User Access Administrator permission should not be permanently assigned on the root scope
Miért fontos ez
Ha a User Access Administrator szerepkör tartósan hozzá van rendelve a legfelső szintű hatókörhöz, akkor minden ilyen szerepkörrel rendelkező felhasználó teljes körű hozzáféréssel rendelkezik a bérlő összes Azure-erőforrásához. Ez megkerüli a normál jogosultsági emelési vezérlőket, és tartós támadási felületet hoz létre, ha a fiók biztonsága sérül. A legfelső szintű hatókörű jogosultságok rendszeres ellenőrzése és eltávolítása csökkenti az Azure-előfizetésekkel való visszaélés kockázatát.
Mit ellenőriz a Aether365
A Aether365 ellenőrzi, hogy a bérlő Microsoft 365-környezetében nincs-e User Access Administrator szerepkör-hozzárendelés a legfelső szintű hatókörhöz (/). Ez az ellenőrzés a Aether365 irányítópultján a microsoft-365 security kategóriában jelenik meg.
Hogyan javítható
Az összes User Access Administrator hozzárendelés eltávolítása a legfelső szintű hatókörből:
- Jelentkezzen be a Microsoft Entra admin center portálra Global Administrator jogosultsággal.
- Navigáljon az Identity > Overview menüponthoz.
- Válassza ki a Properties elemet a bal oldali menüből.
- Az Access management for Azure resources alatt állítsa a kapcsolót Yes állásba a hozzáférés emeléséhez, majd frissítse az oldalt.
- A sárga információs szalagon kattintson a Manage elevated access users gombra.
- Tekintse át a User Access Administrator listát, jelölje ki az összes bejegyzést, majd kattintson a Remove gombra.
- Térjen vissza a Properties oldalra, és állítsa vissza a kapcsolót No állásba az emelt hozzáférés megszüntetéséhez.
Alternatív megoldásként használja az Azure CLI-t egy adott adminisztrátor eltávolításához:
powershell
az role assignment delete --role "User Access Administrator" --assignee admin@yourdomain.com --scope "/"Megfelelőség
- Alapértelmezés szerint nincs közvetlenül egy adott keretrendszerhez hozzárendelve. Azonban a CIS Azure Foundations és a Microsoft EIDSCA (Entra ID Security Controls Assessment) legkisebb jogosultság elvét követő irányelvei érvényesülnek.
Kapcsolódó források
- Microsoft Entra admin center
- Manage Azure subscriptions with Entra ID
- Elevate access to manage Azure subscriptions