Microsoft Entra ID und KI: Gibt es einen MCP-Server für Entra ID?

Microsoft Entra ID ist laut Microsoft eine Lösung für Identität und Zugriff, vor Ort und in der Cloud. Wer einen KI-Assistenten Fragen zum Verzeichnis beantworten lassen will, etwa „Wer hat keine MFA?“, fragt sich: Gibt es dafür einen MCP-Server?

Kurz gesagt

Ja. Microsoft bietet den Microsoft MCP Server for Enterprise an. Laut Microsoft ist er in der Vorschau und liest nur. Claude und ChatGPT brauchen dafür eine eigene App-Registrierung in Ihrem Mandanten. Das lokale Active Directory deckt der Server nicht ab.

Was Microsoft selbst anbietet

Der MCP-Server. Laut Microsoft ist https://mcp.svc.cloud.microsoft/enterprise eine Schnittstelle, über die KI-Agenten Daten aus dem Entra-Mandanten in natürlicher Sprache abfragen. Der Server übersetzt die Anfragen in Aufrufe von Microsoft Graph. Er hat drei Werkzeuge: microsoft_graph_suggest_queries sucht passende Graph-Abfragen, microsoft_graph_get führt lesende Graph-Aufrufe aus, microsoft_graph_list_properties liefert das Schema von Graph-Objekten. Microsoft nennt Benutzer-, Gruppen-, Anwendungs- und Geräteauskünfte sowie Auswertungen als Anwendungsfälle. Die Dokumentation nennt die Vorschau ausdrücklich: Laut Microsoft kann sich das Vorabprodukt noch wesentlich ändern. Der Server gilt laut Microsoft nur in der globalen Cloud, nicht in den US-Government-Clouds und nicht in der Cloud von 21Vianet in China.

Lesend, nicht ändernd. Laut Microsoft deckt die Vorschau nur lesende Szenarien ab. Laut README ist Schreibzugriff für eine spätere Version geplant.

Rechte. Laut Microsoft unterstützt der Server nur delegierte Berechtigungen, keine App-only-Zugriffe. Die Scopes heißen MCP.<Graph-Scope>, zum Beispiel MCP.User.Read.All. Alle in der Dokumentation aufgeführten Scopes sind Lese-Scopes. Wirksam ist, was der Client-Scope und die Rechte des angemeldeten Benutzers gemeinsam erlauben. Administratoren vergeben die Scopes über die Entra-PowerShell oder im Entra Admin Center. Für die Bereitstellung nennt Microsoft die Rollen Application Administrator oder Cloud Application Administrator. Für die Rechteverwaltung mit PowerShell nennt die Doku zusätzlich Privileged Role Administrator. Der Server muss einmal pro Mandant bereitgestellt werden.

Lizenz und Limits. Laut Microsoft braucht der Server keine zusätzliche Lizenz. Für die abgefragten Daten brauchen Sie die passende Lizenz, etwa Entra ID Governance oder Entra ID P2 für Inhalte von Privileged Identity Management. Anfragen sind auf 100 Aufrufe pro Minute und Benutzer begrenzt. Für microsoft_graph_get gelten zusätzlich die Drosselungsgrenzen von Microsoft Graph. Laut Microsoft erfasst das Aktivitätsprotokoll von Microsoft Graph alle Anfragen des Servers, wenn Sie es im Mandanten einschalten.

Welche Clients funktionieren. Laut README funktioniert der Server mit jedem MCP-Client, der den aktuellen Standard unterstützt. Dynamic Client Registration unterstützt er nicht. Microsoft nennt Copilot Studio und Microsoft Foundry als eigene Plattformen sowie Visual Studio Code und GitHub Copilot CLI. Für ChatGPT, Claude und andere Fremd-Agenten verlangt das README eine eigene Client-App im Mandanten, mit den nötigen MCP.*-Scopes und den richtigen Redirect-URIs. Das README nennt für Claude den Weg über „Customize, Connectors, Add Custom Connector“ und für ChatGPT „Settings, Apps, Create App“. Die Doku zur PowerShell nennt ChatGPT und Claude dagegen als vordefinierte Clients, die der Befehl Grant-EntraBetaMCPServerPermission selbst anlegt. Beide Aussagen stehen bei Microsoft, und wir haben nicht geprüft, welche zutrifft. Welche Tarife von Claude und ChatGPT eigene Konnektoren erlauben, haben wir für diese Seite nicht geprüft.

Datenregion. Laut README läuft der Server in denselben Regionen wie Microsoft Graph. Einen Standort für die Verarbeitung im MCP-Server nennt keine der gelesenen Seiten. Laut README protokolliert der Server keine Anfrageinhalte. Was der KI-Client mit Prompts und Antworten macht, regeln dessen eigene Bedingungen.

Microsoft Graph. Graph ist laut Microsoft der Zugang zu Daten in Microsoft-Cloud-Diensten wie Microsoft Entra und Microsoft 365. Laut README sollen Microsoft-365-Schnittstellen künftig Agent 365 abdecken. Für Microsoft 365 selbst gibt es eine eigene Seite: Microsoft 365.

Lokales Active Directory. Das lokale Active Directory (Windows Server) ist ein anderes Produkt. Der Microsoft-Server fragt den Entra-Mandanten ab, nicht die Domänencontroller. Für hybride Umgebungen bietet Microsoft laut Dokumentation Microsoft Entra Connect und Cloud Sync an. Das sind Synchronisierungswerkzeuge, keine MCP-Server. Einen offiziellen MCP-Server von Microsoft für das lokale Active Directory haben wir nicht gefunden.

KI im Produkt. Laut Microsoft lässt sich Security Copilot unter anderem in Microsoft Entra integrieren. Zu Datenverarbeitung und Training haben wir für Entra keine eigene Aussage gelesen.

Was die Community anbietet

Es gibt mehrere Open-Source-Server. shigechika/entraadm-mcp (MIT) wertet Anmelde- und Auditprotokolle aus. Laut README liest er nur, mit einer einzigen Ausnahme: Ein optionales Werkzeug meldet ein Konto überall ab, wenn man es einschaltet. msetsma/entra-mcp (Apache-2.0) liest Organisationsstruktur und Gruppenzugehörigkeiten über die Azure CLI, ebenfalls nur lesend. hieuttmmo/entraid-mcp-server hat laut README Werkzeuge zum Anlegen und Löschen von Gruppen und Anwendungen sowie zum Zurücksetzen von Kennwörtern. Das README nennt MIT, das Repository hat aber keine Lizenzdatei, und der letzte Commit stammt vom 2. Mai 2025. Für das lokale Active Directory gibt es etwa alpadalar/ActiveDirectoryMCP (MIT, über LDAP). Laut README ist es standardmäßig nur lesend. Die Tests liefen gegen eine Attrappe und ein OpenLDAP-Labor, nicht gegen ein echtes Active Directory. Außerdem gibt es kirune/entra-mcp (AGPL-3.0). Laut README liest es als der fragende Benutzer nur, über Entra ID, Intune, Exchange Online und Teams, mit 19 reinen GET-Werkzeugen. Wir haben keinen dieser Server ausprobiert.

Hosting-Plattformen und Konnektoren bieten Entra-ID-Werkzeuge ebenfalls an. Laut Pipedream ist jede Entra-ID-Aktion ein MCP-Werkzeug auf seinem Server, etwa „Add Member To Group“. Zapier nennt laut eigener Seite eine MCP-Anbindung für Entra-ID-Aktionen wie „Create Group“. CData bietet laut README einen lesenden MCP-Server (MIT) an, der den lizenzierten CData-JDBC-Treiber braucht. Der Connector von meinGPT ist laut meinGPT dauerhaft schreibgeschützt. Alle vier sind kommerzielle Angebote, keine Community-Server. Die Seiten belegen nicht, wie die Daten verarbeitet werden. Die Seite von CData zu Entra ID und ChatGPT ließ sich nicht lesen, weil CData automatische Abrufe sperrt.

Was das für Ihr Unternehmen heißt

• Der Microsoft-Server ist eine Vorschau. Planen Sie keinen Produktivbetrieb darauf.
• Vergeben Sie nur die MCP.*-Scopes, die Ihre Fragen brauchen. Verzeichnisdaten sind sensibel.
• Für Claude oder ChatGPT legt Ihr Administrator eine eigene App im Mandanten an. Das ist ein Einrichtungsschritt, kein Knopfdruck.
• Wer das lokale Active Directory abfragen will, braucht einen anderen Weg als den Microsoft-Server.
• Was beim KI-Assistenten ankommt, unterliegt dessen Bedingungen, nicht mehr denen von Microsoft.