[Was und warum:]
Microsoft Defender Unified RBAC (URBAC) wird das einheitliche Zugriffsmodell für alle Defender- und Sentinel-Portal-Erfahrungen. Ihr Mandant wird automatisch auf URBAC umgestellt.
Unified RBAC wird nach einer Benachrichtigungsfrist, die mit dem Erhalt der In-Portal-Benachrichtigung beginnt, automatisch für die betreffenden Workloads in Ihrem Mandanten aktiviert, und Ihre Rollen werden in Unified RBAC importiert. Die Aktivierung wird voraussichtlich ca. 30 Tage nach diesem Benachrichtigungsdatum erfolgen.
Unified RBAC bietet erweiterte Zugriffsverwaltungsmöglichkeiten, darunter:
- Ein einheitliches Zugriffsverwaltungssystem für alle Rollen und Berechtigungen über alle Workloads hinweg
- Geltungsbereichsfunktionen wie Cloud-, Sentinel-, Identity- und Gerätegruppen.
- Zukunftssichere Zuweisungen, die es ermöglichen, zukünftige Berechtigungen und Workloads einzubeziehen
Diese Änderung gilt ausschließlich für Microsoft Defender. Berechtigungen für Microsoft Purview, Exchange Online, Microsoft Entra-Verzeichnisrollen, Privileged Identity Management und Azure-Ressourcen (sofern sie nicht mit Microsoft Sentinel zusammenhängen) bleiben unverändert. Zudem funktioniert die Verwendung von Powershell mit Microsoft Defender für Office 365 weiterhin wie gewohnt.
[Rollout-Zeitplan:]
Global: Der Rollout startet Ende September 2026 und soll bis Ende Dezember 2026 abgeschlossen sein.
[Auswirkungen auf Ihre Organisation:]
Was Sie sehen werden:
- Benachrichtigungsbanner: Im Microsoft Defender-Portal wird eine Benachrichtigung angezeigt, die Kunden darüber informiert, dass die angegebenen Workloads auf Unified RBAC umgestellt werden. Legacy RBAC-Rollen werden automatisch in Unified RBAC importiert. Dieses Datum markiert den Beginn der Benachrichtigungsperiode vor der automatischen Aktivierung.
- Aktivierungsdatum: Etwa 30 Tage nach der Benachrichtigung wird Unified RBAC für die angegebenen Workloads automatisch aktiviert. Kunden können während dieses Zeitraums die importierten Rollenzuweisungen überprüfen und sich auf die Umstellung vorbereiten.
- Das In-Portal-Banner auf der Seite „Berechtigungen und Rollen“ im Microsoft Defender-Portal bestätigt die Aktivierung.
Wie sich das auf Ihre Organisation auswirkt:
- Ihre bestehenden Rollen, falls vorhanden, werden automatisch in Unified RBAC importiert. Da Unified RBAC auf Ihrem Mandanten für die angegebenen Workloads noch nicht aktiv ist, hat dieser Import bis zur Aktivierung keine operative Auswirkung. Sie können die importierten Rollen jederzeit im Microsoft Defender-Portal überprüfen und anpassen. Der Import kann auch manuell erneut ausgeführt werden. Bestehende Rollen und Berechtigungen werden mittels einer Zuordnungsmethodik auf Unified RBAC gemappt. Weitere Informationen zur Zuordnung finden Sie hier.
- Nach Ablauf der Benachrichtigungsfrist wird Unified RBAC automatisch für die betreffenden Workloads aktiviert. Nach der Aktivierung erfolgt die Autorisierung für Defender- und Sentinel-Portal-Erfahrungen standardmäßig über die Unified RBAC-Rollen; Legacy RBAC-Zuweisungen werden nicht mehr benötigt, um diese Portal-Erfahrungen zu betreiben.
- Opt-Out: Ein Self-Service-Opt-Out ist nach der Aktivierung möglich. Über die „Workload-Einstellungen“ Steuerung in Unified RBAC können Sie bei Bedarf sofort auf Ihr Legacy RBAC-System zurückwechseln.
- Wenn Sie APIs zur Konfiguration Ihrer Rollen und Berechtigungen verwenden, wechseln Sie bitte zur neuen Unified RBAC API.
- Delegierter Zugriff (B2B/GDAP) oder Multi-Tenant-Management: bleibt unverändert. Rollen, die Zuweisungen an B2B-/GDAP-Benutzer oder Gruppen hatten, werden im automatischen Import berücksichtigt.
- Entra-Verzeichnisrollen bleiben unverändert. Global Administrator, Security Administrator, Security Operator und Security Reader gewähren weiterhin Zugriff auf das Microsoft Defender-Portal wie bisher. Diese Rollen werden nun gemäß der zuvor erwähnten Zuordnung auf Unified RBAC-Berechtigungen abgebildet. Weitere Informationen zur Zuordnung finden Sie hier.
- Azure RBAC bleibt weiterhin zuständig für Azure-Ressourcen, einschließlich Logic Apps und Workbooks. Microsoft Sentinel-spezifische Workspace-Berechtigungen (Sentinel Reader, Responder, Contributor) werden automatisch auf Unified RBAC umgestellt.
- E-Mail- und Collaboration-Berechtigungen sowie Exchange Online-Berechtigungen bleiben bestehen und regeln weiterhin Szenarien in Exchange Online und Microsoft Purview. Sobald Unified RBAC aktiv ist, sind sie für die Nutzung von Microsoft Defender for Office 365-Portal-Erfahrungen nicht mehr erforderlich.
[Erforderliche Maßnahmen / Empfehlungen:]
- Ab dem Zeitpunkt der In-Portal-Benachrichtigung überprüfen Sie bitte die automatisch importierten Unified RBAC-Rollenzuweisungen im Microsoft Defender-Portal (Berechtigungen -> Rollen). Stellen Sie sicher, dass jeder Benutzer die erwartete URBAC-Rolle und den erwarteten Geltungsbereich hat. Passen Sie die Zuweisungen bei Bedarf an. Sollten Rollenzuweisungen aktualisiert werden müssen, können Sie dies direkt in der Rollenzuweisung tun, auch wenn Unified RBAC für diesen Workload noch nicht aktiviert ist.
- Beim Einsatz von Geltungsbereichen: Gerätegruppen funktionieren weiterhin wie bislang. Zusätzlich ermöglicht Unified RBAC die Verwendung von Cloud-Geltungsbereichen, Sentinel-Geltungsbereichen und Identity-Geltungsbereichen.
- Aktualisieren Sie Ihre internen Dokumentationen und Runbooks, um das neue Unified RBAC-Modell zu reflektieren.
- Microsoft Defender Unified RBAC Übersicht: Microsoft Defender unified role-based access control (RBAC)
- Überprüfen und verwalten Sie importierte Unified RBAC-Rollen: Bestehende RBAC-Berechtigungen auf Microsoft Defender Unified RBAC-Berechtigungen abbilden
