> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Microsoft Azure Authorization

> Verbinden Sie die rollenbasierte Zugriffssteuerung von Microsoft Azure und Azure Policy über OAuth und die Azure Resource Manager API mit Iru Compliance.

### Über Microsoft Azure Authorization

Die Quelle **Microsoft Azure Authorization** liest **Azure RBAC**-Rollenzuweisungen und -Rollendefinitionen sowie **Azure Policy**-Definitionen und -Zuweisungen aus dem verbundenen Abonnement. Die Nachweise in Iru zeigen, **wer worauf zugreifen kann** und **welche Richtlinien zugewiesen sind**; Iru schreibt keine Änderungen zurück nach Azure. Iru verwendet **delegiertes OAuth 2.0** gegenüber **Azure Resource Manager** im Namen des angemeldeten Benutzers, sodass die Erfassung die vorhandenen Azure-Berechtigungen dieses Benutzers berücksichtigt.

### So funktioniert es

Iru verwendet den **OAuth 2.0 Authorization Code Flow** von Microsoft (delegierte Berechtigungen) gegenüber **Azure Resource Manager** (`management.azure.com`). Nachdem Sie sich im Pop-up angemeldet und zugestimmt haben, erhält Iru ein kurzlebiges Zugriffstoken und erneuert es automatisch (gegebenenfalls einschließlich rotierender Aktualisierungstokens).

Der angeforderte OAuth-Scope lautet:

`https://management.azure.com/user_impersonation`

Dieser gewährt **Lese**zugriff auf ARM-APIs **als angemeldeter Benutzer**, begrenzt durch die RBAC-Berechtigungen dieses Benutzers für das Abonnement.

| Detail | Wert |
| - | - |
| **Kategorie** | Entwicklertools |
| **Authentifizierung** | OAuth 2.0 (Microsoft Entra ID, Azure Resource Manager) |
| **Anbietertarif** | Jedes Azure-Abonnement |

#### Was Iru erfasst

| Datentyp | Azure ARM-Ressourcentyp |
| - | - |
| Rollenzuweisungen | `Microsoft.Authorization/roleAssignments` |
| Rollendefinitionen (integriert und benutzerdefiniert) | `Microsoft.Authorization/roleDefinitions` |
| Azure Policy-Definitionen | `Microsoft.Authorization/policyDefinitions` |
| Azure Policy-Zuweisungen | `Microsoft.Authorization/policyAssignments` |

Iru ändert **keine** Rollenzuweisungen oder Richtlinienkonfigurationen.

Offizielle Referenzen: [Azure RBAC-Dokumentation](https://learn.microsoft.com/azure/role-based-access-control/overview), [REST API](https://learn.microsoft.com/rest/api/authorization/), [Rollenzuweisungen auflisten (Konzept)](https://learn.microsoft.com/azure/role-based-access-control/role-assignments-list-rest), [Integrierte Rollen](https://learn.microsoft.com/azure/role-based-access-control/built-in-roles), [OAuth 2.0 Authorization Code Flow](https://learn.microsoft.com/entra/identity-platform/v2-oauth2-auth-code-flow).

### Voraussetzungen

* Ein **Microsoft Entra ID**-Konto, das sich beim [Azure-Portal](https://portal.azure.com) anmelden kann.
* Mindestens die integrierte Rolle **Reader** (oder gleichwertigen Lesezugriff) für das **Abonnement**, das Iru lesen soll. Diese umfasst `Microsoft.Authorization/*/read` für Zuweisungen, Definitionen und Richtlinienmetadaten.
* Browser-**Pop-ups** sind zugelassen, damit der Connector-Assistent beim Aktivieren der Quelle geöffnet werden kann.

So bestätigen Sie den Zugriff: **Subscriptions** → Ihr Abonnement → **Access control (IAM)** → **View my access**, und prüfen Sie, ob **Reader** (oder höher) für diesen Bereich vorhanden ist.

Wenn Sie eine Rollenzuweisung benötigen, kann Ihr Abonnementadministrator die Azure CLI verwenden (ersetzen Sie die Platzhalter):

```bash theme={null}
az role assignment create \
  --assignee <your-user-principal-name> \
  --role "Reader" \
  --scope /subscriptions/<subscription-id>
```

### Microsoft Azure Authorization mit Iru verbinden

Bestätigen Sie zuerst unter **Microsoft Azure** den Portalzugriff und die **Reader**-Abdeckung und schließen Sie dann OAuth in **Iru Compliance** ab. Der Assistent zeigt **Step 1 of 1: Perform OAuth Authentication** an.

<Tabs>
  <Tab title="Microsoft Azure">
    <Note>
      Schließen Sie diese Registerkarte ab, bevor Sie OAuth in **Iru Compliance** starten.
    </Note>

    <Steps>
      <Step title="Beim Azure-Portal anmelden">
        Öffnen Sie [portal.azure.com](https://portal.azure.com) und melden Sie sich mit dem **Microsoft Entra ID**-Konto an, das Sie im Iru-Assistenten verwenden (derselbe Tenant, den Iru lesen soll).
      </Step>

      <Step title="Zielabonnement öffnen">
        Suchen Sie nach **Subscriptions** und öffnen Sie das **Abonnement**, dessen **Authorization**-Metadaten (Rollenzuweisungen, Definitionen, Richtlinien) Iru erfassen soll.
      </Step>

      <Step title="Reader-Zugriff überprüfen">
        Öffnen Sie im Abonnement **Access control (IAM)** → **View my access**. Bestätigen Sie, dass **Reader** angezeigt wird (oder eine andere Rolle, die `Microsoft.Authorization/*/read` für diesen Bereich umfasst), wie unter **Voraussetzungen** beschrieben.
      </Step>

      <Step title="Pop-ups im Browser zulassen">
        Lassen Sie **Pop-ups** für Ihren **Iru**-Hostnamen zu, damit der Microsoft-Zustimmungsbildschirm aus dem Connector-Assistenten geöffnet werden kann.
      </Step>

      <Step title="Fallstricke bei mehreren Tenants beachten">
        Wenn Ihr Unternehmen mehrere Microsoft Entra ID-Tenants verwendet, melden Sie sich im selben Browserprofil von persönlichen Microsoft-Konten ab oder verwenden Sie ein privates Fenster, damit das OAuth-Pop-up das **richtige** Geschäftskonto auswählt.
      </Step>
    </Steps>

    <Note>
      Fahren Sie auf der Registerkarte [**Iru Compliance**](#iru-compliance) fort.
    </Note>
  </Tab>

  <Tab title="Iru Compliance">
    <Note>
      Schließen Sie zuerst die Registerkarte [**Microsoft Azure**](#microsoft-azure) ab.
    </Note>

    <Steps>
      <Step title="Quellen öffnen">
        Erweitern Sie in Iru Compliance in der linken Navigationsleiste **Compliance** und wählen Sie **Quellen**.

        <Frame>
          <img src="https://mintcdn.com/iru/tI0HDLDwHj8r9Ile/assets/media/images/iru-navigation-compliance-sources.png?fit=max&auto=format&n=tI0HDLDwHj8r9Ile&q=85&s=87dcef15fc17d2fb9a6e53f454e41710" alt="Linke Navigation: Compliance erweitert, Sources ausgewählt" width="410" height="1024" data-path="assets/media/images/iru-navigation-compliance-sources.png" />
        </Frame>
      </Step>

      <Step title="Integration aktivieren">
        Suchen Sie **Microsoft Azure Authorization** (setzen Sie **Kategorie** auf **Developer tools** oder verwenden Sie **Nach Name oder Beschreibung suchen**). Aktivieren Sie auf dieser Karte den **Schalter**, um den Connector-Assistenten zu starten.
      </Step>

      <Step title="OAuth starten und anmelden">
        Wählen Sie **Launch OAuth Authentication**. Wenn sich das Microsoft-Fenster öffnet, melden Sie sich mit demselben Konto an, das Sie im Azure-Portal überprüft haben, und wählen Sie auf dem Zustimmungsbildschirm **Accept**.
      </Step>

      <Step title="Verbindung abschließen">
        Wenn sich das OAuth-Fenster schließt und Iru den Austausch abgeschlossen hat, zeigt der Assistent **Verbindung konfiguriert** an.
      </Step>

      <Step title="Bestätigen, dass die Quelle aktiv ist">
        Schließen Sie die Browser-Registerkarte **Iru fordert Zugriff auf externe Dienste an**, kehren Sie dann zu **Compliance** → **Quellen** zurück und bestätigen Sie, dass die Karte **Microsoft Azure Authorization** den Status **Aktiv** hat.
      </Step>
    </Steps>
  </Tab>
</Tabs>

Autorisierungsmetadaten werden auf **Abonnement**ebene gelesen. Um **mehrere Abonnements** abzudecken, wiederholen Sie den Ablauf für jedes Abonnement oder verwenden Sie ein Konto mit **Reader** für jedes benötigte Abonnement.

### Fehlerbehebung

<AccordionGroup>
  <Accordion title="Beim Aktivieren der Quelle öffnet sich nichts">
    Prüfen Sie die Einstellungen des **Pop-up-Blockers** für die Iru-Website und versuchen Sie es erneut.
  </Accordion>

  <Accordion title="Unzureichende Berechtigungen oder leere Daten">
    Bestätigen Sie, dass das authentifizierende Konto die Rolle **Reader** für das **Abonnement** hat (siehe **Voraussetzungen**).
  </Accordion>

  <Accordion title="Falscher Microsoft Entra-Tenant">
    Wenn Ihre Organisation mehrere Tenants hat, melden Sie sich im Microsoft-Pop-up **ab** und mit dem Konto für den **richtigen** Tenant an.
  </Accordion>

  <Accordion title="Status „Broken“ oder erneute Authentifizierung">
    Zugriffstokens werden etwa stündlich erneuert, solange die Verbindung aktiv ist. Wenn die Aktualisierung unterbrochen wird (zum Beispiel nach längerer Inaktivität), zeigt die Karte möglicherweise **Broken** an. **Deaktivieren** und **aktivieren** Sie die Quelle und schließen Sie OAuth erneut ab.
  </Accordion>
</AccordionGroup>

### Verwandte Artikel

<CardGroup cols={2}>
  <Card title="Quellenverwaltung" icon="plug" href="/de/compliance/sources-management">
    Alle Compliance-Quellen durchsuchen und verwalten.
  </Card>

  <Card title="Erste Schritte mit Compliance" icon="rocket" href="/de/compliance/getting-started-with-compliance">
    Frameworks, Aktionen und **Artefakte**.
  </Card>

  <Card title="Iru-Übersicht" icon="layer-group" href="/de/iru/platform-overview/iru-overview">
    Wie Endpoint, Compliance und Identity zusammenwirken.
  </Card>

  <Card title="Artifacts-Verwaltung" icon="folder-open" href="/de/compliance/artifacts-management">
    Nachweise aus Quellen und Aktionen hochladen, prüfen und organisieren.
  </Card>
</CardGroup>