MSP FAQ: så styr du åtkomst över flera klienter utan en gud-admin

Ett vanligt felmönster i MSP-verksamhet är en tekniker eller ett automationskonto med permanenta administratörsrättigheter över varje kundklient — en "gud-admin" som förvandlar en komprometterad autentiseringsuppgift till ett intrång i hela kundbasen. Microsofts modell Granular Delegated Admin Privileges (GDAP), byggd för det egna partnerekosystemet, illustrerar alternativet.

Vad GDAP förändrar

Före GDAP kunde en partners adminagenter anta rollen Global Administrator i en kunds klient på obestämd tid. GDAP ersätter det med åtkomst som både är granulär — avgränsad till specifika administrativa roller — och tidsbegränsad, och den kräver att kunden uttryckligen beviljar åtkomsten i stället för att den ärvs automatiskt. Microsofts egen rollvägledning går längre och kartlägger varje administrativ uppgift till den inbyggda roll med minst behörighet som kan utföra den, i stället för att falla tillbaka på en bred adminroll för att den är bekväm.

Att tillämpa samma modell bortom Microsoft 365

GDAP-mönstret går att generalisera till vilken SaaS-stack som helst som en MSP hanterar åt en kund: varje kundklient bör vara sin egen styrningsgräns, tekniker- och automationsidentiteter bör vara åtskilda, och utökad åtkomst bör upphöra i stället för att bestå. En MSP-forumtråd från Non-Human Identity Management Group formulerar den underliggande risken rakt på sak: svag klientisolering förvandlar operativ bekvämlighet till delad risk för varje kund på plattformen.

En praktisk checklista

• Ingen stående Global Administrator eller motsvarande roll som spänner över varje kundklient.
• Avgränsa partner-/teknikerroller per kund och granska dem enligt ett fast schema.
• Ha en separat nödväg med tidsbegränsad behörighetshöjning kopplad till ett ärende.
• Ge automationen en egen identitet med minst behörighet, åtskild från teknikernas.
• Behåll revisionsloggar per klient som är sökbara per kund.

Lärdomen generaliseras bortom Microsoft 365: oavsett vilken plattform en MSP använder för att nå kundklienter bör åtkomsten vara avgränsad, tidsbegränsad och per kund — inte en enda adminidentitet som öppnar varje dörr.

Källor: Microsoft Learn — Introduction to GDAP, Non-Human Identity Management Group — multi-tenant SaaS management for MSPs.