Adgang for en ekstern sagkyndig: roller i Entra ID, Purview, Google og AD

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

En ekstern IT-sagkyndig skal sjældent have globale administratorrettigheder. I de fleste sager er det nok med læseadgang til konfiguration og logs samt rettigheder til at søge, bevare og eksportere data. Adgangen bør gives til en navngiven konto, begrænses i tid, logges og fjernes igen, når opgaven er slut. Så bevarer IT kontrollen, og sikringen bliver efterprøvelig.

Hvad IT stiller op, før en fjernsikring går i gang, er beskrevet samlet under fjernsikring: det IT stiller op. Her er den tekniske dybde om roller og rettigheder pr. platform. Rollenavne og rettigheder ændres løbende hos leverandørerne, så kontrollér altid mod den aktuelle dokumentation, før rollerne tildeles. Navnene nedenfor er de engelske rollenavne på tidspunktet for gennemgangen (oktober 2026).

Principperne

Én konto pr. person. Den sagkyndige får en personlig konto, ikke en delt servicekonto og ikke en eksisterende medarbejders konto. Så kan alle handlinger henføres i auditloggen.
Mindst mulige rettigheder. Start med læseroller og tilføj kun det, opgaven kræver.
Tidsbegrænsning. Rollen aktiveres for opgavens varighed og udløber automatisk.
Stærk autentifikation. MFA er et krav, gerne med en betinget adgangsregel, der begrænser kontoen.
Logning og gennemsyn. IT kan til enhver tid se, hvad kontoen har gjort, og bør gøre det.
Fjernelse og dokumentation. Når opgaven er slut, fjernes rollerne, kontoen deaktiveres, og fjernelsen noteres.

Hvorfor ikke bare give fuld administratoradgang?

Det er fristende at give den sagkyndige Global Administrator eller Super Admin, fordi det fjerner alle forhindringer. Det er en dårlig idé af tre grunde. For det første kan en konto med fulde rettigheder ændre det, der skal sikres, også ved en fejl. For det andet bliver det sværere at vise bagefter, at sikringen ikke har påvirket data, fordi kontoen kunne have gjort det. For det tredje er en ekstern konto med fulde rettigheder et sikkerhedsproblem i sig selv, særligt hvis hændelsen bag sagen er et angreb. Læseroller og afgrænsede eDiscovery-rettigheder gør sikringen mere troværdig, ikke mindre.

Microsoft Entra ID

I Entra ID er der indbyggede roller, der giver læseadgang uden at give mulighed for at ændre:

Global Reader · Læse konfiguration, brugere, enheder og politikker på tværs af tjenester uden at ændre noget
Security Reader · Læse sikkerhedsrelaterede oplysninger og rapporter, fx risikohændelser
Reports Reader · Læse rapporter og brugsdata

Til loginlogs og auditlogs i Entra ID er en læserolle normalt tilstrækkelig. Global Reader dækker bredt og er ofte det enkleste valg til kortlægning, men den kan ikke alt; nogle eksportveje og API-kald kræver yderligere tilladelser. Skal der eksporteres via Microsoft Graph, kan det være nødvendigt med en app-registrering med specifikke læsetilladelser. Den bør oprettes af IT, begrænses til de nødvendige tilladelser og slettes bagefter.

Med Privileged Identity Management kan rollen gøres “eligible” frem for permanent, så den sagkyndige skal aktivere den med begrundelse, og aktiveringen udløber efter en fastsat tid. Det giver en ekstra log over, hvornår rettighederne faktisk var i brug. PIM kræver på tidspunktet for gennemgangen (oktober 2026) Entra ID P2 eller Entra ID Governance, fx som en del af Microsoft 365 E5. Hvordan rolletildelinger senere kan efterprøves, er beskrevet i privilegerede roller: tildelinger og ændringshistorik.

Microsoft Purview

Bevaring, søgning og eksport af mail, OneDrive, SharePoint og Teams sker i Purview. Her styres rettigheder via rollegrupper:

eDiscovery Manager kan oprette sager, lægge hold, søge og eksportere i de sager, personen selv har oprettet eller er medlem af.
eDiscovery Administrator har de samme rettigheder for alle sager i organisationen og bør normalt ikke gives til en ekstern.
Audit-læseroller giver adgang til at søge og eksportere i auditloggen uden at give eDiscovery-adgang til indhold.

Et godt mønster er, at IT opretter sagen og tilføjer den sagkyndige som medlem. Så er adgangen begrænset til den konkrete sag, og IT kan se alle søgninger og eksporter, fordi Purview selv logger dem. Fremgangsmåden ved hold og eksport er beskrevet i Microsoft Purview eDiscovery.

Tænk også over afgrænsningen. eDiscovery kan i princippet søge i alle postkasser. Aftal skriftligt, hvilke personer, perioder og kilder sagen omfatter, og overvej Purviews afgrænsningsmuligheder, hvis organisationen er stor: rollen kan tildeles for bestemte administrative enheder i stedet for hele organisationen, og compliance boundaries kan begrænse, hvilke placeringer en eDiscovery-bruger kan søge i.

Google Workspace

Google Workspace har forudindstillede administratorroller, men ingen af dem passer præcist til en ekstern sikring. Det mest kontrollerede er en tilpasset rolle med netop de nødvendige privilegier:

adgang til rapporter og auditlogs (logsøgning for login, admin, Drive, Gmail)
adgang til Google Vault med rettigheder til at oprette eller se sager, lægge hold, søge og eksportere
eventuelt læseadgang til brugere og enheder til kortlægning

Super Admin bør ikke tildeles. En rolle, der kun indeholder Vault-privilegierne Manage Matters, Manage Holds, Manage Searches og Manage Exports, kan begrænses til bestemte organisationsenheder; andre Vault-privilegier gælder hele organisationen. Den sagkyndige skal desuden have en Vault-licens. Vault logger selv alle handlinger, så IT kan efterprøve, hvad der er søgt og eksporteret. Se Google Vault og revisionslogs for, hvad der kan eksporteres.

Active Directory og Windows-servere

Lokalt er behovet typisk læseadgang til hændelseslogs og mulighed for at hente filer eller lave en kopi.

Event Log Readers er en indbygget gruppe, der giver læseadgang til hændelseslogs på maskiner, hvor gruppen gælder. På domænecontrollere er det den domænelokale gruppe, der skal bruges.
Læseadgang til AD har en almindelig domænebruger i forvejen for de fleste objekter. Det er ofte nok til kortlægning af konti og grupper.
Backup Operators og Domain Admins giver langt mere, end en sikring kræver, og bør undgås. Er en fuld kopi af en server nødvendig, er det normalt bedre, at IT udfører eksporten eller snapshottet under den sagkyndiges anvisning, eller at der gives lokal administratoradgang til den ene server i en afgrænset periode.

Betinget adgang og overvågning af kontoen

Den sagkyndiges konto bør være omfattet af de samme eller strengere regler som organisationens egne administratorer. En betinget adgangsregel kan kræve MFA ved hvert login, begrænse login til bestemte lande eller IP-adresser og blokere ældre protokoller. Opret gerne en alarm eller en gemt søgning i auditloggen, så IT løbende kan se kontoens aktivitet. Det er ikke mistillid; det er den samme kontrol, som en revisor eller en modpart senere vil spørge efter.

Fjernadgangen selv

Adgangen til miljøet bør ske via en løsning, IT kontrollerer: en VPN-konto, en jumphost eller en fjernsession, der kan følges. Undgå at installere fjernadgangsværktøjer, som IT ikke kender. Sørg for, at den sagkyndiges uploadkanal til sikrede data er aftalt, og at data krypteres under overførsel. Hvordan sikrede data beskyttes undervejs, er beskrevet i sådan beskyttes jeres data under opgaven.

Når opgaven er slut

Fjern alle roller og gruppemedlemskaber.
Deaktiver kontoen, og slet den efter den aftalte periode.
Slet app-registreringer og tokens, der er oprettet til opgaven.
Gem en eksport af kontoens auditposter, så den sagkyndiges handlinger kan dokumenteres senere.
Notér dato og person for fjernelsen.

Den sidste eksport er vigtig. Den viser, at den sagkyndige kun har gjort det, der var aftalt, og den kan blive relevant, hvis modparten senere stiller spørgsmål ved sikringen.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Vi har allerede rørt maskinen: hvad der stadig kan reddes · Når MSP’en henvender sig på kundens vegne

→ Forensisk sikring · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik