Ensure Intune RBAC groups are protected by Restricted Management Administrative Units or Role Assignable groups

Hvorfor dette er vigtigt

Privilegerede Intune-roller som Intune Administrator eller Policy Manager bør kun tildeles brugere i grupper, der er beskyttet mod utilsigtet ændring eller sletning. Uden brug af Restricted Management Administrative Units (RMAU'er) eller Role Assignable-grupper kan en angriber eller en bruger med for mange rettigheder ændre gruppemedlemskab for at opnå uautoriseret administrativ adgang til dit Intune-miljø.

Hvad Aether365 kontrollerer

Denne kontrol verificerer, at alle Intune RBAC-grupper enten befinder sig i en Administrative Unit med begrænset administration aktiveret eller er konfigureret som Role Assignable-grupper. Resultatet vises i Aether365-dashboardet under sektionen for Intune-sikkerhedskontroller.

Sådan rettes det

1. Gennemgå dine nuværende Intune-roletildelinger og identificer, hvilke grupper der anvendes som roletildelingsgrupper.
2. For hver gruppe skal du beslutte, om den skal beskyttes ved at placere den i en Restricted Management Administrative Unit eller ved at markere den som en Role Assignable-gruppe.
3. For at bruge en RMAU: Opret eller vælg en Administrative Unit i Azure AD, aktivér begrænset administration på den pågældende AU, og føj Intune RBAC-gruppen til som medlem.
4. For at bruge en Role Assignable-gruppe: Rediger gruppens egenskaber i Azure AD, og sæt isAssignableToRole til true. Bemærk, at dette er en permanent indstilling, som ikke kan fortrydes.
5. Fjern eventuelle direkte brugetildelinger fra Intune-roller, og tildel kun roller gennem disse beskyttede grupper.

Overholdelse

• Rammeværk: Ikke bundet til en specifik overholdelsesstandard (Andet)
• Denne kontrol er i overensstemmelse med Microsofts bedste praksis for at sikre privilegeret adgang og reducere angrebsoverfladen for rollebaseret administration.

Relaterede ressourcer

• Restricted Management Administrative Units i Azure AD
• Opret en roletildelingsgruppe i Azure AD
• Intune rollebaseret adgangskontrol (RBAC)