User Access Administrator permission should not be permanently assigned on the root scope

Waarom dit belangrijk is

Het permanent toewijzen van de rol User Access Administrator op root-niveau betekent dat elke gebruiker met die rol volledige controle heeft over alle Azure-bronnen in uw tenant. Dit omzeilt de normale mechanismen voor het beheer van bevoegdheden en creëert een blijvend aanvalspunt als het account wordt gecompromitteerd. Door regelmatig te controleren en permanente root-scope machtigingen te verwijderen, verkleint u de impact van misbruik van Azure-abonnementen.

Wat Aether365 controleert

Aether365 controleert of er geen toewijzingen van de rol User Access Administrator bestaan op root-niveau (/) in uw Microsoft 365-tenant. Deze controle wordt weergegeven in uw Aether365-dashboard onder de categorie microsoft-365 security.

Hoe u dit kunt oplossen

Om alle toewijzingen van User Access Administrator op root-niveau te verwijderen:

1. Meld u aan bij het Microsoft Entra admin center als Global Administrator.
2. Ga naar Identity > Overview.
3. Selecteer Properties in het linkermenu.
4. Schakel onder Access management for Azure resources de schakelaar naar Yes om uw toegang te verhogen en vernieuw daarna de pagina.
5. Klik in de gele informatiebanner op Manage elevated access users.
6. Bekijk de lijst met User Access Administrators, selecteer alle vermeldingen en klik op Remove.
7. Ga terug naar de Properties-pagina en zet de schakelaar terug naar No om uw verhoogde toegang te verwijderen.

U kunt ook Azure CLI gebruiken om een specifieke beheerder te verwijderen:

az role assignment delete --role "User Access Administrator" --assignee admin@yourdomain.com --scope "/"

Naleving

• Niet standaard direct gekoppeld aan een specifiek raamwerk. Het volgen van de principes van CIS Azure Foundations en Microsoft EIDSCA (Entra ID Security Controls Assessment) voor minimale bevoegdheden is echter van toepassing.

Gerelateerde bronnen

• Microsoft Entra admin center
• Azure-abonnementen beheren met Entra ID
• Toegang verhogen om Azure-abonnementen te beheren

Microsoft references

• Elevate access global admin