Настройка учетных записей действий Microsoft Defender для удостоверений

Defender для удостоверений позволяет выполнять действия по исправлению, предназначенные для локальная служба Active Directory учетных записей в случае компрометации удостоверения. Для выполнения этих действий Microsoft Defender для удостоверений должны иметь необходимые разрешения. Эта конфигурация аккаунта действий отделена от аккаунта службы каталога, предназначенного для чтения данных AD.

По умолчанию сенсор Microsoft Defender для удостоверений работает от имени учетной записи LocalSystem контроллера домена и выполняет действия, включая сценарии прерывания атак в Microsoft Defender.

Если необходимо изменить поведение по умолчанию при использовании учетной записи контроллера LocalSystem домена для действий по исправлению, настройте выделенную gMSA и задайте необходимые разрешения. Например, вы можете:

Рекомендации по учетным записям действий

Рекомендуется избегать использования той же учетной записи gMSA, которую вы настроили для управляемых действий Defender для удостоверений на серверах, отличных от контроллеров домена. Если вы используете тот же аккаунт на другом сервере и этот сервер будет скомпрометирован, злоумышленник может получить пароль от аккаунта и получить возможность менять пароли и отключать аккаунты.

Кроме того, рекомендуется избегать использования той же учетной записи, что и учетная запись службы каталогов, и учетная запись "Управление действием". Разделение этих ролей важно, потому что учетная запись Directory Service требует только разрешения только для чтения Active Directory, а учетная запись Manage Action требует разрешения на запись в пользовательских аккаунтах.

Если у вас несколько лесов, учетная запись управляемого действия gMSA должна быть доверенной во всех лесах или создать отдельную учетную запись для каждого леса. Дополнительные сведения см. в Microsoft Defender для удостоверений поддержке нескольких лесов.

Создание и настройка учетной записи определенного действия

Чтобы создать и настроить выделенную аккаунт действий gMSA, выполните следующие шаги:

1. Создайте учетную запись gMSA. Дополнительные сведения см. в статье Начало работы с групповыми управляемыми учетными записями служб.

2. Назначьте право входа в качестве службы учетной записи gMSA на каждом контроллере домена, на котором запущен датчик Defender для удостоверений.

3. Предоставьте необходимые разрешения учетной записи gMSA следующим образом:

   1. Откройте Пользователи и компьютеры Active Directory.

   2. Щелкните правой кнопкой мыши соответствующий домен или подразделение и выберите Свойства. Например, вы можете:

      

   3. Перейдите на вкладку Безопасность и выберите Дополнительно. Например, вы можете:

      

   4. Выберите Добавить>Выберите субъект. Например, вы можете:

      

   5. Убедитесь, что учетные записи служб помечены в поле Типы объектов. Например, вы можете:

      

   6. В поле Введите имя объекта для выбора введите имя учетной записи gMSA и нажмите кнопку ОК.

   7. В поле Применимо к выберите Объекты потомков пользователя, оставьте существующие параметры и добавьте разрешения и свойства, показанные в следующем примере:

      

      Необходимые разрешения:

      Действие	Разрешения	Свойства
      Включение принудительного сброса пароля	Сброс пароля	- Read pwdLastSet - Write pwdLastSet
      Отключение пользователя	-	- Read userAccountControl - Write userAccountControl

   8. (Необязательно) В поле Применимо к выберите Объекты группы потомков и задайте следующие свойства:

      • Read members
      • Write members

   9. Нажмите OK.

Добавление учетной записи gMSA на портале Microsoft Defender

Используйте портал Microsoft Defender для добавления учетной записи действия gMSA:

1. Перейдите на портал Microsoft Defender и выберите Параметры ->Удостоверения>Microsoft Defender для удостоверений>Управление учетными записями> действий+Создать учетную запись.

   Например, вы можете:

   

2. Введите имя учетной записи и домен и нажмите кнопку Сохранить.

Учетная запись действия указана на странице Управление учетными записями действий .

Связанные материалы

Дополнительные сведения см. в разделе Действия по исправлению в Microsoft Defender для удостоверений.