No hybrid user with permanent role assignment on Control Plane

Miksi tämä on tärkeää

Jos hybridikäyttäjällä (paikallisesta Active Directorysta synkronoidulla käyttäjällä) on pysyvä korkean oikeustason rooli Microsoft 365 -hallintatasolla, hyökkääjä, joka saa jalansijaa paikallisessa ympäristössäsi, voi siirtyä pilviresursseihin ilman lisätodennusta. Tämä ohittaa pilvessä olevat suojaushallintasi ja luo suoran sivuttaisliikepolun. Ylläpitäjien tulisi priorisoida näiden hybridiroolimääritysten poistamista, jotta paikallisten ja pilvi-identiteettien välillä säilyy tiukka erottelu.

Mitä Aether365 tarkistaa

Tämä tarkistus skannaa kaikki Azure Active Directory -roolimääritykset hallintatasolla tunnistaakseen hybridikäyttäjät (paikallisesta synkronoidut), joilla on pysyvä korkean oikeustason rooli, kuten Global Administrator tai Privileged Role Administrator. Aether365 merkitsee nämä rikkomuksiksi Microsoft 365 -tietoturvallasi dashboardissa microsoft-365-tarkistusryhmän alla.

Korjausohjeet

1. Tunnista vaikutetut hybridikäyttäjä(t). Etsi käyttäjiä, joilla OnPremisesSyncEnabled-attribuutti on True Azure AD -hallintakeskuksessa tai PowerShellin kautta.
2. Selvitä, onko roolimääritys todella tarpeellinen. Jos käyttäjä tarvitsee väliaikaista pääsyä, käytä Azure AD Privileged Identity Management (PIM) -toimintoa myöntääksesi aikarajoitettuja, kelpoisuusehtoihin perustuvia määrityksiä pysyvien sijaan.
3. Jos rooli ei ole välttämätön, poista pysyvä määritys. Siirry Azure-portaalissa kohtaan Azure Active Directory > Roles and administrators, valitse rooli ja poista käyttäjä.
4. Kaikille jäljellä oleville pysyville roolimäärityksille hybridikäyttäjillä luo pilvipohjainen tili (ei synkronoitu paikallisesta) ja määritä rooli tälle pilvi-identiteetille.
5. Tee tarvittavat muutokset ja suorita Aether365-tarkistus uudelleen varmistaaksesi, ettei rikkomuksia ole jäljellä.

Vaatimustenmukaisuus

• Viitekehys: Muu
• Vakavuus: Keski (Aether365-luokitus)
• Liittyvät standardit: Tämä tarkistus on linjassa CISA:n Zero Trust -periaatteen kanssa, joka kieltää implisiittisen luottamuksen paikallisten ja pilviympäristöjen välillä. Se tukee myös EIDSCA-peruskonfiguraatioita identiteettien eristämisessä.

Liittyvät resurssit

• Microsoft Learn: Suojaa etuoikeutettu pääsy Azure AD:ssä
• Microsoft Learn: Suunnittele pilvipohjainen identiteetti
• Microsoft Learn: Mikä on Privileged Identity Management?

Microsoft references

• Security planning
• Protect m365 from on premises attacks