No hybrid user with permanent role assignment on Control Plane

Zakaj je to pomembno

Če ima hibridni uporabnik (uporabnik, sinhroniziran iz lokalnega imenika Active Directory) stalno visoko privilegirano vlogo na krmilni ravnini Microsoft 365, lahko napadalec, ki ogrozi vaše lokalno okolje, preide v oblačne vire brez dodatnega preverjanja pristnosti. To zaobide vaše varnostne kontrole v oblaku in ustvari neposredno pot bočnega premikanja. Skrbniki bi morali dati prednost odpravi teh hibridnih dodelitev vlog, da uveljavijo strogo ločitev med lokalnimi in oblačnimi identitetami.

Kaj preverja Aether365

To preverjanje pregleda vse dodelitve vlog Azure Active Directory na krmilni ravnini, da bi ugotovilo, ali ima kateri koli hibridni uporabnik (sinhroniziran iz lokalnega okolja) stalno visoko privilegirano vlogo, kot je Globalni skrbnik ali Skrbnik privilegiranih vlog. Aether365 jih označi kot kršitve na nadzorni plošči varnosti Microsoft 365 v skupini preverjanj microsoft-365.

Kako odpraviti težavo

1. Identificirajte prizadete hibridne uporabnike. Poiščite uporabnike, pri katerih je atribut OnPremisesSyncEnabled nastavljen na True v skrbniškem središču Azure AD ali prek programa PowerShell.
2. Ugotovite, ali je dodelitev vloge res potrebna. Če uporabnik potrebuje začasen dostop, uporabite Azure AD Privileged Identity Management (PIM) za dodelitev časovno omejenih, upravičenih dodelitev namesto stalnih.
3. Če vloga ni bistvena, odstranite stalno dodelitev. V portalu Azure pojdite na Azure Active Directory > Vloge in skrbniki, izberite vlogo in nato odstranite uporabnika.
4. Za vse preostale stalne dodelitve vlog hibridnim uporabnikom ustvarite račun samo v oblaku (ni sinhroniziran iz lokalnega okolja) in namesto tega dodelite vlogo tej identiteti samo v oblaku.
5. Po izvedbi sprememb znova zaženite preverjanje Aether365, da potrdite, da kršitev ni več.

Skladnost

• Okvir: Drugo
• Resnost: Srednja (ocena Aether365)
• Povezani standardi: To preverjanje je usklajeno z načelom CISA Zero Trust o odpravi implicitnega zaupanja med lokalnimi in oblačnimi okolji. Prav tako podpira osnovne konfiguracije EIDSCA za izolacijo identitet.

Povezani viri

• Microsoft Learn: Zavarujte privilegiran dostop v Azure AD
• Microsoft Learn: Načrtujte identiteto samo v oblaku
• Microsoft Learn: Kaj je Privileged Identity Management?

Microsoft references

• Security planning
• Protect m365 from on premises attacks