Antallet af administratorer i lejeren er ét kontrolpunkt. Hvordan rollerne er tildelt, er et andet. En administrator, der har Global Administrator permanent, har rollen hele døgnet, også når kontoen bare bruges til at læse mail. En administrator, der skal aktivere rollen, når den skal bruges, har den kun i det tidsrum, opgaven tager. Kontrollen her handler om tildelingsformen: permanent eller efter behov, med eller uden godkendelse, og om nogen får besked.
Målestokken er CISA’s baseline for Entra ID (SCuBA), som har seks punkter om netop dette, og Microsofts beskrivelse af Privileged Identity Management.
Hvad baselinen kræver
SCuBA bruger SHALL om krav og SHOULD om anbefalinger. Den er pligt for amerikanske civile føderale myndigheder og lagt frem som orientering for andre. For en dansk virksomhed er den en offentlig målestok, der er konkret nok til at kunne læses direkte i lejeren.
- Ingen permanente aktive tildelinger af højt privilegerede roller · MS.AAD.7.4v1, SHALL. Undtagelser gælder nødkonti og visse servicekonti.
- Tildeling kun gennem et system til styring af privilegeret adgang · MS.AAD.7.5v1, SHALL.
- Aktivering af Global Administrator kræver godkendelse · MS.AAD.7.6v1, SHALL.
- Alarm ved tildeling af højt privilegerede roller · MS.AAD.7.7v1, SHALL. Det gælder både roller, der kan aktiveres, og aktive tildelinger.
- Alarm ved aktivering af Global Administrator · MS.AAD.7.8v1, SHALL.
- Alarm ved aktivering af andre højt privilegerede roller · MS.AAD.7.9v1, SHOULD.
CISA og NSA anbefaler i deres rådgivning om hyppige fejlopsætninger tidsbaseret adgang efter behov for privilegerede konti. Det er samme tanke i en mere generel form.
Hvad producentens funktion kan
Privileged Identity Management er Microsofts indbyggede funktion til tidsbegrænset og godkendelsesbaseret aktivering. Den kræver en udvidet licens. For hver rolle kan der sættes:
- Den længste tid, en aktivering må vare, fra 1 til 24 timer.
- Om aktivering kræver MFA.
- Om der skal angives en begrundelse og et sagsnummer.
- Om aktivering kræver godkendelse. Microsoft anbefaler mindst to godkendere.
- Om permanente tildelinger, både de aktive og dem, der kan aktiveres, er tilladt.
- Hvem der får besked ved tildeling og aktivering.
Microsoft skriver, at der ikke er forskel på den adgang, en permanent rolle og en aktiveret rolle giver. Forskellen ligger i, hvor længe adgangen er der, og om nogen ved, at den bliver brugt.
Udtrækkene
En gennemgang kan typisk læse tildelingsformen i to udtræk. Hvordan de trækkes, er praksis:
- Tildelinger af de højt privilegerede roller · for hver rolle: hvem der har den, om tildelingen er aktiv eller kan aktiveres, og om den er permanent eller har en slutdato.
- Indstillingerne pr. rolle · aktiveringstid, krav om MFA, begrundelse, godkendelse med godkendere, og hvem der får besked.
Hvilke roller der regnes som højt privilegerede, står på SCuBA’s liste, som er gengivet i artiklen om administratorrettigheder på tværs. Blandt dem er Global Administrator og Privileged Role Administrator. Listen kan suppleres med de roller, der giver tilsvarende magt i jeres egen lejer.
Det, udtrækket typisk viser
Fundene grupperer sig ofte i fire typer. Grupperingen er praksis:
- Permanente aktive tildelinger · ud over nødkontiene. Hver af dem skal forklares, og forklaringen holdes op mod SCuBA’s undtagelser.
- Aktivering uden godkendelse for Global Administrator · i strid med MS.AAD.7.6v1.
- Ingen eller forkerte modtagere af alarmer · alarmen går til en postkasse, ingen læser, eller til den person, der selv aktiverer rollen.
- Lange aktiveringstider · en aktivering på 24 timer ligner i praksis en permanent tildeling i det døgn.
Det tredje punkt er det, der oftest overses, fordi indstillingen ser rigtig ud. At alarmen faktisk bliver læst, kan påvises ved at se, hvem der modtager den, og om der er reageret på en tidligere aktivering. Hvordan alarmer generelt gennemgås, står i alarmer: findes reglerne, og reagerer nogen?.
Nødkontiene er undtagelsen
Nødkonti skal efter Microsofts egen vejledning have Global Administrator som permanent aktiv rolle, fordi de skal virke, når alt andet svigter. SCuBA’s krav om ingen permanente aktive tildelinger undtager dem. I udtrækket ser de derfor ud som et fund, men er det ikke, hvis de opfylder kravene til nødkonti. Se nødkonti.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at funktionen til styring af privilegeret adgang er til rådighed, at hver høj rolle er sat op med aktivering efter behov, og at der er godkendere og modtagere af alarmer, som faktisk reagerer. Omstillingen er mest et spørgsmål om vane: administratorerne skal aktivere en rolle, før de arbejder, i stedet for at have den hele tiden.
Uden kontrollen har administratorernes konti de højeste rettigheder hele tiden. En konto, der bliver overtaget en tilfældig tirsdag, har dem også, og ingen får besked, fordi der ikke er nogen aktivering at give besked om.
Det skal I lade være med
- At give permanente aktive roller for at slippe for aktivering · SCuBA kræver dem fjernet ud over nødkontiene.
- At sende alarmer til den, der aktiverer · det skal være en anden.
- At sætte aktiveringstiden til maksimum for alle roller · så er gevinsten lille.
Det skal gennemgangen kunne vise
- ☐ Et dateret udtræk af tildelinger af de højt privilegerede roller med tildelingsform.
- ☐ Indstillingerne for aktivering pr. rolle.
- ☐ Godkendelse ved aktivering af Global Administrator med navngivne godkendere.
- ☐ Alarmer ved tildeling og aktivering med modtagere, der ikke selv er administratorer.
- ☐ Begrundelse for hver permanent aktiv tildeling ud over nødkontiene.
Kilder
- CISA, M365 Secure Configuration Baseline for Microsoft Entra ID, MS.AAD.7.4v1 til 7.9v1 og afsnittet Highly Privileged Roles, læst 13. november 2026.
- Microsoft Learn, Privileged Identity Management, opdateret 23. april 2026, læst 13. november 2026.
- Microsoft Learn, Configure role settings in Privileged Identity Management, læst 13. november 2026.
- CISA og NSA, AA23-278A Top Ten Cybersecurity Misconfigurations, 5. oktober 2023, tabel 2, læst 13. november 2026.
- Microsoft Learn, Manage emergency access admin accounts, opdateret 4. juni 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over permanente aktive tildelinger af Global Administrator, og se, om andre end nødkontiene står på den.
Læs også: Den periodiske adgangsgennemgang · Gennemgang af et Azure-miljø
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
