← Zurück zu den Werkzeugen Open Source

M365 Governance as Code

Die meisten Governance-Werkzeuge liefern ein grünes Feld. Ein grünes Feld unterscheidet nicht zwischen dem, was das Produkt erzwingt, dem, was als Grenzwert dokumentiert ist, dem, was lediglich empfohlen wird, und dem, was unsere Meinung ist. Diese vier Sätze führen zu vier verschiedenen Gesprächen.

Das Problem mit einem guten Ergebnis

Ein Governance-Bericht kommt fast immer als Liste aus Grün und Rot. Er liest sich wie Gewissheit, und ein großer Teil davon ist keine.

Betrachten Sie vier Aussagen, die ein üblicher Bericht identisch darstellt:

das Produkt erzwingt dies, eine Alternative gibt es nicht;
das Produkt setzt eine Grenze, und hier ist die Zahl;
Microsoft empfiehlt dies und lässt die andere Möglichkeit zu;
wir halten dies für sinnvoll, und eine vernünftige Organisation darf ablehnen.

Das sind keine Abstufungen derselben Sache. Sie führen zu unterschiedlichen Budgets, unterschiedlichen Fristen und sehr unterschiedlichen Gesprächen mit einer Prüferin oder einem Prüfer. Ein Werkzeug, das sie gleich darstellt, hat der lesenden Person genau die Information genommen, die sie brauchte.

Es gibt ein zweites Problem, und es ist schlimmer, weil es unsichtbar ist. Wenn eine Prüfung etwas nicht lesen kann, zeigen die meisten Werkzeuge ein Grün. Fehlende Belege werden zu Konformität, und niemand kann die beobachteten Grüns von den bloß angenommenen unterscheiden.

Was dieses Werkzeug anders macht

Jede Regel erklärt ihre Natur, in der Regeldatei selbst, bevor irgendetwas läuft:

Die Aussage	Was sie bedeutet	Was die Regel mitbringen muss
Vorgabe	Das Produkt erzwingt dies	Eine Microsoft-Quelle
Dokumentierter Grenzwert	Eine Grenze mit einer Zahl	Eine Quelle und der Grenzwert neben dem beobachteten Wert
Dokumentierte Empfehlung	Microsoft empfiehlt es und lässt die Alternative zu	Eine Quelle
Konvention	Verbreitete Praxis, die niemand dokumentiert	Eine schriftliche Begründung
Meinung	Unsere Position, als unsere gekennzeichnet	Eine schriftliche Begründung

Eine Quelle entscheidet nie über den Typ. Eine Meinung darf Dokumentation zitieren und bleibt eine Meinung. Der Link erklärt die Aussage; er ändert nicht, welcher Art sie ist.

Und wenn ein Sachverhalt nicht gelesen werden kann, ist das Ergebnis kein Grün. Es ist ein ausdrücklich ungeklärter Zustand, und der Bericht sagt es in Worten: ein fehlender Beleg ist eine Tatsache über die Erhebung, keine Tatsache über Ihren Tenant.

Was Sie erhalten

einen rein lesenden PowerShell-Collector, der Fakten erhebt und nach JSON normalisiert;
eine lokale Engine, welche die Regeln anwendet und das Ergebnis erzeugt;
öffentliche Regeln als Klartext, die Sie lesen, bestreiten und ändern können;
einen Bericht in Markdown für Menschen und in JSON für Pipelines;
Beispieldaten, damit Sie alles ausführen können, bevor Sie das Werkzeug auf etwas Echtes richten.

Was es nicht tut

es ändert nichts in Ihrem Tenant und besitzt überhaupt keinen Schreibpfad;
es sendet uns weder Ihr Inventar noch Ihren Bericht noch sonst etwas;
es sagt nicht konform, wenn es keine Daten hat;
es macht aus einer Empfehlung keine Vorgabe;
es ersetzt keine technische Prüfung und behauptet das auch nicht.

Ein Ergebnis, vollständig

So sieht ein Befund aus. Nichts ist gekürzt:

text

Ergebnis: Fehlschlag

Die Liste enthält 148.000 Elemente, oberhalb des von Microsoft
dokumentierten Grenzwerts von 100.000, und erbt weiterhin ihre
Berechtigungen. Die Vererbung lässt sich in dieser Liste nicht mehr
aufbrechen, sie kann also später keine eigenen Berechtigungen erhalten.

Natur:        dokumentierter Grenzwert
Beobachtet:   148.000 Elemente
Grenzwert:    100.000 Elemente
Quelle:       Microsoft-Dokumentation, mit Prüfdatum
Einschränkung: dies misst eine Position, keine Entwicklung. Eine Liste mit
              99.000 wachsenden Elementen besteht heute und verliert die
              Möglichkeit innerhalb von Wochen.

Die letzte Zeile ist im Regelformat verpflichtend. Jede Regel muss eine Frage schriftlich beantworten: Wie kann diese Regel bestehen, während das Problem fortbesteht? Eine Regel, deren Autorin oder Autor das nicht beantworten kann, ist nicht gut genug verstanden, um veröffentlicht zu werden.

Wohin Ihre Daten gehen

Nirgendwohin. Der Collector läuft auf Ihrem Rechner, gegen Ihren Tenant, mit Ihren Anmeldedaten, und schreibt eine Datei auf Ihre Festplatte. Die Engine liest diese Datei lokal. Es gibt kein Konto, keinen Upload und keine Telemetrie, weil es auf unserer Seite keinen Dienst gibt, der irgendetwas entgegennehmen könnte.

Ist die Anmeldung interaktiv, weist der Bericht auf der ersten Seite darauf hin: dieser Lauf hat gesehen, was eine einzelne Person sehen kann, und nichts darin darf als Aussage über den gesamten Tenant gelesen werden.

Wo das hingehört

Dieses Werkzeug beantwortet eine andere Frage als der SharePoint Compass. Der Compass hilft, eine Richtung für eine SharePoint-Umgebung zu wählen. Dieses misst beobachtbare Bedingungen in einem Microsoft-365-Tenant und sagt Ihnen, wie viel Vertrauen jede Antwort verdient.

Wenn Sie die Auswertung lieber gemeinsam vornehmen möchten, sehen wir Ihre Ergebnisse mit Ihnen durch und sagen Ihnen, welche Befunde in Ihrem Kontext wirklich zählen.