Entra ID Conditional Access Analyzer
Füge exportierte Conditional-Access-Richtlinien ein, um fehlendes Admin-MFA, nicht blockierte Legacy-Authentifizierung und zu weite Bereiche zu prüfen.
Läuft im Browser · es wird nichts gesendetEntra IDNeu
Alles läuft in deinem Browser. Es wird nichts gesendet, auch keine Gruppen-IDs, Rollen-IDs oder Richtliniennamen aus deinem Export.
So geht’s
- Führe im Graph Explorer (oder einem Skript) eine GET-Anfrage an "https://graph.microsoft.com/v1.0/identity/conditionalAccess/policies" aus.
- Kopiere die JSON-Antwort.
- Füge sie in das Tool ein.
- Sieh dir die Ergebnisse und die Richtlinientabelle an und exportiere den Bericht bei Bedarf.
Typische Szenarien
Exportiere alle Richtlinien und prüfe, ob Admin-MFA und eine Legacy-Authentifizierungs-Blockade tatsächlich vorhanden und erzwungen sind, nicht nur im Nur-Bericht-Modus konfiguriert.
Füge eine Entwurfsrichtlinie ein, um zu bestätigen, dass ein Notfallkonto ausgeschlossen ist, bevor du sie von Nur-Bericht auf aktiviert umstellst.
Erklärung
Füge die JSON-Ausgabe von "GET /identity/conditionalAccess/policies" aus der Microsoft Graph API ein (zum Beispiel aus dem Graph Explorer oder einem Skript mit dem Microsoft.Graph-PowerShell-Modul), und das Tool prüft die gesamte Richtlinienmenge auf häufige Lücken: keine Richtlinie, die Multi-Faktor-Authentifizierung für Administratoren verlangt, nicht blockierte Legacy-Authentifizierungsprotokolle, Richtlinien ohne jegliche Grant- oder Session-Controls, und eine Richtlinie mit Geltungsbereich „Alle Benutzer“ ohne Ausnahmen, was riskiert, bei einem Problem alle (einschließlich Administratoren) auszuschließen. Zusätzlich werden deaktivierte und Nur-Bericht-Richtlinien sowie exakte Duplikate gemeldet. Alles läuft lokal; Gruppen-IDs, Rollen-IDs und Richtliniennamen verlassen deinen Browser nie.
🔒 Deine Eingabe bleibt in deinem Browser und wird nirgendwohin gesendet.
Häufige Fragen
Verbindet sich das mit meinem Tenant?
Nein. Es gibt keine Zugangsdaten und keine API-Aufrufe. Du exportierst die Richtlinien selbst, zum Beispiel mit dem Graph Explorer oder dem Microsoft.Graph-PowerShell-Modul, und fügst das JSON hier ein.
Wie entscheidet das Tool, ob eine Richtlinie Administratoren abdeckt?
Es sucht nach einer Richtlinie, die eine bekannte privilegierte Verzeichnisrolle enthält (wie Global Administrator, über ihre Rollen-Vorlagen-ID, die in allen Tenants gleich ist) oder den Rollenwert „All“, sich auf alle Anwendungen richtet, aktiviert ist und MFA verlangt. Eine Richtlinie, die sich nur auf bestimmte Apps oder eine Gruppe statt auf eine Rolle richtet, erfüllt diese Prüfung nicht, auch wenn sie effektiv dieselben Administratoren abdeckt.
Warum wird eine Richtlinie „alle Benutzer, keine Ausnahmen“ gemeldet, obwohl sie unauffällig wirkt?
Es ist eine Best-Practice-Warnung, nicht unbedingt eine Fehlkonfiguration. Microsoft empfiehlt, mindestens ein Notfallkonto („Break-Glass“) von breiten Richtlinien auszuschließen, damit ein Fehler in der Richtlinie, ein Ausfall einer erforderlichen Kontrolle (wie eines MFA-Anbieters) oder eine unerwartete Bedingungsübereinstimmung nicht alle Konten gleichzeitig aussperrt.
Simuliert das, was für einen bestimmten Benutzer oder eine Anmeldung passieren würde?
Nein, diese Version prüft die Richtlinienmenge selbst auf strukturelle Lücken und Risiken. Sie bewertet keine hypothetische Anmeldung gegenüber Gruppenmitgliedschaften, Gerätestatus oder Risikobewertungen, wie es die echte Conditional-Access-Engine tun würde.
Wie geht es weiter?
Problem gefunden oder einen Vorschlag? Schreib uns