En nødkonto er den konto, der skal give adgang til lejeren, når alt andet svigter: når MFA-tjenesten er nede, når en regel for betinget adgang har låst alle administratorer ude, eller når den person, der plejer at administrere, ikke kan nås. Kontrollen har tre spørgsmål: findes kontiene og er de sat op rigtigt, virker de, og opdager nogen det, når de bruges?
Målestokken er Microsofts egen vejledning for Entra ID. Den er producentens anbefaling for egen platform og ikke et krav fra en myndighed, men den er konkret nok til, at hvert punkt kan påvises.
Sådan skal kontiene være sat op
Microsoft anbefaler mindst to nødkonti. De skal være rene skykonti på lejerens standarddomæne, så de hverken er fødererede eller synkroniserede fra det lokale katalog. Så virker de, selv om koblingen til det lokale katalog eller en ekstern identitetsudbyder er nede.
Kontiene skal logge på med en metode uden password, der modstår phishing. Microsoft anbefaler passkeys eller FIDO2-nøgler og nævner certifikater som alternativ. Metoden skal være en anden end den, de almindelige administratorkonti bruger, så en fejl i den ene ikke rammer begge.
Kontiene må ikke være knyttet til en enkelt person eller til medarbejderes telefoner. Loginoplysningerne skal opbevares sikkert og adskilt, men tilgængeligt for flere autoriserede personer. Rollen Global Administrator tildeles som permanent aktiv og ikke som en rolle, der skal aktiveres i Privileged Identity Management. Loginoplysninger og enheder må ikke udløbe eller blive ryddet op automatisk, fordi de ikke bruges.
Microsoft gentager anbefalingen om to rene skykonti med permanent Global Administrator til nødbrug i sin vejledning om sikker administratoradgang.
Undtagelsen fra betinget adgang
Nødkontiene skal undtages fra de politikker for betinget adgang, der blokerer eller begrænser login. Politikker i report-only kræver ingen undtagelse. Microsoft foreslår en særskilt gruppe til undtagelsen.
I en gennemgang af politikkerne ligner undtagelsen et hul. Den er tilsigtet, og den skal derfor kunne forklares: hvilken gruppe er undtaget, hvem er medlem, og er det kun nødkontiene? En undtagelsesgruppe, der med tiden har fået andre medlemmer, er et fund. Gennemgangen af politikkerne som helhed er beskrevet i politikker for betinget adgang.
Nødkonti er også et af de få steder, hvor en fælles identitet er begrundet. Det er vores kobling til reglerne om delte konti, som kræver godkendelse og dokumentation.
Afprøvning mindst hver 90. dag
Microsoft anbefaler at afprøve nødkontiene mindst hver 90. dag. Afprøvningen omfatter listen over, hvem der er autoriseret til at bruge dem, at login virker, og at kontiene kan udføre administrative opgaver. Microsoft foreslår også at afprøve login med den aktuelle opsætning af betinget adgang regelmæssigt, fx hvert kvartal.
Beviset for afprøvningen er loginloggen med de datoer, kontiene blev brugt, og en kort note om, hvad der blev afprøvet, og af hvem. Kan driften ikke vise en afprøvning inden for de seneste 90 dage, er kontrollen ikke udført efter producentens anbefaling.
Alarm ved hver brug
Brugen af en nødkonto skal opdages. Microsoft anbefaler at overvåge loggen for login og ændringer på nødkontiene og at give alarm ved hver brug. Hver brug gennemgås bagefter.
Kontrollen er derfor todelt. Den ene del er, at alarmreglen findes og rammer begge konti. Den anden er, at alarmen faktisk nåede frem ved den seneste afprøvning. Afprøvningen hver 90. dag giver en naturlig lejlighed til at se efter: hvis kontoen blev brugt den dag, skulle der være en alarm i samme tidsrum. Mangler den, virker overvågningen ikke.
Udtrækkene
En gennemgang kan typisk bygge på disse udtræk. Valget er praksis:
- Nødkontiene med kontotype og domæne · rene skykonti på standarddomænet, ikke synkroniserede.
- Registrerede loginmetoder · metode uden password, der modstår phishing, og forskellig fra administratorernes.
- Rolletildelingen · Global Administrator som permanent aktiv.
- Undtagelsesgruppen og dens medlemmer · kun nødkontiene.
- Loginloggen for kontiene det seneste halve år · datoer for afprøvning.
- Alarmreglen og alarmerne fra seneste afprøvning · bevis for, at brugen blev opdaget.
Hvad det kræver, og hvad det koster at lade være
Det kræver to konti med egne loginmetoder, et sikkert sted til loginoplysningerne, en alarmregel og en fast afprøvning i kalenderen. Indsatsen er lille, når det først er sat op, men afprøvningen glemmes let, fordi kontiene aldrig bruges til daglig. Listen over autoriserede personer skal også rettes, når en af dem fratræder eller skifter rolle, og opbevaringen af loginoplysningerne skal kunne tåle, at den person, der plejer at have nøglen, er på ferie.
Uden nødkonti kan en fejl i en regel eller et nedbrud hos en ekstern tjeneste låse alle administratorer ude af lejeren. Med nødkonti uden alarm kan de bruges, uden at nogen opdager det.
Det skal I lade være med
- At synkronisere nødkontiene fra det lokale katalog · så falder de sammen med koblingen.
- At knytte loginmetoden til en medarbejders telefon · den skal kunne bruges af flere autoriserede.
- At undtage nødkontiene i en gruppe, der også bruges til andet · undtagelsen vokser.
- At lade afprøvningen glide · Microsoft anbefaler mindst hver 90. dag.
Det skal gennemgangen kunne vise
- ☐ Mindst to nødkonti som rene skykonti på standarddomænet.
- ☐ En loginmetode uden password, der modstår phishing og adskiller sig fra administratorernes.
- ☐ Global Administrator tildelt som permanent aktiv.
- ☐ En undtagelsesgruppe med kun nødkontiene.
- ☐ Login i loggen inden for de seneste 90 dage med note om afprøvningen.
- ☐ En alarmregel og en alarm fra seneste afprøvning.
Kilder
- Microsoft Learn, Manage emergency access admin accounts, opdateret 4. juni 2026, læst 13. november 2026.
- Microsoft Learn, Secure access practices for administrators in Entra ID, opdateret 21. november 2024, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find datoen for seneste login på hver nødkonto. Er den ældre end 90 dage, så læg en afprøvning i kalenderen, og se efter, om alarmen kommer.
Læs også: Alarmer: findes reglerne, og reagerer nogen? · Synkroniseringen mellem lokalt katalog og sky
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
