Entra ID P2 til SMV'er: prisfælden, ingen fortæller om

Microsoft 365 Business Premium ($22/bruger/md, op til 300 brugere) indeholder Entra ID P1. Det er P1, der giver jer Conditional Access, altså regelmotoren, hvor I kan kræve MFA, blokere ældre login-protokoller og kun tillade administrerede enheder. For langt de fleste danske SMV'er er P1 et fuldt forsvarligt fundament.

Entra ID P2 ($10/bruger/md i listepris) tilføjer to ting, der betyder noget i en organisation uden eget sikkerhedsteam:

Entra ID Protection. Microsoft scorer hvert login og hver konto for risiko. Et login fra en ny enhed i et andet land får en risikoscore, og en konto, hvis kodeord dukker op i et læk, får en anden. Med P2 kan I lave Conditional Access-politikker, der reagerer på den score: kræv MFA hver gang ved mellem eller høj login-risiko, og kræv sanering (typisk kodeordsskift plus tilbagekaldelse af alle sessioner) ved høj brugerrisiko. Med P1 kan I se dashboardet, men detaljerne på de enkelte risikohændelser er skjulte, og I kan ikke bruge risikoniveauet som betingelse i en politik.

Privileged Identity Management (PIM). I stedet for at en medarbejder går rundt med en administratorrolle liggende permanent på sin daglige konto, gør I rollen *berettiget*. Brugeren aktiverer den, når den skal bruges, med MFA og en begrundelse, og den udløber af sig selv igen. Så ligger der ikke administratorrettigheder og venter på netop de konti, der oftest bliver phishet.

P2 indeholder også Access Reviews og Access Packages. De er møntet på organisationer med mange gæstebrugere, konsulenter og projektbaseret adgang, og de er sjældent afgørende for en dansk SMV.

Her bliver Microsofts licensmodel skæv, og det er værd at forstå, før I forhandler.

Både Microsoft 365 Business Premium og Microsoft 365 E3 indeholder Entra ID P1. Man skulle tro, at opgraderingen til P2 kostede det samme for begge. Det gør den ikke.

Step-up-licensen til E3 er en programmatisk opgradering: I betaler kun forskellen mellem P1 og P2. Den findes ikke til Business Premium. Som SMV skal I købe den fulde P2-licens, selvom I allerede betaler for P1 inde i Business Premium.

Regnestykket for 100 brugere ved årlig binding:

• •E3-organisation: 100 × $3 × 12 = $3.600 om året
• •Business Premium-organisation: 100 × $10 × 12 = $12.000 om året

Det er $8.400 ekstra om året for præcis den samme funktionalitet, alene fordi I er under 300 brugere.

Microsoft sælger en add-on, der kun findes til Business Premium: Microsoft Defender Suite for Business Premium. Den ligger på samme prisniveau som en ren Entra ID P2-licens, men indeholder ifølge Microsofts egen dokumentation:

• •Microsoft Entra ID P2 (Identity Protection, PIM, Access Reviews)
• •Microsoft Defender for Endpoint Plan 2 (threat hunting, live response, seks måneders historik fra enheden)
• •Microsoft Defender for Office 365 Plan 2 (automatisk undersøgelse og respons, angrebssimulering, threat explorer)
• •Microsoft Defender for Identity (ITDR, overvågning af identiteter på tværs af miljøet)
• •Microsoft Defender for Cloud Apps (opdagelse af shadow IT og app-styring)

Så hvis I står med et konkret ønske om risikobaseret Conditional Access eller PIM, og prisen alligevel bliver ca. $10/bruger/md, så er der ingen god grund til at købe P2 alene. I får fire yderligere sikkerhedsprodukter oveni for det samme.

At I ikke tager alle funktioner i brug fra dag ét, er ikke et argument imod. Defender for Endpoint P2 og Defender for Office 365 P2 opgraderer en beskyttelse, I allerede kører på P1-niveau i Business Premium, så de virker fra det øjeblik, licensen bliver tildelt.

P2 er ikke en erstatning for en ordentlig P1-opsætning. Har I ikke Conditional Access på plads, mangler MFA-dækning på nogle konti, eller deler flere personer en administratorkonto, så løs det først. Det koster ingenting ud over tiden, og det giver mere sikkerhed end nogen add-on.

P2 begynder at give mening, når:

• •I vil have permanente administratorrettigheder væk fra almindelige brugerkonti, og PIM er den eneste indbyggede måde at gøre det på
• •Ingen sidder og kigger på login-logs i løbet af dagen, så automatisk reaktion på mistænkelige logins er den eneste realistiske overvågning, I får
• •I skal dokumentere identitetssikkerhed over for et cyberforsikringsselskab, en revisor eller en kunde, hvor P1-niveauet ikke rækker
• •I arbejder med NIS2 og har brug for adgangsstyring, der kan revideres, ikke bare konfigureres

Og omvendt: har I 12 medarbejdere, én person, der rører Admin Center, og ingen regulatoriske krav, så er Business Premium med en stram Conditional Access-opsætning et helt fornuftigt sted at stoppe.

To politikker giver næsten hele værdien, og begge kan sættes op på en formiddag.

1. Login-risiko: kræv MFA hver gang. Ret politikken mod alle ressourcer, sæt betingelsen til mellem og høj login-risiko, kræv MFA under Grant og sæt login-frekvens til "hver gang" under Session. Kører I Intune, så kræv samtidig en kompatibel enhed. Brugeren bliver ikke udfordret, fordi vedkommende logger ind, men fordi Microsoft har fundet noget usædvanligt ved netop det login.

2. Brugerrisiko: kræv sanering. Ret politikken mod høj brugerrisiko og vælg "kræv risikosanering" som Grant-kontrol. På en kodeordsbaseret konto betyder det et sikkert kodeordsskift plus tilbagekaldelse af alle sessioner. Pointen er ikke bare, at Entra opdager en kompromitteret konto, men at der bliver handlet på den, uden at nogen først skal nå at opdage advarslen.

Tre ting, der går galt hver gang, hvis I ikke tænker over dem:

• •Undtag jeres nødkonti. Break-glass-konti skal aldrig være afhængige af Conditional Access, PIM-godkendelser eller MFA-metoder, der kan fejle. Undtag dem eksplicit og overvåg dem i stedet.
• •Kør i rapporteringstilstand først. Sæt politikken i report-only eller ret den mod en pilotgruppe, før den rammer alle. I kan se effekten i login-loggene, uden at nogen bliver låst ude.
• •Giv ikke Global Administrator som PIM-berettiget rolle, bare fordi den er just-in-time. Vælg den mindst privilegerede rolle, der løser opgaven. PIM begrænser, hvornår rettigheden er aktiv, ikke hvor stor skade den kan nå at gøre imens.

Bruger I en tredjeparts-MFA som Duo, skal den være sat op som External Authentication Method i Entra, og politikken skal kræve "MFA" frem for en bestemt authentication strength. Eksterne MFA-metoder opfylder lige nu ingen authentication strengths.

Kilder: Microsoft Entra plans and pricing, Add Microsoft Defender Suite for Business Premium to your subscription (Microsoft Learn), Sign-in risk-based multifactor authentication (Microsoft Learn) og Entra ID P2 for SMBs: Is it Worth It and Which License to choose? (SMBtotheCloud, 25. august 2026).