Ensure Custom Role is Assigned Permissions for Administering Resource Locks

Perché è Importante

I blocchi delle risorse proteggono le risorse critiche di Azure da eliminazioni o modifiche accidentali. Senza un ruolo dedicato alla gestione di questi blocchi, si rischia di concedere autorizzazioni eccessive come Proprietario o Collaboratore solo per sbloccare le risorse, aumentando la superficie di attacco. Un ruolo personalizzato per l'amministrazione dei blocchi delle risorse garantisce il minimo privilegio e riduce la possibilità di danni involontari.

Cosa Controlla Aether365

Aether365 verifica che esista un ruolo personalizzato con autorizzazioni specifiche per l'amministrazione dei blocchi delle risorse (Microsoft.Authorization/locks/*). Questo controllo appare nel dashboard di Aether365 nella sezione dei controlli di sicurezza della sottoscrizione Azure e segnala qualsiasi sottoscrizione o gruppo di gestione privo di questo ruolo personalizzato.

Come Risolvere

Per creare e assegnare un ruolo personalizzato di Amministratore Blocchi delle Risorse:

1. Nel portale di Azure, spostati nella sottoscrizione o nel gruppo di risorse in cui il ruolo deve essere assegnabile.
2. Apri Controllo degli accessi (IAM) e fai clic su Aggiungi, quindi seleziona Aggiungi ruolo personalizzato.
3. Inserisci il nome del ruolo come Amministratore Blocchi delle Risorse e fornisci una descrizione.
4. In Autorizzazioni di base, scegli Inizia da zero.
5. Nella scheda Autorizzazioni, fai clic su Aggiungi autorizzazioni e cerca Microsoft.Authorization/locks.
6. Seleziona la casella di controllo corrispondente all'autorizzazione, fai clic su Aggiungi, quindi su Rivedi e crea e infine su Crea.
7. Assegna questo ruolo personalizzato agli utenti o gruppi appropriati in IAM.

In alternativa, utilizza PowerShell per creare il ruolo a livello di gruppo di gestione:

• Carica la definizione del ruolo di Amministratore Accesso Utente, cancella le sue azioni e aggiungi Microsoft.Authorization/locks/*.
• Imposta gli ambiti assegnabili sul gruppo di gestione o sulla sottoscrizione.
• Esegui New-AzRoleDefinition per registrare il nuovo ruolo.

Conformità

• CIS Microsoft Azure Foundations Benchmark 3.0.0 Sezione 2.24 (Livello 2)
• Microsoft Security Benchmark: Accesso Privilegiato (PA-1, PA-2, PA-5, PA-7)
• Microsoft Security Benchmark: Strategia di Governance (GS-2, GS-6)

Risorse Correlate

• Documentazione sui ruoli personalizzati di Azure
• Verifica l'accesso per le risorse di Azure
• Controlli di sicurezza per l'accesso privilegiato

Microsoft references

• Custom roles
• Check access
• Security controls v2 privileged access
• Security controls v2 privileged access
• Security controls v2 privileged access
• Security controls v2 privileged access
• Security controls v2 governance strategy
• Security controls v2 governance strategy