概要

SCU コスト見積もり

このエージェントは通常、 1～3 SCU 分析実行ごと。分析対象のロール割り当て数とサービス プリンシパルの数によって異なります。

はじめに

Privileged Admin Watchdog は、常時付与されている管理者権限を排除するのに役立ちます。ゼロ常駐特権の実装を試みているものの、どこから始めればよいかわからない場合や、環境内に潜んでいる永続的な管理者アクセスをすべて見つけたい場合、このエージェントが最適です。すべての常駐管理権限を体系的に特定し、ジャストインタイム (JIT) アクセスへの移行を推奨し、それを実現するためのスクリプトと計画を提供します。

機能

• すべての常駐特権を検出します Entra ID のロール、サービス プリンシパル、Azure リソース全体で
• JIT 移行候補を特定します どのロールを PIM に移行できるかを示します
• 特権の肥大化を検出します 権限が本来の意図を超えて拡大したタイミングを追跡します
• 権限昇格パスを分析します 管理者アクセスへの間接的な経路を見つけます
• 時間制限付きアクセスを強制します 有効期限のないロールを特定することで
• 特権アカウントのアクティビティを監視します 異常な動作を対象に
• アクセス認証を自動化します 定期的な特権レビューを確実にするために
• プロビジョニング解除スクリプトを生成します 不要な常駐アクセスを削除するために
• リスク スコアを計算します 攻撃対象領域の削減可能性を示します
• ゼロ トラスト準備状況の評価を提供します 特権管理の成熟度について

ユース ケース

1. ゼロ常駐特権の実装

永続的な管理者アクセスをすべて排除したいが、現状がわからない。Privileged Admin Watchdog は、環境内のすべての常駐特権を棚卸しし、移行難易度ごとに分類し、すべてをジャストインタイム アクセスへ移行するための段階的な計画を提供します。

2. 攻撃対象領域の縮小

永続的な管理者特権は、最大のセキュリティ リスクです。このエージェントは、すべての常駐管理者アクセスを特定し、それぞれを削除した場合のリスク低減を計算し、ロールを PIM に移行するか完全に削除するための自動化スクリプトを提供します。攻撃対象領域をどれだけ削減できるかを正確に把握できます。

3. 特権の肥大化の整理

時間が経つにつれて、ユーザーは不要になった権限を蓄積していきます。Privileged Admin Watchdog は、すべてのロール割り当てを分析し、実際の使用パターンと照合して、休眠中または過剰な特権を特定し、特権の削減または削除の対象となる具体的なアカウントを推奨します。

4. 緊急アクセス管理

ブレークグラス アカウントが必要だが、適切に保護されていることも নিশ্চিতしたい。このエージェントは、緊急アクセス アカウントを検証し、必要に応じて PIM 要件から除外されていることを確認し、セキュリティ制御（条件付きアクセス、MFA）を検証し、適切な監視が行われていることを確保します。

5. ゼロ トラスト コンプライアンス

組織はゼロ トラストの原則を追求しており、特権管理の成熟度を証明する必要があります。Privileged Admin Watchdog は、現在の状態をゼロ トラスト要件と照合して評価し、成熟度スコアを算出し、ギャップを特定し、ゼロ常駐特権コンプライアンスを達成するためのロードマップを提供します。

なぜ Privileged Admin Watchdog なのか？

あなたが直面している問題	これがどう役立つか
至るところに常駐特権がある: 管理者は、めったに使わない恒久的なアクセスを持っている	完全な棚卸し: すべての常駐特権を特定し、JIT 移行の推奨を提示
ゼロ常駐特権は不可能に思える: どこから始めればよいか、何を移行すべきかわからない	段階的な移行計画: どの特権を最初に JIT へ移行すべきかを示す優先順位付きロードマップ
特権の肥大化は見えない: ユーザーは時間とともに権限を蓄積する	自動検出: 削除対象の休眠特権や過剰特権を特定
攻撃対象領域が不明確: どれだけの永続的な管理者アクセスがあるのかわからない	リスクの数値化: 攻撃対象領域の指標とリスク低減の計算
手動の特権レビューは大変: 四半期ごとのアクセス認証には何日もかかる	自動化された認証: 特権レビューを効率化するスクリプトとレポート
昇格パスが隠れている: 管理者アクセスへの間接的な経路がわかりにくい	パス分析: ユーザーが間接的に特権アクセスを得る方法を示す

仕組み

入力内容：

• Entra ID のロール割り当て（ディレクトリ ロール）
• PIM の構成と対象ロール
• サービス プリンシパルの権限とアプリケーション ロール
• アプリケーションの同意付与（管理者およびユーザーの同意）
• 特権アクセスのログと使用パターン
• 管理者アカウントに影響する条件付きアクセス ポリシー
• 管理単位のメンバーシップ
• Azure RBAC の割り当て（Azure リソースを監視する場合）
• 緊急アクセス アカウントの構成

動作内容：

• Entra ID と Azure 全体のすべてのロール割り当てをスキャンします
• どの特権が常駐（恒久的）で、どれが JIT（PIM 有効）かを特定します
• 使用パターンを分析して休眠特権を検出します
• 特権昇格パス（間接的な管理者アクセス）をマッピングします
• 時間制限付きアクセス制御を検証します
• 特権の肥大化（時間とともに拡大する権限）をチェックします
• 緊急アクセス アカウントのセキュリティを評価します
• 各常駐特権のリスク スコアを計算します
• JIT アクセス モデルへの移行計画を生成します
• 自動プロビジョニング解除スクリプトを作成します

出力内容：

• 常駐特権の棚卸し（永続的な管理者アクセスの完全な一覧）
• 段階的アプローチと優先順位付けを含む JIT 移行計画
• 特権削減メトリクス（削減前後の攻撃対象領域）
• 各常駐特権のリスク評価スコア
• 自動プロビジョニング解除スクリプト（Entra ID 用の PowerShell、RBAC 用の Azure CLI）
• 現在の状態とゼロ常駐特権を比較したコンプライアンス監査レポート
• アクセス パターン分析（使用頻度、最終使用、休眠特権）
• 特権昇格パス検出（間接的な管理者アクセス経路）
• 成熟度スコアリングを伴うゼロトラスト準備状況の評価
• 緊急アクセスアカウントの検証とセキュリティ推奨事項