Recommended security practices (Рекомендации по безопасности)

При использовании Azure Lighthouse важно учитывать безопасность и контроль доступа. С помощью Azure Lighthouse пользователи в клиенте имеют прямой доступ к подпискам клиентов и группам ресурсов, поэтому выполните действия по поддержанию безопасности клиента. Мы также рекомендуем включить минимальный доступ, необходимый для эффективного управления ресурсами клиентов.

В этой статье приведены рекомендации, которые помогут вам реализовать эти методики безопасности.

Требовать многофакторную аутентификацию в Microsoft Entra

Многофакторная проверка подлинности Microsoft Entra (также известная как двухфакторная проверка подлинности ) помогает запретить злоумышленникам получать доступ к учетной записи, требуя нескольких шагов проверки подлинности. Необходимо требовать многофакторную проверку подлинности Microsoft Entra для всех пользователей в управляемом клиенте, включая пользователей, имеющих доступ к делегированным ресурсам клиентов.

Попросите клиентов также реализовать многофакторную проверку подлинности Microsoft Entra в своих клиентах.

Назначьте разрешения группам, используя принцип минимальных привилегий

Чтобы упростить управление, используйте группы Microsoft Entra для каждой роли, необходимой для управления ресурсами клиентов. Этот подход позволяет добавлять или удалять отдельных пользователей в группу по мере необходимости, а не назначать разрешения непосредственно каждому пользователю.

При создании структуры разрешений следуйте принципу наименьших привилегий , чтобы пользователи имели только разрешения, необходимые для завершения работы. Ограничение разрешений для пользователей помогает снизить вероятность непреднамеренной ошибки.

Например, можно использовать такую структуру:

После создания этих групп назначьте пользователей по мере необходимости. Добавьте только пользователей, которым действительно нужен доступ, предоставленный этой группой.

Регулярно просматривайте членство в группах и удаляйте всех пользователей, которые больше не нужны.

Помните, что при подключении клиентов через общедоступное управляемое предложение сервиса любая группа (или пользователь или сервисный принципал), включенная вами, имеет одинаковые разрешения для каждого клиента, который приобретает план. Чтобы назначить разные группы для работы с разными клиентами, необходимо опубликовать отдельный частный план, который является эксклюзивным для каждого клиента или подключить клиентов по отдельности с помощью шаблонов Azure Resource Manager. Например, можно опубликовать общедоступный план с очень ограниченным доступом, а затем работать с каждым клиентом, чтобы подключить свои ресурсы с помощью настраиваемого шаблона ARM, который предоставляет дополнительный доступ по мере необходимости.

Следующие шаги

• Ознакомьтесь с базовыми сведениями о безопасности, чтобы понять, как руководство по эталону безопасности Microsoft Cloud Security применяется к Azure Lighthouse.
• Разверните многофакторную аутентификацию Microsoft Entra
• Узнайте больше об интерфейсах управления для различных клиентов.