Hvem skal have Entra-licensen? Reglen er pr. funktion

Microsoft dokumenterer licenskravene funktion for funktion på én side i Entra-dokumentationen, og den er væsentligt mere præcis end prissiden. To principper går igen hele vejen igennem:

Licensen hænger på brugerkontoen

Ikke på tenanten og ikke på mennesket. Har en medarbejder to konti, der begge logger ind, tæller de som to.

Den, der får gavn af funktionen, skal have licensen

Det er grunden til, at en enkelt Conditional Access-politik, der rammer hele organisationen, kræver P1 til hele organisationen.

Grundniveauet følger med planen. Entra ID P1 er med i Microsoft 365 E3, E5, E7, F1, F3, Enterprise Mobility + Security E3 og Business Premium. Entra ID P2 er med i E5, E7, Microsoft Defender Suite, Defender Suite FLW, Defender + Purview Suite FLW og EMS E5. På Business Premium kommer P2 kun med, hvis I tilkøber Defender Suite.

Står I uden en plan, der indeholder dem, er listeprisen $7 for P1 og $10 for P2 pr. bruger pr. måned. Entra ID Governance koster $7, og Entra Suite koster $12. Suiten kræver P1 i forvejen, så for en bruger uden en plan med P1 lander den samlet på $19.

Security defaults er gratis for alle og kræver ingen P1. De kan til gengæld ikke afgrænses til bestemte grupper eller tilpasses, og det er netop derfor de fleste organisationer ender i Conditional Access.

Privileged Identity Management kræver P2 eller Entra ID Governance, og Microsoft navngiver præcis, hvilke brugere licensen skal dække. Listen er længere end "dem med privilegerede roller":

• •Brugere med berettigede eller tidsbegrænsede tildelinger til Entra ID-roller eller Azure-roller, der styres med PIM
• •Brugere med berettigede eller tidsbegrænsede tildelinger som medlem eller ejer af PIM for Groups
• •Brugere, der kan godkende eller afvise aktiveringsanmodninger
• •Brugere, der er tildelt en access review
• •Brugere, der udfører en access review

De tre sidste punkter er dem, der flytter regnestykket. Godkenderen bruger ikke selv en privilegeret rolle, og den, der gennemgår andres adgange, får ikke adgang til noget nyt. De skal alligevel have licensen. Sætter I en afdelingsleder til at godkende aktiveringer, fordi det er god adskillelse af funktioner, har I samtidig udvidet licenskravet til ledelseslaget.

Det samme mønster gælder access reviews, entitlement management og Lifecycle Workflows. Microsoft skriver, at de kræver en Entra ID Governance-licens for organisationens medlemsbrugere, og for access reviews står det udtrykkeligt, at det omfatter alle medarbejdere, der gennemgår adgange eller får deres egen adgang gennemgået.

Microsoft tilføjer selv, at nogle funktioner inden for de tre områder kan virke med P2 alene. Hvilke står der ikke. Det forbehold er værd at have med, hvis I bygger en revisionskontrol oven på P2 og regner med, at den holder.

Og licensen er ikke altid nok i sig selv. Siden 30. januar 2026 kræver Entra ID Governance en tilknyttet Azure-abonnement, hvis I bruger governance-funktioner på gæstebrugere. Uden den bliver det blokeret at oprette eller ændre politikker, der omfatter gæster, og access reviews på gæster kom med i håndhævelsen i marts 2026. I har altså en licens, men funktionen er lukket, indtil der også ligger et Azure-abonnement bag.

Her opfører to Entra-funktioner sig stik modsat, og forskellen betyder noget, hvis I overvejer at nedgradere eller skifte plan.

Conditional Access: politikkerne bliver stående. Microsoft slår dem ikke automatisk fra og sletter dem ikke, netop for at I kan flytte væk fra Conditional Access uden at sikkerhedsniveauet falder fra den ene dag til den anden. I kan se politikkerne og slette dem, men I kan ikke opdatere dem. Et regelsæt, I ikke længere kan rette i, er noget andet end et regelsæt, der er væk, og det er værd at vide, før nogen opdager det midt i en hændelse.

PIM: noget forsvinder. Permanente rolletildelinger er uberørte, men de berettigede rolletildelinger fjernes, fordi ingen længere kan aktivere en privilegeret rolle. Igangværende access reviews slutter, PIM-konfigurationen fjernes, og PIM holder op med at sende mails ved ændringer i rolletildelinger.

Krav, der ikke står i nogen plan-sammenligning, fordi de følger funktionen og ikke planen:

Og en nyere: Conditional Access på AI-agenter kræver en Microsoft Agent 365-licens. Den får I med Microsoft 365 E7, eller som tilkøb oven på mindst Entra P1 eller Microsoft 365 E3.

Fire spørgsmål, der afdækker det meste på en formiddag:

• •Hvilke Conditional Access-politikker har I, og hvem rammer de? Tæl de brugere, politikkerne gælder for, ikke de brugere I har tildelt en licens. Forskellen er jeres eksponering.
• •Hvem kan godkende i PIM, og hvem gennemgår adgange? De navne skal med på licenslisten, også hvis de aldrig selv aktiverer en rolle.
• •Har I brugerdefinerede roller eller dynamiske administrative enheder? Begge udvider P1-kravet til brugere, som ingen havde tænkt på.
• •Har I servicekonti eller en ekstra administratorkonto pr. person? De tæller som brugerkonti.

Microsoft forbeholder sig ret til at få en revisor til at efterprøve, om licenserne dækker brugen, og vilkårene beskriver konsekvenserne ved manglende dækning. Det er den egentlige grund til at kende reglerne pr. funktion og ikke kun pr. plan.

Kilder: Microsoft Entra licensing (Microsoft Learn) og Microsoft Entra plans and pricing (Microsoft).