Just-Enough-Access (JEA)

Was ist Just-Enough-Access (JEA)?

Just-Enough-Access (JEA) ist ein Sicherheitsprinzip, das jede Identität auf den minimalen Satz von Berechtigungen begrenzt, den ihre Aufgabe erfordert, und auf nichts darüber hinaus. Es beantwortet die Frage nach dem Geltungsbereich: nicht wie lange der Zugriff dauert, sondern wie weit er reicht. Microsoft hat den Begriff mit Just Enough Administration für PowerShell bekannt gemacht, wo eine Person einen definierten Satz von Befehlen ausführt, ohne volle Administratorrechte zu halten.

So funktioniert Just-Enough-Access

• Aufgaben werden über die konkreten Vorgänge beschrieben, die sie erfordern, und nicht über die Rolle, die sie üblicherweise ausführt.
• Berechtigungen werden passend zu diesen Vorgängen zusammengestellt, alles Übrige bleibt aussen vor.
• Delegierte Endpunkte oder Rollen mit engem Geltungsbereich geben nur die erlaubten Befehle oder Aktionen frei.
• Breite eingebaute Rollen wie globale Administration werden zur Ausnahme statt zur Voreinstellung.
• Der Geltungsbereich wird erneut geprüft, wenn sich die Aufgabe ändert, nicht wenn sich jemand beschwert.

Just-Enough-Access und Just-in-Time-Zugriff wirken nur als Paar

Die beiden Massnahmen beantworten unterschiedliche Fragen und entfalten ihre Wirkung erst gemeinsam. Just-Enough-Access begrenzt, was eine Identität tun kann. Just-in-Time-Zugriff begrenzt, wie lange sie es tun kann. Dauerhafte, breite Rechte scheitern an beidem, weshalb sie die mit Abstand häufigste Feststellung in mittelständischen Zugriffsüberprüfungen bleiben.

Beispiele und Anwendungsfälle

Eine Technikerin im Support muss Passwörter zurücksetzen und Konten entsperren. Der voreingestellte Reflex besteht darin, sie einer breiten Administrationsgruppe hinzuzufügen, die zusätzlich das Ändern von Richtlinien und das Lesen von Postfächern gewährt. Just-Enough-Access weist ihr stattdessen eine Rolle mit engem Geltungsbereich zu, die genau diese zwei Vorgänge abdeckt. Verlangt eine Migration später mehr, kommt das als zeitlich begrenzte Erhöhung und nicht als dauerhafte Beförderung. Corma hält das entstehende Bild über alle Anwendungen sichtbar, damit Entscheidungen über den Geltungsbereich überprüfbar bleiben statt in jeder Konsole zu versinken.

Verwandte Begriffe

• Identity- und Access-Management-Plattform
• Zugriffsanfragen im Self-Service
• Automatisierte Identity Governance und Administration

FAQ

Worin unterscheiden sich Just-Enough-Access und geringste Rechte?

Geringste Rechte ist das Prinzip. Just-Enough-Access ist seine praktische Umsetzung, die den genauen Berechtigungssatz definiert, den eine bestimmte Aufgabe erfordert.

Ist JEA ein Microsoft-Produkt?

Just Enough Administration ist eine konkrete PowerShell-Funktion. Just-Enough-Access ist das breitere Prinzip, anwendbar auf jedes System, das Rollen mit engem Geltungsbereich unterstützt.

Wie hängt JEA mit Just-in-Time-Zugriff zusammen?

JEA steuert die Breite der Berechtigungen, JIT ihre Dauer. Gemeinsam machen sie aus geringsten Rechten statt einer Richtlinienaussage eine durchsetzbare Konfiguration.

Wo beginnt man mit Just-Enough-Access?

Bei den Konten mit den breitesten eingebauten Rollen, typischerweise globale Administration und Anwendungsverantwortliche, denn dort nimmt eine Verkleinerung des Geltungsbereichs das meiste Risiko heraus.

Demo anfragen