Wer kann in Entra ID Unternehmens-Apps anlegen oder installieren?

**Standardmäßig können in Microsoft Entra ID nur Benutzer mit passenden Admin-Rollen Unternehmensanwendungen zentral anlegen; ob normale Nutzer Apps selbst hinzufügen dürfen, hängt zusätzlich von einer Mandanten-Einstellung ab.** ## Entscheidend ist der Unterschied „Unternehmensanwendungen“ in Entra ID sind meist **Service Principals** von SaaS- oder eigenen Apps. Die kann man auf zwei Arten ins Tenant bringen: - **zentral durch Admins** aus dem App-Katalog oder per App-Registrierung - **teilweise auch durch normale Benutzer**, wenn Self-Service bzw. Benutzerzustimmung im Tenant erlaubt ist Das wird oft verwechselt: **Nicht jeder, der eine App nutzen kann, darf auch eine Unternehmensanwendung im Tenant erzeugen.** ## Wer darf das typischerweise In der Praxis kommen vor allem diese Rollen infrage: - **Global Administrator** - **Cloud Application Administrator** - **Application Administrator** Diese Rollen können Unternehmensanwendungen in der Regel erstellen, konfigurieren und verwalten. Microsoft beschreibt die Rollen und ihre Berechtigungen in der [Rollenübersicht für Entra ID](https://learn.microsoft.com/de-de/entra/identity/role-based-access-control/permissions-reference) sowie bei den [Unternehmensanwendungen in Microsoft Entra ID](https://learn.microsoft.com/de-de/entra/identity/enterprise-apps/what-is-enterprise-app-management). ## Können normale Benutzer Apps installieren **Ja, unter Umständen – aber nur wenn ihr Tenant das zulässt.** Entscheidend sind vor allem diese Einstellungen: - ob **Benutzer Anwendungen aus dem Katalog hinzufügen dürfen** - ob **Benutzer einer App selbst zustimmen dürfen** (`user consent`) - ob ein **Admin-Consent-Workflow** eingerichtet ist Wenn diese Optionen eingeschränkt sind, können normale Benutzer keine neue Unternehmensanwendung anlegen, auch wenn sie die App gern nutzen würden. ## Praktische Faustregel - **Zentrale, saubere Bereitstellung für die Firma:** Admin-Rolle nötig - **Einzelner Nutzer bindet selbst eine SaaS-App an:** nur möglich, wenn Benutzerzustimmung und App-Hinzufügen erlaubt sind - **Sicherheitskritische oder breit berechtigte Apps:** sollten praktisch immer nur durch Admins freigegeben werden Der wichtige Punkt für dich: **Ob jemand Entra-ID-Unternehmensapps „anlegen“ kann, ist nicht nur eine Rollenfrage, sondern auch eine Frage der Tenant-Policies.**