Ensure Intune RBAC groups are protected by Restricted Management Administrative Units or Role Assignable groups

Zakaj je to pomembno

Privilegirane vloge Intune, kot sta Intune Administrator ali Policy Manager, bi morale biti dodeljene samo uporabnikom v skupinah, ki so zaščitene pred nenamernimi spremembami ali izbrisom. Brez uporabe administrativnih enot z omejenim upravljanjem (RMAU) ali skupin, dodeljivih vlogam, bi lahko napadalec ali uporabnik s prekomernimi pravicami spremenil članstvo v skupini in pridobil nepooblaščen skrbniški dostop do vašega okolja Intune.

Kaj preverja Aether365

To preverjanje zagotavlja, da so vse skupine RBAC Intune bodisi v administrativni enoti z omogočenim omejenim upravljanjem bodisi konfigurirane kot skupine, dodeljive vlogam. Rezultat se prikaže na nadzorni plošči Aether365 v razdelku varnostnih preverjanj Intune.

Kako odpraviti težavo

1. Preglejte svoje trenutne dodelitve vlog Intune in določite, katere skupine se uporabljajo kot skupine, dodeljive vlogam.
2. Za vsako skupino se odločite, ali jo želite zaščititi tako, da jo namestite v administrativno enoto z omejenim upravljanjem (RMAU) ali jo označite kot skupino, dodeljivo vlogam.
3. Za uporabo RMAU: Ustvarite ali izberite administrativno enoto v Azure AD, omogočite omejeno upravljanje v tej AU in dodajte skupino RBAC Intune kot članico.
4. Za uporabo skupine, dodeljive vlogam: V Azure AD uredite lastnosti skupine in nastavite isAssignableToRole na true. Upoštevajte, da je to trajna nastavitev in je ni mogoče razveljaviti.
5. Odstranite vse neposredne dodelitve uporabnikov vlogam Intune in vloge dodeljujte samo prek teh zaščitenih skupin.

Skladnost

• Okvir: Ni vezano na določen standard skladnosti (Drugo)
• To preverjanje je usklajeno z Microsoftovimi najboljšimi praksami za zavarovanje privilegiranega dostopa in zmanjšanje napadalne površine za upravljanje na podlagi vlog.

Povezani viri

• Administrativne enote z omejenim upravljanjem v Azure AD
• Ustvarjanje skupine, dodeljive vlogam, v Azure AD
• Nadzor dostopa na podlagi vlog (RBAC) za Intune