Privileged users SHALL be provisioned cloud-only accounts separate from an on-premises directory or other federated identity providers.

Чому це важливо

Коли привілейовані користувачі покладаються на облікові записи, синхронізовані з локальних каталогів або федеративних постачальників ідентифікації, компрометація локального середовища може безпосередньо поширитися на Azure AD. Це створює єдину точку відмови, де зловмисники можуть перейти від локальних до хмарних ролей адміністратора. Використання лише хмарних облікових записів ізолює привілейований доступ від локальних ризиків, зменшуючи радіус ураження та відповідаючи принципам нульової довіри.

Що перевіряє Aether365

Aether365 сканує всі призначення привілейованих ролей Entra ID та перевіряє, чи мають призначені користувачі лише хмарні облікові записи (не синхронізовані з локальних або федеративних постачальників). Ця перевірка відображається у вашій панелі керування Aether365 в розділі перевірок Entra ID з ідентифікатором CISA.MS.AAD.7.3.