User Access Administrator permission should not be permanently assigned on the root scope
Miks See On Oluline
Kui kasutaja administraatori juurdepääsu roll (User Access Administrator) on jäädavalt määratud juurtasemel (root scope), tähendab see, et iga selle rolliga kasutaja omab täielikku kontrolli kõigi teie rentniku (tenant) Azure ressursside üle. See möödub tavapärastest õiguste suurendamise kontrollimehhanismidest ja loob püsiva ründevektori, kui konto peaks ohustatuks osutuma. Regulaarselt juurtaseme õiguste auditeerimine ja eemaldamine vähendab teie Azure'i tellimuste väärkasutuse riski.
Mida Aether365 Kontrollib
Aether365 kontrollib, et Microsoft 365 rentnikus ei oleks juurtasemel (/) määratud ühtegi kasutaja administraatori juurdepääsu rolli (User Access Administrator). See kontroll kuvatakse teie Aether365 töölaual kategoorias microsoft-365 security.
Kuidas Parandada
Kasutaja administraatori juurdepääsu rollide eemaldamiseks juurtasemelt tehke järgmist:
- Logige sisse Microsoft Entra admin center globaalse administraatorina.
- Minge jaotisse Identity > Overview.
- Valige vasakpoolses menüüs Properties.
- Jaotises Access management for Azure resources lülitage lüliti asendisse Yes, et suurendada oma juurdepääsu, seejärel värskendage lehte.
- Kollases teabebänneris klõpsake Manage elevated access users.
- Kontrollige kasutaja administraatorite loendit, valige kõik kirjed ja klõpsake Remove.
- Naaske Properties lehele ja lülitage lüliti tagasi asendisse No, et eemaldada oma suurendatud juurdepääs.
Alternatiivina saate Azure CLI abil eemaldada konkreetse administraatori:
powershell
az role assignment delete --role "User Access Administrator" --assignee admin@yourdomain.com --scope "/"Vastavus
- Vaikimisi ei ole otseselt konkreetse raamistikuga seotud. Kuid järgige CIS Azure Foundations ja Microsoft EIDSCA (Entra ID Security Controls Assessment) põhimõtteid vähimõiguste põhimõtte (least privilege) rakendamiseks.
Seotud Ressursid
- Microsoft Entra admin center
- Azure tellimuste haldamine Entra ID abil
- Juurdepääsu suurendamine Azure tellimuste haldamiseks