MS Teams Admin-Rechte delegieren – Helpdesk und lokale IT einbinden
Große Unternehmen mit einer zentralen IT-Abteilung beschließen oft, die Verwaltung von MS Teams ausschließlich in den Händen ihrer Corporate IT zu belassen. Damit beschränken sie die Handlungsfähigkeit ihrer lokalen IT-Teams und Helpdesks in den Niederlassungen. Mit der Zeit macht so eine zentralisierte Herangehensweise Probleme, denn sie belastet die zentrale IT mehr, als nötig und schafft Frustrationen auf Seiten der Anwender.
Mit my-IAM TeamSpace erhalten Sie Delegations-Ebenen in MS Teams, welche die Verwaltung dezentralisieren und um ein Vielfaches vereinfachen. Lesen Sie weiter, wie Sie MS Teams Admin-Rechte sinnvoll delegieren mit my-IAM TeamSpace – ohne das Teams Admin Center zu benötigen.
Index
Sinnvolle Delegation der Teams Admin-Rechte
Es liegt auf der Hand: Wenn die zentrale IT alle Aufgaben rund um MS Teams übernimmt, beschäftigt sie sich nicht nur mit der Konfiguration und Verwaltung, sondern kümmert sich auch um die täglichen Probleme und Anfragen aller Anwender. Dabei ist MS Teams nur eine von vielen Business-Applikationen. Je größer das Unternehmen, desto umfangreicher also wird der Aufgabenberg.
Das größte Manko ist, dass bei einer zentralisierten Herangehensweise den lokalen IT-Mitarbeitern in den Standorten die Berechtigungen fehlen, um vor Ort bei Alltagsproblemen helfen zu können. Sie besitzen keinen Zugriff auf das Teams Admin Center oder das Entra ID Portal.
Der Zugriff auf das Teams Admin Center ist normalerweise auf IT-Administratoren oder eine spezialisierte IT-Abteilung beschränkt, die für die Verwaltung von Microsoft Teams im Unternehmen verantwortlich sind.
Doch in der Praxis bedeutet es: Wenn Anwender selbst keine Teams erstellen können, müssen sie sich an die zentrale IT wenden, und um Hilfe bitten. Häufig hören wir, dass der lokale Helpdesk nichts machen kann, wenn bspw. verwaiste Teams entstehen. Leider sind die Ansprechpartner in der Corporate IT den lokalen Mitarbeitern oft gar nicht bekannt. Sie suchen dann nach alternativen Wegen, da sie mit der Problemlösung nicht vorankommen. Lesen Sie dazu auch unseren Artikel „Verwaiste Teams reaktivieren mit my-IAM TeamSpace“.
Wir schlagen vor, ausgewählte Teams-Aufgaben zu delegieren und über my-IAM TeamSpace durchzuführen. Standardaufgaben kann auch der Helpdesk gut managen, um den Kollegen vor Ort zu helfen. Mit einer sicheren Delegationsebene erhalten die lokalen IT Teams Berechtigungen, um wichtige Handgriffe zu erledigen – ohne das Teams Admin Center.
Verschiedene Rollenkonzepte in MS Teams
Administratorrollen
Die Limitierung von Teams auf Admin (Teams Admin Center) und Anwender (Mitglieder, Besitzer) reicht oft nicht aus. In der Regel wird mindestens eine Zwischenstufe benötigt. Je größer und verteilter eine Organisation ist, je mehr Stufen sind sinnvoll. Die rollenbasierte Verwaltung (RBAC) ist hier die Lösung. Mit einem Rollenkonzept wird genau festgelegt, welche Rolle was tun darf.
In der Microsoft Azure Verwaltung stehen verschiedene integrierte Rollen zur Verfügung. Es gibt administrative Rollen direkt für MS Teams, wie:
- Globaler Administrator: die höchste Administratorrolle mit Vollzugriff auf alle Funktionen und Einstellungen
- Teams-Administrator: diese Rolle hat Zugriff auf die Verwaltung von Teams, Kanälen und Besprechungen
- Benutzeradministrator: eine Rolle, die zur Verwaltung der Benutzerkonten, Gruppen und Lizenzen dient
- Sicherheitsadministrator: eine Rolle, die sich um Sicherheitsrichtlinien, Compliance und Datenschutz kümmert
Zudem können Rollen individuell erstellt werden.
Der Zugriff auf das Teams Admin Center wird oft auf die oben genannten „höheren Rollen“ in der Organisation beschränkt, um die Sicherheit und den Schutz der Daten zu gewährleisten. Über diese Rollen werden Berechtigungen mitgegeben, was ein Rolleninhaber lesen, editieren und löschen darf.
In Microsoft Azure stehen integrierte Rollen zur Verfügung.
Rollen in MS Teams App
Es gibt zudem Teams-Rollen, wie:
- Team Owner: hat Kontrolle über das Team und kann Mitglieder, Einstellungen und Kanäle verwalten
- Mitglied: hat Berechtigungen, um auf Kanäle, Chats, Dateien und Besprechungen zuzugreifen
- Gast: hat nur eingeschränkte Zugriffsrechte
Der Team Owner hat zwar die höchste Rolle in einem Team, jedoch nicht automatisch Zugriff auf das Teams Admin Center.
Um auf die Teams-Verwaltung zugreifen zu können, benötigt man Admin-Rechte auf M365-Ebene oder mindestens Zugriff auf das MS Teams Admin Center.
Lokale IT hat keinen Zugriff auf Teams Admin Center
Nun gibt es in großen Unternehmen nicht nur die zentrale IT, sondern viele Geschäftsbereiche mit lokalen Standort-IT-Abteilungen. Diese sind für den Support vor Ort verantwortlich, haben allerdings nur eingeschränkte Berechtigungen. Sie haben beispielsweise keinen Zugang zum Teams Admin Center.
Das Problem für viele Unternehmen ist es, dass die oben aufgeführten administrativen Rollen Zugriff auf alle Gruppen haben und nicht auf spezielle Standorte eingeschränkt werden können.
Deshalb entscheiden sich Unternehmen, die Berechtigungen aus Sicherheitsgründen so weit wie möglich einzuschränken – und lassen ihre lokalen IT-Abteilungen damit außen vor.
Gibt es eine Lösung, um die Standort-IT besser einzubinden?
Teams Admin-Rechte delegieren ohne Zugriff auf das Admin Center – So geht’s
Delegationsebene für lokale Standort-IT mit my-IAM TeamSpace
Mit der Cloud-Applikation my-IAM TeamSpace greifen
- Servicedesks/Helpdesks
- IT-Koordinatoren
- lokale IT-Mitarbeiter in den Standorten
- weitere Personengruppen
indirekt auf die Teams-Verwaltung zu und können lokale Anwender direkt unterstützen.
Mittels einer Delegationsebene führen sie Tasks durch, für die sie normalerweise Zugriff zum Teams Admin Center benötigen. Es stehen sichere Vorlagen zur Verfügung, die vorab für jeden Standort konfiguriert werden. Dafür wird eine Bereichsrolle angelegt, die mit eingeschränkter Berechtigung nur die Standort-Teams sehen und bearbeiten darf.
Ein Helpdesk-Mitarbeiter oder lokaler IT-Koordinator kann mit Hilfe von my-IAM TeamSpace neue Teams anlegen:
Die Vorlagen sind vorab nach Kategorien eingerichtet und enthalten verschiedene Sichtbarkeits- und Sicherheitsstufen:
Das Besondere an den TeamSpace-Vorlagen ist die Option, Standorte auszuwählen, für die das Team sichtbar sein soll.
In der TeamSpace Übersicht sieht der lokale IT Administrator nur die Teams, für die er zuständig ist bzw. in denen er selbst Mitglied ist (standortunabhängig):
Beispiel für die verteilte Teams-Administration
In der Praxis könnte eine mehrstufige verteilte MS-Teams-Verwaltung mit 3 bzw. 4 Delegationsebenen so aussehen:
- Zentrale IT: Admin-Berechtigungen in Teams Admin Center, vollständiger Zugriff über TeamSpace
- Zentraler Service Desk: umfassenden Zugriff auf Teams via my-IAM TeamSpace (ohne Teams Admin Center)
- Standort IT / Helpdesk: Zugriff auf Teams bestimmter Kategorie und beschränkt auf den Standort
- Key-User / Anwender: Zugriff auf Teams bestimmter Abteilungen am Standort
- Teams-Mitglieder und -Besitzer: nur Zugriff auf Teams selbst, setzen ggf. Einstellungen im Team
Je nach den Anforderung eines Unternehmens, werden die Zwischenebenen vorkonfiguriert, so dass sie der Organisationsstruktur entsprechen.
Vorteile der delegierten MS Teams Admin-Rechte
Hier noch einmal die wichtigsten Vorteile der delegierten Administration im Überblick:
- Arbeitslast verteilen: Die Delegation ist nützlich, um die Arbeitslast auf ausgebildete Personen zu verteilen, die IT-relevante Standardaufgaben erledigen können.
- Lokale Standort-IT einbinden: Die Zentrale ist manchmal zu weit weg von den Problemen der Anwender vor Ort. Deshalb macht es Sinn, die Standort-IT stärker einzubinden.
- Schnell reagieren: Auf die Probleme der Mitarbeiter vor Ort wird viel schneller reagiert.
- An der richtigen Stelle helfen: Lokale IT-Teams arbeiten eng mit den Mitarbeitern zusammenarbeiten und kennen die spezifischen Anforderungen der Abteilungen.
- Sicherheit gewährleisten: TeamSpace ist eine sichere Zwischenebene, die den Zugriff auf das Teams Admin Center nicht nötig macht.
Kontaktieren Sie uns, wenn Sie die MS Teams-Verwaltung an Ihre lokalen IT-Koordinatoren und Helpdesks delegieren wollen.
