Skip to content

docs: record successful LAB-01 baseline run #3

New issue

Have a question about this project? Sign up for a free GitHub account to open an issue and contact its maintainers and the community.

Sign up for GitHub

By clicking “Sign up for GitHub”, you agree to our terms of service and privacy statement. We’ll occasionally send you account related emails.

Already on GitHub? Sign in to your account

Merged
haydarkozat merged 1 commit into from
Aug 29, 2026
Merged

docs: record successful LAB-01 baseline run #3

Changes from all commits
Commits
Show all changes
1 commit
Select commit
File filter

Filter by extension

Filter by extension
Conversations
Failed to load comments.
Loading
Jump to
Jump to file
Failed to load files.
Loading
Diff view
Diff view
51 changes: 32 additions & 19 deletions enterprise-lab/evidence/LAB-01-baseline.md
View file
Open in desktop
Original file line number Diff line number Diff line change
Expand Up @@ -2,46 +2,59 @@

**Environment:** NordWerk GmbH – Enterprise IT Lab
**Scenario:** LAB-01
**Status:** In progress
**Date:** YYYY-MM-DD
**Status:** Baseline completed; RBAC documentation in progress
**Date:** 2026-08-29

## Problem

Eine neue Microsoft-Enterprise-Testumgebung benötigt vor Benutzer-, Geräte- und Conditional-Access-Konfigurationen eine kontrollierte Ausgangsbasis mit klaren Gruppen, Pilot-Scope und nachvollziehbaren Namenskonventionen.

## Maßnahme

- Microsoft-Entra-/Intune-Testtenant bereitgestellt.
- Microsoft-Entra-/Intune-Testtenant bereitgestellt und Microsoft Graph erfolgreich per delegierter Authentifizierung verbunden.
- Schreibende Baseline-Aktion zunächst mit `-WhatIf` geprüft.
- Fünf Abteilungs-Sicherheitsgruppen angelegt.
- Separate Pilotgruppen für Conditional Access und Intune-Geräte-Policies angelegt.
- Baseline per PowerShell/Microsoft Graph reproduzierbar umgesetzt.
- Schreibende Aktion zunächst mit `-WhatIf` geprüft.
- Script unmittelbar ein zweites Mal ausgeführt, um Duplikatvermeidung und Idempotenz zu prüfen.

## Ergebnis

Nach Abschluss hier dokumentieren:

- Tenant erfolgreich erreichbar: `Ja/Nein`
- Tenant erfolgreich erreichbar: `Ja`
- Erwartete Gruppen: `7`
- Tatsächlich vorhandene Gruppen: `<Anzahl>`
- Zweiter Script-Lauf ohne Duplikate: `Ja/Nein`
- Tatsächlich erstellte Gruppen: `7`
- Zweiter Script-Lauf ohne Duplikate: `Ja`
- Verwendete Script-Datei: `Initialize-TenantBaseline.ps1`

### Erstellte Gruppen

| Gruppe | Erstlauf | Zweitlauf |
|---|---|---|
| `GRP-CA-Pilot` | `Created` | `Existing / None` |
| `GRP-Devices-Pilot` | `Created` | `Existing / None` |
| `SG-Dept-Finance` | `Created` | `Existing / None` |
| `SG-Dept-HR` | `Created` | `Existing / None` |
| `SG-Dept-IT` | `Created` | `Existing / None` |
| `SG-Dept-Operations` | `Created` | `Existing / None` |
| `SG-Dept-Sales` | `Created` | `Existing / None` |

### Technischer Nachweis

Der erste produktive Lauf lieferte für alle sieben Zielgruppen den Status `Created`. Der unmittelbar danach ausgeführte zweite Lauf erkannte dieselben Objekte und lieferte für alle Gruppen `Existing` mit `Action = None`. Damit wurde die Idempotenz des Baseline-Skripts in einem realen Microsoft-Entra-Testtenant nachgewiesen.

## Sicherheitsaspekt

- Keine Secrets oder Kennwörter im Repository.
- Keine Secrets, Kennwörter, Tenant-IDs oder personenbezogenen Kontodaten im Repository.
- Schreibende Änderungen vorab mit `-WhatIf` validiert.
- Conditional Access wird in LAB-01 noch nicht produktiv aktiviert.
- Änderungen zunächst über Pilot-Scope und `-WhatIf` validiert.
- Rollenvergabe nach Least-Privilege-Prinzip weiterentwickelt.

## Evidence-Dateien
- Getrennte Pilotgruppen für spätere Conditional-Access- und Intune-Rollouts vorhanden.
- Rollenvergabe und tägliche Administration werden im nächsten LAB-01-Schritt nach Least-Privilege-Prinzip dokumentiert.

Nach eigener Durchführung ergänzen:
## Noch offene Evidence-Artefakte

- `LAB-01-01-tenant-overview.png`
- `LAB-01-02-baseline-groups.png`
- `LAB-01-03-whatif-terminal.png`
- `LAB-01-04-created-terminal.png`
- `LAB-01-05-idempotency-terminal.png`
- optional redigierte Terminal-Screenshots für `-WhatIf`, Erstellung und Idempotenz
- RBAC-/Berechtigungsmatrix

> Vor dem Commit Screenshots auf Tenant-IDs, E-Mail-Adressen, QR-Codes, Secrets, Telefonnummern und andere personenbezogene bzw. sicherheitsrelevante Daten prüfen und nötigenfalls redigieren.
> Vor dem Commit von Screenshots auf Tenant-IDs, E-Mail-Adressen, QR-Codes, Secrets, Telefonnummern und andere personenbezogene bzw. sicherheitsrelevante Daten prüfen und nötigenfalls redigieren.
Loading