Privileged users SHALL be provisioned cloud-only accounts separate from an on-premises directory or other federated identity providers.

Защо това е важно

Когато привилегировани потребители разчитат на акаунти, синхронизирани от локални директории или федеративни доставчици на самоличност, компрометирането на локалната среда може директно да се пренесе в Azure AD. Това създава единична точка на отказ, при която атакуващите могат да преминат от локална среда към роли в облака. Използването на акаунти само в облак изолира привилегирования достъп от локалните рискове, намалявайки обхвата на въздействие и спазвайки принципите на нулево доверие.

Какво проверява Aether365

Aether365 сканира всички привилегировани ролеви назначения в Entra ID и проверява дали назначените потребители имат акаунти само в облак (не синхронизирани от локални или федеративни доставчици). Тази проверка се появява в таблото ви Aether365 под проверките на Entra ID с идентификатор CISA.MS.AAD.7.3.