Azure

Azure Resource Manager (ARM)

Overview

Azure Resource Manager (ARM) ist die Steuerungsebene (Control Plane) von Azure. Jede Verwaltungsanfrage, ob aus dem Portal, der Azure CLI, Azure PowerShell, einem SDK, Terraform oder einem Bicep-Deployment, läuft über denselben REST-Endpunkt. ARM authentifiziert den Aufrufer über Microsoft Entra ID, prüft Azure RBAC und Azure Policy und leitet die Anfrage an den zuständigen Ressourcenanbieter (Resource Provider) weiter.

ARM verwaltet die Konzepte Subscription, Resource Group, Tags, Sperren und Rollenzuweisungen. Den Zugriff auf Daten innerhalb einer Ressource (Data Plane), etwa das Lesen von Blobs, steuert dagegen meist der jeweilige Dienst.

Seit dem 1. Oktober 2025 setzt Microsoft MFA auch für Create-, Update- und Delete-Vorgänge über ARM durch (Phase 2 der verpflichtenden MFA). Ein Aufschub war höchstens bis zum 1. Juli 2026 möglich.

How it works

Der Weg einer Anfrage durch ARM:

  1. Der Client sendet eine REST-Anfrage, zum Beispiel PUT auf eine Ressourcen-ID, mit einem Entra-Token.
  2. ARM prüft Token, Azure RBAC, Deny-Zuweisungen, Sperren und Azure Policy.
  3. Die Anfrage geht an den Ressourcenanbieter wie Microsoft.Compute oder Microsoft.Network, der in der Subscription registriert sein muss.
  4. Deklarative Deployments aus ARM-Templates oder Bicep setzt ARM idempotent um, ermittelt die Reihenfolge und führt unabhängige Schritte parallel aus.
  5. Jeder schreibende Vorgang landet im Aktivitätsprotokoll.

Die MFA-Pflicht betrifft Benutzeridentitäten. Managed Identities und Service Principals sind ausgenommen, reine Lesevorgänge ebenfalls.

Benefits

  • Einheitliches Verhalten aller Werkzeuge, weil alles über dieselbe API und dieselben Prüfungen läuft
  • Deklarative, wiederholbare Bereitstellung über Templates mit What-if-Vorschau
  • Zentrale Durchsetzung von Rechten, Sperren und Policies, unabhängig vom Client
  • Lückenlose Nachvollziehbarkeit über das Aktivitätsprotokoll

Practical example

Ein Energieversorger betreibt nächtliche Skripte, die sich mit einem normalen Benutzerkonto und Passwort an Azure anmelden und VMs skalieren. Mit der MFA-Durchsetzung für ARM-Schreibvorgänge schlagen die Skripte fehl. Die IT stellt sie auf eine Managed Identity des Automation-Kontos um und vergibt dieser nur Virtual Machine Contributor auf der betroffenen Resource Group. Die Skripte laufen wieder, und das alte Dienstkonto mit Passwort wird gelöscht.

Things to keep in mind

  • Automatisierungen mit Benutzerkonten auf Managed Identities oder Service Principals umstellen, weil die MFA-Pflicht dort nicht greift
  • Aktuelle Clients nutzen, Microsoft empfiehlt mindestens Azure CLI 2.76 und Azure PowerShell 14.3
  • Ressourcensperren für kritische Systeme setzen, ARM wertet sie bei jedem Vorgang aus
  • Aktivitätsprotokoll in einen Log Analytics Workspace exportieren, da es standardmäßig nur begrenzt aufbewahrt wird
  • API-Limits (Throttling) bei großen Automatisierungen einplanen

Licensing & availability

Kostenlos, Bestandteil jeder Azure Subscription. Verpflichtende MFA für Portalzugriffe seit 2024/2025 (Phase 1) und für Create-, Update- und Delete-Vorgänge über CLI, PowerShell, REST und IaC seit 1. Oktober 2025 (Phase 2). Stand: Oktober 2026.

Conclusion

ARM ist das Fundament, auf dem alle Azure-Werkzeuge aufsetzen. Wer ARM versteht, versteht auch Rechte, Policies, Sperren und Deployments in Azure.

Further reading

Related articles