No hybrid user with permanent role assignment on Control Plane

Kodėl tai svarbu

Jei hibridinis vartotojas (vartotojas, sinchronizuotas iš vietinės Active Directory) turi nuolatinį aukšto privilegijų lygio vaidmenį Microsoft 365 valdymo plokštumoje, užpuolikas, įsilaužęs į jūsų vietinę aplinką, gali pereiti prie debesų išteklių be papildomo autentifikavimo. Tai apeina jūsų debesų saugumo kontrolės priemones ir sukuria tiesioginį šoninio judėjimo kelią. Administratoriai turėtų teikti pirmenybę šių hibridinių vaidmenų priskyrimų pašalinimui, kad būtų užtikrintas griežtas atskyrimas tarp vietinių ir debesų tapatybių.

Ką tikrina Aether365

Šis patikrinimas nuskaito visus Azure Active Directory vaidmenų priskyrimus valdymo plokštumoje, siekiant nustatyti bet kurį hibridinį vartotoją (sinchronizuotą iš vietinės aplinkos) su nuolatiniu aukšto privilegijų lygio vaidmeniu, pvz., Global Administrator arba Privileged Role Administrator. Aether365 pažymi juos kaip pažeidimus jūsų Microsoft 365 saugumo informacijos suvestinėje pagal microsoft-365 tikrinimo grupę.

Kaip ištaisyti

1. Nustatykite paveiktą hibridinį vartotoją (-us). Ieškokite vartotojų, kurių atributas OnPremisesSyncEnabled yra True Azure AD administravimo centre arba naudojant PowerShell.
2. Nuspręskite, ar vaidmens priskyrimas tikrai būtinas. Jei vartotojui reikia laikinos prieigos, naudokite Azure AD Privileged Identity Management (PIM), kad suteiktumėte terminuotus, tinkamus priskyrimus vietoj nuolatinių.
3. Jei vaidmuo nėra būtinas, pašalinkite nuolatinį priskyrimą. Azure portale eikite į Azure Active Directory > Roles and administrators, pasirinkite vaidmenį, tada pašalinkite vartotoją.
4. Bet kokiems likusiems nuolatiniams vaidmenų priskyrimams hibridiniams vartotojams sukurkite tik debesies paskyrą (nesinchronizuotą iš vietinės aplinkos) ir priskirkite vaidmenį tai tik debesies tapatybei.
5. Atlikę pakeitimus, dar kartą paleiskite Aether365 patikrinimą, kad patvirtintumėte, jog pažeidimų nebėra.

Atitiktis

• Sistema: Kita
• Sunkumas: Vidutinis (Aether365 įvertinimas)
• Susiję standartai: Šis patikrinimas atitinka CISA Zero Trust principą, pašalinantį implicitinį pasitikėjimą tarp vietinės ir debesų aplinkų. Jis taip pat palaiko EIDSCA bazinės konfigūracijos reikalavimus tapatybių izoliacijai.

Susiję ištekliai

• Microsoft Learn: Secure privileged access in Azure AD
• Microsoft Learn: Plan a cloud-only identity
• Microsoft Learn: What is Privileged Identity Management?

Microsoft references

• Security planning
• Protect m365 from on premises attacks