Azure

Azure Management Group (Verwaltungsgruppe)

Overview

Management Groups bilden einen Verwaltungsbereich oberhalb der Subscriptions. Alles, was auf einer Management Group zugewiesen wird, gilt für alle darunter liegenden Management Groups, Subscriptions, Resource Groups und Ressourcen. Damit lassen sich Regeln wie erlaubte Regionen oder Pflicht-Tags einmal definieren statt in jeder Subscription einzeln.

Jeder Tenant hat genau eine Root Management Group (Anzeigename „Tenant Root Group“), deren ID der Tenant-ID entspricht. Sie lässt sich weder verschieben noch löschen. Neue Subscriptions landen standardmäßig direkt darunter.

In einer Azure Landing Zone sind Management Groups das tragende Gerüst, zum Beispiel mit Zweigen für Plattform, Workload-Landing-Zones (etwa Corp und Online) und Sandbox.

How it works

Die Hierarchie folgt festen Regeln:

  1. Ein Verzeichnis unterstützt bis zu 10.000 Management Groups und bis zu sechs Ebenen, Root- und Subscription-Ebene nicht mitgezählt.
  2. Jede Management Group und jede Subscription hat genau ein übergeordnetes Element.
  3. Azure RBAC und Azure Policy werden auf jeder Ebene zugewiesen und vererben sich nach unten. Eine geerbte Policy kann ein Subscription-Owner nicht aufheben.
  4. Auf die Root Management Group hat zunächst niemand Zugriff. Ein Globaler Administrator muss in Entra ID „Zugriff erhöhen“ aktivieren und erhält dann die Rolle User Access Administrator auf Root-Ebene.
  5. Azure Resource Manager speichert die Hierarchie bis zu 30 Minuten zwischen, Änderungen erscheinen deshalb verzögert.

Benefits

  • Zentrale Governance für viele Subscriptions, weil Zuweisungen nur einmal gepflegt werden
  • Weniger Konfigurationsfehler, da neue Subscriptions die Regeln ihrer Management Group automatisch erben
  • Saubere Trennung von Plattform-, Produktions- und Sandbox-Umgebungen
  • Grundlage für Landing Zones und Subscription Vending

Practical example

Ein Automobilzulieferer mit vier Werken betreibt zwölf Subscriptions, die über Jahre ohne Struktur entstanden sind. Die IT baut eine Hierarchie mit den Zweigen Plattform, Landing Zones und Sandbox auf, weist auf Landing-Zone-Ebene eine Initiative mit erlaubten EU-Regionen und Pflicht-Tags zu und gibt der Sandbox nur ein Budget-Limit. Neue Projekt-Subscriptions werden direkt in den passenden Zweig gelegt und sind ab der ersten Minute regelkonform.

Things to keep in mind

  • Hierarchie flach und stabil halten, zwei bis drei Ebenen reichen im Mittelstand meist aus
  • Zuweisungen auf der Root Management Group wirken auf das gesamte Verzeichnis und gehören nur dorthin, wenn sie wirklich überall gelten müssen
  • Den erhöhten Zugriff des Globalen Administrators nach der Einrichtung wieder deaktivieren
  • Struktur nach Governance-Anforderungen schneiden, nicht nach Organigramm
  • In der Hierarchieeinstellung eine Standard-Management-Group für neue Subscriptions festlegen, damit diese nicht ungeregelt unter Root landen

Licensing & availability

Kostenlos nutzbar. Laut Microsoft Learn unterstützt Cost Management Management Groups derzeit nicht für Subscriptions unter einem Microsoft Customer Agreement. Stand: Oktober 2026.

Conclusion

Management Groups machen Governance über viele Subscriptions beherrschbar. Halte die Struktur einfach und plane sie zusammen mit Azure Policy.

Further reading

Related articles