb der erforderlichen Microsoft Entra ID P1-Lizenz
Graph API host und Authority host passen möglicherweise nicht zusammen. Beide müssen derselben Cloud-Umgebung entsprechen (kommerziell, Government usw.).
Aktionen zur Gruppenmitgliedschaft werden nur angeboten, wenn alle drei der folgenden Bedingungen erfüllt sind:
  1. GroupMember.ReadWrite.All ist in der App-Registrierung vorhanden, und die Administratoreinwilligung wurde erteilt. Wenn Sie sie erst kürzlich hinzugefügt haben, warten Sie bis zu einer Stunde.
  2. Ein Administrator hat in der Verbindung eine Zulassungsliste von Gruppen festgelegt.
  3. Die Verbindung ist aktiv und fehlerfrei.
Wenn Sie die Berechtigung erteilt haben und die Aktionen weiterhin nicht verfügbar sind, erteilen Sie die Administratoreinwilligung erneut – Microsoft verlangt dies bei jeder Änderung von Berechtigungen.
Wenn Ihr Mandant eine Richtlinie für bedingten Zugriff (Conditional Access) hat, die nach IP-Adresse eingegrenzt ist, kann sie Anfragen blockieren, die die Anmeldeinformationen dieser Verbindung enthalten. Die meisten Mandanten sind nicht betroffen – Microsoft Graph beschränkt standardmäßig nicht nach IP-Adresse. Wenn Sie für Dienstprinzipale eine IP-basierte Richtlinie durchsetzen, müssen für diese Integration zwei Adressgruppen auf die Zulassungsliste gesetzt werden, da die Einrichtung und die Datensynchronisierung von unterschiedlichen Netzwerken ausgehen.Living Security stellt das Zugriffstoken dieser Verbindung selbst aus und erneuert es fortlaufend, daher gehen Token-Anfragen von den eigenen Adressen der Plattform aus und nicht von den Adressen, die Ihre Datensynchronisierungen verwenden.Gruppenaktionen sind davon getrennt. Standardmäßig werden sie wie Ihre Datensynchronisierungen geroutet und gehen von den Synchronisierungsadressen aus. Sie wechseln nur dann zu den Plattformadressen, wenn ein Administrator die Verbindung auf direkten Egress umstellt.Fügen Sie beide Adressgruppen dem benannten Standort (named location) hinzu, dem Ihre Richtlinie für bedingten Zugriff vertraut oder den sie ausschließt. Token-Anfragen erreichen login.microsoftonline.com und Datenanfragen erreichen graph.microsoft.com; beide müssen erfolgreich sein.Wenn nur die Synchronisierungsadressen auf der Zulassungsliste stehen, schlägt die Einrichtung beim Abrufen eines Tokens fehl, und es wird keine Verbindung erstellt. Wenn nur die Plattformadressen auf der Zulassungsliste stehen, gelingt die Einrichtung, und jede Synchronisierung liefert keine Datensätze zurück.