Integration des Azure AD-Authentifizierungskontexts in Privileged Identity Management

Privileged Identity Management (PIM) ist ein wichtiger Aspekt von Azure Active Directory, der Unternehmen bei der Verwaltung und Sicherung ihrer kritischen Ressourcen und Systeme unterstützt. Es reicht jedoch nicht aus, nur PIM zu haben. Ebenso wichtig ist es, über geeignete Kontrollen zu verfügen, um sicherzustellen, dass nur autorisierte Benutzer auf die privilegierten Ressourcen zugreifen können. Hier kommt der Conditional Access Authentication Context ins Spiel.

Um die Arbeit noch komfortabler zu gestalten, hat Microsoft die Funktionen des Azure AD-Authentifizierungskontexts auch auf Azure AD Privileged Identity Management (PIM) erweitert, das sich derzeit in der öffentlichen Vorschauversion befindet. Beginnen wir mit dem Authentifizierungskontext in Privileged Identity Management!

Um die Konfigurationen besser zu verstehen, beginnen wir ganz von vorne.

Was ist Privileged Identity Management (PIM)?

Privilegierte Konten haben weitreichenden Zugriff auf kritische Ressourcen in einem Unternehmen und sind somit ein Hauptziel für Angreifer. Azure Active Directory Privileged Identity Management (AAD PIM) hilft bei der Verwaltung dieser Konten und reduziert so das Risiko von Missbrauch und unbefugtem Zugriff. AAD PIM hilft Unternehmen dabei, dies zu erreichen, indem es Just-in-Time-Zugriff und Zugriffsüberprüfungen für privilegierte Rollen bereitstellt und so das Risiko von Privilegienmissbrauch und unbefugtem Zugriff begrenzt. Für die Nutzung von Privileged Identity Management in Azure AD ist eine Azure AD Premium P2-Lizenz erforderlich.

Was ist der Authentifizierungskontext für bedingten Zugriff?

Der Authentifizierungskontext in Microsoft 365 ist eine sicherheitssteigernde Funktion, die den Zugriffsanfragen weitere Details hinzufügt, einschließlich Geräteinformationen, Benutzerstandort usw. Vereinfacht ausgedrückt ähneln Authentifizierungskontexte eher Vertraulichkeitsbezeichnungen. Mit dem Authentifizierungskontext wird ein Tag erstellt, mit dem Sie die Ressourcen kennzeichnen können, die geschützt werden müssen, und den Zugriff auf diese Ressourcen detaillierter steuern können. Authentifizierungskontextbezeichnungen können sowohl in Richtlinien für bedingten Zugriff als auch in Vertraulichkeitsbezeichnungen verwendet werden.

Zusätzlich zum Schutz vertraulicher Daten kann der Authentifizierungskontext auch zum Schutz von in Azure gehosteten Anwendungen verwendet werden. Dadurch kann der unbefugte Zugriff auf kritische Anwendungen verhindert und das Risiko von Sicherheitsverletzungen verringert werden.

Einrichten des Authentifizierungskontexts für bedingten Zugriff in Privileged Identity Management

Wie bereits erwähnt, sind die erweiterten Funktionen des Azure AD-Authentifizierungskontexts für das AAD Privileged Identity Management jetzt in der öffentlichen Vorschau verfügbar! Sie fragen sich, was mit dieser neuen Funktionalität gemacht werden kann? Schauen Sie sich unten die Vorteile an.

• Durch die Kombination von AAD PIM mit Authentifizierungskontext können Unternehmen ein robustes Sicherheits-Framework für privilegierte Identitäten erstellen.
• Wenn ein Benutzer Zugriff auf eine privilegierte Rolle oder Ressource anfordert, wird der Authentifizierungskontext verwendet, um zu bewerten, ob der Benutzer alle Sicherheitsanforderungen für diese Rolle erfüllt.
• Mit dem Authentifizierungskontext können Unternehmen den Benutzerzugriff auf privilegierte Rollen oder Ressourcen überwachen und verfolgen und so größere Transparenz und Einblicke in potenzielle Sicherheitsbedrohungen oder Compliance-Probleme bieten.

Hinweis - Um den Authentifizierungskontext in Azure Active Directory Privileged Identity Management zu konfigurieren, benötigen Sie globale Administratorberechtigungen mit einerAzure Active Directory P2-Lizenz.

Erstellen Sie einen Authentifizierungskontext für bedingten Zugriff

Erfahren Sie unten, wie Sie den Authentifizierungskontext in Azure Active Directory konfigurieren:

1. Melden Sie sich beim Microsoft Azure-Portal an.
2. Navigieren Sie zu Azure Active Directory -> Sicherheit -> Bedingter Zugriff -> Authentifizierungskontext.
3. Wählen Sie + Neuer Authentifizierungskontext.
4. Fügen Sie dann den Authentifizierungskontext hinzu, indem Sie einen richtigen Namen und eine Beschreibung angeben.
5. Stellen Sie sicher, dass das Kontrollkästchen In Apps veröffentlichen aktiviert ist.
6. Klicken Sie auf Speichern.

Erstellen Sie eine neue Richtlinie für bedingten Zugriff mit Authentifizierungskontext

Es wird empfohlen, vor der Konfiguration des Authentifizierungskontexts in den PIM-Einstellungen eine Richtlinie für bedingten Zugriff zu erstellen, da diese eine zusätzliche Schutzebene für Ihr System bietet. Wenn jemand seine Rolle mithilfe von Azure AD PIM erhöht, können wir die Ausführung einer Richtlinie für bedingten Zugriff auslösen.

1. Melden Sie sich beim Microsoft Entra Admin Center an.
2. Navigieren Sie zu Azure Active Directory -> Sicherheit -> Bedingter Zugriff -> Neue Richtlinie erstellen.
3. Geben Sie der Richtlinie einen passenden Namen.
4. Beschränken Sie die Richtlinie auf berechtigte Benutzer der Rolle.
5. Legen Sie unter „Cloud-Apps oder -Aktionen“ fest, dass die Richtlinie für den Authentifizierungskontext gelten soll.
6. Wählen Sie dann den jeweiligen Authentifizierungskontext aus, den Sie auf die Richtlinie anwenden möchten.
7. Gehen Sie unter Gewährung zu Zugriff gewähren -> Authentifizierungsstärke erforderlich -> Phishing-resistente MFA und klicken Sie auf Auswählen.
8. Setzen Sie den Richtlinienstatus auf Ein.
9. Klicken Sie auf Erstellen, um Ihre Richtlinie zu speichern.

Hinweis - Sie sollten während der Aktivierung keine Richtlinie für bedingten Zugriff erstellen, die sowohl auf den Authentifizierungskontext als auch auf die Verzeichnisrolle beschränkt ist, da der Benutzer noch keine Rolle hat.

style="font-size: 23px;">Wie markiert man den Authentifizierungskontext in der Rolleneinstellung für Privileged Identity Management?

Erfahren Sie, wie Sie den Authentifizierungskontext in der Azure AD-Rolleneinstellung für die privilegierte Identitätsverwaltung markieren. Bisher hatten wir nur die Option, MFA anzufordern für die Erhöhung eines Azure AD, wenn es in PIM definiert wurde.

Jetzt verfügt Microsoft über erweiterte Privileged Identity Management-Funktionen, indem es uns ermöglicht, den Azure AD Conditional Access-Authentifizierungskontext anzugeben!

1. Melden Sie sich beim Azure Active Directory-Portal an.
2. Navigieren Sie zu Azure AD Privileged Identity Management -> Azure AD-Rollen -> Rollen.
3. Wählen Sie die Rolle aus, deren Einstellungen Sie konfigurieren möchten.
4. Öffnen Sie die Rolleneinstellungen der ausgewählten Rolle. Dort werden Ihre aktuellen PIM-Rolleneinstellungen angezeigt. Hier habe ich „Anwendungsadministrator“ ausgewählt.

5. Klicken Sie auf Bearbeiten.
6. Wählen Sie unter der Aktivierungseinstellung den Azure AD Conditional Access-Authentifizierungskontext (Vorschau) aus.
7. Wählen Sie das Dropdown-Menü aus. Dort können Sie die vorhandenen Authentifizierungskontexte erkennen.
8. Wählen Sie den geeigneten Authentifizierungskontext für bedingten Zugriff aus.
9. Sie können den Genehmiger basierend auf den Anforderungen angeben. Wenn niemand angegeben ist, werden privilegierte Rollenadministratoren/globale Administratoren zu den Standardgenehmigern.
10. Wählen Sie Aktualisieren.

Echtzeittests zur Azure AD-Rollenaktivierung:

Erfahren Sie, was passiert, wenn ein Testkonto, das nicht Teil des Authentifizierungskontexts ist, versucht, die Rolle zu aktivieren.

1. Melden Sie sich beim Azure Active Directory-Portal an.
2. Navigieren Sie zu Azure AD Privileged Identity Management -> Meine Rollen.
3. Wählen Sie die Rolle „Anwendungsadministrator“ aus und klicken Sie auf Aktivieren.
4. Anschließend werden Sie zu einem Fenster weitergeleitet, in dem die folgende Meldung angezeigt wird. „Eine Richtlinie für bedingten Zugriff ist aktiviert und erfordert möglicherweise eine zusätzliche Überprüfung. Klicke um Fortzufahren. ”

Zusätzliche Überprüfungen während der PIM-Rollenaktivierung:

Was passiert also während der PIM-Rollenaktivierung?
Wenn der Benutzer die starke Authentifizierungsmethode nicht konfiguriert, werden Sie aufgefordert, eine zusätzliche Authentifizierung hinzuzufügen, um die Anmeldung abzuschließen.

Wenn die starke Authentifizierungsmethode bereits enthalten ist, müssen Sie den Überprüfungsprozess abschließen, um auf die vorgesehene Azure AD-Rolle zuzugreifen.

Überprüfen Sie die Azure AD-Anmeldeprotokolle auf Einblicke und Berichte zu CA-Richtlinien

Durch die Überwachung der Anmeldungen in Azure AD kann überprüft werden, ob der Benutzer die Richtlinienanforderungen für bedingten Zugriff erfüllt hat oder nicht. Diese Azure AD-Anmeldeprotokolle helfen Unternehmen dabei, potenzielle Sicherheitsbedrohungen zu erkennen und entsprechende Maßnahmen proaktiv umzusetzen.

So greifen Sie auf Azure-Anmeldeprotokolle zu:

Navigieren Sie nach der Anmeldung beim Microsoft Azure-Portal zu Azure Active Directory -> Anmeldeprotokolle.

Zusammenfassend lässt sich sagen, dass Azure Active Directory Privileged Identity Management und Authentication Context Unternehmen die Möglichkeit bietet, ihre privilegierten Identitäten effizient zu verwalten und sensible Ressourcen vor unbefugtem Zugriff zu schützen.

Ich hoffe, dieser Blog hat Ihnen geholfen, die Integration des Authentifizierungskontexts in die privilegierte Identitätsverwaltung von Azure AD zu verstehen. Wenn Sie Fragen haben, können Sie uns gerne in den Kommentaren erreichen!