M365 App Registrations & Permissions¶

TCM365 verwendet ein Drei-Tier-Berechtigungsmodell für die Microsoft 365 Integration. Dieser Guide erklärt exakt, welche Azure AD App Registrations benötigt werden, welche Permissions jede App braucht, und warum diese Permissions notwendig sind.

Übersicht: Drei App Registrations¶

┌─────────────────────────────────────────────────────────────────────┐
│                    TCM365 Permission Architecture                   │
├─────────────────────────────────────────────────────────────────────┤
│                                                                     │
│  ┌──────────────┐  ┌──────────────┐  ┌─────────────────────────┐  │
│  │   Read App    │  │  Write App   │  │   UTCM Service Principal │  │
│  │  (Pflicht)    │  │  (Optional)  │  │   (Pflicht für          │  │
│  │              │  │              │  │    Teams & Exchange)     │  │
│  ├──────────────┤  ├──────────────┤  ├─────────────────────────┤  │
│  │ Snapshots    │  │ Rollback     │  │ Teams Capture           │  │
│  │ Drift        │  │ Config Write │  │ Exchange Capture        │  │
│  │ Baselines    │  │ Changes      │  │ UTCM Monitors           │  │
│  │ Reports      │  │ Apply        │  │ Snapshot Jobs           │  │
│  │ CA What-If   │  │              │  │                         │  │
│  │ Compliance   │  │              │  │                         │  │
│  └──────────────┘  └──────────────┘  └─────────────────────────┘  │
│                                                                     │
│  Alle Permissions: Application-Type (kein User-Kontext)            │
└─────────────────────────────────────────────────────────────────────┘

Permission Categories¶

TCM365 gruppiert die ~41 Read App Permissions in 8 logische Kategorien. Kunden können Kategorien, die sie nicht benötigen, gezielt deaktivieren — das reduziert den Consent-Umfang und blendet entsprechende Bereiche im Snapshot Viewer aus.

Verfügbare Kategorien¶

Kategorie-Verwaltung im UI¶

Die Berechtigungskategorien können pro M365-Tenant im Tenant Detail unter dem Tab Permissions verwaltet werden:

1. Öffne den Tenant in der TCM365-Oberfläche
2. Navigiere zum Tab Permissions oder Permission Categories
3. Deaktiviere nicht benötigte Kategorien (z.B. "Windows 365" wenn kein Cloud PC genutzt wird)
4. Das System synchronisiert automatisch die enabled_workloads mit den aktivierten Kategorien

Surplus-Warnung: Wenn der Read App mehr Permissions erteilt wurden als durch die aktivierten Kategorien erforderlich sind, zeigt die Setup-Status-Seite eine Warnung mit den überschüssigen Permissions.

Minimale Permissions nach Kategorie¶

entra_core (immer aktiv — 16 Permissions):
  Directory.Read.All, Policy.Read.All, Policy.Read.PermissionGrant,
  Application.Read.All, Organization.Read.All, RoleManagement.Read.Directory,
  RoleAssignmentSchedule.Read.Directory, RoleEligibilitySchedule.Read.Directory,
  RoleManagementPolicy.Read.Directory, AccessReview.Read.All,
  LifecycleWorkflows.Read.All, AdministrativeUnit.Read.All,
  EntitlementManagement.Read.All, IdentityRiskyUser.Read.All,
  IdentityRiskEvent.Read.All, IdentityRiskyServicePrincipal.Read.All

intune (5 Permissions):
  DeviceManagementConfiguration.Read.All, DeviceManagementApps.Read.All,
  DeviceManagementManagedDevices.Read.All, DeviceManagementServiceConfig.Read.All,
  DeviceManagementRBAC.Read.All

defender (7 Permissions):
  SecurityEvents.Read.All, SecurityAlert.Read.All, SecurityIncident.Read.All,
  AttackSimulation.Read.All, ThreatAssessment.Read.All,
  SecurityIdentitiesHealth.Read.All, SecurityIdentitiesSensors.Read.All

sharepoint (2 Permissions):
  SharePointTenantSettings.Read.All, Sites.Read.All

purview (3 Permissions):
  InformationProtectionPolicy.Read.All, RecordsManagement.Read.All,
  eDiscovery.Read.All

cloud_pc (1 Permission):
  CloudPC.Read.All

m365_platform (5 Permissions):
  Domain.Read.All, ServiceHealth.Read.All, ServiceMessage.Read.All,
  Teamwork.Read.All, AppCatalog.Read.All

utcm (2 Permissions):
  ConfigurationMonitoring.Read.All, ConfigurationMonitoring.ReadWrite.All

1. Read App Registration (Pflicht)¶

Die Read App ist die primäre App Registration und wird für alle Lese-Operationen benötigt: Snapshots erstellen, Drift erkennen, Baselines evaluieren, Reports generieren.

Entra ID Permissions¶

Intune (Device Management) Permissions¶

Microsoft Defender Permissions¶

SharePoint Online Permissions¶

Microsoft Purview Permissions¶

Windows 365 (Cloud PC) Permissions¶

M365 Platform Permissions¶

UTCM-spezifische Permissions (auf der Read App)¶

Zusammenfassung Read App¶

2. Write App Registration (Optional)¶

Die Write App ist eine separate App Registration die nur benötigt wird, wenn Rollback- oder Apply-Operationen durchgeführt werden sollen. Sie ist vollständig optional — TCM365 funktioniert ohne Write App im Read-Only-Modus.

Warum eine separate Write App?¶

1. Audit Trail — Änderungen über die Write App sind klar vom Lese-Zugriff getrennt
2. Minimale Rechte — Die Read App hat niemals Schreibzugriff, selbst bei Kompromittierung
3. Approval Workflow — Die Write App kann an einen Change-Management-Prozess gebunden werden
4. Separate Credentials — Write App Credentials können separat rotiert und verwaltet werden
5. Granulare Kontrolle — Write App kann pro Tenant aktiviert/deaktiviert werden

Entra ID Write Permissions¶

Intune Write Permissions¶

Defender Write Permissions¶

SharePoint Write Permissions¶

Zusammenfassung Write App¶

3. UTCM Service Principal (Pflicht für Teams & Exchange)¶

Der UTCM Service Principal ist ein von Microsoft bereitgestellter Service Principal, der für die UTCM Snapshot Job API benötigt wird. Er muss im Ziel-Tenant installiert werden.

Service Principal Details¶

Warum wird der UTCM SP benötigt?¶

Teams und Exchange Konfigurationen können nicht direkt über die Graph API gelesen werden wie bei Entra ID oder Intune. Stattdessen verwendet Microsoft die UTCM Snapshot Job API:

Entra/Intune/Defender → Direkte Graph API GETs → Read App
Teams/Exchange       → UTCM Snapshot Job API  → UTCM Service Principal

Der UTCM SP führt die Snapshot-Erfassung im Tenant durch und stellt die Ergebnisse über die Graph API bereit.

UTCM SP Setup-Schritte¶

Schritt 1: UTCM SP im Tenant installieren¶

# PowerShell: UTCM Service Principal im Tenant registrieren
Connect-MgGraph -Scopes "Application.ReadWrite.All"
New-MgServicePrincipal -AppId "03b07b79-c5bc-4b5e-9bfa-13acf4a99998"

Schritt 2: Entra Directory Role zuweisen¶

Der UTCM SP benötigt die Global Reader Rolle:

# Global Reader Role dem UTCM SP zuweisen
$utcmSP = Get-MgServicePrincipal -Filter "appId eq '03b07b79-c5bc-4b5e-9bfa-13acf4a99998'"
$globalReaderRole = Get-MgDirectoryRole -Filter "roleTemplateId eq 'f2ef992c-3afb-46b9-b7cf-a126ee74c451'"

New-MgDirectoryRoleMember -DirectoryRoleId $globalReaderRole.Id -DirectoryObjectId $utcmSP.Id

Schritt 3: Permissions auf dem Microsoft Graph SP vergeben¶

Schritt 4: Exchange-spezifische Konfiguration¶

Für Exchange-Workload-Capture sind zusätzliche Schritte erforderlich:

# Application Access Policy für Exchange erstellen (Exchange Online PowerShell)
Connect-ExchangeOnline

New-ApplicationAccessPolicy `
  -AppId "03b07b79-c5bc-4b5e-9bfa-13acf4a99998" `
  -PolicyScopeGroupId "your-security-group@domain.com" `
  -AccessRight RestrictAccess `
  -Description "UTCM Exchange Access"

UTCM SP Workload-Abdeckung¶

Capture-Strategien im Detail¶

TCM365 verwendet zwei unterschiedliche Strategien für die Konfigurationserfassung:

Strategie 1: Direkte Graph API (Read App)¶

TCM365 Backend  →  Microsoft Graph API  →  Konfigurationsdaten
     │                    │
     │  GET /v1.0/...     │
     │  GET /beta/...     │
     └────────────────────┘

Verwendet für: Entra ID, Intune, Defender, SharePoint, Purview, Cloud PC, M365 Platform

Vorteile: - Sofortige Ergebnisse (synchron) - Granulare Kontrolle über abgefragte Ressourcen - Keine Abhängigkeit vom UTCM Service Principal

Benötigt: Nur die Read App Registration mit den entsprechenden Permissions

Strategie 2: UTCM Snapshot Job API (UTCM SP)¶

TCM365 Backend  →  UTCM API  →  Snapshot Job erstellen  →  Job läuft
     │                                                         │
     │  POST /beta/.../snapshotJobs                           │
     │                                                         │
     │  GET /beta/.../snapshotJobs/{id}  ←  Status polling  ←─┘
     │                                         │
     │  GET /beta/.../snapshotJobs/{id}/content ← Ergebnisse abrufen
     └─────────────────────────────────────────┘

Verwendet für: Teams, Exchange, Security & Compliance

Vorteile: - Zugriff auf Workloads die keine direkte Graph API haben - Konsistenter Snapshot-Zeitpunkt über alle Ressourcen - Microsoft-seitige Aggregation der Daten

Benötigt: UTCM Service Principal + Global Reader Rolle + (für Exchange) Application Access Policy

Permission-Zuordnung nach Feature¶

Welches Feature braucht welche Permissions?¶

AuditLog.Read.All wird für Change Attribution benötigt — diese Permission ist in der v2.2-Codebasis als Requirement dokumentiert, aber noch nicht im Permission-Verification-Flow integriert.

Minimale Permission-Sets nach Use Case¶

Use Case 1: Nur Entra ID Monitoring¶

Read App: Directory.Read.All, Policy.Read.All, Policy.Read.PermissionGrant,
          Application.Read.All, Organization.Read.All, RoleManagement.Read.Directory,
          RoleAssignmentSchedule.Read.Directory, RoleEligibilitySchedule.Read.Directory,
          RoleManagementPolicy.Read.Directory, AccessReview.Read.All,
          LifecycleWorkflows.Read.All, AdministrativeUnit.Read.All,
          EntitlementManagement.Read.All, IdentityRiskyUser.Read.All,
          IdentityRiskEvent.Read.All, IdentityRiskyServicePrincipal.Read.All

Write App: Nicht benötigt
UTCM SP: Nicht benötigt

Use Case 2: Vollständiges M365 Monitoring (ohne Rollback)¶

Read App: Alle 41 Permissions (siehe Tabelle oben)
Write App: Nicht benötigt
UTCM SP: Ja (für Teams/Exchange)

Use Case 3: Vollständiges M365 mit Rollback¶

Read App: Alle 41 Permissions
Write App: Alle 12 Write Permissions
UTCM SP: Ja (für Teams/Exchange)

Setup-Wizard Ablauf¶

Der M365 Setup Wizard in TCM365 führt durch die Konfiguration in folgenden Schritten:

Schritt 1: Read App konfigurieren¶

1. Tenant ID, Client ID und Client Secret eingeben
2. TCM365 prüft die Verbindung (Organization.Read.All)
3. Permission-Audit: Welche Permissions sind bereits vergeben?
4. Fehlende Permissions werden angezeigt

Schritt 2: UTCM SP prüfen¶

1. Prüfung ob UTCM SP (03b07b79-c5bc-4b5e-9bfa-13acf4a99998) im Tenant existiert
2. Prüfung der Global Reader Rolle
3. Prüfung der Application Access Policy (Exchange)
4. Anleitung für manuelle Schritte falls nötig

Schritt 3: Write App konfigurieren (Optional)¶

1. Separate Client ID und Client Secret für Write App
2. Write-Permission-Audit
3. Rollback-Fähigkeiten werden freigeschaltet

Schritt 4: Workloads aktivieren¶

1. Auswahl der gewünschten Workloads (Entra, Intune, Teams, Exchange, etc.)
2. Permission-Prüfung pro aktiviertem Workload
3. Test-Snapshot für Validierung

Credential-Speicherung¶

TCM365 speichert die Credentials der App Registrations verschlüsselt in der Datenbank:

Häufige Fragen¶

Kann ich eine einzige App Registration für Read und Write verwenden?¶

Technisch ja, aber es wird nicht empfohlen. Die Trennung bietet: - Besseren Schutz bei Kompromittierung (Read App kann nichts ändern) - Klarere Audit Trails - Unabhängige Credential-Rotation

Brauche ich alle Permissions sofort?¶

Nein. TCM365 arbeitet workload-basiert — Sie müssen nur Permissions für die Workloads vergeben, die Sie tatsächlich überwachen wollen. Wenn Sie z.B. nur Entra ID monitoren, brauchen Sie weder Intune- noch Teams-Permissions.

Was passiert wenn eine Permission fehlt?¶

TCM365 wird den betroffenen Workload beim Snapshot übersprungen und eine Warnung anzeigen. Der Rest des Snapshots wird normal erfasst. Der Setup-Wizard zeigt fehlende Permissions an.

Warum braucht die Read App ConfigurationMonitoring.ReadWrite.All?¶

Für das Erstellen von UTCM Configuration Monitors (Drift Detection) muss TCM365 Monitors anlegen können — das erfordert .ReadWrite.All. Für reines Snapshot-Lesen würde .Read.All genügen.

Kann ich den UTCM SP weglassen?¶

Ja, aber dann können Teams und Exchange Konfigurationen nicht erfasst werden. Entra ID, Intune, Defender, SharePoint, Purview und Cloud PC funktionieren weiterhin über die direkte Graph API.

Welche Permissions brauche ich für Copilot Readiness?¶

Minimal: - Organization.Read.All (Lizenzen prüfen) - SecurityAlert.Read.All (Defender XDR Status) - InformationProtectionPolicy.Read.All (Purview Labels) - Entra-Standard-Permissions (für Identity-Checks)

Vollständige Permission-Liste (Quick Reference)¶

Read App — 41 Application Permissions¶

# Entra ID (16)
Directory.Read.All
Policy.Read.All
Policy.Read.PermissionGrant
Application.Read.All
Organization.Read.All
RoleManagement.Read.Directory
RoleAssignmentSchedule.Read.Directory
RoleEligibilitySchedule.Read.Directory
RoleManagementPolicy.Read.Directory
AccessReview.Read.All
LifecycleWorkflows.Read.All
AdministrativeUnit.Read.All
EntitlementManagement.Read.All
IdentityRiskyUser.Read.All
IdentityRiskEvent.Read.All
IdentityRiskyServicePrincipal.Read.All

# Intune (5)
DeviceManagementConfiguration.Read.All
DeviceManagementApps.Read.All
DeviceManagementManagedDevices.Read.All
DeviceManagementServiceConfig.Read.All
DeviceManagementRBAC.Read.All

# Defender (7)
SecurityEvents.Read.All
SecurityAlert.Read.All
SecurityIncident.Read.All
AttackSimulation.Read.All
ThreatAssessment.Read.All
SecurityIdentitiesHealth.Read.All
SecurityIdentitiesSensors.Read.All

# SharePoint (2)
SharePointTenantSettings.Read.All
Sites.Read.All

# Purview (3)
InformationProtectionPolicy.Read.All
RecordsManagement.Read.All
eDiscovery.Read.All

# Cloud PC (1)
CloudPC.Read.All

# M365 Platform (5)
Domain.Read.All
ServiceHealth.Read.All
ServiceMessage.Read.All
Teamwork.Read.All
AppCatalog.Read.All

# UTCM (2)
ConfigurationMonitoring.Read.All
ConfigurationMonitoring.ReadWrite.All

Write App — 12 Application Permissions¶

# Entra ID (7)
Policy.ReadWrite.ConditionalAccess
Policy.ReadWrite.AuthenticationMethod
Policy.ReadWrite.Authorization
Directory.ReadWrite.All
RoleManagement.ReadWrite.Directory
Application.ReadWrite.All
Organization.ReadWrite.All

# Intune (3)
DeviceManagementConfiguration.ReadWrite.All
DeviceManagementApps.ReadWrite.All
DeviceManagementServiceConfig.ReadWrite.All

# Defender (1)
SecurityEvents.ReadWrite.All

# SharePoint (1)
SharePointTenantSettings.ReadWrite.All

UTCM Service Principal — Setup Requirements¶

# App ID: 03b07b79-c5bc-4b5e-9bfa-13acf4a99998

# Entra Directory Role
Global Reader (Template ID: f2ef992c-3afb-46b9-b7cf-a126ee74c451)

# Microsoft Graph SP Permission
Organization.Read.All (on 00000003-0000-0000-c000-000000000000)

# Exchange Online SP Permission (nur für Exchange Workload)
Exchange.ManageAsApp (on 00000002-0000-0ff1-ce00-000000000000)

# Exchange Application Access Policy (manuell)
New-ApplicationAccessPolicy -AppId "03b07b79-c5bc-4b5e-9bfa-13acf4a99998" ...