מימוש גישה עם הרשאות מינימליות באמצעות Entra ID ו-AdminByRequest

פורסם ב-11 במאי 2025

במסע המתמשך לאבטח סביבות ארגוניות ולהקטין סיכונים, אכיפת עקרון ההרשאות המינימליות (least privilege) חיונית. Microsoft הציגה לאחרונה ב-Entra ID יכולות חדשות שמשפרות משמעותית את היכולת שלנו לנהל ביעילות הרשאות local administrator. השיפורים האלה, יחד עם כלים כמו AdminByRequest, יכולים ליצור גישה חזקה, מאובטחת ופשוטה לניהול גישת local administrator.

הבנת היכולות החדשות של Entra ID

כשמחשב מחובר ל-Microsoft Entra ID, בדרך כלל משויכים אליו אוטומטית שני תפקידים:

Global Administrators - משתמשים עם התפקיד הזה מקבלים גישת local administrator במכשירים המחוברים.
Local Admins via Entra Join - המשתמש שמבצע את החיבור (רישום המכשיר) הופך גם הוא ל-local admin.

הגישה הזו מבטיחה גמישות תפעולית, אבל היא מפרה לא פעם את עקרון ההרשאות המינימליות ויוצרת פגיעויות אבטחה אפשריות. לדוגמה, הרשאות אדמין מוגזמות עלולות להוביל להגדרות שגויות מקריות במערכת, להדבקות malware או לתקיפות של הסלמת הרשאות.

למרבה המזל, Microsoft הציגה הגדרות חדשות שמטפלות באתגר הזה:

Global administrator role as local admin: אפשר עכשיו להשבית את התנהגות ברירת המחדל הזו, ולמנוע ממנהלי Global Administrator להפוך אוטומטית ל-local admins במכשירים.
Registering user as local admin: אפשר לכוונן אם המשתמש הרושם מקבל הרשאות local admin. האפשרויות כוללות:
- מתן הרשאות אדמין לכל המשתמשים.
- מתן הרשאות אדמין למשתמשים נבחרים.
- השבתה מלאה של הרשאות אדמין למשתמשים רושמים.

היכולות האלה מאפשרות לצוותי IT להסיר הרשאות local admin מיותרות ולאמץ מודל גישה מאובטח יותר, עם הרשאות מינימליות.

התפקיד של AdminByRequest באבטחת גישת Local Admin

היכולות החדשות של Entra ID הן צעד קדימה, אבל ארגונים זקוקים לא פעם לפתרון מקיף יותר לניהול וביקורת של גישת local administrator. כאן AdminByRequest מצטיין.

AdminByRequest הוא פתרון endpoint privilege management (EPM) שמבטל הרשאות local admin קבועות ובמקביל נותן למשתמשים דרך מאובטחת ומבוקרת להעלות הרשאות כשצריך.

יכולות מרכזיות של AdminByRequest

העלאת הרשאות לפי דרישה

משתמשים יכולים לבקש גישת אדמין זמנית למשימות ספציפיות, שאפשר לאשר על ידי אדמיני IT או תהליכים מוגדרים מראש. כך מבטלים את הצורך בהרשאות אדמין קבועות ועדיין תומכים בגמישות תפעולית.
ביקורת מקיפה

AdminByRequest עוקב אחר כל בקשת העלאת הרשאות וכל פעולת אדמין, ונותן לצוותי IT נראות מלאה מי העלה הרשאות, מתי ולמה. כך נוצר מסלול ביקורת (audit trail) מפורט למטרות תאימות.
אפליקציות שאושרו מראש

ארגונים יכולים ליצור רשימה של אפליקציות שאושרו מראש, שמשתמשים יכולים להריץ עם הרשאות מורמות בלי צורך לבקש גישת אדמין. זה מייעל תהליכי עבודה ושומר על האבטחה.
ניהול מבוסס מדיניות

AdminByRequest מאפשר להגדיר מדיניות מדויקת, כך שרק משתמשים או קבוצות ספציפיים יכולים להעלות הרשאות בתנאים מסוימים.
גישת Break-Glass

בתרחישי חירום, אדמיני IT יכולים להעניק גישה מהירה בלי לפגוע באבטחה לטווח ארוך.
אינטגרציה עם מערכות ticketing ו-SIEM

הכלי משתלב עם פלטפורמות כמו Microsoft Sentinel, ServiceNow ו-Slack/Teams, ומבטיח תהליכי עבודה חלקים וניטור שוטף.

למה להשתמש ב-AdminByRequest עם Entra ID?

שילוב ההגדרות החדשות של Entra ID עם AdminByRequest יוצר גישה שכבתית לניהול הרשאות:

שליטה משופרת ב-Local Admins

ההגדרות של Entra ID מבטיחות שרק משתמשים מורשים יכולים להפוך ל-local admins, ו-AdminByRequest מבטל לגמרי את הצורך בגישת אדמין קבועה.
ביקורת ואחריותיות

בעוד ש-Entra ID מספק שליטה בסיסית, AdminByRequest מספק יומנים ואנליטיקה מפורטים, שעוזרים לארגונים לעמוד בדרישות תאימות כמו ISO 27001, SOC 2 ו-GDPR.
גמישות בלי לוותר על אבטחה

AdminByRequest מבטיח שמשתמשים יכולים לבצע את המשימות הנדרשות עם הרשאות מורמות, תוך מניעת שימוש לרעה, הדבקות malware או שינויים מקריים.
קלות פריסה וניהול

האינטגרציה החלקה של AdminByRequest עם Microsoft Entra ID וכלים אחרים אומרת שצוותי IT יכולים לפרוס ולנהל את הפתרון במהירות בלי להעמיס על המשאבים שלהם.

גישה מומלצת

הנה אסטרטגיה מוצעת ליישום גישה עם הרשאות מינימליות באמצעות Entra ID ו-AdminByRequest:

סקרו את הגדרות ברירת המחדל

השביתו את התפקידים Global Administrator ומשתמש רושם כ-local admins כברירת מחדל, באמצעות ההגדרות החדשות של Entra ID.
הטמיעו את AdminByRequest

פרסו את AdminByRequest כדי לבטל הרשאות local admin קבועות בכל המכשירים. הגדירו מדיניות שמאפשרת העלאת הרשאות זמנית ומאובטחת.
בנו רשימת אפליקציות שאושרו מראש

זהו אפליקציות נפוצות שדורשות הרשאות אדמין ואשרו אותן מראש ב-AdminByRequest כדי לצמצם עיכובי אישור.
נטרו ובצעו ביקורת

השתמשו ביומנים של AdminByRequest ובאינטגרציה עם כלים כמו Sentinel כדי לנטר פעילות אדמין ולזהות שימוש לרעה אפשרי או חריגות.
הדריכו את הצוותים שלכם

הסבירו למשתמשים את תהליכי העבודה החדשים ואת החשיבות של גישה עם הרשאות מינימליות. ודאו שצוות ה-IT מבין איך לנהל ולאשר בקשות ביעילות.

סיכום

כשאיומי הסייבר הופכים מתוחכמים יותר, ביטול הרשאות אדמין קבועות כבר אינו אופציונלי. היכולות החדשות של Microsoft ב-Entra ID, יחד עם פתרון חזק כמו AdminByRequest, מספקות את הכלים הנדרשים לאכיפת גישה עם הרשאות מינימליות תוך שמירה על יעילות תפעולית.

באימוץ הגישה הכפולה הזו, ארגונים יכולים להקטין משמעותית את משטח התקיפה, לשפר את התאימות ולחזק את האבטחה הכוללת. עכשיו הזמן לקחת שליטה על גישת local admin ולאפשר לארגון שלכם לעבוד בצורה מאובטחת.

נסו את Griffin31

הגדרות עוגיות · מדיניות פרטיות