Azure

Azure RBAC (rollenbasierte Zugriffssteuerung)

Overview

Azure RBAC ist das Autorisierungssystem von Azure Resource Manager. Eine Rollenzuweisung verbindet drei Elemente: den Sicherheitsprinzipal (Benutzer, Gruppe, Service Principal oder Managed Identity), die Rollendefinition (eine Sammlung erlaubter Aktionen) und den Scope. Scopes sind Management Group, Subscription, Resource Group oder einzelne Ressource, Rechte vererben sich von oben nach unten.

Abzugrenzen sind die Microsoft-Entra-Rollen wie Globaler Administrator oder Benutzeradministrator. Sie steuern Verzeichnisobjekte wie Benutzer und Gruppen, Azure RBAC dagegen Azure-Ressourcen. Ein Globaler Administrator hat ohne zusätzlichen Schritt keine Rechte auf Subscriptions.

Auch Exchange und Intune kennen eigene RBAC-Modelle, die mit Azure RBAC nichts zu tun haben.

How it works

Bei jedem Aufruf an Azure Resource Manager prüft Azure die Berechtigung in dieser Reihenfolge:

  1. Alle Rollen- und Deny-Zuweisungen für die Zielressource und ihre übergeordneten Scopes werden ermittelt.
  2. Greift eine Deny-Zuweisung, wird der Zugriff verweigert.
  3. Die effektiven Rechte ergeben sich aus Actions minus NotActions (bei Datenzugriffen DataActions minus NotDataActions), summiert über alle Zuweisungen des Benutzers und seiner Gruppen.
  4. Sind an der Zuweisung Bedingungen (ABAC) hinterlegt, etwa auf Blob-Tags, müssen diese erfüllt sein.

Neben eingebauten Rollen wie Owner, Contributor, Reader, User Access Administrator oder Role Based Access Control Administrator lassen sich eigene Rollen definieren. Zuweisungen sind global gespeichert, eine Löschung entzieht den Zugriff in allen Regionen.

Benefits

  • Least Privilege umsetzbar, weil Rechte fein nach Aktion und Scope geschnitten werden
  • Weniger Pflegeaufwand durch Vererbung von Management Group bis Ressource
  • Nachvollziehbarkeit, da jede Zuweisung im Aktivitätsprotokoll erscheint
  • Zeitlich begrenzte Rechte über Privileged Identity Management statt dauerhafter Owner-Konten

Practical example

Ein Logistikdienstleister mit 400 Beschäftigten hat historisch zehn Personen mit Owner-Rechten auf der Produktions-Subscription. Die IT ersetzt diese durch Entra-Gruppen: Betrieb erhält Contributor auf den Anwendungs-Resource-Groups, die Revision Reader auf Subscription-Ebene, Owner gibt es nur noch als berechtigte Rolle über PIM mit Genehmigung. Bei der nächsten ISMS-Prüfung lässt sich jede Berechtigung einer Gruppe und einem Zweck zuordnen.

Things to keep in mind

  • Rechte an Gruppen statt an Einzelpersonen vergeben, das vereinfacht Joiner-Mover-Leaver-Prozesse
  • Owner und User Access Administrator nur sehr sparsam und möglichst zeitlich begrenzt vergeben, weil beide weitere Rechte verteilen können
  • Scope so klein wie möglich wählen, Rechte auf Management-Group-Ebene wirken breit
  • Azure RBAC und Entra-Rollen nicht verwechseln, beide getrennt dokumentieren und regelmäßig per Access Review prüfen

Licensing & availability

Azure RBAC ist kostenlos und in jeder Subscription enthalten. Für zeitlich begrenzte, berechtigte Rollenzuweisungen über Privileged Identity Management ist Microsoft Entra ID P2 oder Microsoft Entra ID Governance erforderlich. Stand: Oktober 2026.

Conclusion

Sauberes Azure RBAC ist die Basis der Azure-Sicherheit. Arbeite mit Gruppen, kleinen Scopes und zeitlich begrenzten privilegierten Rollen.

Further reading

Related articles