Ud over brugere og administratorer har en lejer i Entra ID også programmer med rettigheder. Nogle er registreret af jeres egne udviklere eller leverandører, andre er kommet ind, fordi en bruger har givet samtykke til, at et program må læse post, kalender eller filer. Kontrollen handler om tre ting: hvem der må registrere programmer, hvem der må give samtykke, og hvad de programmer, der allerede er der, har adgang til.
Den mest konkrete målestok er SCuBA, CISA’s konfigurationsbaseline for Entra ID, som har en hel politik om programmer, og Microsofts egen vejledning om brugersamtykke.
Hvad baselinen siger
Baselinen er skrevet som pligt for USA’s civile forbundsmyndigheder og lagt frem, så andre kan sammenligne med den. Baselinen skelner mellem SHALL, som er et krav, og SHOULD, som er en anbefaling. Politik 5 om programmer har syv punkter, og de fem af dem kan læses direkte i lejeren:
- Kun administratorer registrerer programmer · MS.AAD.5.1v1, SHALL.
- Brugeres samtykke til programmer begrænses · MS.AAD.5.2v1, SHALL.
- Der findes en arbejdsgang for administratorsamtykke · MS.AAD.5.3v1, SHALL. Brugere, der har brug for et program, kan bede om det, og en administrator tager stilling.
- Tilføjelse af passwords til programmer blokeres · MS.AAD.5.5v1, SHOULD. Et password til et program kaldes også en hemmelighed.
- Levetid for programmers loginoplysninger · MS.AAD.5.6v1 siger, at passwords højst bør gælde 180 dage, og MS.AAD.5.7v1, at certifikater højst bør gælde 365 dage.
Standardindstillingen hos producenten
Microsoft oplyser, at alle brugere som standard kan give samtykke til programmer for de rettigheder, der ikke kræver administratorsamtykke. Producenten anbefaler kun at tillade brugersamtykke til programmer fra verificerede udgivere.
Det betyder, at en lejer, hvor ingen har ændret indstillingen, sandsynligvis har programmer, som brugere har godkendt på eget initiativ. Det er ikke i sig selv et fund, men det er grunden til, at opgørelsen af de eksisterende programmer skal laves, før indstillingen strammes.
De indstillinger, der læses
Det første udtræk er lejerens indstillinger for programmer og samtykke. En gennemgang kan typisk læse disse felter. Hvordan de trækkes, er praksis:
- Må brugere registrere programmer? · Nej efter MS.AAD.5.1v1
- Må brugere give samtykke, og til hvad? · Begrænset efter MS.AAD.5.2v1
- Er arbejdsgangen for administratorsamtykke slået til? · Ja efter MS.AAD.5.3v1
- Hvem behandler anmodningerne? · Navngivne administratorer
Den sidste linje er ikke et krav i baselinen, men uden en ejer hober anmodningerne sig op, og brugerne finder andre veje.
Opgørelsen af programmerne
Det andet udtræk er listen over programmer i lejeren med de rettigheder, de har fået. Rækkefølgen er praksis, men det er almindeligt at starte med programmer, der har rettigheder til post og filer, fordi de rækker ind i virksomhedens indhold. For hvert program er der fire spørgsmål:
- Hvem ejer det? En navngiven person eller en leverandør med en aftale.
- Hvilke rettigheder har det? Og er de givet på vegne af en bruger eller til programmet selv?
- Hvem gav samtykket? En administrator for hele lejeren, eller en enkelt bruger?
- Hvordan logger det på? Med password eller certifikat, og hvornår udløber det?
Programmer, der logger på med password, holdes op mod SCuBA’s 180 dage. Et password uden udløb eller med flere års levetid er et fund. Er der flere gyldige passwords på samme program, skal det forklares, fordi det gamle måske aldrig blev fjernet efter et skift.
Programmer, ingen kan pege på en ejer af, eller som ikke er brugt i lang tid, er kandidater til at blive slået fra. Det svarer til oprydningen af inaktive og forældreløse konti, men for programmer.
Programmer med brede rettigheder
Et program, der har fået adgang til alle postkasser eller alle filer i lejeren, har i praksis lige så meget adgang til indhold som en administrator. Det er vores vurdering, at de skal behandles som privilegerede og med i opgørelsen over administratorrettigheder. Kilderne siger det ikke udtrykkeligt, men SCuBA’s krav om administratorsamtykke peger i samme retning: det er administratorerne, der skal tage stilling til den slags rettigheder.
Hvad det kræver, og hvad det koster at lade være
Det kræver læseadgang til lejerens indstillinger og programregistreringer og en person, der kan finde ejerne. Rettelserne er at stramme indstillingerne for registrering og samtykke, at slå arbejdsgangen for administratorsamtykke til og at rydde op i programmer uden ejer. Programmer, der logger på med password, kan flyttes til certifikat, men det kræver, at programmets ejer er med. Det er praksis at gentage opgørelsen, når en leverandør eller et system udskiftes, fordi de gamle programregistreringer ellers bliver stående med deres rettigheder, længe efter at ingen bruger dem.
Uden kontrollen kan programmer med adgang til post og filer stå i lejeren, uden at nogen ved, hvem der har godkendt dem. De logger ikke på som en bruger og rammes derfor ikke af de samme regler som brugerne.
Det skal I lade være med
- At stramme samtykket uden at have en arbejdsgang for anmodninger · brugerne finder andre veje.
- At slette programmer uden at finde ejeren · slå dem fra først.
- At give programmer passwords uden udløb · SCuBA anbefaler højst 180 dage.
Det skal gennemgangen kunne vise
- ☐ Lejerens indstillinger for registrering og samtykke med dato.
- ☐ En slået-til arbejdsgang for administratorsamtykke med navngivne behandlere.
- ☐ En liste over programmer med ejer, rettigheder og hvem der gav samtykke.
- ☐ Levetiden for programmernes passwords og certifikater.
- ☐ Programmer med adgang til alle postkasser eller filer markeret som privilegerede.
Kilder
- CISA, M365 Secure Configuration Baseline for Microsoft Entra ID, MS.AAD.5.1v1 til 5.7v1, læst 13. november 2026.
- Microsoft Learn, Configure how users consent to applications, opdateret 15. juni 2025, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Se i lejeren, om brugere må registrere programmer og give samtykke, og træk listen over programmer med rettigheder til post og filer.
Læs også: Nøgler og hemmeligheder i skyen · Gennemgang af Microsoft 365
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
