Ensure Intune RBAC groups are protected by Restricted Management Administrative Units or Role Assignable groups

Varför detta är viktigt

Privilegierade Intune-roller som Intune Administrator eller Policy Manager bör endast tilldelas användare i grupper som skyddas mot oavsiktlig ändring eller borttagning. Utan användning av Restricted Management Administrative Units (RMAU) eller rolltilldelningsbara grupper kan en angripare eller en användare med för höga rättigheter ändra gruppmedlemskap för att få obehörig administrativ åtkomst till din Intune-miljö.

Vad Aether365 kontrollerar

Den här kontrollen verifierar att alla Intune RBAC-grupper antingen finns i en Administrative Unit med begränsad hantering aktiverad eller har konfigurerats som rolltilldelningsbara grupper. Resultatet visas i Aether365-instrumentpanelen under avsnittet Intune-säkerhetskontroller.

Så här åtgärdar du

1. Gå igenom dina nuvarande Intune-rolltilldelningar och identifiera vilka grupper som används som rolltilldelningsbara grupper.
2. För varje grupp avgör du om den ska skyddas genom att placera den i en Restricted Management Administrative Unit eller genom att markera den som en rolltilldelningsbar grupp.
3. För att använda en RMAU: Skapa eller välj en Administrative Unit i Azure AD, aktivera begränsad hantering för den AU och lägg till Intune RBAC-gruppen som medlem.
4. För att använda en rolltilldelningsbar grupp: Redigera gruppens Properties i Azure AD och ange isAssignableToRole till true. Observera att detta är en permanent inställning och inte kan ångras.
5. Ta bort alla direkta användartilldelningar från Intune-roller och tilldela roller endast via dessa skyddade grupper.

Efterlevnad

• Ramverk: Inte kopplat till en specifik efterlevnadsstandard (Other – Annat)
• Den här kontrollen överensstämmer med Microsofts bästa praxis för att säkra privilegierad åtkomst och minska attackytan för rollbaserad administration.

Relaterade resurser

• Restricted Management Administrative Units in Azure AD
• Create a role-assignable group in Azure AD
• Intune role-based access control (RBAC)