No Service Principal with Client Secret and permanent role assignment on Control Plane

De ce contează

Entitățile service principal care utilizează secrete client și au atribuiri permanente de roluri cu privilegii ridicate în planul de control reprezintă un risc semnificativ de securitate. Dacă un secret client este compromis, un atacator poate menține acces privilegiat persistent la mediul dumneavoastră Azure. Utilizarea certificatelor cu durată de viață mai scurtă sau a identităților gestionate reduce această suprafață de atac și se aliniază principiului privilegiului minim.

Ce verifică Aether365

Această verificare scanează entitățile service principal din chiria dumneavoastră Microsoft 365 care au atât un secret client configurat, cât și o atribuire permanentă la un rol cu privilegii ridicate în planul de control Azure. Apare în tabloul de bord Aether365 la categoria verificărilor microsoft-365.

Cum se remediază

1. Identificați entitatea service principal din alerta Aether365 și notați înregistrarea aplicației asociată.
2. Evaluați dacă entitatea service principal poate fi înlocuită complet cu o identitate gestionată (pentru resurse Azure) pentru autentificare.
3. Dacă este necesară o entitate service principal, navigați la Azure Portal și accesați Azure Active Directory > App registrations.
4. Selectați înregistrarea aplicației pentru entitatea service principal, mergeți la Certificates and secrets și eliminați secretul client.
5. Încărcați un certificat (X.509) în fila Certificates în loc să utilizați un secret client.
6. Rotiți certificatul periodic, conform unui program sau printr-o conductă de automatizare.
7. Pentru atribuirea rolului cu privilegii ridicate, luați în considerare utilizarea accesului just-in-time (JIT) prin Privileged Identity Management, în locul unei atribuiri permanente.

Conformitate

• Nu există o conformitate directă, dar se aliniază recomandărilor CIS și CISA privind securitatea acreditărilor și privilegiul minim.

Resurse conexe

• Managed identities for Azure resources
• Use certificates for Azure AD application authentication
• What is Privileged Identity Management?

Microsoft references

• Service accounts principal
• Secure best practices