Ensure Intune RBAC groups are protected by Restricted Management Administrative Units or Role Assignable groups

De ce contează acest lucru

Rolurile Privileged Intune, cum ar fi Intune Administrator sau Policy Manager, ar trebui să fie atribuite doar utilizatorilor din grupuri care sunt protejate împotriva modificărilor sau ștergerilor accidentale. Fără utilizarea Restricted Management Administrative Units (RMAUs) sau a Role Assignable groups, un atacator sau un utilizator cu privilegii excesive ar putea modifica apartenența la grup pentru a obține acces administrativ neautorizat la mediul dumneavoastră Intune.

Ce verifică Aether365

Această verificare confirmă că toate grupurile Intune RBAC sunt fie într-o Administrative Unit cu gestionare restricționată activată, fie configurate ca Role Assignable groups. Rezultatul apare în tabloul de bord Aether365, în secțiunea verificărilor de securitate Intune.

Cum se remediază

1. Examinați atribuirile curente de roluri Intune și identificați ce grupuri sunt utilizate ca Role Assignable groups.
2. Pentru fiecare grup, decideți dacă să îl protejați plasându-l într-o Restricted Management Administrative Unit sau marcându-l ca Role Assignable group.
3. Pentru a utiliza un RMAU: Creați sau selectați o Administrative Unit în Azure AD, activați gestionarea restricționată pe acea AU și adăugați grupul Intune RBAC ca membru.
4. Pentru a utiliza un Role Assignable group: În Azure AD, editați proprietățile grupului și setați isAssignableToRole la true. Rețineți că aceasta este o setare permanentă și nu poate fi anulată.
5. Eliminați orice atribuiri directe de utilizatori din rolurile Intune și atribuiți rolurile doar prin intermediul acestor grupuri protejate.

Conformitate

• Cadru: Nu este legat de un standard de conformitate specific (Altele)
• Această verificare este aliniată cu cele mai bune practici Microsoft pentru securizarea accesului privilegiat și reducerea suprafeței de atac pentru administrarea bazată pe roluri.

Resurse conexe

• Restricted Management Administrative Units in Azure AD
• Create a role-assignable group in Azure AD
• Intune role-based access control (RBAC)