Ensure Intune RBAC groups are protected by Restricted Management Administrative Units or Role Assignable groups

Perché è Importante

I ruoli Intune con privilegi elevati, come Intune Administrator o Policy Manager, dovrebbero essere assegnati solo a utenti appartenenti a gruppi protetti da modifiche o eliminazioni accidentali. Senza l'uso di Restricted Management Administrative Units (RMAU) o gruppi assegnabili a ruoli, un utente malevolo o con privilegi eccessivi potrebbe alterare l'appartenenza ai gruppi per ottenere accesso amministrativo non autorizzato all'ambiente Intune.

Cosa Verifica Aether365

Questa verifica accerta che tutti i gruppi RBAC di Intune siano in una Administrative Unit con gestione limitata abilitata o configurati come gruppi assegnabili a ruoli. Il risultato appare nella dashboard di Aether365 nella sezione dei controlli di sicurezza di Intune.

Come Risolvere

1. Esaminare le attuali assegnazioni di ruolo Intune e identificare quali gruppi vengono utilizzati come gruppi assegnabili a ruoli.
2. Per ciascun gruppo, decidere se proteggerlo inserendolo in una Restricted Management Administrative Unit o contrassegnandolo come gruppo assegnabile a ruoli.
3. Per utilizzare una RMAU: creare o selezionare una Administrative Unit in Azure AD, abilitare la gestione limitata su quell'AU e aggiungere il gruppo RBAC di Intune come membro.
4. Per utilizzare un gruppo assegnabile a ruoli: in Azure AD, modificare le proprietà del gruppo e impostare isAssignableToRole su true. Nota: questa è un'impostazione permanente e non può essere annullata.
5. Rimuovere eventuali assegnazioni dirette di utenti ai ruoli Intune e assegnare i ruoli solo attraverso questi gruppi protetti.

Conformità

• Framework: non collegato a uno standard di conformità specifico (Other)
• Questo controllo è allineato con le best practice Microsoft per la protezione dell'accesso con privilegi e la riduzione della superficie di attacco per l'amministrazione basata sui ruoli.

Risorse Correlate

• Restricted Management Administrative Units in Azure AD
• Create a role-assignable group in Azure AD
• Intune role-based access control (RBAC)