Wenn Sie Atera mit Microsoft Entra ID verbinden, fordert die Atera-Anwendung eine Reihe von Berechtigungen (OAuth 2.0-Scopes) von Ihrem Mandanten an. In diesem Artikel werden alle von Atera angeforderten Berechtigungen erklärt, was sie ermöglichen und wann sie tatsächlich verwendet werden.

Eine Anleitung zur Einrichtung finden Sie unter Benutzer und Kontakte aus Microsoft Entra ID synchronisieren.

Über diesen Artikel

Dieser Artikel richtet sich an IT-Sicherheits-, Compliance- und Administratoren, die genau verstehen müssen, welche Berechtigungen Atera während des Entra ID OAuth-Zustimmungsprozesses anfordert – entweder vor der Freigabe der Integration oder im Rahmen eines internen Audits.

Zu jeder Berechtigung finden Sie:

• Den Namen der Berechtigung, wie er im Zustimmungsbildschirm erscheint
• Den Microsoft Graph Scope
• Eine Beschreibung direkt aus der offiziellen Microsoft-Dokumentation

Einige Berechtigungen erscheinen in Ateras Anfrage doppelt – einmal als Anwendungsberechtigung und einmal als Delegierte Berechtigung. Das liegt daran, dass verschiedene Teile der Plattform in unterschiedlichen Authentifizierungskontexten arbeiten:

• Delegierte Berechtigungen werden verwendet, wenn ein angemeldeter Benutzer vorhanden ist.
• Anwendungsberechtigungen werden verwendet, wenn Atera oder Robin eigenständig im Hintergrund ohne aktive Benutzersitzung agiert.

Wenn eine Berechtigung als beide Typen angefordert wird, wird in der Beschreibung unten der Text zur Anwendungsberechtigung aus der Microsoft-Dokumentation verwendet, da dies die weiterreichendere Variante ist. Wird eine Berechtigung nur als delegierte Berechtigung angefordert, wird die Beschreibung der delegierten Berechtigung verwendet.

Wichtig: Wann werden Berechtigungen tatsächlich genutzt?

Erteilt heißt nicht aktiv

Die in diesem Artikel aufgeführten Berechtigungen werden beim Autorisieren der Atera Entra ID-Anwendung gewährt – unabhängig davon, welche Atera-Funktionen anschließend aktiviert werden. Der vollständige Satz an OAuth-Scopes wird bei Entra ID registriert, auch wenn nur ein Teil der Atera-Funktionalität genutzt wird, zum Beispiel nur die Benutzersynchronisierung.

Das Erteilen dieser Scopes führt nicht automatisch zu einer Aktion in Ihrer Entra ID-Umgebung. Die Berechtigungen stellen eine Obergrenze dar, keine Anweisung.

Schreibberechtigungen und Robin (IT Autopilot)

Lese-/Schreib- und schreibfähige Scopes werden nur genutzt, wenn Robin in Ihrer Atera-Umgebung aktiviert ist. Ist Robin aktiviert, werden diese Berechtigungen nur in zwei Szenarien verwendet:

• Im Rahmen eines automatisierten Workflows, den Robin ausführen soll (zum Beispiel eine ausgelöste Onboarding- oder Offboarding-Sequenz).
• Als direkte Reaktion auf eine explizite Anweisung eines Benutzers, der mit Robin interagiert (zum Beispiel, wenn ein Techniker oder Endnutzer Robin bittet, ein Passwort zurückzusetzen oder eine Postfacheinstellung zu ändern).

Robin wird außerhalb dieser beiden Kontexte keine eigenständigen Aktionen durchführen.

Effektive Berechtigungen sind durch Ihre bestehenden Entra ID-Zugriffsrechte begrenzt

Die erlaubten Aktionen innerhalb von Entra ID werden durch die gewährten OAuth 2.0-Scopes definiert, aber auch streng durch die bestehenden Berechtigungen des autorisierenden Benutzers in Entra ID geregelt.

Wenn ein Benutzer nicht über die nativen Entra ID-Berechtigungen für eine Aktion verfügt – zum Beispiel das Ändern der Authentifizierungsmethoden eines anderen Benutzers, das Anpassen von Gruppenmitgliedschaften oder das Aktualisieren von Postfacheinstellungen – kann er diese Aktion auch über Atera oder Robin nicht ausführen, selbst wenn der entsprechende OAuth-Scope gewährt wurde.

Anders gesagt: Der OAuth-Scope legt fest, was die Anwendung anfordern darf. Die rollenbasierte Zugriffssteuerung des Benutzers in Entra ID entscheidet, ob diese Anfrage genehmigt wird.

Offizielle Microsoft-Referenz

Die Scope- und Beschreibungswerte in den untenstehenden Tabellen stammen direkt aus der offiziellen Microsoft-Berechtigungsreferenz. Sie können jeden Scope überprüfen unter:

https://learn.microsoft.com/de/graph/permissions-reference

Von Atera angeforderte Berechtigungen

Benutzer- und Identitätsberechtigungen

Verzeichnis- und Gruppenberechtigungen

Mail- und Kalenderberechtigungen

Datei- und SharePoint-Berechtigungen

Kontaktberechtigungen

Berichts- und Administratorberechtigungen

Geräte- und Endpunktberechtigungen