Hvem er global administrator hos jer?

Global administrator er den kraftigste rolle i Entra ID. Den kan læse og ændre næsten alle indstillinger i jeres Microsoft 365. Alligevel kan de færreste IT-afdelinger uden at slå efter svare på, hvem der har den.

Hvorfor listen vokser

Ingen beslutter, at der skal være mange administratorer. Det sker, fordi en opgave skulle løses hurtigt, og global administrator var den hurtigste løsning. Rollen bliver sjældent taget tilbage, når opgaven er løst, og efter nogle år er der flere, end nogen husker.

Problemet er ikke kun antallet. Det er, om hver enkelt tildeling kan begrundes og er beskyttet.

Hvem kan ellers få global administrator-adgang?

Listen over dem, der har rollen i dag, er kun en del af billedet. En privilegeret rolleadministrator (Privileged Role Administrator) kan tildele global administrator til andre og, afhængigt af reglerne, til sig selv. Apps og service principals med tilstrækkeligt kraftige Microsoft Graph-rettigheder kan også oprette rolletildelinger. De identiteter og rettigheder skal gennemgås sammen med de menneskelige administratorer.

Global administrator er heller ikke den eneste rolle at holde øje med. Microsoft peger selv på flere privilegerede roller, som bør gennemgås jævnligt. De giver forskellige veje til kompromittering: en Privileged Authentication Administrator kan nulstille godkendelsesmetoder for højt privilegerede brugere, en Conditional Access Administrator kan ændre adgangspolitikkerne, og en Security Administrator kan ændre de indstillinger, der beskytter jer. Gennemgå derfor alle privilegerede roller, ikke kun den ene.

Hvad Microsoft anbefaler

• Færre end fem global administratorer. Hold antallet lavt. Medregn nødkonti i opgørelsen, men behold de to nødkonti, I skal bruge til genopretning.
• Mindst mulige rettigheder. Brug en mere specifik administratorrolle, når opgaven ikke kræver global administrator.
• MFA og dedikerede konti. Beskyt alle administratorkonti med multifaktorgodkendelse (MFA), og brug dem kun til administration, adskilt fra den daglige konto, man læser mails på. En dedikeret administratorkonto behøver som regel ikke en Microsoft 365-licens, hvis den kun bruges til administration. Tjek licenskravene, hvis den også bruges til andre tjenester.
• To nødkonti, kun i skyen og ikke knyttet til en person. De skal være beskyttede, overvågede og testede, så de virker, når ingen andre kan logge ind.
• Jævnlig gennemgang af, hvem der har hvilke roller. Med en passende Entra ID-licens (P2) kan Privileged Identity Management (PIM) give adgang, der først aktiveres, når den skal bruges, og som udløber igen.

Se Microsofts vejledning: Best practices for Microsoft Entra roles (på engelsk).

Sådan får I overblik

1. Træk listen. Start i Entra-administrationscenteret under Roller og administratorer. Gennemgå aktive og berettigede (eligible) tildelinger, også dem via grupper. Find også de identiteter og apps, der har rettigheder til at tildele privilegerede roller.
2. Find en begrundelse til hver. Hvem ejer tildelingen, hvilken opgave understøtter den, og er den stadig nødvendig? Kan ingen svare, er det et spørgsmål.
3. Flyt til en mere specifik rolle, hvor det er muligt, og fjern rollen, hvor den ikke bruges længere.
4. Sæt en gennemgang i kalenderen, fx hvert kvartal, så listen ikke vokser stille igen.

Det er en af kontrollerne i Baseline. At finde tildelingerne er det nemme. Det egentlige arbejde er at afgøre, om de er begrundede, tilstrækkeligt beskyttede og dokumenterede. I får en rapport baseret på fund fra jeres egen tenant med klare prioriteter. Det er en gennemgang af de veje, der kan findes i konfigurationen, ikke et bevis for, at ingen andre findes. Se hvad sikkerhedstjekket dækker eller book en samtale på 30 minutter.