Configurez l’accès just-in-time dans Azure Enclave avec Privileged Identity Management

Les ressources Azure Enclave sont sécurisées à l’aide du contrôle d’accès en fonction du rôle Azure (RBAC), et vous pouvez utiliser Microsoft Entra Privileged Identity Management (PIM) pour fournir un accès juste à temps (JIT) aux rôles qui l’accordent. PIM permet aux utilisateurs de demander des attributions temporaires et temporelles de rôles pour effectuer des tâches spécifiques, ce qui réduit le risque de surprovisionnement et d’actions non autorisées. Cet article explique comment configurer l’accès JIT aux champs de ressources Azure Enclave en utilisant le PIM.

Microsoft Entra Privileged Identity Management (PIM) est un service qui vous aide à gérer, contrôler et surveiller l’accès dans votre environnement Azure. Lorsque vous utilisez PIM pour gérer les rôles Azure attribués à votre abonnement ou à vos groupes de ressources Azure Enclave, vous pouvez imposer un flux de travail d’activation contrôlé et sécurisé pour un accès basé sur les rôles. Azure Enclave dispose également d’une fonctionnalité d’approbation intégrée distincte qui régit des actions spécifiques de ressources, telles que la création de l’enclave, les changements de mode de maintenance et les mises à jour de connexion ou de points de terminaison. Le PIM et la fonction Approuvations sont des contrôles indépendants et ne se bloquent pas mutuellement.

Overview

Combiner les rôles PIM avec Azure Enclave vous offre les fonctionnalités suivantes :

  • Attribution de rôles éligibles : Au lieu d’accorder un accès permanent, vous rendez les utilisateurs éligibles à des rôles tels que Propriétaire de la communauté ou Propriétaire de l’Enclave. Les utilisateurs n’activent ensuite le rôle que lorsqu’ils en ont besoin.
  • Activation soumise à approbation : Vous pouvez exiger qu’un approbateur examine et approuve une demande d’activation d’un rôle avant que l’utilisateur qui en fait la demande n’obtienne l’accès.
  • Accès temporel : Les rôles activés sont automatiquement révoqués après une durée maximale configurée, réduisant ainsi la fenêtre d’accès privilégié.
  • Audit : PIM enregistre les demandes d’activation, les approbations, les refus et les expirations, afin que vous puissiez suivre qui a accédé aux ressources sensibles et quand.

Cette approche s’aligne sur le principe du moindre privilège et aide votre organisation à maintenir une posture de sécurité solide dans Azure Enclave.

Prerequisites

Avant de configurer l’accès JIT avec le PIM, assurez-vous d’avoir :

  • Un abonnement Azure actif.
  • Une licence Microsoft Entra ID qui prend en charge le PIM.
  • Autorisations permettant de gérer PIM, comme le rôle Privileged Role Administrator dans Microsoft Entra ID, ou Owner ou User Access Administrator sur l’abonnement cible ou le groupe de ressources cible.
  • Un ou plusieurs rôles intégrés Azure Enclave que vous souhaitez gérer via PIM, tels que Community Owner, Enclave Owner ou Enclave Approver Role.

Note

Confirmez les exigences actuelles de licence et d’autorisation pour votre locataire avant de déployer le PIM de manière générale.

Configurez l’accès JIT avec PIM

Étape 1 : Activer Privileged Identity Management

  1. Dans le portail Azure, accédez à Microsoft Entra ID.
  2. Sélectionnez Privileged Identity Management dans le menu.
  3. Suivez les instructions à l’écran pour activer PIM pour votre annuaire.

Étape 2 : Attribuer des rôles aux ressources de l’enclave

  1. Dans le tableau de bord PIM, sélectionnez les ressources Azure.
  2. Choisissez l’abonnement ou le groupe de ressources qui contient vos ressources Azure Enclave.
  3. Attribuez les rôles intégrés d’Azure Enclave aux utilisateurs ou groupes comme affectations éligibles. Les rôles courants incluent :
    • Community Owner: Accès complet pour gérer les ressources communautaires, enclaves, points de terminaison communautaires et centres de transport.
    • Enclave Owner: Accès complet pour gérer les charges de travail, les terminaux et les connexions pour une ou plusieurs enclaves.
    • Enclave Reader ou Community Reader: Accès en lecture seule pour la surveillance et la conformité.
    • Enclave Approver Role: Accès en lecture seule plus autorisation d’approuver ou de refuser les demandes d’approbation en attente.
  4. Pour chaque rôle, configurez les paramètres suivants :
    • Assignment type: Définir sur Eligible pour que le rôle nécessite une activation pour un accès JIT.
    • Assignment scope: Limiter le rôle à des ressources spécifiques, telles que le groupe de ressources géré par l’enclave ou les groupes de ressources de charge de travail.

Étape 3 : Définir les paramètres d’approbation

  1. Accédez aux paramètres du rôle dans PIM.
  2. Activer Exiger une approbation pour activer.
  3. Spécifiez les approbateurs, tels que les administrateurs ou les chefs de projet, qui valident les demandes d’accès.
  4. Configurez les paramètres de notification pour alerter les approbateurs et les utilisateurs lorsque des demandes sont faites ou approuvées.

Étape 4 : Configurer les politiques d’activation

Dans les paramètres du poste, définissez les conditions d’activation :

  • Durée maximale d’activation : Fixez la durée, par exemple 1 heure ou 8 heures, pendant laquelle le poste est actif après approbation.
  • Exigez une authentification multifactorielle : Exigez une MFA pour toutes les activations.
  • Justification : exiger que les utilisateurs fournissent une raison pour demander l’accès.

Étape 5 : Tester la configuration

  1. Attribuez le rôle configuré à un utilisateur de test.
  2. Demandez à l’utilisateur d’activer le rôle :
    1. L’utilisateur va dans le PIM dashboard et sélectionne My roles.
    2. L’utilisateur choisit le rôle et soumet une demande d’activation avec une justification.
  3. Approuvez la demande pour valider le flux de travail.
  4. Vérifiez que les autorisations sont accordées et révoquées automatiquement après la durée spécifiée.

Avantages de l’accès JIT dans Azure Enclave

  • Sécurité renforcée :

    • L’accès lié au temps réduit l’exposition aux ressources sensibles.
    • L’accès conditionnel impose une vérification renforcée de l’identité et de l’appareil.

  • Flexibilité opérationnelle :

    • Les utilisateurs peuvent rapidement demander et obtenir les autorisations nécessaires pour des tâches spécifiques.
    • Les approbateurs conservent le contrôle sur les personnes qui accèdent aux ressources d’enclave et quand.

  • Conformité et auditabilité :

    • Les journaux de toutes les demandes d’accès, approbations et actions offrent une traçabilité pour les audits.
    • L’intégration à des outils tels que Azure Monitor et Microsoft Sentinel améliore la visibilité.

Contenu connexe

  • Dernière mise à jour :