Ensure Administrative accounts are separate and cloud-only
Warum dies wichtig ist
Administratorkonten stellen ein erhebliches Sicherheitsrisiko dar, da sie über erweiterten Zugriff auf sensible Daten, Benutzer und Einstellungen in Ihrer gesamten Microsoft 365-Umgebung verfügen. Die Verwendung von regulären Benutzerkonten für Administratoraufgaben oder das Synchronisieren von Administratorkonten aus einer lokalen Active Directory-Umgebung vergrößert Ihre Angriffsfläche und birgt das Risiko einer umgebungsübergreifenden Kompromittierung. Separate reine Cloud-Administratorkonten stellen sicher, dass ein Sicherheitsvorfall in einer Umgebung nicht auf die andere übergreift, und ermöglichen die vollständige Nutzung von Microsoft 365-Sicherheitsdiensten wie Identity Protection, Privileged Identity Management (PIM) und Conditional Access.
Was Aether365 prüft
Aether365 überprüft, ob alle Administratorkonten in Microsoft Entra ID reine Cloud-Konten sind, d. h. sie werden nicht aus einer lokalen Active Directory-Umgebung synchronisiert. Diese Prüfung wird im Aether365-Dashboard im Abschnitt entra-id angezeigt.
Behebungsmethode
Um sicherzustellen, dass Administratorkonten separate, reine Cloud-Konten sind, führen Sie die folgenden Schritte aus:
- Identifizieren Sie die aktuellen Administratoren in Microsoft Entra ID, indem Sie zu Identity, Users und dann All users navigieren.
- Überprüfen Sie jeden Benutzer, dem unter Roles and administrators Administratorrollen zugewiesen sind.
- Erstellen Sie für jedes Administratorkonto, das aus der lokalen Umgebung synchronisiert wird (erkennbar an "Ja" im Feld On-premises sync enabled), ein neues reines Cloud-Benutzerkonto für administrative Zwecke. Weisen Sie diesen Konten keine Anwendungslizenzen (z. B. Exchange, Teams oder SharePoint) zu.
- Weisen Sie den neuen reinen Cloud-Konten die erforderlichen Administratorrollen über Roles and administrators zu.
- Entfernen Sie die Administratorrollen von den synchronisierten Konten über dieselbe Oberfläche.
- Optional: Stellen Sie sicher, dass Sicherheitswarnungen so konfiguriert sind, dass Benachrichtigungen an eine gültige E-Mail-Adresse des Sicherheitsbetriebs gesendet werden und nicht an TenantAdmins, da diese Administratorkonten möglicherweise keine Postfächer zugewiesen haben.
Compliance
- CIS Microsoft Microsoft 365 Foundations 3.1.0 1.1.1 (E3 Level 1)
Verwandte Ressourcen
- Securing privileged access in Microsoft Entra ID
- Securing privileged access for Windows Server
- Assign administrative roles in Microsoft Entra ID
- Microsoft Entra ID PowerShell API reference for OnPremisesSyncEnabled
- Listing directory synchronization status of users