Berechtigungen
Erfahren Sie, welche Microsoft Graph und SharePoint Berechtigungen Seamless benötigt und wie diese eingesetzt werden.
Seamless automatisiert Aufgaben, die sonst manuell oder mithilfe von Skripten durch Microsoft 365 Administratoren ausgeführt werden. Dafür verwendet Seamless Microsoft Graph und SharePoint Berechtigungen, die im Rahmen der Administratorzustimmung freigegeben werden. Nachfolgend zeigen wir auf, wie diese Berechtigungen genutzt werden und welche Sicherheitsprinzipien dabei gelten.
Anwendungsberechtigungen und delegierte Berechtigungen
Abschnitt betitelt „Anwendungsberechtigungen und delegierte Berechtigungen“Seamless nutzt zwei Berechtigungsarten:
- Anwendung: Seamless führt Aufgaben ohne angemeldeten Benutzer im Hintergrund aus, z.B. beim Provisioning oder in geplanten Jobs.
- Delegiert: Seamless führt Aktionen im Kontext des angemeldeten Benutzers aus, beispielsweise im Admin Center oder in der Teams App. Dabei kann Seamless nur auf Ressourcen zugreifen und Aktionen ausführen, für die der Benutzer selbst berechtigt ist.
Administratorzustimmung (Admin Consent)
Abschnitt betitelt „Administratorzustimmung (Admin Consent)“Bei der Aktivierung erteilt ein Global Administrator einmalig die Administratorzustimmung für den gesamten Microsoft 365 Tenant. Anschliessend wird die Unternehmensanwendung Seamless in Microsoft Entra ID bereitgestellt. Benutzer erhalten dadurch keine zusätzlichen Berechtigungen.
Das Seamless Admin Center und die Teams App nutzen dieselbe Unternehmensanwendung. Das reduziert Sicherheitsrisiken, vereinfacht die zentrale Verwaltung von Berechtigungen und ermöglicht den vollständigen Entzug aller Zugriffe an einem Ort.
Neue Berechtigungen (Consent update)
Abschnitt betitelt „Neue Berechtigungen (Consent update)“Benötigt eine neue Seamless Funktion zusätzliche Berechtigungen, ist eine erneute Administratorzustimmung durch einen Global Administrator erforderlich.
Den aktuellen Stand sehen Sie im Admin Center unter Settings → More → Consents. Dort erteilen Sie die Zustimmung mit Update consent erneut. Alternativ geht das auch direkt in Microsoft Entra ID.
Microsoft Graph (19)
Abschnitt betitelt „Microsoft Graph (19)“| Anspruchswert und Typ | Berechtigung | Einsatzzweck |
|---|---|---|
TeamMember.Anwendung |
Mitglieder ohne Besitzerrolle in allen Teams hinzufügen und entfernen | Provisioning: Benutzer zur Gruppe und zu Kanälen hinzufügen |
User.ReadWrite.AllAnwendung |
Vollständige Profile aller Benutzer lesen und schreiben | Benutzeranmeldung und Gästeverwaltung |
ChannelSettings.Read.AllAnwendung |
Namen, Beschreibungen und Einstellungen aller Kanäle lesen | Kanäle eines Teams anzeigen |
Directory.ReadWrite.AllAnwendung |
Verzeichnisdaten lesen und schreiben | Provisioning: Gästezugriff auf die Gruppe erlauben oder sperren |
Group.ReadWrite.AllAnwendung |
Alle Gruppen lesen und schreiben | Teams erstellen, Gruppen auflisten und ändern |
Team.ReadBasic.AllAnwendung |
Liste aller Teams abrufen | Teams Einstellungen in der Detailansicht anzeigen |
AppRoleAssignment.Anwendung |
App Berechtigungen und App Rollenzuweisungen verwalten | Rolle Seamless Admin im Admin Center zuweisen und entfernen |
InformationProtectionPolicy.Anwendung |
Alle veröffentlichten Bezeichnungen und Bezeichnungsrichtlinien der Organisation lesen | Vertraulichkeitsbezeichnungen (Sensitivity Labels) lesen und anzeigen |
Tasks.ReadWrite.AllAnwendung |
Aufgaben und Aufgabenlisten aller Benutzer lesen und schreiben | Bestehende Planner Pläne lesen und als Vorlagen in der Seamless App bereitstellen |
AuditLog.Read.AllAnwendung |
Alle Überwachungsprotokolldaten lesen | Letzte Anmeldung und einladende Person von Gästen ermitteln |
Sites.FullControl.AllAnwendung |
Vollzugriff auf alle Websitesammlungen | SharePoint Sites und Bibliotheken bereitstellen, konfigurieren und verwalten |
AuditLog.Read.AllDelegiert |
Überwachungsprotokolldaten lesen | Letzte Anmeldung von Gästen ermitteln |
Channel.ReadBasic.AllDelegiert |
Namen und Beschreibungen von Kanälen lesen | Teams App: Kanäle eines Teams anzeigen |
Directory.ReadWrite.AllDelegiert |
Verzeichnisdaten lesen und schreiben | Teams App: Gäste im Namen des Benutzers einladen |
Files.ReadWrite.AppFolderDelegiert |
Vollzugriff auf den Ordner der Anwendung (Vorschau) | Benutzereinstellungen speichern |
Notes.Read.AllDelegiert |
Alle OneNote Notizbücher lesen, auf die der Benutzer Zugriff hat | Teams App: Schnellzugriff auf OneNote Notizbücher |
Sites.ReadWrite.AllDelegiert |
Elemente in allen Websitesammlungen bearbeiten oder löschen | Zugriffsberechtigungen auf SharePoint Ebene konfigurieren |
Team.ReadBasic.AllDelegiert |
Namen und Beschreibungen von Teams lesen | Teams App: Teams des Benutzers anzeigen |
TeamMember.ReadWrite.AllDelegiert |
Mitglieder zu Teams hinzufügen und daraus entfernen | Teams App: Mitglieder durch Besitzer verwalten |
Office 365 SharePoint Online (2)
Abschnitt betitelt „Office 365 SharePoint Online (2)“| Anspruchswert und Typ | Berechtigung | Einsatzzweck |
|---|---|---|
Sites.FullControl.AllAnwendung |
Vollzugriff auf alle Websitesammlungen | Provisioning: Sites einrichten, Berechtigungen setzen und Inhalte erstellen |
AllSites.FullControlDelegiert |
Vollzugriff auf alle Websitesammlungen | Admin Center: Provisioning von Sites |
Seamless Unternehmensanwendung entfernen
Abschnitt betitelt „Seamless Unternehmensanwendung entfernen“- Melden Sie sich im Microsoft Entra Admin Center an.
- Öffnen Sie Unternehmensanwendungen.
- Wählen Sie die Anwendung Seamless aus.
- Öffnen Sie Eigenschaften.
- Klicken Sie auf Löschen.
Nach dem Löschen kann Seamless nicht mehr auf Ihren Microsoft 365 Tenant zugreifen. Ihre Konfigurationen in Seamless bleiben erhalten. Binden Sie die Unternehmensanwendung über die Administratorzustimmung wieder ein, ist alles unverändert verfügbar.