Azuren käyttäjän määrittämien hallittujen identiteettien asianmukaisen turvallisuuden varmistaminen sisältää useita keskeisiä strategioita:
1. Toteuta porrastettu hallintamalli: Varmista, että käyttäjätilit voivat käyttää vain hallittuja identiteettejä, joilla on samanlaiset käyttöoikeudet. Vältä sallimalla alemman tason tilit pääsemään identiteetteihin, joilla on korkeampi etuoikeus [2].
2. Hallitse huolellisesti käyttöoikeuksia: Ole varovainen hallittujen identiteettien myöntämien käyttöoikeuksien perusteella. Tarkastele säännöllisesti näitä käyttöoikeuksia, etenkin korkeampien etuoikeuksien varalta. Harkitse työkalujen luomista sovelluksille ja hallittuihin identiteetteihin määritettyjen korkean prioriteetin käyttöoikeuksien ilmoittamiseen [2].
3. Käytä roolipohjaista pääsynhallinta (RBAC): Käytä RBAC: ta hallitaksesi tai hallita hallittuja identiteettejä. Tämä auttaa estämään luvattoman pääsyn ja varmistaa, että identiteettejä käytetään asianmukaisesti [3].
4. Valvonta ja hälytys: Aseta hallittujen henkilöllisyystodistusten muutosten seuranta ja hälytys. Tämän avulla voit vastata nopeasti luvattomiin tehtäviin [3].
5. Noudata vähiten etuoikeuden periaatetta: Grant Managed Identiteetti vain tarvittavat käyttöoikeudet tehtäviensä suorittamiseen. Vältä tarpeettomien käyttöoikeuksien myöntämistä, jotka voivat lisätä turvallisuusriskiä, jos henkilöllisyys vaarantuu [5].
6. Hallitse käyttäjän määrittämiä identiteettejä manuaalisesti: Koska käyttäjän määrittämillä identiteetteillä on itsenäinen elinkaari, poista ne manuaalisesti, kun niitä ei enää tarvita. Varmista myös, että roolitehtävät poistetaan hallittujen identiteettien poistamisen jälkeen, jotta vältetään roolin määritysrajojen ylittämisen [5] [6].
7. Käytä tietoturvaryhmiä ja resurssilukkoja: Harkitse turvallisuusryhmien käyttöä tarvittavien roolitehtävien määrän vähentämiseksi. Resurssilukot voivat myös auttaa estämään kriittisten resurssien vahingossa tapahtuvan poistamisen tai muutoksen [3].
Viittaukset:
.
.
.
.
.
.
[7] https://www.evolvesecurity.com/blog-posts/secturing-azure-managed-identies
[8] https://docs.azure.cn/en-us/automation/enable-managed-identity-for-automation