Die Erhebung liest mit Leserollen im Verzeichnis und mit Anwendungsrechten, die Ihr Administrator bestätigt — erneut, wenn eine neue Rolle dazukommt. Mehr als Leserechte sind ConfigurationMonitoring.ReadWrite.All und Exchange.ManageAsApp. Das erste braucht es, weil Microsofts Leserecht für die Konfigurationsüberwachung nur Aufträge auflisten darf und die Teams-Richtlinien erst eine angestoßene Momentaufnahme liefert; über das zweite ruft PureTenant nur lesende Befehle auf. Alles Weitere kommt nur auf Ihre Freigabe.
Anwendungsrechte der Erhebung
Microsoft GraphMehr als 40 Leserechte aus den verschiedensten Bereichen
Hier eine Auswahl, app-only genutzt — ohne Anmeldung einer Person. Die benannte Ausnahme mit Schreibrecht steht immer darin.
| Recht | Art |
|---|---|
Directory.Read.All | lesend |
Reports.Read.All | lesend |
AuditLog.Read.All | lesend |
SecurityIncident.Read.All | lesend |
AttackSimulation.Read.All | lesend |
ThreatHunting.Read.All | lesend |
ConfigurationMonitoring.ReadWrite.All | schreibend · die benannte Ausnahme |
RoleManagement.Read.Directory | lesend |
IdentityRiskyUser.Read.All | lesend |
Policy.Read.All | lesend |
MailboxSettings.Read | lesend |
SensitivityLabel.Read | lesend |
eDiscovery.Read.All | lesend |
Sites.Read.All | lesend |
DeviceManagementManagedDevices.Read.All | lesend |
DeviceManagementConfiguration.Read.All | lesend |
CallRecords.Read.All | lesend |
VirtualEvent.Read.All | lesend |
AccessReview.Read.All | lesend |
CopilotPackages.Read.All | lesend |
AgentIdentity.Read.All | lesend |
Defender for Endpoint2 Rechte je Dienst, app-only genutzt — ohne Anmeldung einer Person.
| Recht | Art |
|---|---|
Machine.Read.All | lesend |
Vulnerability.Read.All | lesend |
Exchange Online1 Recht je Dienst, app-only genutzt — ohne Anmeldung einer Person.
| Recht | Art |
|---|---|
Exchange.ManageAsApp | Zugang · nur lesend genutzt |
Exchange Online Protection1 Recht je Dienst, app-only genutzt — ohne Anmeldung einer Person.
| Recht | Art |
|---|---|
Exchange.ManageAsApp | Zugang · nur lesend genutzt |
Verzeichnisrollen
Die Verzeichnisrollen des Dienstprinzipals lesen: Security Reader und Global Reader. Eine Rolle mit Schreibrecht kommt nur auf Ihre Freigabe dazu (unten).
Was darüber hinaus gilt
„Exchange.ManageAsApp“ öffnet den Zugang zu den Cmdlets von Exchange und Purview; PureTenant ruft darüber nur lesende Befehle auf und weist jeden anderen ab, bevor er Microsoft erreicht. Für die Teams-Richtlinien legt die Erhebung in Ihrem Tenant einen Auftrag zur Momentaufnahme an und räumt ihn danach wieder ab; er verbraucht einen Teil eines Monatskontingents Ihres Tenants. Dafür stattet die Einrichtung den Dienstprinzipal „Tenant Configuration Management“ von Microsoft mit der Leserolle „Teams Reader“ aus. Die Rolle „Compliance Administrator“ kommt nur dazu, wenn Ihr Administrator sie ausdrücklich freigibt, das Recht Group.ReadWrite.All nur bei der Einrichtung des Power-BI-Zugangs. Selbst per PowerShell setzt Ihr Administrator auf Wunsch die Rollengruppe „eDiscoveryManager“ für eDiscovery — sie erlaubt mehr als Lesen, PureTenant fragt die Fälle aber mit einem reinen Leserecht ab — und die mandantenweite Teams-Richtlinie „insights-events“ für Webinare und Town Halls.
Die Rechte der Einrichtung
Für das Anlegen der Anwendung meldet sich Ihr Administrator einmal an und bestätigt dabei delegierte Rechte: Application.ReadWrite.All, AppRoleAssignment.ReadWrite.All, RoleManagement.ReadWrite.Directory und Directory.Read.All. Das Token dieser Anmeldung dient nur dem Anlegen und wird danach verworfen; gespeichert wird es nie.