Berechtigungen
Übersicht
Diese Seite beschreibt das Berechtigungs- und Zugriffsmodell für diesen Agenten. Der Agent verwendet Lesezugriff auf Microsoft Entra ID-Rollenzuweisungen, Privileged Identity Management (PIM)-Konfigurationen und Protokolle für privilegierten Zugriff über Security Copilot-Plugins. Es wurde entwickelt, um dauerhafte administrative Berechtigungen zu identifizieren, die Bereitschaft für die Implementierung von Zero Standing Privilege (ZSP) zu bewerten und Schritte zur Umstellung auf Just‑In‑Time (JIT)-Zugriffe zu empfehlen — ohne Konfigurationsänderungen vorzunehmen.
Funktionsweise
Der Agent verbindet sich sicher mit Microsoft Entra über Security Copilot-Plugins, um Informationen über PIM-Konfigurationen, Zuweisungen privilegierter Rollen und zugehörige Dienstprinzipale zu sammeln. Er bewertet Ihre Umgebung, hebt unnötige oder dauerhafte administrative Zugriffe hervor, erkennt Privilegienausweitung und schlägt strukturierte Migrationspfade hin zu JIT-Zugriffen vor.
Alle Interaktionen folgen diesen Grundsätzen:
Schreibgeschützter Zugriff: Der Agent ändert oder entfernt keine Rollenzuweisungen oder Konfigurationen.
Minimalprinzip (Least Privilege): Es sind nur die Rollen erforderlich, die zum Lesen von Daten zu privilegiertem Zugriff und PIM nötig sind.
Transparenz: Alle Datenzugriffe sind innerhalb von Microsoft Entra prüfbar und entsprechen den Governance‑ und Compliance‑Standards von Microsoft.
Erforderliche Entra ID-Rollen
Weisen Sie dem Administratorkonto, das den Agenten installiert und ausführt, die folgenden Rollen zu:
Privileged Role Administrator
Bietet Einblick in PIM‑Rollenkonfigurationen und Aktivierungen.
Security Reader
Gewährt Zugriff auf Sicherheits‑Insights, Protokolle für privilegierten Zugriff und Audit‑Daten.
Reports Reader
Ermöglicht Einblick in Berichte und Trendanalysen zur Rollennutzung.
Global Reader
Erlaubt mandantenweite Sichtbarkeit für eine umfassende Rollenbewertung.
Optionale Rollen für die Analyse von Azure‑Ressourcen
Reader (Azure Subscription‑Ebene)
Ermöglicht die Analyse von dauerhaften Berechtigungen in Azure RBAC‑Zuweisungen.
Diese Rollen folgen dem Prinzip der minimalen Rechtevergabe. Weisen Sie die Azure Reader Rolle nur zu, wenn Sie die Analyse von Azure RBAC einbeziehen möchten.
Transparenz beim Datenzugriff
Die folgende Tabelle zeigt, auf welche Daten der Agent zugreifen kann und zu welchem Zweck.
Zuweisungen privilegierter Rollen
Schreibgeschützt
Um dauerhafte Berechtigungen und übermäßig zugewiesene administrative Zugänge zu identifizieren.
PIM‑Konfigurationen und Aktivierungen
Schreibgeschützt
Um die Bereitschaft für JIT und Zero Standing Privilege zu bewerten.
Dienstprinzipale und App‑Registrierungen
Schreibgeschützt
Um Automatisierungs‑ und Dienstkonten zu erkennen, die dauerhafte Berechtigungen benötigen.
Audit‑ und Protokolle für privilegierten Zugriff
Schreibgeschützt
Um historische Aktivierungen nachzuverfolgen, Anomalien zu identifizieren und Compliance zu validieren.
Datenverarbeitung:
Der Agent ändert keine Daten, löscht sie nicht und exportiert sie nicht außerhalb der Mandantengrenze.
Alle Zugriffe erfolgen über Security Copilot-Plugins unter Verwendung delegierter oder anwendungsbasierter Berechtigungen beschränkt.
Alle Aktivitäten werden protokolliert in Microsoft Entra-Prüfprotokollen zur Nachvollziehbarkeit und Validierung der Compliance.
Agenteneinstellungen
Beim Ausführen des Agents können Sie Parameter konfigurieren, um Analyse‑ und Migrationsempfehlungen anzupassen.
Zeitraum
30, 90, oder 2025-01-01/2025-03-31
Definiert das Analysefenster für PIM‑ und Daten zum privilegierten Zugriff.
IncludeAzureRBAC
wahr
Bezieht Azure Role‑Based Access Control (RBAC)-Daten in die Analyse ein.
Ausgabeformat
Zusammenfassung oder detailliert
Gibt die Detaillierungsstufe des erzeugten Berichts an.
MigrationMode
Simulation oder Plan
Bestimmt, ob der Agent eine Bereitschaftsbewertung durchführt oder Migrationspläne erstellt.
"2025-01-15T09:00Z"
"Finde alle dauerhaften Admin‑Berechtigungen""Erstelle einen Plan zur Implementierung von Zero Standing Privilege""Identifiziere Privilegienausweitung in meiner Umgebung""Erzeuge Skripte zum Entfernen unnötiger Admin‑Zugriffe""Bewerte die Zero‑Trust‑Bereitschaft für Privilegienverwaltung"
Migrationsüberlegungen
Bevor Sie Empfehlungen für Zero Standing Privilege oder JIT‑Zugriffe umsetzen, prüfen und planen Sie sorgfältig:
Notfallzugangskonten
Vergewissern Sie sich, dass Break‑Glass‑Konten funktionsfähig bleiben und von JIT‑Workflows ausgenommen sind.
Pilot‑Tests
Testen Sie JIT‑Aktivierungs‑Workflows mit einer kleinen Benutzergruppe vor der großflächigen Einführung.
PIM‑Genehmiger
Stellen Sie sicher, dass Genehmiger‑Konfigurationen für kritische Rollen eingerichtet sind.
Automatisierungskonten
Validieren Sie, dass Dienstprinzipale erforderlichenfalls geeignete dauerhafte Berechtigungen behalten, wenn sie für Automatisierung gebraucht werden.
Kommunikation zu Änderungen
Informieren Sie betroffene Administratoren und Teams, bevor Sie Rollenbeschränkungen einführen.
Workflow‑Validierung
Bestätigen Sie, dass Aktivierungsanfragen, MFA‑Durchsetzung und Genehmigungsprozesse wie erwartet funktionieren.
Der Agent liefert strukturierte Empfehlungen, einschließlich:
Migrationspriorisierungen: Identifiziert zuerst schnelle Erfolge, komplexe Migrationen später.
Erkennung von Dienstkonten: Markiert nicht‑interaktive Konten, die für JIT‑Zugriff ungeeignet sind.
Validierung von Notfallzugang: Identifiziert und bewahrt Break‑Glass‑Konten.
Umgang mit Automatisierungskonten: Hebt Dienstprinzipale hervor, die dauerhafte Berechtigungen benötigen.
Sicherheits- und Compliance-Überlegungen
Alle Kommunikationen über Security Copilot-Plugins sind verschlüsselt mittels HTTPS und über Microsoft-Identitätsdienste authentifiziert.
Der Agent hält sich an die Zero-Trust und Prinzipien des geringsten Privilegs .
Zugriffe können jederzeit über Entra ID-Rollenassignments oder Verwaltung der Anwendungszustimmung.
Nächste Schritte
Bestätigen Sie, dass dem Administratorenkonto die erforderlichen Rollen zugewiesen sind.
Führen Sie den Agent aus, um dauerhafte Berechtigungen zu identifizieren und Ihren ZSP‑Bereitschaftsbericht zu erstellen.
Überprüfen Sie die Migrationsempfehlungen des Agents im Security Copilot, bevor Sie JIT‑ oder PIM‑Änderungen umsetzen.
Zuletzt aktualisiert
War das hilfreich?