Privileged users SHALL be provisioned cloud-only accounts separate from an on-premises directory or other federated identity providers.

Perché è importante

Quando utenti privilegiati utilizzano account sincronizzati da directory locali o provider di identità federati, una compromissione dell'ambiente locale può propagarsi direttamente in Azure AD. Questo crea un singolo punto di guasto in cui gli attaccanti possono passare dai ruoli amministrativi locali a quelli cloud. L'utilizzo di account esclusivamente cloud isola l'accesso privilegiato dai rischi locali, riducendo il raggio d'esplosione e soddisfacendo i principi di zero trust.

Cosa controlla Aether365

Aether365 analizza tutte le assegnazioni di ruoli privilegiati in Entra ID e verifica se gli utenti assegnati hanno account esclusivamente cloud (non sincronizzati da ambienti locali o provider federati). Questo controllo appare nella dashboard di Aether365 sotto la sezione dei controlli Entra ID con identificatore CISA.MS.AAD.7.3.