Включение управления разрешениями (CIEM)
интеграция Microsoft Defender для облака с Управление разрешениями Microsoft Entra (управление разрешениями) предоставляет модель безопасности управления правами облачной инфраструктуры (CIEM), которая помогает организациям управлять доступом пользователей и правами в облачной инфраструктуре и управлять ими. CIEM является важным компонентом решения Cloud Native Application Protection Platform (CNAPP), которое обеспечивает видимость того, кто или что имеет доступ к определенным ресурсам. Это гарантирует, что права доступа соответствуют принципу наименьших привилегий (PoLP), когда пользователи или удостоверения рабочей нагрузки, такие как приложения и службы, получают только минимальные уровни доступа, необходимые для выполнения своих задач. CIEM также помогает организациям отслеживать разрешения и управлять ими в нескольких облачных средах, включая Azure, AWS и GCP.
Перед началом работы
Необходимо включить CSPM Defender в подписке Azure, учетной записи AWS или проекте GCP.
У вас есть следующие роли и разрешения
- AWS и GCP: администратор безопасности, Application.ReadWrite.All
- Azure: администратор безопасности, Microsoft.Authorization/roleAssignments/write
Только AWS: подключите учетную запись AWS к Defender для облака.
Только GCP: подключите проект GCP к Defender для облака.
Включение управления разрешениями (CIEM) для Azure
Если вы включили план CSPM Defender в учетной записи Azure, стандарт Azure CSPM автоматически назначается вашей подписке. Стандарт Azure CSPM предоставляет рекомендации по управлению правами облачной инфраструктуры (CIEM).
Если управление разрешениями (CIEM) отключено, рекомендации CIEM в стандарте Azure CSPM не будут вычисляться.
Войдите на портал Azure.
Найдите и выберите Microsoft Defender для облака.
Перейдите к параметрам среды.
Выберите соответствующую подписку.
Найдите план CSPM Defender и выберите "Параметры".
Включение управления разрешениями (CIEM).
Выберите Продолжить.
Выберите Сохранить.
Рекомендации по управлению разрешениями (CIEM) отображаются в подписке в течение нескольких часов.
Список рекомендаций Azure:
У перепровернутых удостоверений Azure должны быть только необходимые разрешения.
Разрешения неактивных удостоверений в подписке Azure должны быть отменены
Включение управления разрешениями (CIEM) для AWS
Если вы включили план CSPM Defender в вашей учетной записи AWS, стандарт AWS CSPM автоматически назначается вашей подписке. Стандарт AWS CSPM предоставляет рекомендации по управлению правами облачной инфраструктуры (CIEM). Если управление разрешениями отключено, рекомендации CIEM в стандарте AWS CSPM не будут вычисляться.
Войдите на портал Azure.
Найдите и выберите Microsoft Defender для облака.
Перейдите к параметрам среды.
Выберите соответствующую учетную запись AWS.
Найдите план CSPM Defender и выберите "Параметры".
Включение управления разрешениями (CIEM).
Выберите "Настроить доступ".
Выберите соответствующий тип разрешений.
Выберите метод развертывания.
Запустите обновленный скрипт в среде AWS с помощью инструкций на экране.
Установите флажок "Шаблон CloudFormation" в среде AWS (Stack ).
Выберите "Рецензирование" и "Создать".
Выберите Обновить.
Рекомендации по управлению разрешениями (CIEM) отображаются в подписке в течение нескольких часов.
Список рекомендаций AWS:
Удостоверения AWS с перепроизложенными удостоверениями должны иметь только необходимые разрешения.
Разрешения неактивных удостоверений в учетной записи AWS должны быть отменены
Включение управления разрешениями (CIEM) для GCP
Если вы включили план CSPM Defender в проекте GCP, стандарт GCP CSPM автоматически назначается вашей подписке. Стандарт CSPM GCP предоставляет рекомендации по управлению правами облачной инфраструктуры (CIEM).
Если управление разрешениями (CIEM) отключено, рекомендации CIEM в стандарте GCP CSPM не будут вычисляться.
Войдите на портал Azure.
Найдите и выберите Microsoft Defender для облака.
Перейдите к параметрам среды.
Выберите соответствующий проект GCP.
Найдите план CSPM Defender и выберите "Параметры".
Переключение управления разрешениями (CIEM) на включено.
Выберите Сохранить.
Нажмите кнопку Next: Configure access (Далее: настройка доступа).
Выберите соответствующий тип разрешений.
Выберите метод развертывания.
Запустите обновленный скрипт Cloud Shell или Terraform в среде GCP с помощью инструкций на экране.
Добавьте проверку в шаблон развертывания, чтобы изменения вступили в силу .
Выберите "Рецензирование" и "Создать".
Выберите Обновить.
Рекомендации по управлению разрешениями (CIEM) отображаются в подписке в течение нескольких часов.
Список рекомендаций GCP:
У GCP избыточных удостоверений должны быть только необходимые разрешения
Разрешения неактивных удостоверений в проекте GCP должны быть отменены