PIM (Ayrıcalıklı Kimlik Yönetimi) Token Yenileme ve Ömür Boyu

PIM (Ayrıcalıklı Kimlik Yönetimi) ile yöneticiler, ayrıcalıkların kullanılabileceği süreyi sınırlayarak saldırı yüzeyini azaltabilir.

Bunun bir örneği, Yardım masasından Kullanıcı Yöneticisi rolüne atanan Jane olabilir.

PIM yapılandırıldığında, Jane'in sınırlı bir süre için Kullanıcı Yöneticisi rolünü kullanmayı açıkça talep etmesi gerekecektir.

İstenilen sürenin dışında Jane rolü kullanamayacak. Yoksa o…?

PIM Token Yenileme

Azure AD grafik kaynaklarına yönelik tüm eylemler geçerli bir erişim belirteci gerektirir.

PIM kullanırken, rolün PIM aracılığıyla atanmasından sonra yeni bir erişim jetonu talep etmeniz gerekir..

PIM aktivasyonundan önce elde edilen bir jetonla çalışan herhangi bir oturum, atanan rolün ayrıcalıklarından yararlanamayacaktır.

Azure Portal'da tarayıcı, rol atamasından sonra belirteç yenilemeyi gerçekleştirecek kadar naziktir:

Ancak belirteç yenilemenin uygulamaya özel olduğunu unutmayın. Dolayısıyla uygulamaya bağlı olarak PIM rolünü atadıktan sonra ek adımlar uygulamanız gerekebilir.

PIM Token Ömrü

PIM tarafından atanan ayrıcalıkların süresinin dolması (veya açıkça devre dışı bırakılması) ne olacak?

Temel olarak aynı temel kural geçerlidir:

Erişim jetonu, jeton yenilenmeden önce PIM'in sona erme durumunu yansıtmayacaktır.

Bir saatlik varsayılan belirteç ömrüyle kullanıcı, PIM rolü atamasının süresi dolduktan sonra bir saate kadar ayrıcalıklı eylemler gerçekleştirmeye devam edebilir.

Bu kuralın bazı istisnaları vardır. Aşağıdaki eylemler jetonu (neredeyse) anında geçersiz kılacaktır:

  • Kullanıcı hesabının devre dışı bırakılması veya silinmesi.
  • Şifre değiştirme veya sıfırlama.
  • MFA'nın etkinleştirilmesi.
  • Açık belirteç iptali.
  • Azure AD Kimlik Koruması tarafından yüksek kullanıcı riski tespiti.

Bu olaylar genellikle CAE (Sürekli Erişim Değerlendirmesi) olarak bilinir.

Easy365Manager'ı PIM ile Kullanma

Easy365Manager, Active Directory ve Office 365 yönetiminizi birleştiren AD Kullanıcıları ve Bilgisayarları için bir ek bileşendir.

Easy365Manager, yerel Microsoft güvenlik API'leri üzerine kurulu olduğundan PIM ile birlikte kullanılabilir.

Easy365Manager ile Office 365 posta kutularının tüm günlük yönetimini doğrudan AD kullanıcı özelliklerinden gerçekleştirebilirsiniz.

Bu, genellikle karmaşık PowerShell komut dosyası oluşturmayı gerektiren takvim yetkisi verme gibi görevleri de içerir:

Easy365Manager ile yardım masası kullanıcılarınız tüm Office 365 yönetimini AD'nin sezgisel arayüzünden yapmanın avantajından yararlanır; bu onların verimliliğini anında artırır.

Ayrıca şirket içi Exchange Sunucunuzu da kaldırabilirsiniz.

Tamamen işlevsel 30 günlük deneme sürümünü buradan indirin.

Easy365Manager herhangi bir altyapı değişikliği yapmaz ve AD Kullanıcıları ve Bilgisayarları olan her sistemde çalışabilir. Kurulumu ve yapılandırması yalnızca birkaç dakika sürer.

Easy365Manager hakkında daha fazlasını buradan okuyun.

İlgili makaleler