Governance Autopilot

Governance Autopilot liest die Konfigurations- und Aktivitätssignale eines Microsoft-365-Tenants über Microsoft Graph mit schreibgeschützten, admin-konsentierten Anwendungsberechtigungen, bewertet sie anhand eines Katalogs von Governance-Richtlinien und speichert die abgeleiteten Ergebnisse in von Solutions2Share betriebenen Azure-Diensten — Tenant-Daten des Kunden werden zu keinem Zeitpunkt verändert.

Microsoft 365-Zertifizierung

Governance Autopilot ist ein neues Produkt von Solutions2Share und noch nicht Microsoft 365-zertifiziert. Solutions2Share beabsichtigt, die Microsoft 365 App-Zertifizierung im Rahmen der Produkt-Roadmap abzuschließen. Bis zur Erteilung der Zertifizierung wird die Anwendung nach dem Microsoft Security Development Lifecycle und den auf dieser Seite beschriebenen Praktiken entwickelt.

Datenverwaltungspraktiken

Alle Daten werden im Auftrag des Kunden-Tenants verarbeitet und pro Tenant isoliert (siehe Architektur- und Flussdiagramm). Governance Autopilot erfasst Daten ausschließlich lesend; es schreibt keine Daten in den Kunden-Tenant und verändert dort nichts. Die Daten werden in Microsoft-Azure-Rechenzentren gespeichert, die Solutions2Share in der Region Germany West Central (EU) betreibt; die Web-Frontends werden aus der Region West Europe (EU) ausgeliefert. Kundendaten verlassen die EU nicht.

Die Anwendung greift auf folgende Datentypen zu, verarbeitet und speichert sie:

Identitäts- und Verzeichnisdaten

Benutzerkonten, Gruppen und Gruppenmitgliedschaften, Verzeichnisrollen und Organisationseigenschaften. Speicherung & Aufbewahrung: Gespeichert in Azure SQL Database. Aktuelle Werte werden für die Dauer des Kundenabonnements vorgehalten; historische Versionen werden aufbewahrt, um Governance-Trends über die Zeit darzustellen (siehe Änderungshistorie unten). Alle Kundendaten werden für die Dauer des Abonnements aufbewahrt und mit Vertragsende gelöscht.

Microsoft Teams-Kollaborationsdaten

Microsoft Teams-Kanäle — Namen, Beschreibungen und Mitgliedschaften — zur Inventarisierung von Arbeitsbereichen und zur Erkennung von Arbeitsbereichen ohne Besitzer oder mit hohem Gastanteil. Nachrichteninhalte werden nicht gelesen. Speicherung & Aufbewahrung: Azure SQL Database; Aufbewahrung wie oben.

SharePoint- und Datei-Metadaten

SharePoint-Site-Inventar sowie Datei-/Site-Metadaten für die Storage-Hygiene-Analyse. Governance Autopilot extrahiert und speichert keine Dokumentinhalte. Speicherung & Aufbewahrung: Azure SQL Database; Aufbewahrung wie oben.

Audit-Protokolle

Verzeichnis- und Anmelde-Audit-Protokolle zur Erkennung veralteter Anmeldungen und von Lücken in der Audit-Konfiguration. Speicherung & Aufbewahrung: Roh-Crawl-Daten werden zunächst pro Tenant in einen Azure Data Lake geschrieben und anschließend in Azure SQL Database zusammengeführt; Aufbewahrung wie oben.

Tenant-Konfiguration und Richtlinien

Conditional-Access- und Autorisierungsrichtlinien, Verzeichnisrollen-Zuweisungen (RBAC), Access-Review-Definitionen und -Entscheidungen sowie Anwendungs-/Service-Principal-Registrierungen — gelesen zur Bewertung der Governance-Posture. Speicherung & Aufbewahrung: Azure SQL Database; Aufbewahrung wie oben.

Governance-Analyseergebnisse

Abgeleitete Scores, Richtlinienbefunde, Empfehlungen und Analyse-Snapshots — von Governance Autopilot berechnet, nicht aus dem Tenant gelesen. Speicherung & Aufbewahrung: Azure SQL Database für die Laufzeit des Abonnements. Teilbare Berichtslinks sind optional und zeitlich begrenzt (Standard 14 Tage, maximal 90 Tage).

Identität des angemeldeten Administrators

Anzeigename, E-Mail/UPN, Objekt-ID und Tenant-ID des Administrators, der sich anmeldet — zur Identitätsfeststellung und Zugriffskontrolle. Speicherung & Aufbewahrung: Azure SQL Database für die Laufzeit des Abonnements.

Änderungshistorie. Konfigurationsdaten werden versioniert (Slowly-Changing-Dimension-Historie), damit das Produkt zeigen kann, wie sich die Governance-Posture eines Tenants über die Zeit verändert. Unveränderliche Audit-Ereignisse werden angehängt, nicht überschrieben.

Microsoft Graph

Governance Autopilot verwendet die unten aufgeführten Microsoft-Graph-Berechtigungen auf einer einzigen mandantenfähigen Microsoft-Entra-App-Registrierung. Die Tenant-Datenerfassung nutzt schreibgeschützte Anwendungsberechtigungen; ein Tenant-Administrator erteilt die Zustimmung einmalig, danach läuft die Hintergrundanalyse ohne anwesenden Benutzer. Die einzige delegierte Berechtigung ist User.Read; sie dient ausschließlich der Anmeldung des Administrators — der Browser erhält zu keinem Zeitpunkt ein Microsoft-Graph-Token für Tenant-Daten. Die Scope-Namen entsprechen wörtlich der App-Registrierung und werden als Code dargestellt.

Vollständige Beschreibungen aller Berechtigungen sind in der Microsoft Graph-Berechtigungsreferenz veröffentlicht.

SharePoint-/weitere Workload-Berechtigungen

In der aktuellen Version nicht zutreffend. Governance Autopilot liest SharePoint-Daten ausschließlich über Microsoft Graph (Sites.Read.All, Files.Read.All). Eine künftige Version kann erweiterte External-Sharing-Prüfungen ergänzen, die eine SharePoint-Tenant-Administrations-Leseberechtigung mit zertifikatsbasierter Application-Only-Authentifizierung erfordern; dies ist geplant und wird heute nicht verwendet.

Microsoft Teams-Apps: Sicherheit und Compliance

Nicht zutreffend. Governance Autopilot ist eine Webanwendung. Sie wird nicht als Microsoft Teams-App vertrieben und läuft nicht innerhalb von Microsoft Teams.

Architektur- und Flussdiagramm

Datenfluss: (1) Der Tenant-Administrator meldet sich an App Service Front (dem Web-Frontend) an, das App Service Back (die Governance-API) aufruft; (2) App Service Back validiert die Produktberechtigung gegen das Solutions2Share License Management Center und stellt eine Analyse in Service Bus ein; (3) die Function App liest den Microsoft-365-Tenant des Kunden über Microsoft Graph (schreibgeschützt, application-only) und schreibt Rohdaten in das Storage-Konto; (4) die Daten werden in Azure SQL zusammengeführt (Staging → Historie) und anhand der Governance-Richtlinien bewertet; (5) App Service Back liest die Ergebnisse für App Service Front zurück. Alle Compute-Komponenten senden Telemetrie an Application Insights und Log Analytics.

Governance Autopilot verwendet ein hybrides Authentifizierungsmodell auf einer einzigen mandantenfähigen Microsoft-Entra-App-Registrierung mit drei bewusst getrennten Abläufen:

1. Anmeldung (delegiert). Der Administrator meldet sich mit seinem Microsoft-Geschäftskonto an. Die App stellt ausschließlich die Identität fest — bei der Anmeldung wird keine Microsoft-Graph-Berechtigung angefordert.
2. Zustimmung (Anwendung). Der Administrator erteilt die schreibgeschützten Graph-Anwendungsberechtigungen einmalig. Die Zustimmung ist ein kontrollierter, manueller Schritt und erfolgt niemals automatisch.
3. Analyse (application-only). Hintergrundprozesse authentifizieren sich gegenüber Microsoft Graph mit einem in Azure Key Vault hinterlegten Zertifikat (kein gemeinsames Client-Secret) und lesen Tenant-Daten. Der Browser erhält niemals ein Graph-Token.

Die Tenant-Isolation wird durch die in jedem Token enthaltene Tenant-ID erzwungen; Token und Daten können Tenant-Grenzen nicht überschreiten.

Ressourcen-Endpunkte

Domains, die aus dem Netzwerk bzw. Browser des Kunden erreichbar sein müssen.

Ausgehende Backend-Verbindungen (informativ)

Ausgehende Aufrufe des von Solutions2Share betriebenen Backends. Diese sind kundenseitig nicht konfigurierbar und werden aus Transparenzgründen aufgeführt.

Abhängigkeiten

Von Governance Autopilot verwendete Drittanbieter-Bibliotheken. Die Versionen entsprechen dem aktuellen Release.

Server

Client-Pakete

Build- und Test-Tooling

Nur für Build und Test der App verwendet; wird nicht an den Browser ausgeliefert.

Governance Autopilot verwendet keine Analyse- oder Werbe-Tracker von Drittanbietern. Zur Laufzeit werden Kundendaten ausschließlich an Microsoft-/Azure-Dienste und das Solutions2Share License Management Center übermittelt; Web-Schriftarten werden vom Google-Fonts-CDN geladen (fonts.googleapis.com, fonts.gstatic.com).