Der er tre spørgsmål, som er værd at stille om jeres Microsoft Entra-licenser. Ved I, hvad de indeholder? Bruger I det? Og betaler I for den rigtige licens til hver medarbejder, eller den samme licens til alle? De fleste kan højst svare på det første, og det er ved det tredje, at pengene stille forsvinder.
Hvad indeholder jeres licens?
Free følger med alle Microsofts cloud-abonnementer, Microsoft 365 E3 giver Entra ID P1, E5 giver P2, og E7 lægger Microsoft Entra Suite og Microsoft Agent 365 oven i E5. Entra ID Governance og Entra Suite kan også købes som tilkøb.
- Free er inkluderet i Microsofts cloud-abonnementer som Microsoft Azure, Microsoft 365, Dynamics 365, Intune og Power Platform.
- E3 er Microsoft 365 E3, som indeholder Entra ID P1. P1 kan også købes som selvstændig licens og er inkluderet i Microsoft 365 Business Premium og i frontline-planerne F1 og F3.
- E5 er Microsoft 365 E5, som indeholder Entra ID P2. P2 kan også købes som selvstændig licens.
- E7 er Microsoft 365 E7: alt i E5 plus Microsoft 365 Copilot, Microsoft Entra Suite og Microsoft Agent 365.
- Governance er Microsoft Entra ID Governance, et tilkøb til P1 og P2. Det indeholder entitlement management, PIM og access reviews, så P1-kunder også får dem. Der findes en separat Step-Up-version til P2-kunder.
- Suite er Microsoft Entra Suite: Governance, ID Protection, Verified ID, Private Access og Internet Access. Den kan købes separat, men kræver P1 eller en plan, der indeholder P1.
Tabellen viser funktionerne efter licenstype, fra den laveste licens, der indeholder dem. Det er den samme tabel, jeg bruger i Entra ID-sikkerhedstjekket. Den er på engelsk, som funktionsnavnene er i Microsofts portal. Et flueben betyder, at funktionen er inkluderet, en streg betyder, at den ikke er. Det er et forenklet overblik, ikke en komplet licensmatrix: nogle funktioner kræver også licens til bestemte brugere, fx de administratorer eller reviewere, der er involveret, og Microsoft ændrer jævnligt sine pakker og priser. Tjek altid Microsofts aktuelle licensvilkår og priser, før I køber.
| Feature | What it does | Free | E3 | E5 | E7 | Governance | Suite |
|---|---|---|---|---|---|---|---|
| Users and groups | Create and manage user accounts and security or Microsoft 365 groups with assigned membership. | ✔ | ✔ | ✔ | ✔ | – | – |
| Device registration and Entra join | Register personal devices and join Windows devices directly to Entra ID with single sign-on. Admins can recover BitLocker keys. | ✔ | ✔ | ✔ | ✔ | – | – |
| Basic administrative units | Split the directory into units and delegate admin rights inside one unit only. Creating units is free; each admin scoped to a unit needs P1. | ✔ | ✔ | ✔ | ✔ | – | – |
| Entra Connect Sync and Cloud Sync | Synchronize on-premises Active Directory users, groups and password hashes to Entra ID. | ✔ | ✔ | ✔ | ✔ | – | – |
| Workload identities (incl. managed identities) | Identities for software: app registrations, service principals, federation with external identity providers, and managed identities for Azure resources. | ✔ | ✔ | ✔ | ✔ | – | – |
| Agent ID | Identities and blueprints for AI agents, managed like other identities in the tenant. | ✔ | ✔ | ✔ | ✔ | – | – |
| Baseline MFA (security defaults, MFA for admins, Authenticator app) | Preconfigured baseline: requires MFA registration, blocks legacy authentication, second factor through the Authenticator app. No custom policies. | ✔ | ✔ | ✔ | ✔ | – | – |
| Passkeys (FIDO2) | Phishing-resistant passwordless sign-in with hardware security keys or passkeys. | ✔ | ✔ | ✔ | ✔ | – | – |
| Enterprise applications (SSO and user provisioning) | One sign-in for Microsoft 365, Azure and many SaaS apps, plus automatic user provisioning and removal in connected SaaS apps. | ✔ | ✔ | ✔ | ✔ | – | – |
| Audit and sign-in logs | Records of administrative changes and of user and app sign-ins (kept 7 days on Free). | ✔ | ✔ | ✔ | ✔ | – | – |
| Basic reports | Basic security and usage reports, limited Identity Protection risk reports, recommendations and the Identity Secure Score. | ✔ | ✔ | ✔ | ✔ | – | – |
| B2B guest collaboration | Invite external users as guests and control which external organizations your users and guests can collaborate with (cross-tenant access settings). | ✔ | ✔ | ✔ | ✔ | – | – |
| Verified ID (core) | Issue and verify digital credentials without storing personal data centrally. | ✔ | ✔ | ✔ | ✔ | – | – |
| Entra ID custom roles | Create your own admin roles with a chosen set of permissions. | – | ✔ | ✔ | ✔ | – | – |
| Dynamic administrative units and protected actions | Administrative units with attribute-based membership, and Conditional Access step-up before sensitive admin actions. | – | ✔ | ✔ | ✔ | – | – |
| Entra Connect Health (hybrid identity monitoring) | Monitor the health, performance and sync errors of Entra Connect, AD FS and domain controllers, with alerts. | – | ✔ | ✔ | ✔ | – | – |
| Device / group write-back | Write cloud device objects and cloud-created groups back to on-premises Active Directory, for device-based Conditional Access and on-premises group use. | – | ✔ | ✔ | ✔ | – | – |
| MDM auto-enrollment | Enroll devices in Intune or another MDM automatically when they join Entra ID, with local admin policy. | – | ✔ | ✔ | ✔ | – | – |
| Password protection (custom banned list, on-premises) | Block organization-specific weak passwords on top of the global list, also in on-premises Active Directory. | – | ✔ | ✔ | ✔ | – | – |
| Self-service password reset | Let users reset or unlock their own password, including write-back to on-premises AD. | – | ✔ | ✔ | ✔ | – | – |
| Conditional Access policies (incl. MFA methods) | E.g. compliant device, trusted location, authentication strengths, fraud alert, MFA for on-premises apps, TAP, certificate-based authentication, WHfB and token protection. | – | ✔ | ✔ | ✔ | – | – |
| Application Proxy | Publish on-premises web apps to remote users without a VPN. | – | ✔ | ✔ | ✔ | – | – |
| Advanced app access | SAML token encryption, group and on-premises provisioning to apps, and user requests for app access in My Apps. | – | ✔ | ✔ | ✔ | – | – |
| Advanced group management | Group access management, dynamic groups with rule-based membership, and self-service groups with owner approval. | – | ✔ | ✔ | ✔ | – | – |
| Advanced logs and monitoring | Longer log retention (30 days), export to SIEM or Log Analytics, Graph activity logs, Entra health with SLA reporting, advanced reports and the governance dashboard. | – | ✔ | ✔ | ✔ | – | – |
| Entra Backup and Recovery and configuration monitoring | Daily backups of tenant configuration, difference reports, recovery of changed or deleted objects and drift detection. | – | ✔ | ✔ | ✔ | – | – |
| Cross-tenant sync and multitenant organization | Automatically provision users between tenants and group several tenants into one organization. | – | ✔ | ✔ | ✔ | – | – |
| Tenant restrictions v2 and guest session controls | Control which external tenants your users can sign in to, and apply sign-in frequency and other session controls to guests. | – | ✔ | ✔ | ✔ | – | – |
| Global Secure Access: Microsoft traffic profile | Route Microsoft 365 traffic through Global Secure Access, with universal Conditional Access (compliant network check) and universal tenant restrictions. | – | ✔ | ✔ | ✔ | – | – |
| Identity Protection (risk policies, risk-based Conditional Access) | Automatic responses to risky users and sign-ins (block, MFA, password change), and risk as a Conditional Access condition. | – | – | ✔ | ✔ | – | ✔ |
| Privileged Identity Management (PIM) | Just-in-time, approval-based and time-limited activation of privileged roles, with auditing. | – | – | ✔ | ✔ | ✔ | ✔ |
| Access reviews | Recurring reviews where owners or users confirm who still needs access to groups, apps and roles. | – | – | ✔ | ✔ | ✔ | ✔ |
| Entitlement management (incl. My Access portal) | Bundle access into access packages with request, approval and expiration, requested through the My Access portal. | – | – | ✔ | ✔ | ✔ | ✔ |
| Account Discovery | Discover and review accounts in connected apps. | – | – | – | ✔ | ✔ | ✔ |
| Advanced cross-tenant sync | Cross-tenant sync for groups, cross-cloud sync between Microsoft clouds, and discovery of related tenants. | – | – | – | ✔ | ✔ | ✔ |
| PIM custom extensions for role activation | Run Logic App workflows when a privileged role is activated. | – | – | – | ✔ | ✔ | ✔ |
| Advanced access reviews | Reviews of inactive users, machine-learning assisted recommendations, and reviews across all access packages in a catalog. | – | – | – | ✔ | ✔ | ✔ |
| Advanced entitlement management | Auto assignment policies, custom extensions (Logic Apps), sponsors as approvers, and Verified ID and ID Protection integration in access requests. | – | – | – | ✔ | ✔ | ✔ |
| Lifecycle Workflows | Automate joiner, mover and leaver tasks. | – | – | – | ✔ | ✔ | ✔ |
| Protection for agents | Conditional Access and risk detection for AI agent sign-ins (Agent 365). | – | – | – | ✔ | – | – |
| Governance for agents | Access packages and lifecycle workflows for AI agents and their sponsors. | – | – | – | ✔ | – | – |
| Verified ID Face Check | Match a person’s live face against the photo in a verified credential. | – | – | – | ✔ | – | ✔ |
| Internet Access (secure web gateway) | Identity-aware secure web gateway: web filtering, TLS inspection and threat intelligence for internet traffic. | – | – | – | ✔ | – | ✔ |
| Private Access (ZTNA, VPN replacement) | Zero Trust access to private apps without a VPN, per app and with Conditional Access. | – | – | – | ✔ | – | ✔ |
Bruger I det, I betaler for?
Ofte ikke. Det mest almindelige hul er ikke en manglende licens, men en licens, der er købt og aldrig slået til. En virksomhed på Business Premium har P1, men kører stadig kun med security defaults og ingen Conditional Access-politikker. En virksomhed på E5 har P2, men administratorerne har stadig permanente rettigheder, fordi PIM aldrig blev sat op.
Det er sikkerhed, der allerede er betalt, og som regel den billigste forbedring, I kan lave.
Skal alle have den samme licens?
Nej. Licenser tildeles pr. bruger, og én tenant kan blande planer. At give alle den licens, som kun nogle har brug for, er en af de nemmeste måder at betale for meget på.
Tag en virksomhed med 100 ansatte. Medarbejdere i produktion eller butik, der arbejder fra en delt enhed og mest bruger Teams, kan ofte klare sig med F1 eller F3. Kontorpersonalet har måske brug for E3. De 20, der har administratorrettigheder eller arbejder med de mest følsomme data, er måske dem, der retfærdiggør P2, via E5 eller en selvstændig P2-licens oven i E3. Tallene er et eksempel, ikke en opskrift. Pointen er, at det rigtige mix følger roller og risiko, ikke én plan for hele virksomheden.
Microsofts licenssider beskriver, hvem der skal have licensen til hver funktion. For PIM er det brugerne med administratorroller, der kan aktiveres, og dem, der godkender eller gennemgår adgang, ikke alle medarbejdere. Tjek det for de funktioner, I bruger, før I skærer ned.
Hvad bør afgøre mixet?
Ikke antallet af ansatte. Et par spørgsmål gør mere gavn:
- Dækker andre værktøjer det allerede? Har I et IGA-værktøj som Saviynt, SailPoint eller Omada, overlapper Governance-tilkøbet stort set med det. Har I allerede en ZTNA-løsning eller en secure web gateway, gør netværksdelen af Entra Suite det også.
- Hvor komplekst er miljøet? Én tenant og en håndfuld applikationer kræver sjældent avanceret governance. Flere tenants, mange administratorer, eksterne konsulenter og en lang liste af SaaS-applikationer flytter balancen.
- Hvor følsomme er jeres data? En lille virksomhed, der håndterer helbredsdata, betalingsdata eller kritisk drift, kan retfærdiggøre P2 til de medarbejdere, der arbejder med dem.
- Sætter I AI-agenter i arbejde? Conditional Access, risikoregistrering og governance for AI-agenter følger med Agent 365. E7 indeholder det, men Agent 365 kan også købes separat oven i den rette grundlicens. Ville I ikke alligevel købe Copilot og Entra Suite oven i E5, betaler E7 for en roadmap, I ikke har.
Hvordan ser I, hvad I har?
Åbn Microsoft 365 admin center og gå til Fakturering og derefter Licenser. Listen viser alle de abonnementer, I ejer, hvor mange licenser I betaler for, og hvor mange der er tildelt. Har I en betalt Entra-licens, viser siden med licensforbrug i Microsoft Entra admin center, hvor mange P1-, P2- og Suite-licenser I har.
Det fortæller, hvad I ejer. Om funktionerne er slået til og sat rigtigt op, er et andet spørgsmål, og det er det, Entra ID-sikkerhedstjekket besvarer, fund for fund. Vil I have kontrollerne sat på plads, er det Advanced. Book en samtale på 30 minutter.