Entra ID break-glass accounts die werken als niets anders werkt

Een tenant kan zichzelf buitensluiten zonder dat er een aanvaller aan te pas komt. Als elke toewijzing van Global Administrator en Privileged Role Administrator eligible is, activatie goedkeuring vereist en er geen goedkeurders zijn geselecteerd, kan niemand iets goedkeuren. Actieve beheerders zijn de standaardgoedkeurders, en die zijn er niet. Twee cloud-only break-glass accounts, vooraf ingericht en geoefend, vormen de uitweg.

Wanneer u ze nodig hebt

De richtlijnen van Microsoft voor noodtoegang noemen de scenario's. Federatie ligt plat omdat de host van uw identity provider is uitgevallen. Alle beheerders hebben voor MFA alleen telefoongesprekken en sms-berichten geregistreerd, en het mobiele netwerk is uitgevallen. De laatste persoon met Global Administrator-rechten vertrekt en het account wordt on-premises uitgeschakeld of verwijderd, wat Entra ID niet tegenhoudt.

Bouw de accounts

Maak minimaal twee accounts aan. Maak ze cloud-only op het domein *.onmicrosoft.com, dus niet gefedereerd en niet gesynchroniseerd vanuit on-premises. Wijs aan elk account de rol Global Administrator toe.

Maak die toewijzing in Privileged Identity Management (PIM) permanent actief, niet eligible. Gewone beheerders horen just-in-time toegang te gebruiken, maar deze accounts mogen niet afhankelijk zijn van een activatiestap, omdat juist die stap tijdens een noodsituatie niet beschikbaar kan zijn. PIM vereist Microsoft Entra ID P2 of Entra ID Governance.

De bronnen behandelen tenants zonder PIM niet, dus dit deel is onze eigen redenering. De instelling actief versus eligible zit in PIM en is daar niet van toepassing. De accounts hebben nog steeds een directe, vaste toewijzing van Global Administrator nodig, om dezelfde reden: er mag niets geactiveerd hoeven te worden.

Kies voor authenticatie een passwordless methode die aan de MFA-eis voldoet:

• Passkey (FIDO2), die Microsoft aanbeveelt.
• Certificate-based authentication, als u al een PKI hebt.

Gebruik een andere methode dan uw gewone beheerders. Gebruiken zij de Microsoft Authenticator-app, geef de noodaccounts dan een FIDO2-beveiligingssleutel. Koppel gedeelde accounts niet aan een persoon of aan een door de medewerker geleverd apparaat, zoals een telefoon. Microsoft staat ook individuele noodaccounts per beheerder toe, wat verantwoording mogelijk maakt en het gebruik vanaf externe locaties vergemakkelijkt. Kies bewust één model.

Bewaar de sleutels in brandwerende kluizen op beveiligde, gescheiden locaties, beschikbaar voor de personen die ze mogen gebruiken. Gebruik een daarvoor aangewezen beveiligde werkplek, zoals een Privileged Access Workstation, telkens wanneer iemand met deze accounts aanmeldt.

Sluit ze uit van Conditional Access

Een afgedwongen beleid dat MFA, een compliant apparaat of een andere maatregel vereist, kan het account tijdens de noodsituatie onbruikbaar maken. De phishing-resistente credential beschermt het account, dus sluit het uit van elk beleid dat aanmelden blokkeert of beperkt. Conditional Access vereist Entra ID P1.

Maak een aparte beveiligingsgroep aan, bijvoorbeeld EmergencyAccess, plaats beide accounts erin en sluit de groep uit van die beleidsregels. Beleid in report-only-modus blokkeert geen toegang en hoeft niet te worden uitgesloten.

Een groep alleen is niet genoeg, want nieuw beleid wordt geschreven door mensen die zich deze accounts mogelijk niet herinneren. Open elk ingeschakeld beleid en controleer in het onderdeel Exclude of de groep daar staat. Controleer beleid in report-only-modus opnieuw voordat iemand het inschakelt. Voeg de vraag "is EmergencyAccess uitgesloten?" toe aan de reviewchecklist voor elk nieuw beleid en test na elke ingrijpende wijziging een aanmelding.

Alert bij elke aanmelding

Deze accounts horen alleen aan te melden bij oefeningen en echte noodgevallen, dus elke aanmelding verdient een alert. Het voorbeeld van Microsoft gebruikt Azure Monitor en vereist dat uw Entra sign-in logs eerst naar een Log Analytics-workspace worden gestuurd.

1. Ga in het Entra admin center, als minimaal User Administrator, naar Entra ID > Users, open elk noodaccount en kopieer het Object ID.
2. Open in de Azure portal, als minimaal Monitoring Contributor, Monitor > Alerts en kies + Create > Alert rule.
3. Selecteer op het tabblad Scope uw Log Analytics-workspace.
4. Kies op het tabblad Condition als signaalnaam Custom log search en als querytype Aggregated logs.
5. Voer een query in met beide Object ID's:

SigninLogs
| where UserId == "00aa00aa-bb11-cc22-dd33-44ee44ee44ee" or UserId == "11bb11bb-cc22-dd33-ee44-55ff55ff55ff"
| project TimeGenerated, UserPrincipalName, UserId, IPAddress, ResultType, ResultDescription

1. Selecteer onder Measurement de meetwaarde, het aggregatietype en de aggregatiegranulariteit. Selecteer onder Split by dimensions de kolom Resource ID.
2. Stel onder Alert logic het drempeltype in op Static, de operator op Greater than en de drempelwaarde op 0. Stel de evaluatiefrequentie in op hoe snel u het wilt weten.
3. Stuur de alert per e-mail en sms naar meerdere beheerders, niet naar één.

Microsoft toont ook een query op UserPrincipalName. Wij gebruiken uit gewoonte het Object ID, omdat een query die op een naam is gebaseerd ervan afhankelijk is dat die naam ongewijzigd blijft. Voeg voor elk extra account nog een clausule or UserId == "ObjectGuid" toe.

Als niemand in uw team buiten kantoortijden alerts in de gaten houdt, kan een managed monitoringdienst dat deel overnemen.

Test ze en evalueer elk gebruik

Valideer de accounts minstens elke 90 dagen. Een oefening moet de lijst met geautoriseerde gebruikers omvatten, een echte aanmelding met de beveiligingssleutel en een beheertaak. Ze moet bevestigen dat de accounts onder uw huidige Conditional Access-configuratie nog steeds kunnen aanmelden, en dat elke sleutel of elk certificaat aanwezig is en niet is verlopen of door geautomatiseerde opschoning is verwijderd.

Elke oefening moet uw alert activeren. Herhaal de test na elke wijziging aan de workspace of aan de diagnostische instellingen die haar voeden. Houd een kort logboek bij:

Houd na elk echt gebruik een post-mortem. Bepaal of het gebruik was geautoriseerd en of de uitgevoerde acties gepast waren. Gereguleerde organisaties kunnen dit verslag, samen met de logs en het oefeningenlogboek, tonen als bewijs dat noodtoegang beheerst wordt. Wilt u een externe toets, dan kan ons consultingteam de inrichting beoordelen.

Waar u kunt beginnen

1. Maak in het Entra admin center een lijst van uw Global Administrators en toets het aantal aan de richtlijn van Microsoft van minder dan vijf. Zoek uit of er al een account is dat voor noodgevallen bedoeld is.
2. Maak twee cloud-only .onmicrosoft.com-accounts aan met een permanent actieve toewijzing van Global Administrator en registreer voor elk een andere FIDO2-sleutel.
3. Maak de groep EmergencyAccess aan en sluit die uit van elk Conditional Access-beleid dat aanmelden blokkeert of beperkt.
4. Stuur sign-in logs naar Log Analytics en bouw de alertregel met een drempel groter dan 0 op beide Object ID's.
5. Leg de sleutels in gescheiden brandwerende locaties, benoem de geautoriseerde gebruikers en controleer dat geen enkele credential verloopt of binnen de scope van geautomatiseerde opschoning valt.
6. Meld aan met elk account, bevestig dat de alert afgaat, vul de eerste rij van het oefeningenlogboek in en plan de volgende oefening binnen 90 dagen in de agenda.