Just-in-time-toegang configureren in Azure Enclave met Privileged Identity Management

Azure Enclave-bronnen zijn beveiligd met Azure role-based access control (RBAC), en je kunt Microsoft Entra Privileged Identity Management (PIM) gebruiken om just-in-time (JIT) toegang te bieden aan de rollen die die toegang geven. PIM stelt gebruikers in staat tijdelijke, tijdgebonden roltoewijzingen aan te vragen om specifieke taken uit te voeren, wat het risico op overprovisioning en ongeautoriseerde acties vermindert. Dit artikel legt uit hoe je JIT-toegang tot Azure Enclave resource scopes kunt configureren met PIM.

Microsoft Entra Privileged Identity Management (PIM) is een dienst die u helpt bij het beheren, controleren en monitoren van de toegang binnen uw Azure omgeving. Wanneer je PIM gebruikt om de Azure-rollen te beheren die zijn toegewezen aan je Azure Enclave-abonnement of resource groups, kun je een gecontroleerde en veilige activatieworkflow afdwingen voor rolgebaseerde toegang. Azure Enclave heeft ook een aparte, ingebouwde Approvals-functie die specifieke resourceacties regelt, zoals het aanmaken van de enclave, wijzigingen in onderhoudsmodus en updates van verbindingen of eindpunten. PIM en de goedkeuringsfunctie zijn onafhankelijke controles en vormen geen voorwaarde voor elkaar.

Overzicht

Het combineren van PIM met Azure Enclave-rollen geeft je de volgende mogelijkheden:

  • In aanmerking komende roltoewijzingen: In plaats van permanente toegang te verlenen, laat je gebruikers in aanmerking komen voor rollen zoals Community Owner of Enclave Owner. Gebruikers activeren de rol dan alleen wanneer ze die nodig hebben.
  • Goedkeurings-geblokkeerde activatie: Je kunt van een approver eisen dat hij een rolactivatieverzoek beoordeelt en goedkeurt voordat de aanvragende gebruiker toegang krijgt.
  • Tijdgebonden toegang: Geactiveerde rollen worden automatisch ingetrokken na een geconfigureerde maximale duur, waardoor het venster van bevoorrechte toegang wordt verkort.
  • Auditing: PIM registreert activatieverzoeken, goedkeuringen, weigeringen en vervaldatums, zodat je kunt bijhouden wie en wanneer toegang heeft gehad tot gevoelige bronnen.

Deze aanpak sluit aan bij het principe van least privilege en helpt uw organisatie een sterke beveiligingspositie in Azure Enclave te behouden.

Prerequisites

Voordat je JIT-toegang configureert met PIM, zorg ervoor dat je:

  • Een actieve Azure-abonnement.
  • Een Microsoft Entra ID-licentie die PIM ondersteunt.
  • Rechten om PIM te beheren, zoals de Privileged Role Administrator-rol in Microsoft Entra ID, of User Access Administrator of Owner op het doelabonnement of de resourcegroep.
  • Een of meer ingebouwde Azure Enclave-rollen die je via PIM wilt beheren, zoals Community Owner, Enclave Owner of Enclave Approver Role.

Note

Bevestig de huidige licentie- en toestemmingsvereisten voor je huurder voordat je PIM breed uitrolt.

Configureer JIT-toegang met PIM

Stap 1: Privileged Identity Management inschakelen

  1. Ga in de Azure Portal naar Microsoft Entra ID.
  2. Selecteer Privileged Identity Management uit het menu.
  3. Volg de instructies op het scherm om PIM in te schakelen voor uw adreslijst.

Stap 2: Wijs rollen toe aan enclave-resources

  1. Selecteer in het PIM-dashboard Azure resources.
  2. Kies de abonnements- of resourcegroep die je Azure Enclave-bronnen bevat.
  3. Wijs de ingebouwde Azure Enclave-rollen toe aan gebruikers of groepen als in aanmerking komende toewijzingen. Veelvoorkomende rollen zijn:
    • Community Owner: Volledige toegang om gemeenschaps-, enclave-, community-endpoint- en transithub-resources te beheren.
    • Enclave Owner: Volledige toegang om workloads, endpoints en verbindingen voor één of meer enclaves te beheren.
    • Enclave Reader of Community Reader: Alleen-leestoegang voor monitoring en naleving.
    • Enclave Approver Role: Alleen-lezen toegang plus toestemming om in behandeling lopende goedkeuringsverzoeken goed te keuren of te weigeren.
  4. Voor elke rol configureer je de volgende instellingen:
    • Assignment type: Stel in op Eligible dat de rol activatie vereist voor JIT-toegang.
    • Assignment scope: Beperk de rol tot specifieke resources, zoals de door de enclave beheerde resourcegroep of de resourcegroepen voor workloads.

Stap 3: Goedkeuringsinstellingen definiëren

  1. Ga naar de instellingen van de functie in PIM.
  2. Activeer Goedkeuring vereisen voor activering.
  3. Specificeer goedkeurers, zoals beheerders of projectmanagers, die toegangsverzoeken valideren.
  4. Configureer de notificatie-instellingen om goedkeurers en gebruikers te waarschuwen wanneer verzoeken worden gedaan of goedgekeurd.

Stap 4: Configureer activatiebeleid

Definieer in de functie-instellingen de activatievoorwaarden:

  • Maximale activatieduur: Stel de duur in, bijvoorbeeld 1 uur of 8 uur, waarvoor de functie actief is na goedkeuring.
  • Multifactorauthenticatie vereisen: MFA vereisen voor alle activaties.
  • Reden: vereisen dat gebruikers een reden opgeven voor het aanvragen van toegang.

Stap 5: De configuratie testen

  1. Wijs de geconfigureerde rol toe aan een testgebruiker.
  2. Laat de gebruiker activering aanvragen voor de rol:
    1. De gebruiker gaat naar de PIM dashboard en selecteert My roles.
    2. De gebruiker kiest de rol en dient een activatieverzoek in met een rechtvaardiging.
  3. Keur de aanvraag goed om de werkstroom te valideren.
  4. Controleer of machtigingen worden verleend en automatisch worden ingetrokken na de opgegeven duur.

Voordelen van JIT-toegang in Azure Enclave

  • Verbeterde beveiliging:

    • Met tijdsgebonden toegang wordt de blootstelling aan gevoelige resources geminimaliseerd.
    • Voorwaardelijke toegang dwingt sterke identiteit en apparaatverificatie af.

  • Operationele flexibiliteit:

    • Gebruikers kunnen snel de benodigde rechten aanvragen en ontvangen voor specifieke taken.
    • Goedkeurders behouden controle over wie toegang heeft tot enclaveresources en wanneer.

  • Naleving en controleerbaarheid:

    • Logs van alle toegangsverzoeken, goedkeuringen en acties bieden traceerbaarheid voor audits.
    • Integratie met hulpprogramma's zoals Azure Monitor en Microsoft Sentinel verbetert de zichtbaarheid.

Verwante onderwerpen

  • Laatst bijgewerkt om