Skapa en baslinje för identitets- och åtkomsthantering

  • 5 minuter

Identitets- och åtkomsthantering (IAM) är nyckeln till att bevilja åtkomst och för säkerhetsförbättringar av företagstillgångar. För att skydda och kontrollera dina molnbaserade tillgångar måste du hantera identitet och åtkomst för dina Azure-administratörer, programutvecklare och programanvändare.

Säkerhetsrekommendationer för IAM

I följande avsnitt beskrivs IAM-rekommendationerna i CIS Microsoft Azure Foundations Security Benchmark v. 1.3.0. De grundläggande stegen som ska slutföras i Azure Portal ingår i varje rekommendation. Du bör slutföra de här stegen för din egen prenumeration och använda dina egna resurser för att verifiera varje säkerhetsrekommendation. Tänk på att nivå 2-alternativ kan begränsa vissa funktioner eller aktiviteter, så tänk noga på vilka säkerhetsalternativ du väljer att tillämpa.

Viktigt!

Du måste vara administratör för Att Microsoft Entra-instansen ska kunna slutföra några av de här stegen.

Begränsa åtkomsten till Microsoft Entra-administrationsportalen – nivå 1

Användare som inte är administratörer bör inte ha åtkomst till Microsoft Entra-administrationsportalen eftersom data är känsliga och enligt reglerna för lägsta behörighet.

  1. Logga in på Azure-portalen. Sök efter och markera Microsoft Entra ID.

  2. I den vänstra menyn under Hantera väljer du Användare.

  3. I den vänstra menyn väljer du Användarinställningar.

  4. Under Administrationsportalen i Användarinställningar kontrollerar du att Begränsa åtkomsten till Microsoft Entra-administrationsportalen är inställd på Ja. Om du ställer in det här värdet på Ja hindras alla icke-administratörer från att komma åt data i Microsoft Entra-administrationsportalen. Inställningen begränsar inte åtkomsten till att använda PowerShell eller en annan klient, till exempel Visual Studio.

  5. Om du ändrar några inställningar går du till menyraden och väljer Spara.

Skärmbild av Azure Portal som visar alternativet Begränsa åtkomst till Microsoft Entra-administrationsportalen inställt på Ja.

Aktivera multifaktorautentisering för Microsoft Entra-användare

  • Aktivera multifaktorautentisering för privilegierade Microsoft Entra-ID-användare – nivå 1
  • Aktivera multifaktorautentisering för Microsoft Entra-användare som inte är privilegierade – nivå 2

Aktivera multifaktorautentisering för alla Microsoft Entra-användare.

  1. Logga in på Azure-portalen. Sök efter och markera Microsoft Entra ID.

  2. I den vänstra menyn under Hantera väljer du Användare.

  3. I menyraden Alla användare väljer du MFA per användare.

    Skärmbild som visar alternativet multifaktorautentisering i fönstret Microsoft Entra i Azure Portal.

  4. I fönstret multifaktorautentisering kontrollerar du att multifaktorautentiseringsstatus har angetts till Aktiverad för alla användare. Om du vill aktivera multifaktorautentisering väljer du en användare. Under snabbsteg väljer du Aktivera aktivera>multifaktorautentisering.

    Skärmbild som visar hur du aktiverar multifaktorautentisering för en användare med hjälp av snabbstegslänken.

Kom inte ihåg multifaktorautentisering på betrodda enheter – nivå 2

Att komma ihåg multifaktorautentiseringsfunktionen för enheter och webbläsare som är betrodda av användaren är en kostnadsfri funktion för alla multifaktorautentiseringsanvändare. Användare kan kringgå efterföljande verifieringar under ett angivet antal dagar efter att de har loggat in på en enhet med hjälp av multifaktorautentisering.

Om ett konto eller en enhet komprometteras kan kom ihåg multifaktorautentisering för betrodda enheter påverka säkerheten negativt. En säkerhetsrekommendation är att inaktivera kom ihåg multifaktorautentisering för betrodda enheter.

  1. Logga in på Azure-portalen. Sök efter och markera Microsoft Entra ID.

  2. I den vänstra menyn under Hantera väljer du Användare.

  3. I menyraden Alla användare väljer du MFA per användare.

  4. I fönstret multifaktorautentisering väljer du en användare. Under Snabbsteg väljer du Hantera användarinställningar.

    Skärmbild som visar användarfönstret för Microsoft Entra-multifaktorautentisering och länken Hantera användarinställningar.

  5. Markera kryssrutan Återställ multifaktorautentisering på alla ihågkomna enheter och välj sedan Spara.

    Skärmbild som visar alternativet Återställ multifaktorautentisering på alla ihågkomna enheter valt.

Inga eller begränsade gästanvändare – nivå 1

Se till att inga gästanvändare finns, eller om företaget kräver gästanvändare, se till att gästbehörigheterna är begränsade.

  1. Logga in på Azure-portalen. Sök efter och markera Microsoft Entra ID.

  2. I den vänstra menyn under Hantera väljer du Användare.

  3. Välj knappen Lägg till filter.

  4. För Filter väljer du Användartyp. För Värde väljer du Gäst. Välj Använd för att kontrollera att det inte finns några gästanvändare.

    Skärmbild av Azure Portal som visar filtrering av Microsoft Entra-ID för gästanvändare.

  5. Om du ändrar några inställningar går du till menyraden och väljer Spara.

Lösenordsalternativ

  • Meddela användare om lösenordsåterställningar – nivå 1
  • Meddela alla administratörer när andra administratörer återställer lösenord – nivå 2
  • Kräv två metoder för att återställa lösenord – nivå 1

Med multifaktorautentiseringsuppsättningen måste en angripare kompromettera båda formulären för identitetsautentisering innan de kan återställa en användares lösenord på ett skadligt sätt. Kontrollera att lösenordsåterställning kräver två former av identitetsautentisering.

  1. Logga in på Azure-portalen. Sök efter och markera Microsoft Entra ID.

  2. I den vänstra menyn under Hantera väljer du Användare.

  3. I den vänstra menyn väljer du Återställning av lösenord.

  4. I den vänstra menyn under Hantera väljer du Autentiseringsmetoder.

  5. Ange Antal metoder som krävs för återställning till 2.

  6. Om du ändrar några inställningar väljer du Spara i menyraden.

Skärmbild av Azure Portal som visar autentiseringsmetoderna för Microsoft Entra-autentiseringsmetoder för lösenordsåterställning med antalet metoder som krävs för att återställa inställt på 2.

Upprätta ett intervall för att återbekräfta metoder för användarautentisering – nivå 1

Om återbekräftelse av autentisering är inaktiverat uppmanas registrerade användare inte att bekräfta sin autentiseringsinformation igen. Det säkrare alternativet är att aktivera autentisering igen under ett angivet intervall.

  1. Logga in på Azure-portalen. Sök efter och markera Microsoft Entra ID.

  2. I den vänstra menyn under Hantera väljer du Användare.

  3. I det vänstra menyfönstret väljer du Återställning av lösenord.

  4. I den vänstra menyn under Hantera väljer du Registrering.

  5. Kontrollera att Antal dagar innan användarna uppmanas att bekräfta att deras autentiseringsinformation inte är inställd på 0. Standardvärdet är 180 dagar.

  6. Om du ändrar några inställningar går du till menyraden och väljer Spara.

Skärmbild av Azure Portal som visar formuläret för antal dagar för att bekräfta autentiseringsinformationen igen.

Inställning för gästbjudning – nivå 2

Endast administratörer ska kunna bjuda in gästanvändare. Genom att begränsa inbjudningar till administratörer ser du till att endast auktoriserade konton har åtkomst till Azure-resurser.

  1. Logga in på Azure-portalen. Sök efter och markera Microsoft Entra ID.

  2. I den vänstra menyn under Hantera väljer du Användare.

  3. I den vänstra menyn väljer du Användarinställningar.

  4. I fönstret Användarinställningar går du till Externa användare och väljer Hantera inställningar för externt samarbete.

  5. I Inställningar för externt samarbete går du till Inställningar för gästbjudning och väljer Endast användare som tilldelats specifika administratörsroller kan bjuda in gästanvändare.

    Skärmbild som visar inställningarna för gästbjudning med Endast användare som tilldelats specifika administratörsroller kan bjuda in gästanvändare som valts.

  6. Om du ändrar några inställningar går du till menyraden och väljer Spara.

Användare kan skapa och hantera säkerhetsgrupper – nivå 2

När den här funktionen är aktiverad kan alla användare i Microsoft Entra-ID skapa nya säkerhetsgrupper. Skapande av säkerhetsgrupper bör begränsas till administratörer.

  1. Logga in på Azure-portalen. Sök efter och markera Microsoft Entra ID.

  2. I den vänstra menyn under Hantera väljer du Grupper.

  3. I fönstret Alla grupper går du till den vänstra menyn under Inställningar och väljer Allmänt.

  4. För säkerhetsgrupper kontrollerar du att Användare kan skapa säkerhetsgrupper i Azure Portal, API eller PowerShell är inställt på Nej.

    Skärmbild som visar fönstret Allmänna inställningar för grupper med alternativet Användare kan skapa säkerhetsgrupper inställt på Nej.

  5. Om du ändrar några inställningar går du till menyraden och väljer Spara.

Grupphantering via självbetjäning aktiverad – nivå 2

Om ditt företag inte behöver delegera grupphantering med självbetjäning till olika användare är en säkerhetsrekommendering att inaktivera den här funktionen.

  1. Logga in på Azure-portalen. Sök efter och markera Microsoft Entra ID.

  2. I den vänstra menyn under Hantera väljer du Grupper.

  3. I fönstret Alla grupper går du till den vänstra menyn under Inställningar och väljer Allmänt.

  4. Under Grupphantering för självbetjäning kontrollerar du att alla alternativ är inställda på Nej.

  5. Om du ändrar några inställningar går du till menyraden och väljer Spara.

Skärmbild som visar microsoft Entra-gruppalternativ för självbetjäning inställda på Nej.

Programalternativ – tillåt användare att registrera appar – nivå 2

Kräv att administratörer registrerar anpassade program.

  1. Logga in på Azure-portalen. Sök efter och markera Microsoft Entra ID.

  2. I den vänstra menyn under Hantera väljer du Användare.

  3. I den vänstra menyn väljer du Användarinställningar.

  4. I fönstret Användarinställningar kontrollerar du att Appregistreringar är inställt på Nej.

  5. Om du ändrar några inställningar går du till menyraden och väljer Spara.

Skärmbild som visar Microsoft Entra-användare med appregistreringar inställda på Nej.