Frisch gebraut mit Microsoft Azure und Microsoft 365

Monat: April 2022

Backup und Restore Microsoft Authenticator App

Die Verwendung von Multi-Faktor Authentifizierung (MFA) in Verbindung mit der Microsoft Authenticator App erhöht die Sicherheit von Identitäten beträchtlich.

In der Microsoft Authenticator App können neben Kontoanmelde-informationen von Microsoft Diensten auch beliebige weitere Anbieter hinterlegt werden. Ein Benutzer muss so nicht ständig entscheiden, welche App für die Anmeldung erforderlich ist.

Was passiert aber, wenn das Mobilephone mit der Microsoft Authenticator App abhanden oder ersetzt wird? Müssen dann alle Konteninformationen manuell neu registriert werden?

Kerberos Entschlüsselungsschlüssel manuell erneuern

Benutzer können mit nahtlosem Anmelden (Seamless SSO) die gleichen Anmeldedaten für lokale und Cloud basierte Dienste nutzen. Die wiederkehrende Aufforderung für die Eingabe der Anmeldedaten zwischen den Diensten entfällt. Die notwendigen Daten werden zwischen Active Directory und Azure Active Directory automatisch ausgetauscht.

Bei der Konfiguration von nahtlosem Anmelden (Seamless SSO) wird das Computerkonto «AZUREADSSOACC» erstellt. Diesem Computerkonto soll aus Gründen der Sicherheit der Kerberos Entschlüsselungsschlüssel (Kerberos decryption key) alle 30 Tage geändert werden.

In dieser Anleitung wird beschrieben, wie der Kerberos Entschlüsselungsschlüssel manuell alle 30 Tage geändert wird.

Privileged Identity Management (PIM): Azure Rollen durch Benutzer anfordern

Privileged Identity Management (PIM) vereinfacht die Administration von privilegierten Zugriffen auf Ressourcen in Azure und Microsoft 365. Dies erhöht die Sicherheit der Clouddienste. Ein Benutzer erhält die erhöhten Rechte nur für den Zeitraum, in der diese wirklich notwendig sind (Just-in-Time).

Diese Anleitung zeigt auf, wie der Benutzer eine Azure Rolle für einen bestimmten Zeitraum beantragen kann und wie ein Administrator diese Anfrage verwaltet.

Privileged Identity Management (PIM): Grundkonfiguration

Privileged Identity Management (PIM) verwaltet und überwacht Zugriffe auf Azure Rollen. Die Zugriffe auf Azure-Ressourcen und Microsoft Onlinedienste sind bedarfsgesteuert und zeitlich eingeschränkt.
Benutzer können die Rollen für erhöhte Berechtigung online beantragen. Ein Administrator kann die Anfrage danach genehmigen oder ablehnen. Die Berechtigung entfernt sich nach Ablauf des festgelegten Zeitraums automatisch.

Mit Privileged Identity Management (PIM) lassen sich folgende Risiken minimieren:

  • Anzahl Benutzer und deren Berechtigungsdauer auf privilegierte Rollen werden auf ein Minimum reduziert
  • Benutzer werden besser vor versehentlicher Beeinträchtigung sensibler Daten geschützt. (keine unnötigen Rechte, wenn diese nicht gebraucht werden)
  • Angreifer erhalten keinen privilegierten Zugriff

Mit dieser Anleitung wird Privileged Identity Management (PIM) für Azure AD- und Azure-Rollen konfiguriert.

Benutzerkonten mit Azure AD Smart Lockout schützen

Azure AD Smart Lockout ist ein Dienst, der sämtliche Anmeldungen an Azure Active Directory überwacht. Mithilfe verschiedener Mechanismen erkennt Azure AD Smart Lockout einen Angriff auf Benutzerkonten und sperrt diese. Unter anderem wird das erraten von Benutzerkennwörter oder Brut-Force-Angriffen erkannt.

Nach 10 fehlgeschlagenen Anmeldeversuchen sperrt Azure AD Smart Lockout das Konto für 1 Minute. Diese Standardwerte kann man den eigenen Bedürfnissen anpassen.

Azure AD Smart Lockout funktioniert nicht bei Azure AD Connect Passthrough-Authentifizierung. Bei dieser Konfiguration wird die Authentifizierung auf dem lokalen Active Directory durchgeführt und nicht im Azure Active Directory.

Präsentiert von WordPress & Theme erstellt von Anders Norén