Azure Lighthouse: Warum die Organisation eines MSP nicht dasselbe ist wie ein Tenant

Azure Lighthouse ist Microsofts dokumentiertes Muster, mit dem ein Managed Service Provider aus seinem eigenen Tenant heraus über Azure-Ressourcen vieler Kunden arbeiten kann, ohne das Verzeichnis eines Kunden in das des MSP zu integrieren. Microsoft nennt dies Azure delegated resource management: Ein Kunde delegiert bestimmte Abonnements oder Ressourcengruppen an festgelegte Benutzer und Rollen im Tenant des MSP und kann diesen Zugriff jederzeit unabhängig widerrufen.

Wie die Delegierung tatsächlich funktioniert

Intern entstehen beim Onboarding eines Kunden zwei Ressourcen im Tenant des Kunden selbst: eine Registrierungsdefinition, die beschreibt, welcher Zugriff wem gewährt wird, und eine Registrierungszuweisung, die diesen aktiviert. Wenn jemand im Tenant des MSP auf eine delegierte Ressource zugreifen möchte, authentifiziert Azure Resource Manager diese Anfrage genauso wie eine Anfrage eines im Kunden-Tenant nativen Benutzers – der MSP-Benutzer benötigt kein Konto im Verzeichnis des Kunden und wird auch nie dessen Mitbesitzer. Kunden behalten die Übersicht über das, was delegiert wurde, und können es in ihrem eigenen Portal einsehen.

Warum die Begriffe verwechselt werden

Microsofts eigene Dokumentation stellt ausdrücklich klar, dass „Organisation“ und „Tenant“ nicht austauschbar sind: Eine einzelne kommerzielle Organisation – eine Marke, eine juristische Person – kann viele Microsoft-Entra-Tenants umfassen, einen pro Kunde, pro Umgebung oder pro Übernahme. Lighthouse ist um diese Realität herum gebaut und nicht dagegen: Es erlaubt einer Organisation, über Tenants hinweg zu arbeiten, während jeder Tenant eine harte Grenze für Identität und Zugriff bleibt. Diese Unterscheidung einzuebnen – „unsere Organisation“ so zu behandeln, als wäre sie ein einziger Tenant – ist genau der Fehler, den die Architektur von Lighthouse verhindern soll, nicht nur dokumentieren.

Für MSPs, die mehrinstanzenfähige Werkzeuge jeglicher Art entwickeln oder einkaufen, ist Azure Lighthouse ein nützlicher Referenzpunkt: Delegierter, widerrufbarer Zugriff in einen separaten Tenant ist ein anderes und in der Regel sichereres Design, als mehrere Kunden unter einem gemeinsamen Verzeichnis zusammenzufassen und sie mit Flags auf Anwendungsebene zu unterscheiden. Die Unterscheidung ist architektonischer Natur, kein Compliance-Label – es lohnt sich, sie im tatsächlichen Zugriffsmodell eines Anbieters zu prüfen, nicht nur in dessen Marketingtexten.

Quellen: Microsoft Learn – Was ist Azure Lighthouse?, Microsoft Learn – Tenants, Benutzer und Rollen in Azure Lighthouse.