No hybrid user with permanent role assignment on Control Plane

Miks see on oluline

Kui hübriidkasutaja (kohapealsest Active Directoryst sünkroniseeritud kasutaja) omab püsivat kõrge õigustega rolli Microsoft 365 juhtimistasandil, saab ründaja, kes on teie kohapealsesse keskkonda sisse tunginud, liikuda pilveressurssidele ilma täiendava autentimiseta. See möödub teie pilveturbekontrollidest ja loob otsese külgsuunalise liikumise tee. Administraatorid peaksid seadma prioriteediks nende hübriidrollide määramise kõrvaldamise, et jõustada range eraldus kohapealsete ja pilveidentiteetide vahel.

Mida Aether365 kontrollib

See kontroll skannib kõiki Azure Active Directory rollimääranguid juhtimistasandil, et tuvastada hübriidkasutajaid (kohapealsest sünkroniseeritud), kellel on püsiv kõrge õigustega roll, nagu üldadministraator või privilegeeritud rolliadministraator. Aether365 märgistab need rikkumistena teie Microsoft 365 turbejuhtimislauas mikroseadete (microsoft-365) kontrollirühma all.

Kuidas parandada

1. Tuvastage mõjutatud hübriidkasutaja(d). Otsige kasutajaid, kelle atribuut OnPremisesSyncEnabled on True Azure AD halduskeskuses või PowerShellis.
2. Tehke kindlaks, kas rollimäärang on tõesti vajalik. Kui kasutaja vajab ajutist juurdepääsu, kasutage Azure AD Privileged Identity Management (PIM) teenust ajaliselt piiratud ja kvalifitseeruvate määrangute andmiseks, mitte püsivate määrangute.
3. Kui roll pole hädavajalik, eemaldage püsiv määrang. Azure'i portaalis avage Azure Active Directory > Rollid ja administraatorid, valige roll ja eemaldage kasutaja.
4. Kõigi hübriidkasutajate allesjäänud püsivate rollimäärangute jaoks looge pilvepõhine konto (mitte kohapealsest sünkroniseeritud) ja määrake roll sellele pilveidentiteedile.
5. Pärast muudatuste tegemist käivitage Aether365 kontroll uuesti, et veenduda rikkumiste puudumises.

Vastavus

• Raamistik: Muu
• Tõsidusaste: Keskmine (Aether365 hinnang)
• Seotud standardid: See kontroll on kooskõlas CISA Zero Trust põhimõttega, mis välistab vaikimisi usalduse kohapealse ja pilvekeskkonna vahel. Samuti toetab see EIDSCA põhikonfiguratsioone identiteedi eraldamiseks.

Seotud ressursid

• Microsoft Learn: Turvaline privilegeeritud juurdepääs Azure AD-s
• Microsoft Learn: Pilvepõhise identiteedi kavandamine
• Microsoft Learn: Mis on Privileged Identity Management?

Microsoft references

• Security planning
• Protect m365 from on premises attacks