Ensure That No Custom Subscription Administrator Roles Exist

Miks see on oluline

Kohandatud tellimuse administraatorirollid, millel on laialdased õigused, võivad varjata kasutajatele tegelikult antud volitusi ja tekitada privilegeeritud identiteedihalduses märkimisväärseid pimealasid. Ilma regulaarsete audititeta kogunevad nendesse rollidesse tarbetud juurdepääsuvõimalused, mis rikuvad vähimõiguste põhimõtet ja suurendavad privilegeeritud kontode kompromiteerimisel õiguste eskalatsiooni või väärkasutuse riski.

Mida Aether365 kontrollib

Aether365 kontrollib, et poleks ühtegi kohandatud rolli definitsiooni, millel oleks tellimuse taseme assignableScope (nt / või täielik tellimuse ID) ja tegevuseks seatud *, mis annab täieliku haldusjuurdepääsu. See kontroll kuvatakse teie Aether365 töölaual kategooria azure-subscription-security all.

Kuidas parandada

1. Avage Azure CLI ja käivitage järgmine käsk kõigi kohandatud rollide definitsioonide loetlemiseks:

   az role definition list

2. Tuvastage kõik kohandatud rollid, mille assignableScope on / või terve tellimus ja mille actions omadus sisaldab *.
3. Iga leitud rolli puhul kontrollige selle kasutamist ja mõju enne eemaldamist, vaadates üle rollimääranguid ja auditiloge.
4. Rikkumist põhjustava kohandatud rolli eemaldamiseks käivitage:

   az role definition delete --name 'rollinimi'

   Asendage rollinimi kohandatud rolli täpse nimega.
5. Pärast eemaldamist määrake vajalikud õigused ümber, kasutades sisseehitatud Azure'i rolle, mis järgivad vähimõiguste põhimõtet.

Vastavusnõuded

• CIS Microsoft Azure Foundations 3.0.0 2.2.3 (tase 1)
• Microsofti turbevõrdlusalused: haldusstrateegia GS-2 ja GS-6, privilegeeritud juurdepääs PA-1, PA-2, PA-5 ja PA-7

Seotud ressursid

• Azure'i kohandatud rollide dokumentatsioon
• Haldusstrateegia ettevõtte segmentimiseks
• Identiteedi ja privilegeeritud juurdepääsu strateegia
• Kõrge privilegeeritud kasutajate kaitse ja piiramine
• Õiguste halduse automatiseerimine
• Haldusjuurdepääsu piiramine ärikriitilistele süsteemidele
• Piisava halduse ja vähimõiguste põhimõtete järgimine

Microsoft references

• Billing add change azure subscription administrator
• Security controls v2 governance strategy
• Security controls v2 governance strategy
• Security controls v2 privileged access
• Security controls v2 privileged access
• Security controls v2 privileged access
• Security controls v2 privileged access