Dieser Artikel wurde automatisch übersetzt. Die Übersetzung kann Ungenauigkeiten enthalten.
Zur englischen Originalversion wechseln.
Ctrlk
linkedinx-twitter
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Eingrenzung des Umfangs des RealmJoin-Portals

Verwendung von administrativen Einheiten mit RealmJoin

RealmJoin Portal unterstützt Administrative Units (AU) von Microsoft Entra ID.

Administrative Unit mit eingeschränkter Verwaltung

Um einige sensible Gruppen vor RealmJoin zu verbergen/zu schützen, können Sie eine Administrative Unit mit eingeschränkter Verwaltung in Microsoft Entra ID. Nachdem Sie diese eingeschränkte AU erstellt haben, können Sie sensible Gruppen dieser AU zuweisen und diese Gruppen aus dem RealmJoin Portal (und für alle, die das RealmJoin Portal verwenden) „verbergen“. Dies ist eine gute Idee für hochsensible Gruppen die Sie schützen möchten, z. B. Gruppen, die zum Gewähren von Berechtigungen/Rollen verwendet werden, oder um Benutzer von bestimmten Conditional Access-Richtlinien auszuschließen usw. Benutzer und Anwendungen müssen ausdrücklich gewährt/hinzugefügt werden zum Geltungsbereich der AU hinzugefügt werden, um mit Gruppen interagieren zu können, die durch die eingeschränkte Verwaltungs-AU „geschützt“ sind.

Um eingeschränkte Verwaltungs-Administrative Units zu nutzen, sind keine Einstellungen in RealmJoin erforderlich.

  • Sie können hier mehr über Restricted management administrative units in Microsoft Entra ID lesen hier.

  • Um eine eingeschränkte AU zu erstellen, können Sie der Anleitung von Microsoft folgen hier.

  • Um Gruppen, die Sie schützen möchten, sowie Administratoren, denen Sie den Zugriff auf diese Gruppen erlauben möchten, der eingeschränkten AU hinzuzufügen, beachten Sie bitte diese Anleitung hier.

Zuweisung einer dedizierten Administrative Unit für RealmJoin Portal

Um das RealmJoin Portal vollständig zu „kapseln“, können Sie eine dedizierte AU (standardmäßig nicht eingeschränkt) erstellen und die RealmJoin Portal-App dieser AU zuweisen. Dadurch erstellt RealmJoin Portal Gruppen nur in genau dieser AU – und kann auch nur mit Gruppen interagieren, die ausdrücklich in den Geltungsbereich dieser AU fallen.

  • Um eine AU zu erstellen, können Sie der Anleitung von Microsoft folgen

  • Um Gruppen zum Geltungsbereich der AU hinzuzufügen, damit RealmJoin weiterhin mit diesen Gruppen interagieren kann, beachten Sie bitte diese Anleitung

  • Um Rollen mit Geltungsbereich für Administrative Units zuzuweisen, beachten Sie bitte diese Anleitung

RealmJoin für die Verwendung von Administrative Units aktivieren

  1. Erstellen Sie eine AU in Entra (Standard, nicht eingeschränkt).

  2. Weisen Sie in der AU der RealmJoin Portal-App (Application ID: "b0130885-16be-4c6f-83de-5b1042b5d2e3") dauerhaft die Rolle "Group Administrator" zu.

  3. Fügen Sie die Microsoft Graph-API-Berechtigung hinzu "AdministrativeUnit.Read.All" (Typ "Anwendung") zur RealmJoin Portal-App (Application ID: "b0130885-16be-4c6f-83de-5b1042b5d2e3").

  4. Insbesondere wenn Sie das RealmJoin Portal bereits verwenden, verschieben Sie alle Gruppen, mit denen RealmJoin interagieren können soll, in den Geltungsbereich der AU (z. B. vorhandene App-Gruppen oder Berechtigungsgruppen).

  5. Erstellen Sie ein Ticket bei RealmJoin Support und geben Sie die ObjectID der von Ihnen erstellten AU an.

  6. Warten Sie auf die Verifizierung durch den RealmJoin Support.

  7. Nun können Sie die folgenden Anwendungsberechtigungen sicher aus der RealmJoin Portal-App (Application ID: "b0130885-16be-4c6f-83de-5b1042b5d2e3") entfernen, da diese nicht AU-bewusst sind: "Group.ReadWrite.All" & "GroupMember.ReadWrite.All" Stattdessen wird die Entra-Rolle "Group Administrator" verwendet. Stellen Sie sicher, dass Sie die Rolle zuvor hinzugefügt haben (Schritt 2).

Bitte beachten Sie, dass Sie die Microsoft Graph-API-Berechtigungen nur über Graph hinzufügen/entfernen können!

Sie können das Grant-Skript von der RealmJoin Portal-Funktionsseite unten gezeigt verwenden, um die "AdministrativeUnit.Read.All" Berechtigung hinzuzufügen.

  • Kopieren Sie das Skript, fügen Sie die Berechtigung im markierten $permissions-Abschnitt hinzu, führen Sie das Skript aus und bestätigen Sie die Ausführung im Portal.

  • RealmJoin prüft automatisch, ob die neue Berechtigung vorhanden ist, und zeigt sie im Bereich „Granted“ an.

  • Zum Entfernen von "Group.ReadWrite.All" & "GroupMember.ReadWrite.All" können Sie die Option "Revoke" neben den Berechtigungen verwenden, um ein Skript nur für diese spezifische Berechtigung zu generieren.

Zuletzt aktualisiert

War das hilfreich?