PIM pour les ressources / blogs Azure / Perficient

Gestion de l’identité privilégiée

La gestion de l’identité privilégiée (PIM) est un service dans l’ID Microsoft ENTRA qui vous permet de gérer, de contrôler et de surveiller l’accès aux ressources importantes de votre organisation. Ces ressources incluent celles de Microsoft Entra ID, Azure et d’autres services en ligne Microsoft tels que Microsoft 365 ou Microsoft Intune. Ce blog a été écrit pour aider ceux qui souhaitent mettre en place un accès juste à temps pour Azure Resources et donner accès au niveau d’abonnement uniquement.

Pourquoi avons-nous besoin de PIM pour les ressources Azure?

Meilleure sécurité pour un accès important

PIM garantit que seules les bonnes personnes peuvent accéder aux systèmes essentiels en cas de besoin et uniquement pendant une courte période. Cela réduit les chances de mauvaise utilisation par une personne ayant un accès puissant.

Ne donnant que l’accès minimum

PIM garantit que les gens n’ont que l’accès dont ils ont besoin pour faire leur travail. Cela signifie qu’ils ne peuvent accéder à rien d’inutile, en gardant les choses en sécurité.

Accès limité dans le temps

Avec PIM, les utilisateurs peuvent obtenir un accès spécial pour une période définie. Une fois le temps passé, l’accès est automatiquement supprimé, empêchant quiconque de conserver les autorisations inutiles.

Accès en cas de besoin

PIM donne un accès juste en temps (JIT), ce qui signifie que les utilisateurs ne peuvent demander un accès de niveau supérieur qu’en cas de besoin, et il est automatiquement enlevé après une heure définie. Cela réduit les chances d’avoir accès trop longtemps.

Processus d’approbation pour l’accès

PIM vous permet de configurer un processus où l’accès doit être approuvé par quelqu’un (comme un gestionnaire ou une sécurité) avant qu’il ne soit donné. Cela ajoute une autre couche de contrôle.

Suivi et surveillance

PIM conserve des registres détaillés de qui a demandé et a reçu un accès spécial, lorsqu’ils ont accédé à quelque chose et ce qu’ils ont fait. Cela facilite l’obtention de toutes les activités suspectes.

Accès administratif temporaire

Au lieu de donner à quelqu’un d’administration un accès tout le temps, PIM lui permet d’être accordé pour des tâches spécifiques. Les administrateurs n’obtiennent un accès spécial qu’en cas de besoin, et aussi longtemps que nécessaire, il y a donc moins de risques.

Répondre aux normes juridiques et de sécurité

Certaines industries exigent que les entreprises suivent des règles strictes (comme la protection des informations personnelles). PIM aide à respecter ces règles en contrôlant qui a accès et en le suivant pour les audits.

Comment configurer PIM dans Azure

Créer un groupe de sécurité et une carte aux abonnements

• Étape 1: Créez des groupes de sécurité pour chaque abonnement Azure pour gérer le contrôle d’accès.
  • Les groupes de sécurité sont dérivés de IDS Azure Entra. Comme illustré dans l’instantané ci-dessous, utilisez le Boîte de recherche globale dans le portail Azure pour trouver les services appropriés.

• Étape 2: Sélectionnez le service dont vous avez besoin, puis cliquez Nouveau groupe Pour créer un nouveau groupe de sécurité. Remplissez tous les détails nécessaires, y compris le nom du groupe, la description et tout autre attribution requise.

• • Créez un groupe séparé pour chaque abonnement.
  • Si votre compte comprend deux abonnements, comme Faire un coup de pouce et Sans compensationCréez des groupes de sécurité distincts pour chaque abonnement. Cela permet aux utilisateurs de demander l’accès à un abonnement spécifique.
  • Faites de l’utilisateur un membre des deux groupes, ce qui leur permet de choisir les ressources d’abonnement qu’il souhaite activer.
  • La capture d’écran ci-dessous montre que le Groupe de démo Le groupe de sécurité sera créé et affecté à son abonnement correspondant.

Accédez à PIM (Gestion de l’identité privilégiée)

• Étape 3: Dans le portail Azure, accédez à Gouvernance de l’identité et sélectionner Gestion de l’identité privilégiée (PIM) pour gérer l’accès privilégié.

Activer PIM pour les ressources azure

• Étape 4: Vous pouvez sélectionner la section spécifique dans PIM pour laquelle vous souhaitez activer PIM. Pour cette configuration, nous nous concentrons sur l’activation PIM pour l’accès au niveau de l’abonnement Pour contrôler qui peut activer l’accès privilégié pour les abonnements Azure.

• Étape 5: Choisir Ressources Azure Dans la liste des options disponibles dans PIM, comme indiqué dans la capture d’écran ci-dessous.

• • Une affectation doit être créée pour les groupes que nous avons créés afin que les membres de ces groupes voient une option pour activer l’accès pour leurs abonnements respectifs.
• Étape 6: Selon les captures d’écran ci-dessous, une fois que vous avez sélectionné Azure Resources, sélectionnez l’abonnement et le groupe pour lesquels vous souhaitez créer des affectations.

• • Selon l’image ci-dessous, dans la section des ressources, l’abonnement a été sélectionné pour lequel nous voulons donner la permission. Sous le type de ressources est l’abonnement, choisissez le rôle que vous souhaitez donner la permission et le Groupe de démo Le groupe de sécurité est sélectionné.

• Étape 7: Une fois la mission terminée, les utilisateurs qui font partie d’un groupe doivent se déconnecter et se connecter pour voir les modifications appliquées. Pour afficher et activer vos affectations dans PIM, suivez les étapes ci-dessous:

1. Accédez à la section des affectations

• Aller à Pim (Gestion de l’identité privilégiée) en sélectionnant:
• ID d’entrée → Gouvernance de l’identité → Pim → Ressources Azure → Activer le rôle.

2. Sélectionnez votre affectation

• Dans cette section, vous verrez une liste des affectations pour lesquelles vous êtes éligible.

3. Activer le rôle

• Pour activer un rôle, cliquez sur Activer. Par défaut, l’affectation sera définie pendant 8 heures. Si nécessaire, vous pouvez ajuster la durée en justifiant l’exigence et en activant l’affectation.

4. Validation et finalisation

• Le système prendra un certain temps pour valider votre demande. Une fois terminé, la mission apparaît sous le Affectations actives.

• Étape 8: Comme indiqué dans la capture d’écran ci-dessous, la durée d’activation peut être définie sur 24 heures en modifiant les paramètres d’attribution.

• • Vous pouvez modifier les paramètres d’attribution et ajuster les valeurs en fonction de vos exigences spécifiques. Veuillez vous référer à la capture d’écran ci-dessous pour plus de détails.

Conclusion

Azure PIM aide à rendre votre système plus sûr en garantissant que seules les bonnes personnes peuvent accéder aux ressources essentielles pendant une courte période. Il vous permet de donner un accès en cas de besoin (juste à temps), de nécessiter l’approbation d’un accès spécial, de gérer automatiquement qui peut accéder à quoi et de garder une trace de tout. Le PIM est essentiel pour les organisations qui souhaitent limiter qui peut accéder à des informations sensibles, s’assurer que seuls les personnes nécessaires ont les autorisations correctes au bon moment et empêcher un accès non autorisé.