{"id":944,"date":"2025-03-03T18:10:17","date_gmt":"2025-03-03T17:10:17","guid":{"rendered":"https:\/\/sparrow365.de\/?p=944"},"modified":"2025-04-20T22:53:05","modified_gmt":"2025-04-20T20:53:05","slug":"eigene-m365-terms-of-use-teil-2-entra-apps","status":"publish","type":"post","link":"https:\/\/sparrow365.de\/index.php\/2025\/03\/03\/eigene-m365-terms-of-use-teil-2-entra-apps\/","title":{"rendered":"Eigene M365 Terms of Use Teil 2: Entra Apps"},"content":{"rendered":"

Im letzten Teil<\/a> haben wir die Tenantweit g\u00fcltigen "Terms of Use" (ToU)<\/strong> gesetzt, in diesem Teil geht es an die L\u00f6sungen f\u00fcr Applikationen die mit Entra verbunden werden. Zwar sind Conditional Access ToU<\/strong> oft eine gute L\u00f6sung. Doch selbst mit der erforderlichen Entra ID P1-Lizenz st\u00f6\u00dft man schnell an die Grenzen der 40 m\u00f6glichen ToU, wenn man f\u00fcr jede Applikation eine eigene Richtlinie definieren m\u00f6chte. <\/p>\n

\"TenantLimitations\"<\/a><\/p>\n

Oder man hat auch die Probleme in non-persistent VDI Umgebungen gefunden und sucht Alternativen.<\/p>\n

Werfen wir also einen Blick auf die Optionen, die wirklich f\u00fcr einzelne Applikationen gedacht sind.<\/p>\n


<\/p>\n

Enterprise Applikationen<\/h2>\n
\n <\/p>\n

\n Enterprise-Applikationen sind, sehr vereinfacht gesagt, die Login-Schnittstellen einer Applikation zu Entra. Wenn hier noch nie Hand angelegt wurde, erlauben ihre Benutzer sehr wahrscheinlich bereits 3rd Party Applikationen Zugriff auf Unternehmensdaten, unter den Terms of Use der Entwickler.
\n

\n

\n Dieses Genehmigen des Zugangs zu Daten im eigenen Namen nennt sich user consent<\/b>
\n

\n

\n Das Bild links d\u00fcrfte bekannt sein \u2013 es zeigt einen solchen Consent Request.
\n

\n Quelle: Microsoft<\/a><\/p>\n<\/div>\n


<\/p>\n

Ich gehe an dieser Stelle einfach mal davon aus, dass der Tenant nur Benutzerconsent f\u00fcr eigene Applikationen bzw. unkritische Rechte erlaubt.<\/p>\n

\"AdminCenterRestriktionaufUserconsent\"<\/p>\n

\n

\u26a0\ufe0f Achtung: Diese Einstellung ist zwar Empfohlen, aber leider nicht Default!<\/a><\/em> \u26a0\ufe0f<\/p>\n<\/blockquote>\n


<\/p>\n

Es ist jedoch wichtig, dass Benutzern der User Consent nicht vollst\u00e4ndig verwehrt wird. Sonst gibt es f\u00fcr Applikationen nur eine Best\u00e4tigung auf Umgebungsebene durch einen Administrator.<\/p>\n

Das wollen wir in diesem Fall vermeiden \u2013 stattdessen soll der Benutzer "bewusst" sein Einverst\u00e4ndnis geben.<\/p>\n

\n

Multi-Tenant Applikationen<\/h3>\n

Eine Multi-Tenant-Applikation erlaubt es anderen Organisationen, einen \u201aAbleger\u2018 in ihrem Tenant zu installieren und ihre eigenen Benutzerkonten, Berechtigungen und Conditional Access Richtlinien anwenden.<\/p>\n

Eine solche Applikation erkennt man im Admin Center in der App Registration<\/strong> daran, dass der abgebildete Button gesetzt ist: <\/p>\n

\"AdminCenterAPI\"<\/p>\n

In einer solchen App Registration kann und sollte man unter \u201aBranding & Properties\u2018 die ToU und das Privacy Statement hinterlegen, die den Benutzern im Consent Request angezeigt werden und die sie explizit best\u00e4tigen m\u00fcssen.<\/p>\n\n\n\n\n\n
<\/th>\n<\/th>\n<\/tr>\n<\/thead>\n
\"TermsOfUseInAdminCenter\"<\/td>\n\"EntraID<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
\n

\u26a0\ufe0f Achtung: Dies funktioniert ausschlie\u00dflich bei Multi-Tenant Applikationen!<\/em> \u26a0\ufe0f<\/p>\n<\/blockquote>\n

Ich rate dringend davon ab, nur um eigene ToUs pro Applikation hinterlegen zu k\u00f6nnen, eine Multi-Tenant-Applikation zu erstellen<\/strong>. Es gab bereits in der Vergangenheit erfolgreiche Attacken \u00fcber den Tenant\u00fcbergreifenden common<\/code>-Token-Endpunkt, die nicht funktionierten, wenn die Applikation nur Tokens akzeptierte, die f\u00fcr die eigene Umgebung ausgestellt wurden.<\/p>\n

\n

Microsoft empfiehlt ebenfalls Single-Tenant-Applikationen, wo immer m\u00f6glich.<\/a><\/strong>
\nHier sind einige F\u00e4lle, in denen Multi-Tenant-Applikationen anf\u00e4llig waren (und teilweise noch, Stand M\u00e4rz 2025, sind<\/strong>)::<\/p>\n