Office 365 gruppenbasierte Lizenzierung

In diesem Artikel möchte ich euch gerne zeigen, wie man in Office 365 eine gruppenbasierte Lizenzierung realisieren kann. Für diese Art der Lizenzierung gibt es einige Lizenzanforderungen, die ihr unter https://docs.microsoft.com/de-de/azure/active-directory/fundamentals/active-directory-licensing-whatis-azure-portal findet.

Die korrekte Lizenzierung in Office 365 ist absolut essentiell, weil diese auf den Benutzern basiert. In OnPrem Umgebungen ist das teilweise anders und hat nicht so gravierende Auswirkungen. Wenn bei einer Volumenlizenzierung mehr Benutzer als vereinbart die Lizenz nutzen, ist das zwar ein Verstoß gegen die Lizenzierung, der Benutzer kann aber trotzdem die lizenzierten Dienste nutzen. In Office 365 kann der Benutzer auf keine Dienste zugreifen, wenn er nicht auch eine entsprechende Lizenz zugewiesen hat.

In kleineren Umgebungen kann man die Lizenzen in Office 365 noch direkt zuweisen. Ab einer gewissen Größe bzw. Komplexität macht das aber für den Lizenzadministrator keinen Spaß mehr. Die Lizenzierung ist dann plötzlich sehr zeitintensiv und auch fehleranfällig. Deshalb gibt es in Office 365 auch die gruppenbasierte Lizenzierung. Dadurch werden Benutzern einer Gruppe automatisch vordefinierte Lizenzen und auch Apps zugewiesen.

Für die gruppenbasierte Lizenzierung legen wir zuerst eine entsprechende Sicherheitsgruppe im Azure Active Directory (AAD) an (Natürlich funktioniert das Ganze auch für synchronisierte AD Gruppen per AAD Connect). Das AAD kann über die URL https://aad.portal.azure.com direkt aufgerufen werden.

In diesem Beispiel weisen wir die Mitglieder der Gruppe manuell zu. Natürlich kann man dafür auch dynamische Gruppen nutzen, aber so ist es der einfachste Weg.

Dann müssen wir der Gruppe noch entsprechende Lizenzen zuweisen. In unserem Beispiel nutzen wir Office 365 E3 Lizenzen.

Und selbstverständlich kann ich auch die im E3 Plan enthaltenen Apps noch individuell aktivieren oder deaktivieren. In diesem Beispiel deaktivieren wir unter anderem Yammer für die Benutzer.

Und schon sind wir mit der gruppenbasierten Lizenzierung in Office 365 fertig. Jeder Benutzer in der Gruppe bekommt automatisch die definierten Lizenzen mit den aktivierten Apps zugewiesen.

Oder sind wir doch noch nicht ganz fertig? 🙂

Ein klassischer Anwendungsfall ist, dass einzelne Benutzer aus unterschiedlichsten Gründen weitere Apps benötigen. In unserem Beispiel kann z.B. die Benutzerin Bianca doch Zugriff auf Yammer benötigen. Wenn wir jetzt im Microsoft 365 admin center die App aktivieren wollen, erhalten wir eine Fehlermeldung.

Die Fehlermeldung macht natürlich total Sinn, weil wir die Steuerung über die gruppenbasierte Lizenzierung vornehmen und eben keine individuellen Zuweisungen vornehmen wollen.

An dieser Stelle findet der Lizenzadministrator die gruppenbasierte Lizenzierung nicht mehr so toll, weil jetzt trotzdem wieder einiger manueller Aufwand auf ihn zu kommt. Entweder legen wir für jede eingesetzte Kombination entsprechende Gruppen im AAD an und verschieben die Benutzer nach Bedarf (können ganz schön viele werden), oder wir entfernen die Benutzer aus allen Gruppen die die Lizenzierung übernehmen. Dann sind wir wieder am Anfang dieses Artikels, nur dass wir jetzt ein wildes Durcheinander von direkter und gruppenbasierter Lizenzierung haben.

Aber natürlich gibt es für dieses Problem einen Lösungsansatz von Microsoft. Wir können einem Benutzer mehrere Lizenztypen zuweisen. Dann können wir mit der gruppenbasierten Lizenzierung die Basis für alle Benutzer schaffen und mit der direkten Lizenzierung noch individuelle Apps zusätzlich freischalten (deaktivieren von Apps funktioniert darüber nicht!).

Jetzt zeige ich euch aber, wie das in der Praxis funktioniert. Dazu öffnen wir den Punkt Lizenzen im AAD admin center und sehen alle unsere gebuchten Lizenzen.

In dieser Übersicht können wir ebenfalls Benutzern Lizenzen zuweisen, nicht nur über das Microsoft 365 admin center.

Den erfolgreichen Vorgang können wir prüfen, indem wir uns alle Lizenzzuweisungen ansehen. Dazu in der Lizenzübersicht einfach den entsprechenden Lizenztyp anklicken (in unserem Fall Office 365 E3).

Das Beispiel ist natürlich mit einem Benutzer recht einfach gehalten, aber wir sehen in der letzten Spalte, dass wir für den Benutzer jetzt beide Arten der Lizenzierung aktiviert haben.

Nun versuchen wir es noch einmal im Microsoft 365 admin center Yammer für Bianca zu aktivieren.

Und jetzt kommt der Unterschied zu unserem ersten Versuch 🙂

Die Anpassung war erfolgreich und Bianca kann nun Yammer nutzen. Theoretisch kann ich natürlich auch Apps deaktivieren. Diese werden aber bei der nächsten Verarbeitung der gruppenbasierten Lizenzierung wieder aktiviert.

Und durch dieses Vorgehen werden auch nicht mehrere Lizenzen für einen Benutzer aktiviert, sondern es wird nur eine Lizenz pro Benutzer benötigt.

Ich hoffe, der Artikel konnte euch das Thema Office 365 gruppenbasierte Lizenzierung ein bisschen näher bringen und ein paar Fallstricke aufzeigen.