Azure Cloud Shell lässt sich als flüchtige Sitzung starten, ohne Azure-Speicherkonto und ohne Dateifreigabe. Der Artikel zeigt die Schritte im Portal, vergleicht flüchtige Sitzungen mit dem Betrieb über ein Speicherkonto in einer Tabelle und nennt die Zeitlimits laut Microsoft Learn. Er belegt, dass trotzdem ein Azure-Abonnement und der registrierte Ressourcenanbieter Microsoft.CloudShell nötig sind, listet die vorinstallierten PowerShell-Module für Exchange Online und Microsoft Graph und ordnet Grenzen und Alternativen ein.
Inhalt 12 Abschnitte
- Das Wichtigste in Kürze
- Was sich geändert hat
- Cloud Shell ohne Speicher starten
- Was dabei verloren geht
- Flüchtig und mit Speicherkonto im Vergleich
- Cloud Shell ohne Azure-Abonnement: geht nicht
- Praxis: Was vorinstalliert ist
- Grenzen im Alltag
- Alternativen ohne Azure-Abonnement
- Einordnung: Was das für Admins und IT-Dienstleister heisst
- Fazit
- Änderungshistorie
Wer schnell einen Befehl ausprobieren will, öffnet die Cloud Shell im Portal. Früher stand davor ein Speicherkonto mit Dateifreigabe. Heute genügt ein Klick auf „No storage account required“.
Das Wichtigste in Kürze
- Die flüchtige Sitzung kostet keinen Speicher. Es entsteht kein Speicherkonto und keine Dateifreigabe. Die Maschine hinter der Cloud Shell ist laut Microsoft kostenlos, Speicherkosten fallen nur beim Einhängen eines Speicherkontos an.
- Dateien überleben die Sitzung nicht. Was du in
$HOMEablegst, wird gelöscht, kurz nachdem du das Fenster schliesst oder die Cloud Shell neu startest. - Ein Azure-Abonnement bleibt Pflicht. Du wählst es beim Start aus, und der Ressourcenanbieter Microsoft.CloudShell muss darin registriert sein.
- Nach 20 Minuten ohne Eingabe endet die Sitzung. Lange Skripte ohne Interaktion beendet die Cloud Shell ohne Warnung.
Was sich geändert hat
Bis dahin setzte der erste Start der Cloud Shell ein Speicherkonto voraus. Cloud Shell legte darin eine Azure-Files-Freigabe an und sicherte dort dein Home-Verzeichnis als Datei acc_user.img. Das hielt Dateien am Leben, erzeugte aber in jedem Abonnement zusätzliche Ressourcen und brachte Fehlerbilder mit, etwa Richtlinien, die das Anlegen von Speicherkonten verbieten.
Die flüchtige Sitzung (englisch ephemeral session) lässt diesen Schritt weg. Microsoft nennt sie den schnellsten Weg, die Cloud Shell zu nutzen. Erstmals veröffentlicht hat Microsoft die Seite dazu laut Metadaten am 22. Januar 2024, zuletzt aktualisiert am 29. Mai 2024. Die weiteren Aussagen dieses Artikels stammen aus den Seiten zu Funktionen, Speicher und häufigen Fragen der Cloud Shell sowie aus den Beobachtungen im Admin-Blog von Icewolf.
Cloud Shell ohne Speicher starten
Der Ablauf im Portal besteht aus wenigen Schritten. Einmalig kommt die Registrierung des Ressourcenanbieters dazu.
- Öffne im Azure-Portal im Menü Subscriptions, wähle dein Abonnement und dann unter Settings den Eintrag Resource providers.
- Suche nach
cloudshell, markiere Microsoft.CloudShell und klicke Register. Das genügt einmal je Abonnement. - Starte die Cloud Shell über das Symbol in der oberen Leiste des Portals.
- Wähle beim ersten Start Bash oder PowerShell.
- Klicke im Bereich „Getting started“ auf No storage account required, wähle in der Liste dein Abonnement und bestätige mit Apply.
Die Registrierung geht auch per PowerShell, zum Beispiel aus einer bereits laufenden Sitzung. Das Cmdlet Register-AzResourceProvider nimmt den Namensraum als Parameter.
Register-AzResourceProvider -ProviderNamespace Microsoft.CloudShell Get-AzResourceProvider -ProviderNamespace Microsoft.CloudShell | Select-Object ProviderNamespace, RegistrationState
Danach öffnet sich das Terminal. Ein Blog von Icewolf zeigt dazu die Meldung, die Sitzung sei flüchtig und es blieben weder Dateien noch Änderungen am System erhalten. Mit Get-AzSubscription siehst du, welche Abonnements du erreichst, und Set-AzContext -Subscription <SubscriptionId> setzt das gewünschte.
Was dabei verloren geht
Microsoft beschreibt die Maschine hinter der Cloud Shell als temporär. Sie wird nach 20 Minuten ohne Aktivität recycelt. Im flüchtigen Modus kannst du Dateien nur in $HOME schreiben. Dieser Ordner existiert allein im Container-Image deiner laufenden Sitzung, taucht im Storage Browser nicht auf und verschwindet mit der Sitzung.
Zudem lässt sich auf dem Laufwerk Azure: in PowerShell nichts anlegen. Es ist ein virtuelles Laufwerk für Ressourcen. Legst du dort mit einem Editor eine Datei an, landet sie in $HOME. Kopiere also Ergebnisse, Berichte und Skripte vor dem Schliessen weg, etwa in die Zwischenablage oder in ein Repository.
Flüchtig und mit Speicherkonto im Vergleich
Die Tabelle fasst zusammen, was die Learn-Seiten zu Funktionen, Speicher und FAQ dazu sagen.
| Thema | Flüchtige Sitzung | Mit Speicherkonto | Was das bedeutet |
|---|---|---|---|
| Auswahl beim Start | No storage account required | Mount storage account | Die Wahl fällt beim ersten Start |
| Dateien in $HOME | Weg nach Sitzungsende | Als Image-Datei in der Azure-Files-Freigabe gesichert | Nur mit Speicher bleiben Skripte liegen |
| Ordner clouddrive | Nicht eingehängt, nur $HOME beschreibbar |
Eingehängte Dateifreigabe, im Storage Browser sichtbar | Austausch über die Freigabe geht nur mit Speicher |
| Eigene Tools | Doku nennt die Installation nur mit Speicher | Tools ohne Root-Rechte lassen sich installieren | Flüchtig bleibt nur der Grundstock |
| Kosten | Keine Speicherkosten | Maschine kostenlos, Speicher zu regulären Preisen | Speicher kostet nur, wer ihn einhängt |
| Richtlinie gegen Speicherkonten | Kein Konto, nichts zu verbieten | Fehler 403 RequestDisallowedByPolicy beim ersten Start | Flüchtig umgeht diese Sperre |
| Wechsel | Settings, Reset user settings, dann Speicher einhängen | clouddrive unmount oder Dismount-CloudDrive |
Beides beendet die laufende Sitzung |
Quelle: Microsoft Learn, Seiten zu Cloud-Shell-Funktionen, Speicher und FAQ. Stand: 29. Mai 2024.
Dazu kommt ein Sicherheitsgewinn. Die Speicherseite warnt, dass das Home-Verzeichnis Zugriffstoken oder Zugangsdaten enthalten kann und dass Benutzer mit genügend Rechten im Abonnement die Speicherkonten anderer sehen. In einer flüchtigen Sitzung liegt nichts davon dauerhaft herum.
Cloud Shell ohne Azure-Abonnement: geht nicht
Hier lohnt Ehrlichkeit. „Kein Speicherkonto“ heisst nicht „kein Azure“. Die Learn-Seite verlangt als Voraussetzung, dass der Ressourcenanbieter Microsoft.CloudShell im Abonnement registriert ist. Beim Start wählst du ausserdem ein Abonnement aus. Icewolf schreibt dazu, du müsstest mindestens Abonnements auflisten können, und sieht darin eine Hürde für Organisationen.
Ein reiner Microsoft-365-Tenant ohne Azure-Abonnement erfüllt diese Bedingung nicht. Die FAQ geht noch weiter: Ein Abonnement, das nur Microsoft Entra ID enthält, kann keine Azure-Ressourcen anlegen und scheitert mit dem Fehler 400 DisallowedOperation, sobald die Cloud Shell ein Speicherkonto erzeugen will. Ob der flüchtige Weg in einem solchen Fall startet, belegt Microsoft nicht. Plane deshalb mit einem echten Abonnement, und sei es ein kleines.
Der Blog von Icewolf beschreibt ausserdem, dass die Cloud Shell im Microsoft-365-Admin-Center weder nach Abonnement noch nach Shell fragte. Er vermutet, dass die frühere Auswahl im Azure-Portal dabei eine Rolle spielte. Das ist eine Beobachtung eines einzelnen Admins, keine Zusage von Microsoft.
Praxis: Was vorinstalliert ist
Microsoft führt eine gepflegte Auswahl an Werkzeugen und aktualisiert sie monatlich. Die Liste der Funktionsseite nennt unter anderem Azure CLI, die Azure-Cmdlets, Version 7.4 der Shell, das Exchange-Online-Modul und die Office 365 CLI. Von Microsoft Graph ist nur eine Auswahl dabei, etwa Authentication, Applications, Groups und SignIns. Auch Users.Actions und Users.Functions stehen auf der Liste.
Dabei fällt auf, dass Microsoft.Graph.Users fehlt. Icewolf meldet genau das: Ohne dieses Modul wirft Get-MgUser Fehler, nach Install-Module läuft es. Das Teams-Modul steht nicht auf der Liste von Microsoft. Icewolf fand es im Admin-Center dennoch vor. Prüfe den Stand deshalb selbst mit Get-Module -ListAvailable.
# Abonnement wählen Get-AzSubscription Set-AzContext -Subscription '<SubscriptionId>' # Vorinstallierte Graph-Module ansehen Get-Module -ListAvailable -Name 'Microsoft.Graph*' | Select-Object Name, Version # Fehlendes Modul vor der Anmeldung nachladen (gilt nur für diese Sitzung) Install-Module Microsoft.Graph.Users -Scope CurrentUser Connect-MgGraph -Scopes 'User.Read.All' -UseDeviceCode -NoWelcome Get-MgUser -Top 5 | Select-Object DisplayName, UserPrincipalName
Die Anmeldung per Gerätecode nutzt auch Icewolf für Graph und Teams. Für Exchange Online genügt in seinem Beispiel Connect-ExchangeOnline. Typische Aufgaben für diese Umgebung sind kurze Abfragen: Gruppen und Benutzer auflisten, Postfächer zählen, eine Einstellung prüfen oder ein Skript vor dem Einsatz am eigenen Rechner ausprobieren.
Grenzen im Alltag
Die Tabelle zeigt die Grenzen, die Microsoft nennt.
| Grenze | Wert | Folge |
|---|---|---|
| Leerlauf | 20 Minuten ohne interaktive Eingabe | Lange, nicht interaktive Läufe enden ohne Warnung |
| Gleichzeitige Benutzer | 20 je Tenant | Danach „Tenant User Over Quota“ |
| Rechte | Normaler Linux-Benutzer ohne sudo |
Tools mit Root-Bedarf lassen sich nicht installieren |
| Netz | HTTPS und Websocket zu *.console.azure.com und *.servicebus.windows.net |
Sonst „Failed to connect terminal“ |
Die Cloud Shell ist für interaktive Arbeit gedacht. Die FAQ sagt, sie sei kein Allzweckrechner, und übermässige Nutzung könne die Nutzungsbedingungen verletzen und zur Sperre führen. Für Schulungen mit mehr Teilnehmern bittest du den Support vorab um ein höheres Kontingent.
Wer die Cloud Shell sperren will, blockiert *.console.azure.com. Das deckt laut Microsoft nicht jeden Einstiegspunkt ab, etwa VS Code für das Web oder Windows Terminal. Dafür braucht es ein Support-Ticket.
Alternativen ohne Azure-Abonnement
Fehlt das Abonnement, bleiben zwei belegte Wege. Der erste ist PowerShell 7 auf dem eigenen Rechner. Für das Graph SDK empfiehlt Microsoft PowerShell 7 oder neuer. Install-Module Microsoft.Graph -Scope CurrentUser richtet es ein. Der zweite ist ein Container: Microsoft beschreibt, wie du mit docker run -it mcr.microsoft.com/dotnet/sdk:9.0 pwsh eine PowerShell-Sitzung im Container startest. Beide Wege kosten Einrichtungszeit, laufen aber unabhängig vom Azure-Portal. Wer Konfigurationen eines Tenants als Code testen will, findet im Artikel zu Microsoft365DSC als Vorlage für Test-Tenants einen Weg, der PowerShell 7 ohnehin voraussetzt.
Einordnung: Was das für Admins und IT-Dienstleister heisst
Für Admins mit Azure-Abonnement ist die flüchtige Sitzung der bequemste Einstieg für kurze Aufgaben: kein Speicherkonto, keine Richtlinienkonflikte, kein Aufräumen. Dienstleister gewinnen eine Umgebung, die nach der Arbeit nichts im Kundenabonnement hinterlässt. Der Preis ist Disziplin, denn Skripte gehören in ein Repository und nicht in $HOME. Wer Microsoft-365-Tenants ohne Azure verwaltet, braucht weiterhin ein Abonnement für den Zugang oder wählt PowerShell lokal. Wer ohnehin Azure im Blick behalten muss, findet im Artikel zu den Azure-Ausfällen im Herbst 2026 Hinweise, welche Alarme sich dafür einrichten lassen. Teste den Start einmal mit einem Testabonnement durch, bevor du ihn im Team empfiehlst.
Fazit
Die flüchtige Cloud-Shell-Sitzung spart das Speicherkonto und damit Kosten, Richtlinienärger und Altlasten. Dafür gehen Dateien am Sitzungsende verloren, und nach 20 Minuten Pause endet die Sitzung. Ein Azure-Abonnement mit registriertem Ressourcenanbieter bleibt Pflicht. Wer das einplant, bekommt schnell eine PowerShell mit Azure-, Exchange- und Graph-Modulen.
Quellen: Get started with Azure Cloud Shell ephemeral sessions, Persist files in Azure Cloud Shell, Azure Cloud Shell features, Azure Cloud Shell FAQ, What is Azure Cloud Shell?, Install the Microsoft Graph PowerShell SDK, Use PowerShell in Docker, CloudShell does not require Azure Storage Account anymore (Icewolf Blog). Foto: geralt / Pixabay. Stand: 29. Mai 2024.
Geschrieben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht: Azure Cloud Shell startet als flüchtige Sitzung ohne Speicherkonto, braucht aber weiterhin ein Azure-Abonnement.