Konfigurera just-in-time-åtkomst i Azure Enclave med Privileged Identity Management

Azure Enclave-resurser är säkrade med Azure rollbaserad åtkomstkontroll (RBAC), och du kan använda Microsoft Entra Privileged Identity Management (PIM) för att ge just-in-time (JIT) åtkomst till de roller som ger den åtkomsten. PIM låter användare begära tillfälliga, tidsbegränsade rolltilldelningar för att utföra specifika uppgifter, vilket minskar risken för överprovisionering och obehöriga åtgärder. Den här artikeln förklarar hur man konfigurerar JIT-åtkomst till Azure Enclave-resursomfång genom att använda PIM.

Microsoft Entra Privileged Identity Management (PIM) är en tjänst som hjälper dig att hantera, kontrollera och övervaka åtkomst inom din Azure miljö. När du använder PIM för att styra de Azure-roller som tilldelas på din Azure Enclave-prenumeration eller resursgrupper kan du upprätthålla ett kontrollerat och säkert aktiveringsarbetsflöde för rollbaserad åtkomst. Azure Enclave har också en separat, inbyggd Approvals-funktion som styr specifika resursåtgärder, såsom enklavskapande, ändringar av underhållsläge och uppdateringar av anslutning eller slutpunkter. PIM och Approvals-funktionen är oberoende kontroller och låser inte varandra.

Overview

Att kombinera PIM med Azure Enclave-roller ger dig följande funktioner:

  • Berättigade rolltilldelningar: Istället för att ge stående tillgång gör du användare berättigade till roller som Community Owner eller Enclave Owner. Användare aktiverar sedan rollen endast när de behöver den.
  • Godkännandeaktivering: Du kan kräva att en godkändare granskar och godkänner en rollaktiveringsbegäran innan den begärande användaren får tillgång.
  • Tidsbegränsad åtkomst: Aktiverade roller återkallas automatiskt efter en konfigurerad maximal varaktighet, vilket minskar fönstret för privilegierad åtkomst.
  • Revision: PIM loggar aktiveringsförfrågningar, godkännanden, avslag och utgångsdatum, så att du kan spåra vem som fått tillgång till känsliga resurser och när.

Denna metod ligger i linje med principen om minsta privilegium och hjälper din organisation att upprätthålla en stark säkerhetsposition i Azure Enclave.

Förutsättningar

Innan du konfigurerar JIT-åtkomst med PIM, se till att du har:

  • En aktiv prenumeration för Azure.
  • En Microsoft Entra ID-licens som stöder PIM.
  • Behörigheter för att hantera PIM, till exempel rollen Privileged Role Administrator i Microsoft Entra ID, eller Owner eller User Access Administrator för målprenumerationen eller resursgruppen.
  • En eller flera inbyggda Azure Enclave-roller som du vill hantera via PIM, såsom Community Owner, Enclave Owner eller Enclave Approver Role.

Note

Bekräfta de nuvarande licens- och tillståndskraven för din hyresgäst innan du lanserar PIM brett.

Konfigurera JIT-åtkomst med PIM

Steg 1: Aktivera Privileged Identity Management

  1. I Azure Portal går du till Microsoft Entra ID.
  2. Välj Privileged Identity Management från menyn.
  3. Följ anvisningarna på skärmen för att aktivera PIM för din katalog.

Steg 2: Tilldela roller för enklavresurser

  1. I PIM-dashboarden, välj Azure resources.
  2. Välj prenumerationen eller resursgruppen som innehåller dina Azure Enclave-resurser.
  3. Tilldela de inbyggda Azure Enclave-rollerna till användare eller grupper som berättigade tilldelningar. Vanliga roller inkluderar:
    • Community Owner: Fullständig åtkomst för att hantera resurser för communityn, enklaven, communityslutpunkter och transitnav.
    • Enclave Owner: Fullständig åtkomst att hantera arbetsbelastningar, slutpunkter och anslutningar för en eller flera enklaver.
    • Enclave Reader eller Community Reader: Endast läsåtkomst för övervakning och efterlevnad.
    • Enclave Approver Role: Skrivskyddad åtkomst plus behörighet att godkänna eller neka väntande godkännandeförfrågningar.
  4. För varje roll, konfigurera följande inställningar:
    • Assignment type: Ställ in så att Eligible rollen kräver aktivering för JIT-åtkomst.
    • Assignment scope: Begränsa rollen till specifika resurser, såsom enklavhanterade resursgrupper eller arbetsbelastningsresursgrupper.

Steg 3: Definiera godkännandeinställningar

  1. Gå till rollens inställningar i PIM.
  2. Aktivera Kräv godkännande för aktivering.
  3. Specificera godkännandepersoner, såsom administratörer eller projektledare, som validerar åtkomstförfrågningar.
  4. Konfigurera notifikationsinställningar för att varna godkännandepersoner och användare när förfrågningar görs eller godkänns.

Steg 4: Konfigurera aktiveringspolicys

I rollens inställningar, definiera aktiveringsvillkor:

  • Maximal aktiveringstid: Sätt den varaktighet, till exempel 1 timme eller 8 timmar, för vilken rollen är aktiv efter godkännande.
  • Kräv multifaktorautentisering: Kräv MFA för alla aktiveringar.
  • Motivering: Kräv att användarna anger en orsak till att begära åtkomst.

Steg 5: Testa konfigurationen

  1. Tilldela den konfigurerade rollen till en testanvändare.
  2. Låt användaren begära aktivering för rollen:
    1. Användaren går till PIM dashboard och väljer My roles.
    2. Användaren väljer rollen och skickar in en aktiveringsförfrågan med en motivering.
  3. Godkänn begäran för att verifiera arbetsflödet.
  4. Kontrollera att behörigheter beviljas och återkallas automatiskt efter den angivna varaktigheten.

Fördelar med JIT-åtkomst i Azure Enclave

  • Förbättrad säkerhet:

    • Tidsbunden åtkomst minimerar exponeringen för känsliga resurser.
    • Villkorsstyrd åtkomst framtvingar stark identitets- och enhetsverifiering.

  • Operativ flexibilitet:

    • Användare kan snabbt begära och få de behörigheter de behöver för specifika uppgifter.
    • Godkännare har kontroll över vem som får åtkomst till enklavresurserna och när.

  • Efterlevnad och granskningsbarhet:

    • Loggar över alla åtkomstförfrågningar, godkännanden och åtgärder ger spårbarhet för revisioner.
    • Integrering med verktyg som Azure Monitor och Microsoft Sentinel förbättrar synligheten.

Relaterat innehåll

  • Last updated on