Den Übergang von DAP zu GDAP als Microsoft CSP meistern

Die Rolle eines Microsoft CSP beschränkt sich nicht darauf, Services und Abonnements an Kunden zu verkaufen. Von einem Microsoft CSP wird erwartet, dass er End-to-End-Cloud-Lösungen samt technischem Support und Account-Management bereitstellt. Dafür benötigt ein Microsoft CSP Zugriff und Berechtigungen, um das Konto des Kunden zu verwalten. Delegated Administration Privileges (DAP) ermöglichen es Microsoft CSPs, die Abonnements eines Kunden in dessen Namen zu verwalten. DAP ist das ursprüngliche Modell, über das ein Kunde einem Microsoft CSP administrative Berechtigungen erteilen kann. Im DAP-Modell kann der CSP eine große Zahl von Aufgaben für den Kunden übernehmen, sobald dieser die Einladung zum Aufbau einer Reseller-Beziehung angenommen hat. Im DAP-Modell erhalten Partner weitreichende Rechte zur Verwaltung der Kundenkonten. Sobald der Kunde eine DAP-Vereinbarung akzeptiert hatte, konnte der Partner seinen Mitarbeitenden die Rolle des globalen Administrators zuweisen. Damit erhielten die Mitarbeitenden des Partners Zugriff auf die sensiblen Daten des Kunden und seiner Beschäftigten. Sie können außerdem folgende Änderungen am Konto vornehmen:

• Benutzer hinzufügen und Konten verwalten
• Benutzerkennwörter zurücksetzen
• Käufe durchführen
• Lizenzen und Abonnements verwalten
• Webdomains der Kundenorganisation hinzufügen und verwalten

Sobald DAP aktiviert ist, kann der Microsoft CSP beliebig viele globale Administratoren zur Verwaltung des Kundenkontos hinzufügen. Das erzeugt Sicherheits- und Compliance-Risiken. Nicht alle Kunden fühlen sich mit dem Zugriffsumfang wohl, den das bestehende DAP-Modell Partnern einräumt. Sie haben möglicherweise Bedenken hinsichtlich der Sicherheitsmaßnahmen zum Schutz ihrer Daten. Laut einem Bericht von Gartner zu den wichtigsten Cybersecurity-Trends, 2022“ werden bis 2025 45 % der Organisationen weltweit Angriffe auf ihre Software-Lieferketten erlebt haben – dreimal so viele wie 2021.”

Um Sicherheitsbedenken auszuräumen und ein Zero-Trust-Sicherheitsmodell umzusetzen, beendet Microsoft DAP und ersetzt es durch ein neues Modell: Granular delegated Admin Privileges (GDAP). Der Wechsel von DAP zu GDAP ist für alle Direct Bill Partners, Indirect Providers und Indirect Resellers im CSP-Programm verpflichtend.

Microsoft plant, ab dem 22. Mai 2023 mit der Umstellung aller aktiven und inaktiven DAP-Beziehungen auf GDAP-Beziehungen zu beginnen. GDAP verringert Sicherheitsbedenken, indem CSPs Zugriff nach dem Prinzip der geringsten Rechte erhalten. In diesem Modell haben Microsoft CSPs einen spezifischen und zeitlich befristeten Zugriff auf das Konto und die sensiblen Daten des Kunden.

Microsoft beschreibt GDAP so: „GDAP ist eine Sicherheitsfunktion, die Partnern gemäß dem Zero-Trust-Cybersecurity-Prinzip Zugriff mit geringsten Rechten gewährt. Sie erlaubt Partnern, granularen und zeitlich befristeten Zugriff auf die Workloads ihrer Kunden in Produktions- und Sandbox-Umgebungen zu konfigurieren. Dieser Zugriff mit geringsten Rechten muss den Partnern von ihren Kunden ausdrücklich gewährt werden.

Mit der Einführung von GDAP will Microsoft also die Kontrollen verschärfen und die Sicherheits- und Compliance-Position des Microsoft CSP-Programms verbessern.

Vorteile von GDAP gegenüber DAP

GDAP bietet gegenüber DAP zahlreiche Vorteile – für Microsoft CSPs wie für deren Kunden. GDAP verfügt über mehrere Sicherheitsfunktionen, die es bei DAP nicht gab, sodass sich die Migration für Partner lohnt. Zu den Vorteilen von GDAP gehören:

Individuell zugeschnittener Zugriff

Im DAP-Modell werden mit dem Aufbau der Reseller-Beziehung standardmäßig die Rolle des globalen Administrators und die Helpdesk-Administratorrollen vergeben. Damit erhält der Microsoft CSP Zugriff auf einen sehr breiten Umfang administrativer Funktionen des Kundenkontos. Da CSPs globale Administratorrechte erhalten, können sie diese Rolle auch ihren Mitarbeitenden zuweisen. Diese Rollen waren für alle Kunden identisch, und im DAP-Modell gab es keine Möglichkeit, den Zugriff anzupassen – CSPs erhielten damit vollständigen Zugang zum Konto und zu den Daten des Kunden. Das kann ein ernstes Sicherheitsrisiko darstellen, wenn die Sicherheitslage auf Partnerseite kompromittiert wird. Kunden können aus den verschiedenen Partnerrollen wählen, die in Azure AD verfügbar sind. So erhalten der Microsoft CSP und seine Mitarbeitenden nur begrenzten Zugriff auf die sensiblen Daten des Kunden.

Mehr Kontrolle

In einer DAP-Beziehung erhielt der Microsoft CSP globale Administratorrechte und konnte beliebig viele Mitarbeitende als globale Administratoren einsetzen. Kunden hatten keine Kontrolle über die Zahl der vom Partner hinzugefügten globalen Administratoren, da sie den Partnerzugriff auf ihr Konto nur akzeptieren oder ablehnen konnten. Viele Organisationen wollen Zero Trust einführen, um Risiken zu senken. Laut Gartner gilt: „Bis 2026 werden 10 % der großen Unternehmen ein ausgereiftes und messbares Zero-Trust-Programm etabliert haben – gegenüber weniger als 1 % heute.” GDAP folgt dem Zero-Trust-Prinzip des Zugriffs mit geringsten Rechten. Das kann potenzielle Risiken zwischen Microsoft CSPs und ihren Kunden begrenzen.

GDAP erlaubt das Anlegen verschachtelter Sicherheitsgruppen und gibt Kunden damit mehr Kontrolle, um Berechtigungen zu staffeln. Verschiedenen Gruppen können je nach geschäftlichen Anforderungen unterschiedliche Berechtigungen erteilt werden. So haben Kunden mehr Kontrolle darüber, wer auf ihre Daten zugreift und in welchem Umfang.

Definierte Laufzeit der Beziehung

DAP-Beziehungen liefen unbefristet – ohne Option, sie nach einer festgelegten Dauer oder nach einer Phase der Inaktivität ablaufen zu lassen. Partner hatten damit Zugriff auf Kundendaten und die Berechtigung für tenantweite Aktionen, bis die Beziehung entfernt wurde. Um sicher zu bleiben, mussten Kunden ihre DAP-Beziehungen regelmäßig prüfen und diejenigen entfernen, die nicht mehr benötigt wurden oder inaktiv waren. Das erhöht den Aufwand für den Kunden und kann zu unerwünschten Zugriffen führen, wenn eine DAP-Beziehung übersehen wird.

GDAP erlaubt es, eine individuelle Laufzeit für die Beziehung zwischen Microsoft CSP und Kunde festzulegen. Diese Beziehung kann für maximal 730 Tage, also 2 Jahre, eingerichtet werden. Nach Ablauf der festgelegten Laufzeit enden GDAP-Beziehungen automatisch, und der Partner kann nicht mehr auf das Konto des Kunden zugreifen. So entsteht eine sicherere Umgebung.

Bessere Compliance

DAP stellte keine Aktivitätsprotokolle bereit, mit denen Kunden sehen konnten, wann der Partner auf ihr Konto zugreift oder Änderungen daran vornimmt. Dadurch war es schwierig, unbefugte Änderungen zu erkennen und rechtzeitig gegenzusteuern.

GDAP liefert granulare Aktivitätsprotokolle, mit denen sowohl Partner als auch Kunden nachvollziehen können, wer welche Aufgabe wann ausgeführt hat. Die verbesserte Nachvollziehbarkeit in Kombination mit Zugriffssteuerung hilft dabei, die verschiedenen regulatorischen Anforderungen an Datenschutz und Datensicherheit zu erfüllen. Diverse Vorschriften und Standards wie HIPPA, GDPR, FISMA, ISO, SOC usw. verlangen die Anwendung von Richtlinien für Zugriff mit geringsten Rechten.

Zeitplan für den Übergang von DAP zu GDAP

Im November 2021 kündigte Microsoft an, in Kürze ein feiner abgestuftes Modell für delegierten Zugriff einzuführen, um das Sicherheitsrisiko für Kunden zu senken. Über diese Ankündigung haben wir in einem früheren Blogbeitrag berichtet.

Im Februar 2023 gab Microsoft die neuen GDAP-Meilensteintermine bekannt. Dieser Ankündigung zufolge geschieht ab dem 22. Mai 2023 Folgendes:

1. Die Umstellung aktiver und inaktiver DAP-Beziehungen auf GDAP mit eingeschränkten Azure Active Directory (AD)-Rollen beginnt.
2. Sobald eine Beziehung von DAP auf GDAP übertragen wurde, entfernt Microsoft die betreffende DAP-Beziehung 30 Tage nach der Umstellung.
3. Wegen des Geschäftsjahresabschlusses pausiert Microsoft die Umstellung im Juni 2023.

Die Ankündigung können Sie hier nachlesen.

Laut der Ankündigung von Microsoft vom 15. März 2023 werden die GDAP-Meilensteintermine für Folgendes in Kürze festgelegt:

• Bulk-Migrationstool – das Datum, an dem das Bulk-Migrationstool zum Entfernen von DAP-Beziehungen und zum Erstellen von GDAP-Beziehungen eingestellt wird.
• Kundenanlage – das Datum, ab dem Microsoft bei der Anlage neuer Kunden kein DAP mehr gewährt und stattdessen GDAP mit Standardrollen erteilt.

Wie planen Sie als Microsoft CSP den Übergang von DAP zu GDAP?

Je näher der Termin rückt, an dem Microsoft die Umstellung von DAP auf GDAP startet, desto wichtiger ist es, dass Sie als Microsoft CSP die Migration planen – damit die Workloads Ihrer Kunden unbeeinträchtigt bleiben und die Geschäftskontinuität gewahrt ist. Ist GDAP auf den Kunden-Tenants nicht aktiviert, können Sie keine Partner Earned Credits (PECs) und Incentives verdienen und Ihren Kunden keinen Support bieten. Die folgenden Schritte helfen Ihnen bei einem reibungslosen Übergang von DAP zu GDAP.

Prüfen Sie die bestehenden DAP-Verbindungen

Der erste Schritt der Umstellung besteht darin, alle bestehenden DAP-Beziehungen mit Ihren Kunden zu prüfen. Für die Prüfung der bestehenden DAP-Verbindungen lässt sich im Microsoft Partner Center ein DAP-Monitoring-Report abrufen. Mit diesem Report können Sie zwischen aktiven und inaktiven DAP-Verbindungen unterscheiden. So erkennen Sie, welche DAP-Beziehungen entfernt und welche auf GDAP umgestellt werden müssen. Sobald Sie die inaktiven DAP-Beziehungen identifiziert haben, löschen Sie sie, nachdem Sie Ihre Kunden informiert haben. Nach dem Entfernen der Beziehung verlieren Ihre Mitarbeitenden jeden Zugriff auf das Kundenkonto. So stellen Sie sicher, dass nur aktive DAP-Beziehungen zu GDAP migriert werden.

Planen und entscheiden Sie über die Rollen

Sobald Sie eine DAP-Beziehung mit einem Kunden aufgebaut hatten, wurde Ihnen standardmäßig die Rolle des globalen Administrators zugewiesen. Sie konnten diese Rolle auch Ihren Mitarbeitenden geben und ihnen damit unbeschränkten Zugriff auf die Workloads und Daten des Kunden gewähren. Mit GDAP wird der Zugriff auf das Kundenkonto individuell zugeschnitten und auf die konkreten Rollen beschränkt, die Ihre Mitarbeitenden im Namen des Kunden ausüben müssen.

Bevor Sie also den Übergang von DAP zu GDAP starten, sollten Sie ein klares Bild davon haben, welche Aufgaben Sie und Ihre Mitarbeitenden für die Kunden erledigen und wie häufig. Daraus erkennen Sie, auf welche Rollen Ihr Team Zugriff benötigt. Zu diesen Aufgaben können das Hinzufügen oder Ändern von Benutzern, Lizenzverwaltung, Käufe, das Zurücksetzen von Benutzerkennwörtern, die Verwaltung von Domainnamen, das Anlegen von Serviceanfragen usw. gehören.

Steht die Liste der Aktivitäten, gilt es im nächsten Schritt die minimalen Rollen zu bestimmen, die Sie zur Betreuung Ihrer Kunden benötigen. Sie können zwischen verschiedenen Rollen mit geringsten Rechten wählen, die für die jeweilige Aufgabe im Rahmen von GDAP erforderlich sind. Dazu gehören die Verwaltung von Support, Benutzern, Lizenzen und Gruppen. Verfügbar sind zahlreiche Rollen wie Verzeichnisleseberechtigte, Verzeichnisschreibberechtigte, globale Leseberechtigte, Lizenzadministratoren, Servicesupport-Administratoren, Benutzeradministratoren, Administratoren für privilegierte Rollen, Helpdesk-Administratoren, Administratoren für privilegierte Authentifizierung, Gruppenadministratoren usw. Die von Microsoft erstellten Supportartikel helfen Ihnen bei der Auswahl der Rollen.

Bauen Sie die GDAP-Beziehung auf

Sind die Aufgaben und die zugehörigen Rollen bestimmt, können Sie den Übergang von DAP zu GDAP starten. Dazu müssen Sie die granulare Administratorberechtigung vom Kunden einholen. So bauen Sie eine GDAP-Beziehung auf

1. Melden Sie sich beim Partner Center an und wählen Sie Kunden aus.
2. Wählen Sie den Kunden aus, für den Sie eine GDAP-Beziehung anfragen möchten.
3. Wählen Sie nun Administratorbeziehungen und anschließend Administratorbeziehung anfordern.
4. Auf der nächsten Seite füllen Sie ein Formular aus, um eine Anfrage für eine Administratorbeziehung zu erstellen. Hier geben Sie den Namen der Administratorbeziehung sowie die Laufzeit an. Der Name der Administratorbeziehung ist für die Kunden sichtbar und muss eindeutig sein. Die Laufzeit der Beziehung kann auf bis zu 730 Tage festgelegt werden.
5. Als nächste Information müssen der Beziehungsanfrage die Azure AD-Rollen hinzugefügt werden. Sie können die Rollen auswählen, die Sie Ihrem Team zuweisen möchten.
6. Nach der Auswahl der Azure AD-Rollen erscheinen diese im Abschnitt „Angeforderte Azure AD-Rollen“.
7. Wenn Sie Rollen hinzufügen oder löschen müssen, können Sie die obigen Schritte wiederholen.
8. Nachdem Sie Name, Laufzeit und Azure AD-Rollen der Administratorbeziehung festgelegt haben, klicken Sie auf „Anfrage abschließen“.
9. Daraufhin sehen Sie eine E-Mail-Nachricht mit der Berechtigungsanfrage für Ihren Kunden. Sie können den Inhalt der Nachricht prüfen und bearbeiten. Ändern Sie nichts am Link unter „Zum Prüfen und Akzeptieren klicken“, da es sich dabei um eine personalisierte URL für Ihren Kunden handelt.
10. Senden Sie die E-Mail; sobald der Kunde die Anfrage annimmt, ist GDAP etabliert.

Für den Wechsel zu GDAP können Sie auch das von Microsoft entwickelte GDAP-Bulk-Migrationstool nutzen. Microsoft wird in Kürze bekannt geben, wann dieses Bulk-Migrationstool eingestellt wird.

Deaktivieren Sie bestehende DAP-Beziehungen

Wenn Sie den Übergang zu GDAP abgeschlossen haben und sicher sind, dass Sie die erforderlichen Aktivitäten im Namen Ihres Kunden ausführen können, können Sie die DAP-Beziehungen entfernen. Das dient der Verbesserung der Kundensicherheit.

DAP-Beziehungen deaktivieren Sie über das Security Center im Partner Center. Unter den Kontoeinstellungen finden Sie „Administrative Beziehungen“; dort können Sie einen oder mehrere Kunden auswählen und auf „DAP deaktivieren“ klicken. Damit werden die ausgewählten DAP-Beziehungen entfernt. Die Deaktivierung einer DAP-Beziehung hat keine Auswirkungen auf die Partner Earned Credits (PEC).

Schulen und begleiten Sie Ihr Team

Als Microsoft CSP müssen Sie Ihre Mitarbeitenden schulen, damit sie auf das Azure AD-Portal zugreifen und ihre Aufgaben effizient erledigen können. Geben Sie ihnen zunächst einen Überblick über GDAP und darüber, wie sich ihr Zugriffsniveau mit dem Übergang von DAP zu GDAP verändert. Die Mitarbeitenden sollten die ihnen zugewiesenen Rollen verstehen. Sie müssen wissen, welche Aufgaben sie ausführen dürfen und welche nicht. Zudem sollten sie in Sicherheits-Best-Practices geschult werden, damit sie sensible Kundendaten sicher handhaben können.

Da GDAP Aktivitätsprotokolle für Partner und Kunden bereitstellt, können Sie diese regelmäßig prüfen, um sicherzustellen, dass Ihre Mitarbeitenden nur auf Daten zugreifen, die für ihre Aufgaben relevant sind.

CSP control center unterstützt GDAP-Sicherheit

Sorgen Sie sich um die Verwaltung von Kundenabonnements und Abrechnung nach dem Wechsel zu GDAP? Werden Sie Partner von C3 und legen Sie Ihre Sorgen beiseite: C3 bietet Ihnen die ultimative Lösung für CSP-Billing-Automatisierung, die GDAP-Sicherheit unterstützt. An der Art, wie Sie Abrechnung, Einkauf und Abonnementverwaltung für Ihre Kunden handhaben, ändert sich nach dem Wechsel von DAP zu GDAP nichts. C3 hilft Ihnen, Ihr Microsoft CSP-Geschäft zu verschlanken, damit Sie sich auf den Übergang von DAP zu GDAP konzentrieren können.

• Nutzen Sie automatisierte Rechnungsstellung und Abrechnung, um Zeit und Ressourcen zu sparen.
• Bieten Sie Ihren Kunden Self-Service-Funktionen, um die Abhängigkeit von Ihrem Support-Team zu verringern.
• Setzen Sie smarte Integrationen ein, um Ihr Microsoft CSP-Geschäft reibungslos zu betreiben.
• Schützen Sie Ihre Kunden vor Hackern und Datenlecks, indem Sie die sicheren Zahlungs-Gateways von C3 verwenden.

Nehmen Sie Kontakt auf, um mehr über die Vorteile von C3 für Ihr Microsoft CSP-Geschäft zu erfahren.