配置标识访问控制以满足 FedRAMP High 影响级别
访问控制是实现联邦风险与授权管理计划 (FedRAMP) 高影响级别以进行操作的主要部分。
可能需要在 Microsoft Entra 租户中配置访问控制 (AC) 系列的以下控制和控制增强功能列表。
| 控制系列 | 说明 |
|---|---|
| AC-2 | 帐户管理 |
| AC-6 | 最低权限 |
| AC-7 | 失败的登录尝试次数 |
| AC-8 | 系统使用通知 |
| AC-10 | 并发会话控制 |
| AC-11 | 会话锁定 |
| AC-12 | 会话终止 |
| AC-20 | 使用外部信息系统 |
下表中的每一行都提供了规范性指导，以帮助你制定组织对与控制或控制增强功能有关的所有共同责任的响应措施。
配置
| FedRAMP 控件 ID 和说明 | Microsoft Entra 指南和建议 |
|---|---|
| AC-2 帐户管理 组织 (b.) 为信息系统帐户分配帐户管理员； (c.) 建立组和角色成员身份的条件； (d.) 指定信息系统、组和角色成员身份的授权用户，以及每个帐户的访问授权（即特权）和其他属性（根据需要）； (e.) 需要[分配：组织定义的人员或角色]对创建信息系统帐户的请求进行审批； (f.) 根据[分配：组织定义的过程或条件]创建、启用、修改、禁用和删除信息系统帐户； (g.) 监视信息系统帐户的使用； (h.) 下列情况下通知帐户管理员： (i.) 基于以下条件授权访问信息系统： (j.) 检查帐户是否符合帐户管理要求[FedRAMP 分配：每月检查特权访问，每六 (6) 个月检查非特权访问]；以及 (k.) 从组中删除个人时，组织建立重新签发共享/组帐户凭据的过程（如果已部署）。 |
为客户控制的帐户实现帐户生命周期管理。 监视帐户的使用情况并将帐户生命周期事件通知到客户经理。 对于特权访问，每月评审帐户是否符合帐户管理的要求，对于非特权访问，每六个月评审一次。 使用 Microsoft Entra ID 从外部 HR 系统、本地 Active Directory 或直接在云中预配帐户。 所有帐户生命周期操作均在 Microsoft Entra 审核日志中进行审核。 可以通过安全信息和事件管理 (SIEM) 解决方案（例如 Microsoft Sentinel）来收集和分析日志。 或者，可以使用 Azure 事件中心将日志与第三方 SIEM 解决方案集成，以启用监视和通知。 将 Microsoft Entra 的权利管理与访问评审结合使用，以确保帐户处于合规状态。 预配帐户 监视帐户 评审帐户 资源
|
| AC-2(1) 组织使用自动化的机制来支持信息系统帐户的管理。 |
使用自动化机制，为管理客户控制的帐户提供支持。 配置从外部 HR 系统或本地 Active Directory 自动预配客户控制的帐户。 对于支持应用程序预配的应用程序，将 Microsoft Entra ID 配置为在用户需要访问的云软件即解决方案 (SaaS) 应用程序中自动创建用户标识和角色。 除了创建用户标识外，自动预配还包括在状态或角色发生更改时维护和删除用户标识。 将 Microsoft Entra ID 保护日志（其中显示风险用户、风险登录和风险检测）和审核日志直接流式传输到 Microsoft Sentinel 或事件中心，可轻松监视帐户使用情况。 预配 监视和审核 |
| AC-2(2) 信息系统在[FedRAMP 分配：上次使用 24 小时后]后自动[FedRAMP 选择：禁用]临时和紧急帐户。 AC-02(3) AC-2 (3) 其他 FedRAMP 要求和指导： |
使用自动化机制，以支持自上次使用 24 小时后自动删除或禁用临时帐户和紧急帐户，并在处于非活动状态 35 天后自动删除或禁用所有由客户控制的帐户。 使用 Microsoft Graph 和 Microsoft Graph PowerShell 实现帐户管理自动化。 使用 Microsoft Graph 监视登录活动，使用 Microsoft Graph PowerShell 在所需的时间范围内对帐户执行操作。 确定非活动状态 删除或禁用帐户 使用 Microsoft Graph 中的设备 |
| AC-2(4) 信息系统自动审核帐户创建、修改、启用、禁用和删除操作，并通知[FedRAMP 分配：组织和/或服务提供程序系统所有者]。 |
针对管理客户控制的帐户的生命周期实施自动化审核和通知系统。 所有帐户生命周期操作（如帐户创建、修改、启用、禁用和删除操作）都在 Azure 审核日志中进行审核。 可以直接将日志流式传输到 Microsoft Sentinel 或事件中心，以帮助通知。 审核 通知 |
| AC-2(5) 组织在[FedRAMP 分配：非活动预计超过十五 (15) 分钟]时要求用户注销。 AC-2 (5) 其他 FedRAMP 要求和指导： |
处于非活动状态 15 分钟后，会注销设备。 使用条件访问策略实施设备锁定，以限制对合规设备的访问。 使用移动设备管理 (MDM) 解决方案（如 Intune），在设备上配置策略设置，以在 OS 级别强制执行设备锁定。 混合部署中也可以考虑使用 Endpoint Manager 或组策略对象。 对于非托管设备，请配置“登录频率”设置以强制用户重新进行身份验证。 条件性访问 MDM 策略 |
| AC-2(7) 组织： |
通过对客户控制的帐户采取基于角色的访问方案，管理并监视特权角色分配。 在不再合适时禁用或撤销对帐户的特权访问。 实施 Microsoft Entra Privileged Identity Management，其中包含对 Microsoft Entra ID 中特权角色的访问评审，以监视角色分配并在不再合适时将其删除。 可以直接将审核日志流式传输到 Microsoft Sentinel 或事件中心，以帮助监视。 管理员 监视 |
| AC-2(11) 信息系统为[分配：组织定义的信息系统帐户]执行[分配：组织定义的环境和/或使用条件]。 |
强制使用客户控制的帐户，以满足客户定义的条件或情况。 创建条件访问策略，以跨用户和设备强制实施访问控制决策。 条件性访问 |
| AC-2(12) 组织： AC-2 (12) (a) 和 AC-2 (12) (b) 其他 FedRAMP 要求和指导： |
监视并报告具有特权访问权限的客户控制的帐户，以了解非典型使用情况。 为了帮助监视非典型使用情况，可将 Microsoft Entra ID 保护日志（其中显示风险用户、风险登录和风险检测）和审核日志（有助于与权限分配关联）直接流式传输到 Microsoft Sentinel 等 SIEM 解决方案中。 还可以使用事件中心将日志与第三方 SIEM 解决方案集成。 ID 保护 监视帐户 |
| AC-2(13) 组织在发现风险的 [FedRAMP 分配：一 (1) 小时] 内禁用造成重大风险的用户帐户。 |
在 1 小时内禁用存在重大风险的用户的客户控制帐户。 在 Microsoft Entra ID 保护中，配置并启用阈值设置为“高”的用户风险策略。 创建条件访问策略，以阻止风险用户的访问和风险登录。配置风险策略，以允许用户自行修正并取消阻止后续登录尝试。 ID 保护 条件性访问 |
| AC-6(7) 组织： |
每年评审并验证具有特权访问权限的所有用户。 确保重新分配特权（或在必要时删除特权），以符合组织的任务和业务要求。 将 Microsoft Entra 权利管理与特权用户的访问评审一起使用，以验证是否需要特权访问。 访问评审 |
| AC-7 失败的登录尝试次数 组织： |
在 15 分钟内，登录客户部署的资源的连续失败尝试次数不得超过三次。 将帐户锁定至少三小时或直到管理员解锁为止。 启用自定义智能锁定设置。 配置锁定阈值和锁定持续时间（以秒为单位）以实施这些要求。 智能锁定 |
| AC-8 系统使用情况通知 信息系统： (b.) 将在屏幕上保留通知消息或横幅，直到用户同意使用条件并采取明确的行动以登录或进一步访问信息系统；以及 (c.) 对于可公开访问的系统： AC-8 其他 FedRAMP 要求和指导： |
在授予对信息系统的访问权限之前，显示隐私和安全通知，并要求用户确认。 利用 Microsoft Entra ID，你可以在授予访问权限之前，为需要并记录确认的所有应用提供通知或横幅消息。 可以将这些使用条款策略细化到特定用户（成员或来宾）。 还可以通过条件访问策略按应用程序自定义它们。 使用条款 |
| AC-10 并发会话控制 信息系统将每个[分配：组织定义的帐户和/或帐户类型]的并发会话数量限制为[FedRAMP 分配：特权访问为三 (3) 个会话，非特权访问为两 (2) 个会话]。 |
将并发会话数限制为三个以进行特权访问；限制为两个以进行非特权访问。 当前，用户从多个设备进行连接，有时是同时连接。 限制并发会话会导致用户体验降级，并且提供的安全价值有限。 解决此控制背后意图的更好方法是采用零信任安全态势。 在会话创建之前显式验证条件，并在整个会话生命周期内持续验证条件。 此外，请使用以下补偿控制。 使用条件访问策略以限制对兼容设备的访问。 使用 MDM 解决方案（如 Intune），在设备上配置策略设置，以在 OS 级别强制执行用户登录限制。 混合部署中也可以考虑使用 Endpoint Manager 或组策略对象。 使用 Privileged Identity Management 进一步限制和控制特权帐户。 为无效登录尝试配置智能帐户锁定。 实施指南 零信任 条件性访问 设备策略 资源 有关更多会话重新评估和风险缓解指南，请参阅 AC-12。 |
| AC-11 会话锁定 信息系统： (a) 在非活动状态达到[FedRAMP 分配：十五 (15) 分钟]或从用户那里收到请求后，通过启动会话锁定来阻止对于系统的进一步访问；以及 (b) 保留会话锁定，直到用户使用已建立的标识和身份验证过程重新创建访问。 AC-11(1) |
在 15 分钟的非活动期后或收到用户的请求后，实施会话锁定。 保持会话锁定，直到用户重新进行身份验证。 在启动会话锁定时，隐藏以前可见的信息。 使用条件访问策略实施设备锁定，以限制对合规设备的访问。 使用 MDM 解决方案（如 Intune），在设备上配置策略设置，以在 OS 级别强制执行设备锁定。 混合部署中也可以考虑使用 Endpoint Manager 或组策略对象。 对于非托管设备，请配置“登录频率”设置以强制用户重新进行身份验证。 条件性访问 MDM 策略 |
| AC-12 会话终止 信息系统在[分配：组织定义的条件或需要会话断开的触发事件]之后自动终止用户会话。 |
发生组织定义的条件或触发器事件时，自动终止用户会话。 使用 Microsoft Entra 功能（如基于风险的条件访问和连续访问评估），实施自动用户会话重新评估。 如 AC-11 中所述，可以在设备级别实施非活动条件。 资源 |
| AC-12(1) 信息系统： (a.) 无论何时使用身份验证访问[分配：组织定义的信息资源]，都提供用户启动的通信会话的注销功能；以及 (b.) 向用户显示一条显式注销消息，指明可靠地终止经身份验证的通信会话。 AC-8 其他 FedRAMP 要求和指导： |
为所有会话提供注销功能，并显示明确的注销消息。 所有 Microsoft Entra ID 显示的 Web 接口都可为用户发起的通信会话提供注销功能。 SAML 应用程序与 Microsoft Entra ID 集成时，请实施单一退出登录。 注销功能 显示消息
资源 |
| AC-20 使用外部信息系统 组织建立符合拥有、运营和/或维护外部信息系统的其他组织建立的信任关系的条款和条件，允许授权的个人： (a.) 从外部信息系统访问信息系统；以及 (b.) 使用外部信息系统处理、存储或传输组织控制的信息。 AC-20(1) |
制定条款和条件，允许授权的个人从外部信息系统（如非托管设备和外部网络）访问客户部署的资源。 从外部系统访问资源的授权用户需要接受使用条款。 实施条件访问策略以限制从外部系统访问。 条件访问策略可能与 Defender for Cloud Apps 集成，为来自外部系统的云和本地应用程序提供控制。 Intune 中的移动应用管理可以保护应用程序（包括自定义应用和应用商店应用）级别的组织数据，使其免受与外部系统交互的托管设备的影响。 例如，访问云服务。 可以在组织拥有的设备和个人设备上使用应用管理。 条款和条件 条件性访问 MDM 资源 |
