Azure

Azure Lighthouse

Allgemeine Infos

Mit Azure Lighthouse delegiert ein Kunde Subscriptions oder Resource Groups an Benutzer, Gruppen oder Service Principals im Tenant eines Dienstleisters. Der Dienstleister arbeitet mit seinen eigenen Konten und Werkzeugen und sieht alle Kundenumgebungen gemeinsam unter Meine Kunden, ohne Gastbenutzer im Kunden-Tenant.

Der Kunde behält die Kontrolle: Er sieht unter Dienstanbieter, wer welche Rechte hat, und kann die Delegierung jederzeit entfernen. Alle Aktionen des Dienstleisters erscheinen im Aktivitätsprotokoll des Kunden-Tenants.

Abzugrenzen ist Microsoft 365 Lighthouse, ein eigenständiges Portal für Managed Service Provider zur Verwaltung von Microsoft-365-Mandanten. Azure Lighthouse betrifft ausschließlich Azure-Ressourcen.

Funktionsweise & Details

Die Delegierung beruht auf zwei Ressourcen in der Kunden-Subscription:

  1. Registrierungsdefinition: enthält die Tenant-ID des Dienstleisters und die Autorisierungen, also welche Entra-Gruppe welche eingebaute Azure-Rolle erhält.
  2. Registrierungszuweisung: verknüpft die Definition mit dem delegierten Scope (Subscription oder Resource Group).

Das Onboarding erfolgt per ARM-Template oder über ein Managed-Service-Angebot im Microsoft Marketplace. Unterstützt werden nur eingebaute Rollen. Owner, Rollen mit DataActions und Rollen mit Microsoft.Authorization-Schreibrechten sind ausgeschlossen. User Access Administrator ist nur erlaubt, um Managed Identities im Kunden-Tenant Rollen zuzuweisen. Berechtigte Autorisierungen ermöglichen Just-in-Time-Aktivierung über Privileged Identity Management.

Vorteile & Nutzen

  • Dienstleister verwalten viele Kundenumgebungen aus einem Portal und mit einer Identität
  • Keine Gastkonten im Kunden-Tenant, dadurch weniger verwaiste Konten und klare Verantwortung
  • Volle Transparenz für den Kunden über Aktivitätsprotokoll und Dienstanbieter-Ansicht
  • Zeitlich begrenzte Rechte über berechtigte Autorisierungen statt dauerhafter Zugriffe

Praxisbeispiel

Ein Systemhaus aus Baden-Württemberg betreut die Azure-Umgebungen von 25 mittelständischen Kunden. Früher existierten dort Gastkonten der Techniker mit Owner-Rechten. Nach der Umstellung auf Azure Lighthouse erhält eine Entra-Gruppe des Systemhauses Contributor auf den Kunden-Subscriptions, Änderungen an Rollen gibt es nur noch über berechtigte Autorisierungen. Die Kunden sehen jede Aktion im eigenen Aktivitätsprotokoll, was die Prüfung von Dienstleistern nach NIS2 vereinfacht.

Worauf sollte man achten?

  • Rechte minimal vergeben und immer an Sicherheitsgruppen im Dienstleister-Tenant binden
  • Die Rolle Managed Services Registration Assignment Delete Role mit aufnehmen, damit auch der Dienstleister die Delegierung sauber entfernen kann
  • Rollen wie Virtual Machine Contributor können über Speicherschlüssel indirekt Datenzugriff ermöglichen, das in der Risikobewertung berücksichtigen
  • Delegierungen regelmäßig mit dem Kunden prüfen und im Dienstleistervertrag dokumentieren
  • Nicht mit Microsoft 365 Lighthouse verwechseln

Lizenz & Verfügbarkeit

Ohne Aufpreis nutzbar, abgerechnet werden nur die verwalteten Azure-Ressourcen. Für berechtigte Autorisierungen (Just-in-Time über Privileged Identity Management) braucht der verwaltende Tenant PIM-fähige Entra-Lizenzen. Stand: Oktober 2026.

Fazit

Azure Lighthouse ist der saubere Weg, Dienstleistern Zugriff auf Azure zu geben. Als Kunde solltest Du Gastkonten mit Owner-Rechten konsequent durch Lighthouse-Delegierungen ersetzen.

Weiterführende Links

Verwandte Artikel