Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Microsoft Defender per il cloud fornisce un modello di sicurezza CIEM (Cloud Infrastructure Entitlement Management). Consente alle organizzazioni di gestire e controllare l'accesso e i diritti degli utenti nell'infrastruttura cloud. CIEM è una parte fondamentale della soluzione Cloud Native Application Protection Platform (CNAPP). Mostra chi o cosa ha accesso alle risorse e consente di applicare l'accesso con privilegi minimi. Con CIEM, gli utenti e le identità del carico di lavoro ottengono solo l'accesso necessario per svolgere le proprie attività. CIEM consente anche di monitorare e gestire le autorizzazioni in Azure, Amazon Web Services (AWS) e Google Cloud Platform (GCP).
Questo articolo spiega come abilitare CIEM per Azure, AWS e GCP in Defender per il cloud. Prima di iniziare, rivedi i prerequisiti per assicurarti che il tuo ambiente sia pronto.
Prima di iniziare
Prima di abilitare CIEM, assicurati di soddisfare i seguenti prerequisiti. La Gestione dei Permessi è l'estensione CIEM nella gestione della postura di sicurezza cloud di Defender (Defender CSPM) che ti permette di analizzare e gestire i permessi di identità.
Assicurarsi di disporre dei ruoli e delle autorizzazioni appropriati per ogni ambiente cloud per abilitare l'estensione Gestione autorizzazioni (CIEM) in Defender CSPM:
- Per AWS e GCP, è necessario il ruolo di amministratore della sicurezza a livello di account o organizzazione.
- Per Azure, è necessario il ruolo Security Admin a livello di sottoscrizione.
Eseguire l'onboarding dell'ambiente AWS o GCP in Defender per il cloud:
Abilitare Defender CSPM nella sottoscrizione di Azure, nell'account AWS o nel progetto GCP.
Abilitare CIEM per Azure
Quando abiliti il piano Defender CSPM sul tuo account Azure, lo standard di conformità normativaAzure CSPM viene assegnato al tuo abbonamento. Questo standard include le raccomandazioni CIEM.
Se CIEM è disattivato, queste raccomandazioni non vengono calcolate.
Per abilitare CIEM per Azure:
Accedi al portale di Azure.
Cercare e selezionare Microsoft Defender per il cloud.
Passare a Impostazioni ambiente.
Selezionare la sottoscrizione pertinente.
Individuare il piano CSPM di Defender e selezionare Impostazioni.
Abilitare Gestione delle autorizzazioni (CIEM).
Seleziona Continua.
Seleziona Salva.
Le raccomandazioni CIEM applicabili vengono visualizzate nella sottoscrizione entro poche ore.
Elenco di raccomandazioni Azure:
Le identità di Azure sovraprovisionate devono avere solo le autorizzazioni necessarie
Le autorizzazioni delle identità inattive nell’abbonamento di Azure devono essere revocate
Abilitare CIEM per AWS
Note
A partire dal 6 agosto 2026, per migliorare prestazioni e scalabilità, Microsoft Defender per il cloud non pubblicherà più i dettagli delle azioni di permesso non utilizzate per le identità sovrapprovisionate AWS che dovrebbero avere solo la raccomandazione dei permessi necessari. La raccomandazione continuerà a identificare le identità sovrapprovisionate, ma l'elenco dettagliato delle azioni di permesso AWS non utilizzate non sarà calcolato né mostrato in Defender per il cloud. Questo cambiamento aiuta a ridurre la dimensione del payload di valutazione e a migliorare le prestazioni delle raccomandazioni, specialmente per ambienti con un gran numero di identità, permessi o connettori multi-cloud. Se devi esaminare le autorizzazioni AWS non utilizzate, usa direttamente in AWS le informazioni sull'ultimo accesso di AWS IAM. AWS IAM fornisce dettagli sugli ultimi accessi per utenti, ruoli, gruppi e policy per aiutarti a identificare i permessi non utilizzati e a proporre la giusta dimensione dell'accesso. Per esaminare i permessi inutilizzati in AWS:
- Accedere a AWS Management Console.
- Apri la console IAM.
- Nel pannello di navigazione, seleziona Utenti, Ruoli, Gruppi di utenti o Policy.
- Seleziona l'identità o la politica pertinente.
- Apri la scheda Ultimi Accessi .
- Rivedi i servizi e le azioni supportate che non sono stati accessibili durante il periodo di tracciamento AWS. Per ulteriori informazioni, consulta Visualizzare le informazioni sull'ultimo accesso per IAM e Ottimizzare le autorizzazioni in AWS utilizzando le informazioni sull'ultimo accesso.
Quando si abilita il piano di Defender CSPM nell'account AWS, lo standard di conformità AWS CSPMregulatory viene assegnato automaticamente alla sottoscrizione. Lo standard AWS CSPM fornisce raccomandazioni CIEM. Quando gestione delle autorizzazioni è disabilitata, le raccomandazioni CIEM nello standard AWS CSPM non vengono calcolate. Quando attivi il piano Defender CSPM sul tuo account AWS, lo standard di conformità normativaAWS CSPM viene aggiunto al tuo abbonamento. Questo standard include le raccomandazioni CIEM. Se la Gestione dei Permessi (CIEM) è disattivata, queste raccomandazioni non vengono calcolate.
Per abilitare CIEM per AWS:
Accedi al portale di Azure.
Cercare e selezionare Microsoft Defender per il cloud.
Passare a Impostazioni ambiente.
Selezionare l'account AWS pertinente.
Individuare il piano CSPM di Defender e selezionare Impostazioni.
Abilitare Gestione delle autorizzazioni (CIEM).
Inserire i log di AWS CloudTrail per ottenere consigli e informazioni ciem più accurati.
Selezionare Configura accesso.
Selezionare un metodo di distribuzione.
Eseguire lo script di distribuzione CloudFormation nell'ambiente AWS usando le istruzioni visualizzate.
Spuntare la casella di controllo Il modello CloudFormation è aggiornato nell'ambiente AWS (Stack).
Selezionare Esamina e genera.
Selezionare Aggiorna.
Le raccomandazioni CIEM pertinenti appaiono sul tuo account AWS entro poche ore.
Elenco delle raccomandazioni AWS:
Le identità di AWS sovraprovisionate devono avere solo le autorizzazioni necessarie
Le autorizzazioni delle identità inattive nel tuo account AWS devono essere revocate.
Abilitare CIEM per GCP
Note
A partire dal 6 agosto 2026, per migliorare le prestazioni e la scalabilità, Microsoft Defender per il cloud non pubblicherà più i dettagli delle azioni di autorizzazione non utilizzate per la raccomandazione le identità GCP con provisioning eccessivo dovrebbero avere solo le autorizzazioni necessarie. La raccomandazione continuerà a identificare identità sovrapprovisionate, ma l'elenco dettagliato delle azioni di permesso GCP non utilizzate non sarà calcolato né mostrato in Defender per il cloud. Questo cambiamento aiuta a ridurre la dimensione del payload di valutazione e a migliorare le prestazioni delle raccomandazioni, specialmente per ambienti con un gran numero di identità, permessi o connettori multi-cloud. Se devi controllare i permessi GCP non utilizzati, usa Google Cloud Policy Intelligence e le raccomandazioni sui ruoli IAM direttamente in Google Cloud. Google Cloud Policy Insights può aiutare a identificare le identità con autorizzazioni di cui non hanno bisogno e i suggerimenti sui ruoli possono aiutare a dimensionare correttamente i livelli di accesso. Per esaminare i permessi non utilizzati in GCP:
- Accedere alla console di Google Cloud.
- Vai alla pagina IAM .
- Seleziona il progetto, la cartella o l'organizzazione pertinente.
- Consulta la rubrica Security insights per informazioni sulle policy riguardanti permessi in eccesso o inutilizzati.
- Rivedere le raccomandazioni sui ruoli IAM per determinare se un ruolo debba essere rimosso o sostituito con uno più appropriato. Per altre informazioni, vedere Gestire gli approfondimenti sui criteri per progetti, cartelle e organizzazioni e Panoramica delle raccomandazioni sui ruoli IAM.
Quando si abilita il piano Defender CSPM nel tuo progetto GCP, lo GCP CSPMstandard di conformità normativa viene assegnato automaticamente alla sottoscrizione. Lo standard CSPM GCP fornisce raccomandazioni CIEM. Quando attivi il piano Defender CSPM sul tuo progetto GCP, lo standard di conformità normativaGCP CSPM viene aggiunto al tuo abbonamento. Questo standard include le raccomandazioni CIEM.
Se disabiliti la Gestione dei Permessi (CIEM), Defender per il cloud non calcola queste raccomandazioni.
Per abilitare CIEM per GCP:
Accedi al portale di Azure.
Cercare e selezionare Microsoft Defender per il cloud.
Passare a Impostazioni ambiente.
Selezionare il progetto GCP pertinente.
Individuare il piano CSPM di Defender e selezionare Impostazioni.
Attivare o disattivare Gestione autorizzazioni (CIEM) su Sì.
Inserire la registrazione cloud GCP per garantire che le identità GCP vengano valutate per i rischi di autorizzazione.
Seleziona Salva.
Selezionare Avanti: Configurare l'accesso.
Selezionare il tipo di autorizzazione pertinente.
Selezionare un metodo di distribuzione.
Eseguire lo script di distribuzione Cloud Shell o Terraform nell'ambiente GCP usando le istruzioni visualizzate.
Aggiungere un segno di spunta alla casella di controllo Ho eseguito il modello di distribuzione per rendere effettive le modifiche.
Selezionare Esamina e genera.
Selezionare Aggiorna.
Le raccomandazioni CIEM pertinenti appaiono nel tuo progetto GCP entro poche ore.
Elenco delle raccomandazioni GCP:
Le identità con provisioning eccessivo di GCP devono avere solo le autorizzazioni necessarie
Le autorizzazioni delle identità inattive nel progetto GCP devono essere revocate
Limitations
Tenere presente le limitazioni CIEM seguenti:
- Le identità serverless e di calcolo per AWS non sono più incluse nella logica CIEM relativa all’inattività, il che può modificare il numero di raccomandazioni.
- La metrica Permissions Creep Index (PCI) è deprecata e non verrà più visualizzata nelle raccomandazioni Defender per il cloud.