Entra ID break-glass kontod, mis töötavad, kui miski muu ei tööta

Tenant võib end lukustada ilma ühegi ründajata. Kui kõik Global Administrator ja Privileged Role Administrator omistused on eligible, aktiveerimine nõuab kinnitust ja kinnitajaid pole valitud, ei saa keegi midagi kinnitada. Vaikimisi kinnitajad on aktiivsed administraatorid, aga neid ei ole. Väljapääsuks on kaks pilvepõhist break-glass kontot, mis on ette seadistatud ja läbi harjutatud.

Millal te neid vajate

Microsofti hädajuurdepääsu juhis loetleb need juhtumid. Föderatsioon on maas, sest teie identiteedipakkuja host on rikki läinud. Kõik administraatorid on MFA jaoks registreerinud ainult kõned ja tekstisõnumid ning mobiilivõrk ei tööta. Viimane Global Administrator õigustega inimene lahkub ja tema konto keelatakse või kustutatakse kohalikus keskkonnas, mida Entra ID ei takista.

Looge kontod

Looge vähemalt kaks kontot. Tehke need pilvepõhiseks domeenis *.onmicrosoft.com, mitte föderatiivseks ega kohalikust keskkonnast sünkroonitavaks. Andke kummalegi roll Global Administrator.

Tehke see omistus Privileged Identity Managementis (PIM) active permanent, mitte eligible. Igapäevased administraatorid peaksid kasutama just-in-time juurdepääsu, kuid need kontod ei tohi sõltuda aktiveerimisest, sest just see samm võib olla hädaolukorras kättesaamatu. PIM nõuab Microsoft Entra ID P2 või Entra ID Governance litsentsi.

Allikad ei käsitle tenante ilma PIMita, seega on see osa meie enda arutluskäik. Active ja eligible valik asub PIMis ega kehti seal. Kontodel peab siiski olema otsene ja püsiv Global Administrator omistus, samal põhjusel: midagi ei tohi olla vaja aktiveerida.

Autentimiseks valige paroolivaba meetod, mis rahuldab MFA nõuet:

• Passkey (FIDO2), mida Microsoft soovitab.
• Sertifikaadipõhine autentimine, kui teil on PKI juba olemas.

Kasutage teistsugust meetodit kui igapäevased administraatorid. Kui nemad kasutavad Microsoft Authenticator rakendust, andke hädakontodele FIDO2 turvavõti. Ärge siduge ühiskasutatavaid kontosid konkreetse inimese ega töötaja enda seadmega, näiteks telefoniga. Microsoft lubab ka luua iga administraatori jaoks eraldi hädakonto, mis tagab vastutuse ja võimaldab kasutada kontosid kaugelt. Valige üks mudel teadlikult.

Hoidke võtmeid tulekindlates seifides turvalistes ja eraldi asukohtades, kättesaadavana volitatud isikutele. Kasutage nende kontodega sisselogimisel alati selleks määratud turvalist töökohta, näiteks Privileged Access Workstationi.

Jätke need Conditional Accessist välja

Jõustatud poliitika, mis nõuab MFA-d, vastavusse viidud seadet või muud kontrolli, võib muuta konto hädaolukorras kasutuskõlbmatuks. Kontot kaitseb andmepüügikindel mandaat, seega jätke see välja igast poliitikast, mis sisselogimist blokeerib või piirab. Conditional Access nõuab Entra ID P1 litsentsi.

Looge eraldi turvagrupp, näiteks EmergencyAccess, pange mõlemad kontod sinna ja jätke grupp nendest poliitikatest välja. Report-only poliitikad juurdepääsu ei blokeeri ega vaja erandit.

Ainult grupist ei piisa, sest uusi poliitikaid kirjutavad inimesed, kes ei pruugi neid kontosid meeles pidada. Avage iga lubatud poliitika ja kontrollige selle Exclude jaotises, kas grupp on seal. Kontrollige report-only poliitikaid uuesti enne, kui keegi need sisse lülitab. Lisage iga uue poliitika ülevaatuse kontrollnimekirja küsimus "kas EmergencyAccess on välja jäetud?" ja testige sisselogimist pärast iga olulist muudatust.

Seadke hoiatus igale sisselogimisele

Need kontod peaksid logima sisse ainult harjutuste ja tegelike hädaolukordade ajal, seega väärib iga sisselogimine hoiatust. Microsofti näide kasutab Azure Monitori ja eeldab, et teie Entra sisselogimislogid on esmalt saadetud Log Analytics workspace'i.

1. Minge Entra admin centeris vähemalt User Administrator rollis jaotisse Entra ID > Users, avage iga hädakonto ja kopeerige selle Object ID.
2. Avage Azure portaalis vähemalt Monitoring Contributor rollis Monitor > Alerts ja valige + Create > Alert rule.
3. Valige Scope vahekaardil oma Log Analytics workspace.
4. Valige Condition vahekaardil signaali nimeks Custom log search ja päringu tüübiks Aggregated logs.
5. Sisestage päring mõlema Object ID-ga:

SigninLogs
| where UserId == "00aa00aa-bb11-cc22-dd33-44ee44ee44ee" or UserId == "11bb11bb-cc22-dd33-ee44-55ff55ff55ff"
| project TimeGenerated, UserPrincipalName, UserId, IPAddress, ResultType, ResultDescription

1. Valige Measurement alt mõõdik, agregeerimistüüp ja agregeerimise detailsus. Valige Split by dimensions all veerg Resource ID.
2. Määrake Alert logic all lävendi tüübiks Static, operaatoriks Greater than ja lävendi väärtuseks 0. Seadke hindamise sagedus selle järgi, kui kiiresti soovite teada saada.
3. Suunake hoiatus e-posti ja SMS-iga mitmele administraatorile, mitte ühele.

Microsoft näitab ka päringut UserPrincipalName järgi. Meie kasutame harjumusest Object ID-d, sest nime ümber ehitatud päring sõltub sellest, et nimi jääb samaks. Iga lisakonto jaoks lisage veel üks or UserId == "ObjectGuid" klausel.

Kui teie meeskonnas ei jälgi keegi hoiatusi väljaspool tööaega, võib selle osa üle võtta hallatud seireteenus.

Testige neid ja vaadake üle iga kasutuskord

Kontrollige kontosid vähemalt iga 90 päeva järel. Harjutus peaks hõlmama volitatud kasutajate nimekirja, päris sisselogimist turvavõtmega ja haldusülesannet. See peaks kinnitama, et kontod logivad teie praeguse Conditional Access konfiguratsiooni korral endiselt sisse ning et iga võti või sertifikaat on olemas ega ole aegunud ega automaatse puhastuse tõttu eemaldatud.

Iga harjutus peaks käivitama teie hoiatuse. Korrake testi pärast iga muudatust workspace'is või seda toitvates diagnostikaseadetes. Pidage lühikest logi:

Pärast iga tegelikku kasutust korraldage järelanalüüs. Otsustage, kas kasutus oli volitatud ja kas tehtud toimingud olid asjakohased. Reguleeritud organisatsioonid saavad seda kirjet koos logide ja harjutuste logiga tõendina näidata, et hädajuurdepääs on juhitud. Kui soovite välist kontrolli, saab meie konsultatsioonimeeskond seadistuse üle vaadata.

Kust alustada

1. Koostage Entra admin centeris oma Global Administratorite nimekiri ja võrrelge nende arvu Microsofti juhisega, mis nimetab alla viie. Uurige välja, kas mõni konto on juba hädaolukorraks ette nähtud.
2. Looge kaks pilvepõhist .onmicrosoft.com kontot püsivalt aktiivse Global Administrator omistusega ja registreerige kummalegi eri FIDO2 võti.
3. Looge grupp EmergencyAccess ja jätke see välja igast Conditional Access poliitikast, mis sisselogimist blokeerib või piirab.
4. Saatke sisselogimislogid Log Analyticsisse ja koostage hoiatusreegel lävendiga suurem kui 0 mõlema Object ID jaoks.
5. Pange võtmed eraldi tulekindlatesse asukohtadesse, nimetage volitatud kasutajad ja kontrollige, et ükski mandaat ei aeguks ega jääks automaatse puhastuse mõjualasse.
6. Logige kummagi kontoga sisse, kinnitage, et hoiatus käivitub, täitke harjutuste logi esimene rida ja pange järgmine harjutus kalendrisse 90 päeva jooksul.