Mínim privilegi a Microsoft Entra ID, a la pràctica

El principi de mínim privilegi diu que cada compte té només els permisos que necessita, durant el temps que els necessita. A Microsoft Entra ID (l'antic Azure AD) això es tradueix en tres coses concretes: fer servir rols específics en lloc d'Administrador global, que els rols privilegiats siguin temporals amb PIM i tenir comptes d'emergència que funcionin quan tota la resta falla.

És el mateix que revisava a Active Directory amb Domain Admins, però al núvol el radi d'impacte és més gran: un administrador global controla el correu, els fitxers de SharePoint i OneDrive, les identitats i, amb un clic, les subscripcions d'Azure.

Quants administradors globals són massa

Microsoft recomana menys de cinc administradors globals per inquilí. El normal és el contrari: el tècnic que va muntar l'inquilí, el proveïdor que va fer la migració, el director que ho va demanar «per si de cas» i algun compte de servei que ningú sap per a què és.

Per treure'ls ràpid, des de PowerShell amb Microsoft Graph:

Connect-MgGraph -Scopes RoleManagement.Read.Directory
$rol = Get-MgDirectoryRole -Filter "displayName eq 'Global Administrator'"
Get-MgDirectoryRoleMember -DirectoryRoleId $rol.Id

Rols específics en lloc d'Administrador global

Gairebé ningú necessita Administrador global per a la seva feina diària. Les tasques habituals tenen el seu rol:

Tasca	Rol suficient
Restablir contrasenyes	Helpdesk Administrator
Crear usuaris i grups	User Administrator
Gestionar bústies	Exchange Administrator
Revisar alertes	Security Reader / Operator
Llicències	License Administrator
Polítiques d'accés condicional	Conditional Access Administrator

Un detall que es passa per alt: els permisos que té un usuari per consentir aplicacions. Si qualsevol pot donar permisos de lectura de correu a una app OAuth, el mínim privilegi en rols es queda curt. Convé restringir el consentiment a editors verificats o a un flux d'aprovació.

PIM: privilegi només quan cal

Privileged Identity Management converteix els rols en elegibles en lloc d'actius. La persona no és administradora fins que ho demana, justifica el motiu, passa MFA i, si es configura, algú ho aprova. Al cap d'unes hores el rol caduca sol.

Per al SOC, l'avantatge és que un compte compromès sense rol actiu no pot fer quasi res, i cada activació queda registrada amb la seva justificació. Una activació d'Administrador global a les tres de la matinada és una alerta molt fàcil d'escriure.

PIM requereix llicència Entra ID P2 (o Entra ID Governance). Si no n'hi ha, almenys separa el compte d'administració del compte diari amb què es llegeix el correu i es navega.

Comptes d'emergència (break-glass)

Dos comptes cloud-only, sense bústia, amb Administrador global permanent, exclosos de les polítiques d'accés condicional que et podrien deixar fora, i protegits amb clau FIDO2 física. Microsoft en recomana dos, amb credencials separades.

El que quasi ningú fa: provar-los cada pocs mesos i tenir una alerta que salti cada cop que un d'ells inicia sessió. Si es fan servir i ningú se n'assabenta, són la porta del darrere perfecta.

Preguntes freqüents

Què és el principi de mínim privilegi?

Concedir a cada usuari, aplicació o servei només els permisos imprescindibles per a la seva funció i durant el temps just. Redueix el que pot fer un atacant amb un compte robat.

PIM substitueix l'MFA?

No, el complementa. PIM pot exigir MFA a cada activació, i l'ideal és que sigui MFA resistent al phishing.

Cada quant revisar els rols assignats?

Com a mínim trimestralment, i sempre que algú canviï de lloc o se'n vagi. És el mateix problema que el cicle joiner-mover-leaver, aplicat a privilegis.