Ensure Intune RBAC groups are protected by Restricted Management Administrative Units or Role Assignable groups

Kodėl tai svarbu

Privilegijuotus Intune vaidmenis, tokius kaip Intune Administratorius ar Politikos valdytojas, turėtumėte priskirti tik vartotojams, esantiems grupėse, kurios yra apsaugotos nuo atsitiktinio keitimo ar ištrynimo. Nenaudojant apriboto valdymo administracinių vienetų (RMAU) ar vaidmenims priskiriamų grupių, užpuolikas ar perteklinius leidimus turintis vartotojas galėtų pakeisti grupės narystę, kad gautų neteisėtą administracinę prieigą prie jūsų Intune aplinkos.

Ką tikrina Aether365

Šis patikrinimas patvirtina, ar visos Intune RBAC grupės yra administraciniame vienete, kuriame įjungtas apribotas valdymas, arba sukonfigūruotos kaip vaidmenims priskiriamos grupės. Rezultatas rodomas Aether365 skydelyje po Intune saugos patikrinimų skyriumi.

Kaip ištaisyti

1. Peržiūrėkite dabartinius Intune vaidmenų priskyrimus ir nustatykite, kurios grupės naudojamos kaip vaidmenims priskiriamos grupės.
2. Kiekvienai grupei nuspręskite, ar apsaugoti ją įtraukiant į apriboto valdymo administracinį vienetą, ar pažymint kaip vaidmenims priskiriamą grupę.
3. Norėdami naudoti RMAU: Sukurkite arba pasirinkite administracinį vienetą "Azure AD", įjunkite apribotą valdymą tame administraciniame vienete ir pridėkite Intune RBAC grupę kaip narį.
4. Norėdami naudoti vaidmenims priskiriamą grupę: "Azure AD" redaguokite grupės ypatybes ir nustatykite isAssignableToRole kaip true. Atkreipkite dėmesį, kad šis nustatymas yra nuolatinis ir jo negalima pakeisti.
5. Pašalinkite tiesioginius vartotojų priskyrimus prie Intune vaidmenų ir priskirkite vaidmenis tik per šias apsaugotas grupes.

Atitiktis

• Sistema: nesusijusi su konkrečiu atitikties standartu (Kita)
• Šis patikrinimas atitinka Microsoft geriausias privilegijuotos prieigos apsaugos praktikas ir sumažina atakos paviršių vaidmenimis pagrįstam administravimui.

Susiję šaltiniai

• Apriboto valdymo administraciniai vienetai "Azure AD"
• Sukurti vaidmenims priskiriamą grupę "Azure AD"
• Intune vaidmenimis pagrįsta prieigos kontrolė (RBAC)