Darum geht es
Ein Gastkonto gehört zu einer fremden Organisation. Deren Kennwortregeln, MFA und Austrittsprozesse kontrollieren Sie nicht. Mit einer Administratorrolle kann es Ihren Tenant trotzdem verwalten.
Was passieren kann
Wird das Konto beim Partner kompromittiert, hat der Angreifer Administratorrechte in Ihrem Tenant.
Schritt für Schritt
Öffnen Sie die genannte Rolle unter „Rollen und Administratoren“ und prüfen Sie die Zuweisungen.
Entfernen Sie Gastkonten aus der Rolle.
Richten Sie für Ihren IT-Dienstleister ein eigenes, MFA-geschütztes Konto in Ihrem Tenant ein oder nutzen Sie delegierte Administratorrechte (GDAP) über das Partner Center.
Vergeben Sie Rollen nach Möglichkeit nur zeitlich begrenzt über Privileged Identity Management.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Rollen und Administratoren
- [Rolle]
- Zuweisungen
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Kein Gastkonto hat eine Administratorrolle
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Graph: GET /v1.0/directoryRoles?$expand=members($select=id,userType,displayName). Berücksichtigt aktive Rollen und aktive Zuweisungen; berechtigte PIM-Zuweisungen zeigt roleEligibilitySchedules.
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A10: Schutz von Benutzendenkennungen mit weitreichenden BerechtigungenOPS.1.1.2.A21: Regelung der IT-Administrationsrollen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.