Ensure Intune RBAC groups are protected by Restricted Management Administrative Units or Role Assignable groups

Por Que Isso é Importante

Funções privilegiadas do Intune como Intune Administrator ou Policy Manager devem ser atribuídas apenas a usuários em grupos que estejam protegidos contra modificação ou exclusão acidental. Sem o uso de Restricted Management Administrative Units (RMAUs) ou Role Assignable groups, um invasor ou usuário com privilégios excessivos pode alterar a associação do grupo para obter acesso administrativo não autorizado ao seu ambiente Intune.

O Que o Aether365 Verifica

Esta verificação confirma se todos os grupos RBAC do Intune estão em uma Administrative Unit com gerenciamento restrito habilitado ou configurados como Role Assignable groups. O resultado aparece no painel do Aether365 na seção de verificações de segurança do Intune.

Como Corrigir

1. Revise suas atribuições atuais de função do Intune e identifique quais grupos são usados como grupos atribuíveis a funções.
2. Para cada grupo, decida se deseja protegê-lo colocando-o em uma Restricted Management Administrative Unit ou marcando-o como um Role Assignable group.
3. Para usar um RMAU: Crie ou selecione uma Administrative Unit no Azure AD, habilite o gerenciamento restrito nessa AU e adicione o grupo RBAC do Intune como membro.
4. Para usar um Role Assignable group: No Azure AD, edite as propriedades do grupo e defina isAssignableToRole como true. Observe que esta é uma configuração permanente e não pode ser revertida.
5. Remova quaisquer atribuições diretas de usuário das funções do Intune e atribua funções apenas por meio desses grupos protegidos.

Conformidade

• Estrutura: Não vinculada a um padrão de conformidade específico (Other)
• Esta verificação está alinhada com as práticas recomendadas da Microsoft para proteger o acesso privilegiado e reduzir a superfície de ataque para administração baseada em funções.

Recursos Relacionados

• Restricted Management Administrative Units in Azure AD
• Create a role-assignable group in Azure AD
• Intune role-based access control (RBAC)