Limited number of Global Admins are assigned

Warum dies wichtig ist

Wenn zu viele Benutzer die Rolle "Globaler Administrator" innehaben, vergrößert sich die Angriffsfläche Ihres Microsoft 365-Mandanten erheblich. Ein einziger kompromittierter globaler Administratorkonto kann Angreifern die vollständige Kontrolle über alle Verzeichnisressourcen, Sicherheitseinstellungen und Benutzerdaten geben. Die Überwachung der Anzahl globaler Administratoren und die Nutzung von Privileged Identity Management (PIM)-Warnungen helfen Ihnen, das Prinzip der geringsten Privilegien einzuhalten und eine Aufweichung der Berechtigungen zu verhindern.

Was Aether365 prüft

Diese Prüfung stellt sicher, dass eine PIM-Warnung in Ihrem Microsoft 365-Mandanten existiert, die warnt, wenn die Anzahl der globalen Administratoren einen definierten Schwellenwert überschreitet. Sie wird im Aether365-Dashboard unter der Kategorie microsoft-365 als Prüfung AE.1032 mit dem Schweregrad Mittel angezeigt.

Behebung

1. Melden Sie sich als privilegierter Rollenadministrator beim Microsoft Entra admin center (https://entra.microsoft.com) an.
2. Navigieren Sie zu Identity Governance, dann zu Privileged Identity Management, dann zu Azure AD roles und schließlich zu Alert settings.
3. Suchen Sie die Warnung mit dem Namen "Too many global administrators assigned" und überprüfen Sie den aktuellen Schwellenwert.
4. Wenn die Warnung deaktiviert ist, aktivieren Sie sie und passen Sie den Schwellenwert auf eine Zahl an, die den Anforderungen Ihres Unternehmens entspricht (in der Regel 2 bis 4 permanente globale Administratoren).
5. Überprüfen Sie die Liste der Benutzer, denen derzeit die Rolle "Globaler Administrator" zugewiesen ist, indem Sie zu Azure Active Directory, dann zu Roles and administrators navigieren und Global Administrator auswählen.
6. Entfernen Sie alle Benutzer, die keinen permanenten globalen Administratorzugriff benötigen, indem Sie ihnen stattdessen eine spezifischere Administratorrolle zuweisen. Für Benutzer, die gelegentlich globalen Administratorzugriff benötigen, konfigurieren Sie deren Rolle als berechtigt über PIM mit Just-in-Time-Aktivierung.

Compliance

• Sonstiges: Basierend auf dem Prinzip der geringsten Privilegien und allgemeinen Sicherheitsbest Practices

Verwandte Ressourcen

• Microsoft Entra ID: Überwachen und Überprüfen von PIM-Warnungen
• Microsoft Learn: Best Practices für Azure AD-Rollen

Microsoft references

• Pim how to configure security alerts