Geplante Synchronisierung sicherer MFA-Benutzer mit einer Gruppe

Benutzer mit registrierten sicheren MFA-Methoden in eine Entra ID-Gruppe synchronisieren

Dies ist ein geplantes Runbook. Es ist dafür ausgelegt, nach einem wiederkehrenden Zeitplan ausgeführt zu werden, statt für ein einzelnes Objekt ausgelöst zu werden. Siehe Zeitplanung für Details zur Konfiguration von Runbook-Zeitplänen.

Beschreibung

Dieses Runbook synchronisiert eine Entra ID-Gruppe mit allen Mitgliedsbenutzern, die mindestens eine registrierte „sichere“ Authentifizierungsmethode haben, basierend auf dem Entra ID-Bericht zur Registrierung von Authentifizierungsmethoden. Welche Methodengruppen als sicher gelten, ist über Schalter konfigurierbar (Passkeys/FIDO2, Plattformanmeldeinformationen, Microsoft Authenticator-App, Software-OTP, Hardware-OTP, zertifikatbasierte Authentifizierung). Benutzer, die keine sichere Methode mehr registriert haben, werden aus der Gruppe entfernt. Ein optionaler strikter Modus („SecureOnly“) stuft außerdem Benutzer aus, die zusätzlich zu ihrer sicheren Methode irgendeine unsichere Methode (Telefon, E-Mail, Sicherheitsfragen) registriert haben, als nicht berechtigt ein. Admin-Benutzer (Inhaber einer Entra ID-Verzeichnisrolle, aktiv oder PIM-fähig, einschließlich Mitglieder von rollenzuweisbaren Gruppen) sind standardmäßig ausgeschlossen („ExcludeAdmins“) – nützlich, wenn die Zielgruppe SSPR steuert, da Admins andernfalls gezwungen wären, einen zweiten Faktor zu registrieren. Eine optionale Ausschlussgruppe hält Konten wie Break-Glass- oder Dienstkonten dauerhaft aus der Zielgruppe heraus; einzelne Benutzer können zusätzlich direkt über eine Mehrbenutzer-Auswahl ausgeschlossen werden („ExcludeUserIds“). Ausgeschlossene Benutzer werden nie hinzugefügt und entfernt, wenn sie bereits Mitglieder sind. Gastbenutzer und Nicht-Benutzer-Gruppenmitglieder werden nie berührt.

Optional kann ein detaillierter Bericht per E-Mail gesendet und/oder in ein Azure Storage Account hochgeladen werden (mit zeitlich begrenzten Download-Links). Der Bericht enthält CSV-Dateien und eine formatierte Excel-Arbeitsmappe mit einem Info-Deckblatt (gewählte Parameter und Ergebnisanzahlen), den vorgenommenen Änderungen und einer Auswertung aller Mitgliedsbenutzer pro Benutzer. Berichtsdateien werden nur generiert, wenn E-Mail oder Download-Link aktiviert ist.

So funktioniert es

Das Runbook liest den Entra ID Bericht zur Registrierung von Authentifizierungsmethoden (userRegistrationDetails) und spiegelt die Zielgruppe gegen alle Mitgliedsbenutzer die sich qualifizieren:

Ein Benutzer qualifiziert sich, wenn mindestens eine seiner registrierten Methoden in der konfigurierten sicheren Menge liegt.
Im strikten Modus (SecureOnly) darf ein Benutzer außerdem keine Methode aus der unsicheren Menge registriert haben — ein Passkey-Benutzer, der zusätzlich auch noch einen SMS-Faktor behält, qualifiziert sich nicht.
Qualifizierende Benutzer, die noch keine Gruppenmitglieder sind, werden hinzugefügt; Mitglieder, die sich nicht mehr qualifizieren, werden entfernt (Spiegelsynchronisierung).
Gastbenutzer werden niemals hinzugefügt oder entfernt. Nicht-Benutzer-Gruppenmitglieder (Geräte, Service Principals, verschachtelte Gruppen) werden niemals berührt.

Die Zielgruppe sollte ausschließlich von diesem Runbook verwaltet werden.

Sichere Methodengruppen

Jeder Schalter steuert, welche methodsRegistered Werte als sicher gelten:

Schalter

Standard

Abgedeckte Werte

Passkeys / FIDO2-Sicherheitsschlüssel

ein

fido2SecurityKey, passKeyDeviceBound, passKeyDeviceBoundAuthenticator

Plattformanmeldeinformationen

ein

windowsHelloForBusiness, passKeyDeviceBoundWindowsHello, macOsSecureEnclaveKey

Microsoft Authenticator-App

ein

microsoftAuthenticatorPush, microsoftAuthenticatorPasswordless

Software-OTP

aus

softwareOneTimePasscode

Hardware-OTP

aus

hardwareOneTimePasscode

zertifikatbasierte Authentifizierung

ein

certificateBasedAuthentication

Strikter Modus (SecureOnly)

Bei aktiviertem strikten Modus qualifizieren sich Benutzer mit einer der folgenden integrierten unsicheren Methoden niemals:

mobilePhone, alternateMobilePhone, officePhone, email, securityQuestion

Wenn eine Methode sowohl in der sicheren als auch in der unsicheren Menge landet (nur über die Überschreibungsparameter möglich), gewinnt unsicher — solche Benutzer qualifizieren sich im strikten Modus nie. Das Runbook warnt beim Start davor.

Ausschlüsse

Ausgeschlossene Benutzer qualifizieren sich unabhängig von ihren registrierten Methoden nie: Sie werden niemals der Zielgruppe hinzugefügt und entfernt, wenn sie bereits Mitglieder sind. Der Bericht pro Benutzer zeigt den Grund in der ExclusionReason Spalte an.

Admin-Benutzer ausschließen (`ExcludeAdmins`, standardmäßig aktiviert)

Benutzer mit einer Entra ID-Verzeichnisrolle werden ausgeschlossen. Dies umfasst:

Aktive Rollenzuweisungen (roleManagement/directory/roleAssignments)
PIM-fähige Zuweisungen (roleManagement/directory/roleEligibilitySchedules, erfordert Entra ID P2 — ohne P2 fällt das Runbook auf aktive Zuweisungen zurück und protokolliert eine Warnung)
Rollenzuweisbare Gruppen: Gruppen, die eine Rolle enthalten, werden auf ihre transitive Benutzer-Mitgliedschaft erweitert

Hintergrund: Wenn die Zielgruppe SSPR und die SSPR-Administratorrichtlinie deaktiviert ist, müssten Admins in der Gruppe trotzdem einen zweiten Faktor registrieren, sobald zwei SSPR-Methoden erforderlich sind. Admins aus der Gruppe herauszuhalten, vermeidet dies.

Diese Option erfordert die zusätzliche Graph-Berechtigung RoleManagement.Read.Directory für die verwaltete Identität.

Ausschlussgruppe (`ExcludeGroupId`, optional)

Transitive Benutzer-Mitglieder der konfigurierten Gruppe werden ausgeschlossen — gedacht für Konten, die von dieser Synchronisierung niemals verwaltet werden dürfen, wie etwa Break-Glass-Konten oder Dienstkonten. Verschachtelte Gruppen werden berücksichtigt. Die Ausschlussgruppe darf nicht die Zielgruppe selbst sein.

Einzeln ausgeschlossene Benutzer (`ExcludeUserIds`, optional)

Einzelne Benutzer können direkt über die Mehrbenutzer-Auswahl ausgeschlossen werden — für einmalige Ausschlüsse, bei denen sich eine eigene Ausschlussgruppe nicht lohnt. Die Liste akzeptiert Benutzer Objekt-IDs und Benutzerprinzipalnamen (UPNs). Nicht auflösbare Einträge (z. B. ein gelöschtes Konto) protokollieren eine Warnung und werden ignoriert, sodass ein veralteter Eintrag eine geplante Synchronisierung nie unterbricht.

Ausschlüsse über die Runbook-Anpassung verwalten (ohne die Auswahllisten)

Beide Ausschlussparameter können zentral vordefiniert werden über JSON-basierte Runbook-Anpassung (RealmJoin-Portal: Einstellungen → Runbook-Anpassungen) — nützlich, wenn die Ausschlüsse für den Tenant fest vorgegeben sind und bei jedem Start oder jeder Planung des Runbooks nicht manuell ausgewählt werden sollen:

{
    "Runbooks": {
        "rjgit-org_security_sync-mfa-secure-users-to-group_scheduled": {
            "Parameters": {
                "ExcludeGroupId": {
                    "DefaultValue": "00000000-0000-0000-0000-000000000000",
                    "Hide": true
                },
                "ExcludeUserIds": {
                    "DefaultValue": [
                        "11111111-1111-1111-1111-111111111111",
                        "breakglass@contoso.com"
                    ],
                    "Hide": true
                }
            }
        }
    }
}

ExcludeGroupId nimmt eine einzelne Gruppe Objekt-ID (GUID) als einfacher String — kopieren Sie ihn von der Übersichtsseite der Gruppe im Entra admin center oder im RealmJoin-Portal.
ExcludeUserIds nimmt ein JSON Array von Zeichenfolgen; jeder Eintrag kann ein Benutzer Objekt-ID oder ein UPN. Einträge werden getrimmt und dedupliziert; das Runbook löst sie beim Start auf.
Empfohlen: wenn die Ausschlüsse über die Runbook-Anpassung gepflegt werden, setzen Sie außerdem "Hide": true für den Parameter auf „Hide“ (wie im obigen Beispiel). Dadurch wird er vollständig aus dem Startformular entfernt, sodass die zentral konfigurierten Ausschlüsse in der UI beim Starten oder Planen des Runbooks nicht überschrieben werden können. Ohne Ausblendenwerden die konfigurierten Werte nur vorausgefüllt angezeigt und können dort weiterhin geändert werden.

Referenz zur Methodenkategorisierung

Verwenden Sie beim Erstellen der kommagetrennten Überschreibungszeichenfolgen die exakten Graph-Werte aus dieser Tabelle:

methodsRegistered Wert

Anzeigename

Klassifizierung

Durch Schalter abgedeckt (Standard)

fido2SecurityKey

FIDO2-Sicherheitsschlüssel

Sicher

Passkeys / FIDO2 (ein)

passKeyDeviceBound

Passkey (gerätegebunden)

Sicher

Passkeys / FIDO2 (ein)

passKeyDeviceBoundAuthenticator

Passkey in Microsoft Authenticator

Sicher

Passkeys / FIDO2 (ein)

windowsHelloForBusiness

Windows Hello for Business

Sicher

Plattformanmeldeinformationen (ein)

passKeyDeviceBoundWindowsHello

Passkey in Windows Hello

Sicher

Plattformanmeldeinformationen (ein)

macOsSecureEnclaveKey

Plattformanmeldeinformation für macOS

Sicher

Plattformanmeldeinformationen (ein)

microsoftAuthenticatorPush

Microsoft Authenticator (Push-Benachrichtigung)

Sicher

Microsoft Authenticator-App (ein)

microsoftAuthenticatorPasswordless

Microsoft Authenticator (kennwortlose Anmeldung per Telefon)

Sicher

Microsoft Authenticator-App (ein)

softwareOneTimePasscode

Software-OATH-Token (TOTP-App)

Sicher

Software-OTP (aus)

hardwareOneTimePasscode

Hardware-OATH-Token

Sicher

Hardware-OTP (aus)

certificateBasedAuthentication

zertifikatbasierte Authentifizierung

Sicher

zertifikatbasierte Authentifizierung (ein)

mobilePhone

Telefon (SMS / Sprachanruf)

Unsicher

integrierte unsichere Liste

alternateMobilePhone

Alternatives Telefon (Sprachanruf)

Unsicher

integrierte unsichere Liste

officePhone

Office-Telefon (Sprachanruf)

Unsicher

integrierte unsichere Liste

email

E-Mail (nur SSPR)

Unsicher

integrierte unsichere Liste

securityQuestion

Sicherheitsfragen (nur SSPR)

Unsicher

integrierte unsichere Liste

temporaryAccessPass

Temporary Access Pass

Neutral

qualifiziert sich nie, disqualifiziert nie

Unbekannte oder zukünftige Graph-Werte werden als neutral behandelt, sofern sie nicht explizit in einem Überschreibungsparameter aufgeführt sind.

Überschreibungsparameter

Beide Überschreibungsparameter sind standardmäßig ausgeblendet und für die RealmJoin-Runbook-Anpassung vorgesehen:

SecureMethodsOverride — kommagetrennte Liste von methodsRegistered Werten, die die sichere Menge definieren. Wenn gesetzt, alle Schalter für Methodengruppen werden ignoriert. Beispiel: fido2SecurityKey,passKeyDeviceBound,passKeyDeviceBoundAuthenticator,windowsHelloForBusiness
UnsecureMethodsOverride — kommagetrennte Liste, die die integrierte unsichere Liste ersetzt. Nur im strikten Modus ausgewertet. Beispiel: mobilePhone,alternateMobilePhone,officePhone,email,securityQuestion,softwareOneTimePasscode

Unbekannte Werte erzeugen eine Warnung, werden aber trotzdem ausgewertet, sodass zukünftige Graph-Werte verwendet werden können, bevor diese Dokumentation nachgezogen hat.

E-Mail-Bericht und Download-Links

Optional kann ein detaillierter Bericht bereitgestellt werden – besonders nützlich, um den allerersten Lauf zu prüfen (idealerweise kombiniert mit dem Trockenlauf-Modus):

Bericht per E-Mail senden (SendEmail, standardmäßig deaktiviert): sendet den Bericht an die konfigurierten Empfänger. Das Empfängerfeld erscheint nur, wenn E-Mail aktiviert ist. Erfordert die RJReport.EmailSender Mandanteneinstellung (siehe die Einrichtung der E-Mail-Berichterstattung).
Datei-Download-Links erstellen (CreateDownloadLink, standardmäßig deaktiviert): lädt die Berichtsdateien in ein Azure Storage Account hoch und gibt zeitlich begrenzte Download-Links zurück (verwendet die RJReport.StorageAccount.* Mandanteneinstellungen).

Berichtsdateien werden nur generiert, wenn mindestens eine der beiden Optionen aktiviert ist. Der Bericht besteht aus:

mfa-secure-users-group-sync-changes.csv - alle durchgeführten (oder im Trockenlauf anstehenden) Änderungen mit methodenspezifischen Details pro Benutzer
mfa-secure-users-group-sync-all-users.csv - die Bewertung jedes Mitgliedsbenutzers: registrierte Methoden, sichere/unsichere Klassifizierung, Qualifikation, Ausschlussgrund und Gruppenmitgliedschaft
mfa-secure-users-group-sync-report.xlsx - dieselben Daten als formatierte Excel-Arbeitsmappe: ein „Info“-Deckblatt mit den gewählten Parametern und Ergebnisanzahlen, ein Arbeitsblatt „Changes“ (hinzugefügte Benutzer grün hervorgehoben, entfernte rot) und ein Arbeitsblatt „All Users“

In großen Mandanten können die rohen CSV-Dateien das Größenlimit für E-Mail-Anhänge überschreiten (Graph lehnt E-Mails bei insgesamt etwa 4 MB ab). Wenn die CSV-Dateien ein Budget von 2,5 MB überschreiten, wird die E-Mail nur mit der angehängten Excel-Arbeitsmappe gesendet (die die vollständigen Daten in komprimierter Form enthält) und mit einem Hinweis, der das Weglassen erklärt; ein fehlgeschlagener Versand in voller Größe wird außerdem automatisch nur mit der Arbeitsmappe erneut versucht. Der Upload für die Download-Links enthält immer alle Dateien, unabhängig von der Größe.

Hinweise und Einschränkungen

Der Registrierungsbericht erfordert eine Entra ID P1 oder P2 Lizenz.
PIM-fähige Rollenzuweisungen (Admin-Ausschluss) erfordern eine Entra ID P2 Lizenz — ohne sie werden nur aktive Rollenzuweisungen ausgeschlossen.
Der Bericht enthält nicht deaktivierte oder weich gelöschte Benutzer — solche Konten werden beim nächsten Lauf aus der Gruppe entfernt.
Die Berichtsdaten können aktuellen Registrierungsänderungen hinterherhinken; eine neu registrierte Methode kann einen Synchronisierungszyklus benötigen, um sichtbar zu werden.
Das Runbook verarbeitet große Mandanten (20k+ Benutzer) über seitenweise Berichtsauslesungen und gruppierte Gruppenschreibvorgänge mit automatischen Wiederholungen bei Drosselung.

Zeitplanung

Die Synchronisierung ist idempotent — ein einzelner wiederkehrender Zeitplan (z. B. täglich) hält die Gruppe aktuell, und erneute Läufe nach teilweisen Fehlern heilen sich selbst. Empfehlung: einmal ausführen mit Trockenlauf (WhatIf) aktiviert und die Auftragsausgabe prüfen, bevor das Runbook im Live-Modus geplant wird.

Ort

Organisation → Sicherheit → Sync MFA Secure Users To Group (Geplant)

Vollständiger Runbook-Name

rjgit-org_security_sync-MFA-secure-users-to-group_scheduled

Details

Eigenschaft

Wert

Version

1.3.0

Erforderliche Module

RealmJoin.RunbookHelper (>= 0.8.7) Microsoft.Graph.Authentication (>= 2.39.0) Az.Accounts (>= 5.5.0)

Planbar

Berechtigungen

Anwendungsberechtigungen

Typ: Microsoft Graph
- AuditLog.Read.All
- Group.Read.All
- RoleManagement.Read.Directory
- GroupMember.ReadWrite.All
- User.Read.All
- Organization.Read.All
- Mail.Send

Im Portal ausgeblendet

ja (vorkonfiguriert über Runbook-Anpassung)

ExcludeAdmins

Admin-Benutzer ausschließen: Benutzer mit einer Entra ID-Verzeichnisrolle (aktiv oder PIM-fähig, einschließlich Mitglieder von rollenzuweisbaren Gruppen) qualifizieren sich nie und werden aus der Gruppe entfernt, wenn sie bereits Mitglieder sind. Standardmäßig aktiviert - wenn die Zielgruppe SSPR steuert, müssten Admins andernfalls einen zweiten Faktor registrieren.

Eigenschaft

Wert

Erforderlich

falsch

Standardwert

Wahr

Typ

Boolesch

Anzeigename im Portal

Admin-Benutzer ausschließen (Inhaber von Verzeichnisrollen, inkl. PIM-fähig)

Wenn aktiviert, wird der Bericht per E-Mail mit CSV- und Excel-(xlsx)-Anhängen gesendet. Standardmäßig deaktiviert.

Eigenschaft

Wert

Erforderlich

falsch

Standardwert

Falsch

Typ

Boolesch

Anzeigename im Portal

Bericht per E-Mail senden?

Portaloptionen

Portaloption

Wert

Ja - den Bericht per E-Mail senden

Nein - keine E-Mail senden

EmailTo

E-Mail-Adresse(n) des Empfängers für den Bericht. Kann eine einzelne Adresse oder mehrere kommagetrennte Adressen (Zeichenfolge) sein. Wird nur verwendet, wenn SendEmail aktiviert ist.

Eigenschaft

Wert

Erforderlich

falsch

Standardwert

Typ

Zeichenfolge

Anzeigename im Portal

Empfänger-E-Mail-Adresse(n)

EmailFrom

Die Absender-E-Mail-Adresse. Stammt aus den RJReport-Mandanteneinstellungen.

Eigenschaft

Wert

Erforderlich

falsch

Standardwert

Typ

Zeichenfolge

Im Portal ausgeblendet

ja (vorkonfiguriert über Runbook-Anpassung)

ReportFileFormat

Steuert, welche Berichtsdateiformate generiert und bereitgestellt werden: „nur CSV“, „CSV & XLSX“ (Standard) oder „nur XLSX“.

Eigenschaft

Wert

Erforderlich

falsch

Standardwert

CSV & XLSX

Typ

Zeichenfolge

Anzeigename im Portal

Berichtsdateiformat

Im Portal ausgeblendet

ja (vorkonfiguriert über Runbook-Anpassung)

Portaloptionen

Portaloption

Wert

CSV & XLSX

nur CSV

nur XLSX

CreateDownloadLink

Wenn aktiviert, werden die Berichtsdateien in einen Azure Storage Account hochgeladen und zeitlich begrenzte Download-Links zurückgegeben. Standardmäßig deaktiviert.

Eigenschaft

Wert

Erforderlich

falsch

Standardwert

Falsch

Typ

Boolesch

Anzeigename im Portal

Datei-Download-Links erstellen (Bericht in den Speicher hochladen)?

Portaloptionen

Portaloption

Wert

Ja - den Bericht hochladen und Download-Links zurückgeben

Nein - keine Download-Links erstellen

ContainerName

Name des Storage-Containers, der für den Upload verwendet wird. Pro Runbook konfiguriert (keine globale RJReport-Einstellung).

Eigenschaft

Wert

Erforderlich

falsch

Standardwert

sync-mfa-secure-users-to-group

Typ

Zeichenfolge

Im Portal ausgeblendet

ja (vorkonfiguriert über Runbook-Anpassung)

ResourceGroupName

Ressourcengruppe, die das Storage-Konto enthält. Stammt aus den RJReport-Mandanteneinstellungen.

Eigenschaft

Wert

Erforderlich

falsch

Standardwert

Typ

Zeichenfolge

Im Portal ausgeblendet

ja (vorkonfiguriert über Runbook-Anpassung)

StorageAccountName

Name des Storage-Kontos, der für den Upload verwendet wird. Stammt aus den RJReport-Mandanteneinstellungen.

Eigenschaft

Wert

Erforderlich

falsch

Standardwert

Typ

Zeichenfolge

Im Portal ausgeblendet

ja (vorkonfiguriert über Runbook-Anpassung)

LinkExpiryDays

Anzahl der Tage, bis der generierte Download-Link abläuft. Stammt aus den RJReport-Mandanteneinstellungen.

Eigenschaft

Wert

Erforderlich

falsch

Standardwert

Typ

Int32

Im Portal ausgeblendet

ja (vorkonfiguriert über Runbook-Anpassung)

Zurück zur Übersicht der Runbook-Referenz

Zuletzt aktualisiert vor 1 Tag

War das hilfreich?

Gute Nacht

Beschreibung

So funktioniert es

Sichere Methodengruppen

Strikter Modus (SecureOnly)

Ausschlüsse

Admin-Benutzer ausschließen (ExcludeAdmins, standardmäßig aktiviert)

Ausschlussgruppe (ExcludeGroupId, optional)

Einzeln ausgeschlossene Benutzer (ExcludeUserIds, optional)

Ausschlüsse über die Runbook-Anpassung verwalten (ohne die Auswahllisten)

Referenz zur Methodenkategorisierung

Überschreibungsparameter

E-Mail-Bericht und Download-Links

Hinweise und Einschränkungen

Zeitplanung

Ort

Details

Berechtigungen

Anwendungsberechtigungen

Parameter

TargetGroupId

IncludePasskeys

IncludePlatformCredentials

IncludeMicrosoftAuthenticator

IncludeSoftwareOtp

IncludeHardwareOtp

IncludeCertificateBasedAuth

SecureOnly

SecureMethodsOverride

UnsecureMethodsOverride

ExcludeAdmins

ExcludeGroupId

ExcludeUserIds

WhatIfMode

SendEmail

EmailTo

EmailFrom

ReportFileFormat

CreateDownloadLink

ContainerName

ResourceGroupName

StorageAccountName

LinkExpiryDays

Admin-Benutzer ausschließen (`ExcludeAdmins`, standardmäßig aktiviert)

Ausschlussgruppe (`ExcludeGroupId`, optional)

Einzeln ausgeschlossene Benutzer (`ExcludeUserIds`, optional)