Azure Lighthouse: därför är en MSP:s organisation inte samma sak som en klient

Azure Lighthouse är Microsofts dokumenterade mönster för att låta en MSP arbeta över många kunders Azure-resurser inifrån sin egen klient, utan att slå samman någon kunds katalog med MSP:ns. Microsoft kallar detta Azure-delegerad resurshantering: en kund delegerar specifika prenumerationer eller resursgrupper till angivna användare och roller i MSP:ns klient, och kan när som helst återkalla den åtkomsten oberoende.

Så fungerar delegeringen i praktiken

Under huven skapar introduktionen av en kund två resurser inuti kundens egen klient: en registreringsdefinition, som beskriver vilken åtkomst som beviljas och till vem, och en registreringstilldelning, som aktiverar den. När någon i MSP:ns klient försöker agera på en delegerad resurs autentiserar Azure Resource Manager begäran på samma sätt som den autentiserar en begäran från en användare som är intern i kundens klient – MSP-användaren behöver aldrig något konto i kundens katalog och blir aldrig delägare av den. Kunderna behåller insyn i vad som har delegerats och kan se det från sin egen portal.

Varför terminologin blandas ihop

Microsofts egen vägledning är tydlig med att "organisation" och "klient" inte är utbytbara: en enda kommersiell organisation – ett varumärke, en juridisk enhet – kan omfatta många Microsoft Entra-klienter, en per kund, per miljö eller per förvärv. Lighthouse är byggt utifrån den verkligheten snarare än mot den: det låter en organisation arbeta över klienter samtidigt som varje klient förblir en hård gräns för identitet och åtkomst. Att sudda ut den distinktionen – att behandla "vår organisation" som om den vore en enda klient – är det misstag som Lighthouse-arkitekturen är utformad för att förhindra, inte bara dokumentera.

För MSP:er som bygger eller köper flerklientverktyg av något slag är Azure Lighthouse en användbar referenspunkt: delegerad, återkallbar åtkomst till en separat klient är en annorlunda och generellt sett säkrare design än att samla flera kunder under en gemensam katalog och skilja dem åt med flaggor på applikationsnivå. Distinktionen är arkitektonisk, inte en efterlevnadsmärkning – värd att kontrollera i varje leverantörs faktiska åtkomstmodell, inte bara i marknadsföringsmaterialet.

Källor: Microsoft Learn — Vad är Azure Lighthouse?, Microsoft Learn — Klienter, användare och roller i Azure Lighthouse.