Utforming av identitet og tilgang for virksomheter

I Azure-miljøer for virksomheter må identitets- og tilgangsadministrasjon kunne håndtere hundrevis av abonnementer, tusenvis av brukere og dusinvis av team – alle med ulike behov for ressurstilgang. En godt utformet identitetsmodell hindrer både for omfattende tilganger (brukere med for mye tilgang) og for begrensede tilganger (brukere som ikke kan utføre arbeidet sitt). Grunnlaget er Microsoft Entra ID kombinert med Azure RBAC og styringsverktøy som Privileged Identity Management (PIM).

Azure Role-Based Access Control (RBAC) gir tilgang gjennom tre komponenter:

• Sikkerhetsidentitet – hvem (bruker, gruppe, tjenesteprincipal eller administrert identitet)
• Rolldefinisjon – hva (et sett med tillatte handlinger, for eksempel 'Contributor')
• Omfang – hvor (administrasjonsgruppe, abonnement, ressursgruppe eller individuell ressurs)

Disse tre elementene kombineres til en rolletilordning. Roller arves nedover i hierarkiet – en rolle som er tilordnet på en administrasjonsgruppe, gjelder for alle abonnementer under den.

Azure tilbyr over 100 innebygde roller som dekker vanlige scenarier (Owner, Contributor, Reader og tjenestespesifikke roller). For de fleste brukstilfeller i virksomheter er innebygde roller tilstrekkelige. Når De imidlertid trenger tillatelser som ikke samsvarer med noen innebygd rolle – for eksempel en rolle som kan lese virtuelle maskiner, men ikke slette dem – kan De opprette en egendefinert rolle med nøyaktig de tillatelsene som trengs, i tråd med prinsippet om minste privilegium.

Tilordne roller til Entra ID-grupper i stedet for individuelle brukere når det er mulig. Når en rolle tilordnes til en gruppe, arver alle medlemmene rollen. Å legge til eller fjerne tilgang blir da et spørsmål om å legge en bruker til i eller fjerne en bruker fra gruppen – ikke om å endre rolletilordninger på tvers av flere omfang. Dette reduserer administrasjonsarbeidet betydelig og sikrer at tilgangen er konsekvent for teammedlemmer som utfører samme funksjon.

Privileged Identity Management (PIM) er en Entra ID-tjeneste som gir just-in-time (JIT)-tilgang med utvidede privilegier til Azure-ressurser og Entra ID-roller. I stedet for å ha permanent Owner- eller Global Administrator-tilgang er brukere kvalifisert for privilegerte roller og må be om aktivering når de trenger utvidet tilgang. Aktivering kan kreve MFA, en begrunnelse og godkjenning fra en utpekt godkjenner.

PIM gir flere sikkerhetsfordeler i virksomhetsmiljøer:

• Redusert angrepsflate – ingen permanente administratorkontoer som kan kompromitteres
• Revisjonsspor – hver aktivering logges med tidsstempel, begrunnelse og godkjenner
• Tilgangsgjennomganger – PIM støtter regelmessige gjennomganger der ledere bekrefter hvilke brukere som fortsatt skal være kvalifisert
• Tidsbegrenset tilgang – selv godkjent tilgang utløper automatisk, slik at glemte utvidede tillatelser unngås

En godt utformet RBAC-modell for virksomheter har vanligvis disse lagene:

• Administrasjonsgruppenivå – bred lesetilgang for styringsteam; policytilordninger
• Abonnementsnivå – Contributor-tilgang på teamnivå for applikasjonsteam som administrerer ett abonnement
• Ressursgruppenivå – tjenestespesifikke roller (for eksempel Storage Blob Contributor for en applikasjon som bare trenger tilgang til blobber)
• Ressursnivå – bare i særtilfeller der finkornet kontroll er nødvendig

Applikasjoner og automatiserte prosesser bør ikke bruke brukerkontoer til å autentisere mot Azure. Bruk i stedet:

• Tjenesteprincipaler — programregistreringer i Entra ID med klient-ID og hemmelighet eller sertifikat; brukes av CI/CD-pipelines og lokal automatisering
• Administrerte identiteter — automatisk administrerte legitimasjoner for Azure-vertsbaserte ressurser (VM-er, App Service, AKS); ingen hemmeligheter å administrere eller rotere

Tildel minimum nødvendige RBAC-roller til tjenesteprincipaler og administrerte identiteter.

Policyer for betinget tilgang i Entra ID gjør autentiseringsbeslutninger mer intelligente. For administrasjon av Azure-ressurser kan du kreve at administratortilgang (Azure-portalen, CLI) bare tillates fra:

• Kompatible enheter (administrert av Intune)
• Navngitte plasseringer (bedriftsnettverk eller VPN)
• Etter MFA (alltid håndhevet for privilegerte handlinger)

Ved å kombinere betinget tilgang med PIM får du en svært sterk sikkerhetsstatus for administrativ tilgang til Azure.

Entra ID Access Reviews lar administratorer jevnlig kontrollere at brukere fortsatt trenger tilgangen de har fått tildelt. Gjennomganger kan delegeres til ressurseiere eller ledere, som svarer «Ja, denne personen trenger fortsatt tilgang» eller «Nei, fjern denne tilgangen» for hver bruker. Tilgangsgjennomganger kan planlegges kvartalsvis og automatisere fjerning av tilgang som ikke lenger er godkjent, slik at tilgang ikke gradvis akkumuleres over tid.

Alle virksomheter bør ha minst to nødtilgangskontoer (break-glass-kontoer) — Global Administrator-kontoer som ikke er beskyttet av krav til betinget tilgang eller MFA (de bruker maskinvarebaserte FIDO2-nøkler i stedet). Disse kontoene brukes bare når Entra ID- eller MFA-systemer er utilgjengelige og vanlige administratorkontoer ikke kan nås. Bruk av nødtilgangskontoer bør utløse umiddelbare sikkerhetsvarsler og revideres grundig.

I denne leksjonen lærte du at: RBAC i virksomheter bruker gruppebaserte tildelinger på omfanget for administrasjonsgruppe, abonnement og ressursgruppe; Privileged Identity Management gir just-in-time-tilgang for å eliminere permanente administratorroller; og administrerte identiteter og tjenesteprincipaler bør brukes til applikasjonsautentisering i stedet for brukerkontoer. Gratulerer — du har fullført delen om virksomhetsarkitektur og styring i AZ-900-sporet!