ארגונים רבים מאצילים תפקידי Helpdesk לצוותי IT כדי לסייע בניהול משתמשים שוטף, כמו איפוס סיסמאות, שינוי שיטות אימות ועדכון פרטי משתמשים. אבל מה אם אתם רוצים שהצוותים האלה לא יקבלו גישה לחשבונות רגישים, כמו חשבונות של מנהלים בכירים (C-level)?
בדיוק לשם כך יש Administrative Units (AUs) ב-Microsoft Entra ID.
מה הן Administrative Units?
Administrative Units הן מכולות לוגיות ב-Entra ID שמאפשרות להגביל הרשאות מבוססות תפקיד לקבוצה מסוימת של משתמשים, קבוצות או מכשירים. תפקיד שמוקצה דרך AU חל רק על החברים ב-AU הזה.
אבל AU רגיל לא מגן על החברים בו: Helpdesk Administrator ברמת כל הטננט עדיין יכול לאפס להם סיסמה. כדי להרחיק את ה-Helpdesk מחשבונות המנהלים צריך restricted management administrative unit, שבו רק מי שקיבל תפקיד על ה-AU עצמו יכול לשנות את החברים.
המשמעות היא שאפשר:
- לחלק את תחומי האחריות הניהוליים לפי גיאוגרפיה, מחלקה או סוג משתמש.
- להגביל את הגישה של ה-Helpdesk לקבוצת משתמשים מוגדרת בלבד.
- למנוע שינויים לא מכוונים או חשיפת מידע בחשבונות רגישים.
שימוש מעשי: Helpdesk והגנה על מנהלים בכירים
נניח שהארגון רוצה לאפשר לצוות ה-Helpdesk לתמוך בעובדים, אבל למנוע ממנו במפורש לנהל את המנהלים הבכירים. כך עושים את זה:
- יוצרים Administrative Unit מסוג restricted management. למשל בשם ExecUsers_AU, ומסמנים בזמן היצירה את האפשרות Restricted management administrative unit (אי אפשר לשנות אותה אחר כך). מוסיפים אליו רק את המשתמשים הרגישים: מנכ"ל, סמנכ"ל כספים, המחלקה המשפטית, חברי דירקטוריון.
- מקצים תפקידים מוגבלי היקף לקבוצת Helpdesk מהימנה. יוצרים קבוצת Helpdesk קטנה ומאושרת (למשל Helpdesk_Exec_Team) ומקצים לה את התפקיד Helpdesk Administrator או Authentication Administrator, מוגבל רק ל-ExecUsers_AU.
- לא מקצים גישה לשאר צוות ה-Helpdesk. שאר הצוות לא מקבל תפקידים שמוגבלים ל-AU הזה. גם אם יש להם Helpdesk Administrator ברמת כל הטננט, הם לא יכולים לשנות את המשתמשים שבתוכו.
התוצאה:
- רק אנשי ה-Helpdesk שנבחרו יכולים לאפס סיסמה, לשנות שיטות אימות או לערוך את המשתמשים הרגישים.
- אדמינים ברמת הטננט, כולל Global Administrator, לא יכולים לשנות אותם בלי להקצות לעצמם תפקיד על ה-AU, וההקצאה הזו נרשמת ב-audit log.
- אתם אוכפים הרשאה מינימלית ומפחיתים סיכון לטעויות או לשימוש לרעה.
למה זה חשוב
כשמחלקים את המשתמשים ל-AUs ומקצים תפקידים בהתאם, אתם:
- מפחיתים את הסיכון לטעות אנוש או לאיום פנימי.
- עומדים בעקרון ההרשאה המינימלית (least privilege).
- מוודאים שחשבונות של מנהלים בכירים לא נוגעים בהם בלי הרשאה מפורשת.
לסיכום
היכולת הזו חזקה במיוחד בתעשיות מפוקחות, בארגונים עם תמיכת IT מדורגת ובכל סביבה עם דרישות מחמירות לממשל זהויות. אם עוד לא הגבלתם את ההרשאות של ה-Helpdesk, זו נקודת פתיחה טובה.
רוצים לדעת למי יש הרשאות ניהול רחבות מדי אצלכם? Griffin31 בודק את הגדרות הטננט שלכם באופן רציף ומראה מה לתקן קודם.