Bevor wir ins Detail gehen, lohnt sich ein mentales Modell. Diese drei Themen wirken zunächst unabhängig, gehören aber zusammen wie Werkstatt, Werkzeug und Material.

Der rote Faden

Wenn du im Entra- oder Azure-Portal auf „Speichern" klickst, passiert im Hintergrund fast immer ein Aufruf an die Graph-API. Die meisten Admins sehen das nie. Du wirst es lernen:

1. Verstehen, was die Graph-API ist und wie eine Anfrage aufgebaut ist.
2. Üben im Graph Explorer — Anfragen selbst formulieren, Antworten lesen, Berechtigungen erkennen.
3. Durchleuchten mit Graph X-Ray — sehen, dass das Portal genau dieselbe API benutzt, und den Code dafür generieren lassen.
4. Anwenden in deinem eigenen Azure/Entra-Homelab — gefahrlos, kostenlos, mit echten Objekten.

Microsoft Graph ist eine REST-API mit genau einem Endpoint. Statt für Outlook, Teams, OneDrive und Entra je eine eigene Schnittstelle zu lernen, sprichst du alles über dieselbe Adresse an.

Anatomie einer Graph-Anfrage

Jeder Aufruf besteht aus denselben vier Bausteinen. Lerne dieses Muster — danach liest du jede Graph-URL mühelos:

GET // 1. HTTP-Methode: GET·POST·PATCH·DELETE
https://graph.microsoft.com  // 2. der eine Endpoint (Basis-URL)
/v1.0  // 3. Version: /v1.0 (stabil) oder /beta (Vorschau)
/me/messages  // 4. Ressourcen-Pfad: was du willst
?$select=subject,from&$top=5  // 5. (optional) Query-Parameter

Die HTTP-Methoden

v1.0 vs. beta — der wichtigste Unterschied

Berechtigungen — der Türsteher

Graph gibt dir nichts ohne gültigen Access Token, und der Token trägt Scopes (Berechtigungen). Ein Token mit nur User.Read darf dein Profil lesen — aber keine anderen Nutzer. Es gibt zwei Typen:

Probier's aus: Mini-Request-Simulator

Wähle Methode und Pfad und sieh, wie eine echte Graph-Antwort aussehen würde — inklusive der nötigen Berechtigung. (Vereinfachte Demo, keine echten Aufrufe.)

Der Graph Explorer ist Microsofts kostenloses Entwicklerwerkzeug zum Ausprobieren der Graph-API direkt im Browser — ohne ein einziges Stück Code. Erreichbar unter developer.microsoft.com/graph/graph-explorer.

Die Oberfläche

Drei Bereiche, die du kennen solltest:

Das wichtigste Feature: Code-Snippets

Nachdem du eine Abfrage ausgeführt hast, öffne den „Code snippets"-Tab. Der Explorer übersetzt deine Anfrage automatisch in echten Code — wähle deine Sprache:

Connect-MgGraph -Scopes "User.Read"
Get-MgUser -UserId "me"

var me = await graphClient.Me
    .GetAsync();

const me = await client
    .api('/me')
    .get();

me = await graph_client.me.get()

Weitere nützliche Features

• Documentation-Link an jeder Abfrage — springt direkt zur passenden API-Referenz mit Parametern und nötigen Scopes.
• Resources-Tab → Postman-Export: sammle Ressourcen und exportiere sie als Postman-Collection.
• History (30 Tage): jede Abfrage wird gespeichert, als .har exportierbar.
• Share-Button: erzeugt einen Link, mit dem andere deine Abfrage + Ergebnis sehen.
• Settings → Sandbox: kostenloser Sofort-Sandbox mit Sample-Datenpaketen.

Wo der Graph Explorer dich Anfragen schreiben lässt, zeigt dir Graph X-Ray, welche Anfragen das Portal bereits für dich macht. Es ist eine Browser-Erweiterung von Merill Fernando, die in Echtzeit mitschneidet, welche Graph-API-Aufrufe hinter deinen Klicks in Entra, Intune & Co. stecken — und daraus fertigen Code generiert.

Die Kernidee: „Clicks to Code"

Jede Dropdown-Auswahl, jedes „Speichern" im Admin-Portal löst im Hintergrund eine Graph-Anfrage aus. Normalerweise ist das in den rohen DevTools-Netzwerk-Logs vergraben. Graph X-Ray hebt genau diese Aufrufe hervor und formatiert sie lesbar — und übersetzt sie in Skripte.

Unterstützte Sprachen

Installation

Verfügbar für alle gängigen Browser:

So benutzt du es

1. Installiere die Erweiterung und starte den Browser neu (sonst erscheint das Panel evtl. nicht).
2. Öffne ein Admin-Portal, z. B. entra.microsoft.com oder intune.microsoft.com.
3. Öffne die DevTools (F12) und wechsle zum Tab „Graph X-Ray".
4. Führe im Portal eine Aktion aus — z. B. den Jobtitel eines Nutzers ändern und Speichern.
5. Im X-Ray-Panel erscheint der zugehörige Graph-Aufruf plus generierter Code. Scrolle nach unten für die neueste Aktion.

Beispiel: was X-Ray dir zeigt

Du änderst im Portal eine Telefonnummer und klickst Speichern. X-Ray übersetzt das z. B. so:

# X-Ray erkennt: Portal sendet PATCH an /users/{id}
Update-MgUser -UserId "8f4e...c2a1" `
  -BusinessPhones "+49 30 1234567"

Wofür es brilliert

„Azure" ist Microsofts riesige Cloud-Plattform — Hunderte Dienste von virtuellen Maschinen bis KI. Für deine drei Themen ist vor allem ein Teil zentral: Microsoft Entra ID (früher Azure Active Directory), der Identitätsdienst. Genau dessen Daten erreichst du über Graph.

Die wichtigsten Bausteine fürs Lernen

Die drei Portale, die du kennen wirst

Wie Azure-Kosten funktionieren (damit dein Lab kostenlos bleibt)

Azure rechnet meist nutzungsbasiert ab (Pay-as-you-go): Du zahlst pro Stunde Rechenzeit, pro GB Speicher usw. Für reines Identitäts- und Graph-Lernen entstehen aber praktisch keine Kosten — Entra ID hat eine kostenlose Stufe, und Nutzer/Gruppen/Apps anzulegen kostet nichts. Geld kostet erst echte Infrastruktur wie VMs. Mehr dazu im nächsten Modul.

Jetzt baust du dir eine eigene Spielwiese — einen Tenant, in dem du alles gefahrlos ausprobieren kannst, ohne eine Produktivumgebung zu berühren. Es gibt mehrere Wege, je nachdem, was du hast.

Welcher Weg passt zu dir?

Empfohlener Weg: eigener Entra-Tenant über Azure Free

# Alle Ressourcengruppen anzeigen
az group list --output table

# Eine Test-Gruppe samt Inhalt löschen
az group delete --name rg-mein-lab --yes --no-wait

Werkzeuge fürs Homelab installieren

# Graph PowerShell SDK installieren
Install-Module Microsoft.Graph -Scope CurrentUser

# An deinem Lab-Tenant anmelden
Connect-MgGraph -Scopes "User.Read.All","Group.Read.All"

# Test: alle Lab-Nutzer auflisten
Get-MgUser -All | Select DisplayName, UserPrincipalName

# Azure CLI anmelden
az login

# Direkt einen Graph-Aufruf über die CLI machen
az rest --method GET `
  --url "https://graph.microsoft.com/v1.0/users"

Hier verbindet sich alles. Diese vier aufeinander aufbauenden Übungen führen dich von „klicken" zu „automatisieren". Arbeite sie in deinem Lab-Tenant durch.

Connect-MgGraph -Scopes "User.ReadWrite.All"

# Alle Lab-Nutzer holen und Jobtitel setzen
Get-MgUser -All | ForEach-Object {
    Update-MgUser -UserId $_.Id `
      -JobTitle "Cloud Trainee"
}

Empfohlene Reihenfolge (TL;DR)

1. Tag 1: Module 1–2 lesen. Graph-Explorer-Sandbox: Übungen 1–3.
2. Tag 2: Azure Free Account + eigener Tenant (Übungen 6–7).
3. Tag 3: Graph X-Ray installieren, Übungen 4–5.
4. Tag 4: Den Kreislauf meistern, Übungen 8–9. Sicherheit (Modul 8) lesen.

Graph ist mächtig — und genau deshalb diszipliniert mit Berechtigungen umzugehen ist der Unterschied zwischen Profi und Risiko. Das gilt selbst im Lab, weil du dir hier gute Gewohnheiten antrainierst.

Das Prinzip der minimalen Rechte

Fordere immer nur die Scopes an, die du wirklich brauchst. Willst du nur lesen, nimm User.Read.All — nicht User.ReadWrite.All. Jede überflüssige Berechtigung ist eine unnötige Angriffsfläche.

Delegated vs. Application — die Sicherheitssicht

Goldene Regeln für dein Lab (und später)

• Nie mit dem Global-Admin-Konto im Alltag arbeiten — separates Test-Konto nutzen.
• Tokens sind Geheimnisse: nie in Code, Chats, Screenshots oder URLs einfügen. Ein JWT ist ein Schlüssel.
• App-Secrets/Zertifikate nie im Klartext committen — nutze Secret-Stores (z. B. Azure Key Vault).
• Consent-Dialoge wirklich lesen: Was fordert die App an? Passt das zum Zweck?
• Im Lab ruhig Rechte erteilen und wieder entziehen, um den Effekt zu sehen — so lernst du das Berechtigungsmodell wirklich.

Dein Schnellzugriff für die häufigsten Aufrufe und die besten weiterführenden Quellen.

Häufige Graph-Endpunkte

Nützliche Query-Parameter (OData)

PowerShell-Cmdlets, die du oft brauchst

Offizielle & weiterführende Quellen

Glossar (Begriffe im Überblick)