Privileged users SHALL be provisioned with finer-grained roles instead of Global Administrator.

Warum dies wichtig ist

Globaler Administrator ist die mächtigste Rolle in Microsoft Entra ID und gewährt uneingeschränkten Zugriff auf alle Verzeichniseinstellungen, Benutzerverwaltung und Sicherheitskontrollen. Wenn Sie diese Rolle mehreren Benutzern zuweisen, vergrößert dies Ihre Angriffsfläche erheblich, da ein einziger kompromittierter Globaler Administrator-Konto zur vollständigen Übernahme des Mandanten führen kann. Die Verwendung feingranularerer Rollen beschränkt die Berechtigungen auf das, was jeder Benutzer tatsächlich benötigt, reduziert den Auswirkungsradius und unterstützt die Prinzipien der geringsten Privilegien im Rahmen von Zero Trust.

Was Aether365 prüft

Aether365 überprüft, ob privilegierten Benutzern in Ihrem Microsoft Entra ID-Mandanten rollenspezifische Berechtigungen zugewiesen sind, anstatt der Rolle Globaler Administrator. Diese Prüfung erscheint im Aether365-Dashboard unter dem Abschnitt entra-id.

So beheben Sie das Problem

1. Melden Sie sich als Globaler Administrator beim Microsoft Entra admin center an.
2. Navigieren Sie zu Identity, dann zu Rollen und Administratoren, und wählen Sie Rollen und Administratoren aus.
3. Überprüfen Sie die Liste der Benutzer, denen die Rolle Globaler Administrator zugewiesen ist.
4. Bewerten Sie für jeden Benutzer seine beruflichen Aufgaben und identifizieren Sie eine passende integrierte Rolle (z. B. Benutzeradministrator, Sicherheitsadministrator oder Exchange-Administrator).
5. Weisen Sie dem Benutzer die entsprechende feingranularere Rolle über die Option Zuweisungen hinzufügen zu.
6. Entfernen Sie die Zuweisung der Rolle Globaler Administrator für den Benutzer, indem Sie die Rolle auswählen, auf Zuweisungen entfernen klicken und die Änderung bestätigen.
7. Wiederholen Sie diesen Vorgang für alle Globalen Administratoren, bis nur noch Notfall-Break-Glass-Konten diese Rolle behalten.

Compliance

• CIS: CISA.MS.AAD.7.2
• Framework: CIS, CISA

Verwandte Ressourcen

• Microsoft Learn: Rollen mit den geringsten Privilegien in Microsoft Entra ID
• Microsoft Learn: Zuweisen von Rollen zu Benutzern