Olá, pessoal. No artigo de hoje, vamos dar andamento na série de artigos relacionados ao exame AZ-500 – Microsoft Azure Security Technologies e mostrar o fluxo de solicitação de acesso privilegiado a um grupo do AD gerenciado pelo PIM. Se está se preparando para aplicar para este exame, não perca os próximos artigos deste blog.
Antes de simularmos o fluxo de concessão de privilégio através do PIM, vamos explicar os papéis de cada um. São eles:
Permanent administrator – É o estado que permite o usuário acessar os recursos administrados pelos grupos aos quais já pertence.
Eligible administrator – É o estado de que permite o usuário ativar um acesso privilegiado quando achar necessário. A concessão desse acesso pode necessitar de uma aprovação, caso esteja configurado.
Access reviewer – É o papel responsável pela aprovação de um ou mais grupos de acesso privilegiado.
É possível mudar o estado de elegível para permanente e vice-versa, mas é boa prática de segurança, manter o mínimo de usuários no estado de administração permanente.
Configurando um grupo de alto privilégio no PIM
Vamos configurar políticas de acesso a um grupo para controlar usuários que solicitam acesso a este grupo.
Acesse o portal do Azure Ad Roles clicando neste link.
Com um usuário com privilégio Global Admin, vamos configurar a necessidade de aprovação para usuários elegíveis ingressarem no grupo do Azure AD Security Administrator.
Clique na opção Settings e em Roles.
Vamos habilitar a necessidade de aprovação para que administradores elegíveis tenham acesso a grupos privilegiados.
Selecione o grupo Security Administrator.
No menu Require Approval, clique em Enable.
Ao habilitar a opção de necessitar de aprovação, é necessário definir um usuário ou grupo de usuários aprovadores. Caso não selecione pelo menos um aprovador, os administradores do PIM serão definidos por padrão como aprovadores deste grupo.
Clique em Select approvers.
Na janela ao lado, selecione o usuário que deseja ser o aprovador do acesso neste grupo e clique em select.
Selecionamos para nossa ilustração a usuária sara@azureulyssesneves.onmicrosoft.com para ser a aprovadora das solicitações de acesso ao grupo Security Administrator.
Vamos eleger o usuário john@azureulyssesneves.onmicrosoft.com a obter acesso ao grupo Security Administrator.
Acesse o menu de funções clicando neste link.
Clique em Add para eleger o usuário John a ingressar no grupo.
Clique em Select members, selecione o usuário john@azureulyssesneves.onmicrosoft.com e clique em Select.
Com o usuário adicionado, já é possível visualizar o status “elegible” do usuário John.
Solicitando acesso temporário
Vamos agora entrar no portal do Azure com o usuário John e verificar quais grupos ele está elegível a solicitar o acesso.
Clique neste link para acessar o menu My Roles do usuário John.
Podemos observar que o usuário é elegível ao grupo Security Administrator, mas ainda está no status Not active.
Vamos clicar em Activate para solicitar acesso ao grupo.
Preencha o motivo da solicitação do acesso e o tempo necessário e clique em Activate.
Após solicitar o acesso, na página do usuário John, já observamos a requisição com status pendente.
Vamos agora aprovar a solicitação acessando o PIM acessando o portal do Azure com a usuária Sara, definida como aprovadora no início desse passo a passo.
Clique em Approved requests para acessar as solicitações de aprovações de acesso aos grupos.
No portal da usuária Sara, é possível ver a solicitação de acesso do usuário John ao grupo Security Administrator.
Selecione a solicitação e clique em Approve.
Entre com a justificativa para a aprovação do acesso temporário e clique em Approve.
Vamos acessar novamente o portal com o usuário John para confirmar se o acesso ao grupo Security Administrator foi concedido.
Ao acessar o menu My Roles, é possível identificar se o acesso foi concedido e o tempo de expiração desse acesso.
Resumo
No artigo de hoje, mostramos o fluxo de aprovação de acesso a um grupo de segurança do Azure AD gerenciado pelo PIM e os papéis de cada um neste fluxo. Apresentamos também um passo a passo de como configurar a autorização de acesso a grupos privilegiados e simulamos um pedido de acesso a um grupo de segurança com aprovação.
No próximo artigo, vamos mostrar como configurar a revisão de acessos utilizando o Azure AD PIM.
Espero que este conteúdo tenha contribuído com o enriquecimento do conhecimento de vocês em Azure.
Gostaram do post? Curtam e compartilhem. 🙂
Tem alguma sugestão ou observação, comente.
[ ]’s
Ulysses Neves
