Ensure Custom Role is Assigned Permissions for Administering Resource Locks

Zakaj je to pomembno

Zaklepanje virov ščiti kritične Azure vire pred nenamernim brisanjem ali spreminjanjem. Brez namenske vloge za upravljanje teh zaklepanj tvegate podelitev preobsežnih dovoljenj, kot sta Vlasnik ali Sodelavec, samo za odklepanje virov, kar povečuje vašo napadalno površino. Po meri narejena vloga za administracijo zaklepanj virov uveljavlja načelo najmanjših privilegijev in zmanjšuje tveganje nenamerne škode.

Kaj preverja Aether365

Aether365 preverja, ali obstaja vloga po meri z dovoljenji, specifično namenjenimi administraciji zaklepanj virov (Microsoft.Authorization/locks/*). To preverjanje se pojavi v nadzorni plošči Aether365 pod vašimi preverjanji varnosti naročnin Azure in označi vsako naročnino ali skupino za upravljanje, ki nima te prilagojene vloge.

Kako odpraviti težavo

Za ustvarjanje in dodelitev vloge po meri Skrbnik zaklepanj virov:

1. V portalu Azure se pomaknite do naročnine ali skupine virov, kjer naj bi bila vloga dodeljiva.
2. Odprite Access control (IAM) in kliknite Dodaj, nato izberite Dodaj vlogo po meri.
3. Vnesite ime vloge Skrbnik zaklepanj virov in dodajte opis.
4. Pod Osnovna dovoljenja izberite Začni iz nič.
5. Na zavihku Dovoljenja kliknite Dodaj dovoljenja in poiščite Microsoft.Authorization/locks.
6. Označite ustrezno dovoljenje, kliknite Dodaj, nato Pregled + ustvari in Ustvari.
7. To vlogo po meri dodelite ustreznim uporabnikom ali skupinam v IAM.

Druga možnost je uporaba PowerShell za ustvarjanje vloge na ravni skupine za upravljanje:

• Naložite definicijo vloge Skrbnik uporabniškega dostopa, počistite njena dejanja in dodajte Microsoft.Authorization/locks/*.
• Nastavite dodeljive obsege na skupino za upravljanje ali naročnino.
• Zaženite New-AzRoleDefinition, da registrirate novo vlogo.

Skladnost

• CIS Microsoft Azure Foundations Benchmark 3.0.0, oddelek 2.24 (2. raven)
• Microsoft Security Benchmark: Privilegiran dostop (PA-1, PA-2, PA-5, PA-7)
• Microsoft Security Benchmark: Strategija upravljanja (GS-2, GS-6)

Povezani viri

• Dokumentacija za vloge po meri v Azure
• Preverjanje dostopa za Azure vire
• Varnostni kontrolniki privilegiranega dostopa

Microsoft references

• Custom roles
• Check access
• Security controls v2 privileged access
• Security controls v2 privileged access
• Security controls v2 privileged access
• Security controls v2 privileged access
• Security controls v2 governance strategy
• Security controls v2 governance strategy