Konfigurieren Sie Identitätszugriffskontrollen, um die FedRAMP High-Impact-Stufe zu erfüllen
Die Zugriffssteuerung ist ein wesentlicher Bestandteil zum Erzielen einer Betriebserlaubnis der Auswirkungsstufe „High“ im Rahmen des Federal Risk and Authorization Management Program (FedRAMP).
Die folgende Liste von Steuerelementen und Steuererweiterungen in der Zugriffsteuerungsgruppe (Access Control, AC) erfordert möglicherweise eine Konfiguration in Ihrem Microsoft Entra-Mandanten.
| Steuerelementengruppe | BESCHREIBUNG |
|---|---|
| AC-2 | Kontenverwaltung |
| AC-6 | Mindestberechtigungen |
| AC-7 | Fehlgeschlagene Anmeldeversuche |
| AC-8 | Systemnutzungs-Benachrichtigung |
| AC-10 | Steuerung simultaner Sessions |
| AC-11 | Session-Sperre |
| AC-12 | Beenden der Session |
| AC-20 | Verwendung externer Informationssysteme |
Jede Zeile in der folgenden Tabelle enthält eine ausführliche Anleitung, mit deren Hilfe Sie die Antwort Ihrer Organisation auf gemeinsame Zuständigkeiten für das Steuerelement oder die Steuererweiterung entwickeln können.
Configurations
| FedRAMP-Steuerungs-ID und Beschreibung | Leitfaden und Empfehlungen für Microsoft Entra |
|---|---|
| AC-2 KONTOVERWALTUNG Die Organisation (b.) weist Konto-Manager für Informationssystemkonten zu; (c.) legt Bedingungen für die Gruppen- und Rollenmitgliedschaft fest; (d.) spezifiziert autorisierte Informationssystembenutzer, Gruppen- und Rollenmitgliedschaften und Zugriffsautorisierungen (z. B. Berechtigungen) und ggf. weitere Attribute für jedes Konto; (e.) verlangt Genehmigungen durch [Zuweisung: von der Organisation definierte Mitarbeiter oder Rollen] für die Beantragung der Erstellung von Informationssystemkonten; (f.) erstellt, aktiviert, ändert, deaktiviert und entfernt Informationssystemkonten entsprechend den [Zuweisung: von der Organisation definierten Verfahren oder Bedingungen]; (g.) überwacht die Verwendung von Informationssystemkonten; (h.) benachrichtigt Kontomanager: (i.) autorisiert den Zugriff auf das Informationssystem basierend auf: (j.) überprüft Konten auf Konformität mit den Kontoverwaltungsanforderungen [FedRAMP-Zuweisung: monatlich für privilegierten Zugriff, alle sechs (6) Monate für nicht privilegierten Zugriff]; und (k.) implementiert einen Vorgang, durch den für freigegebene oder Gruppenkonten (sofern vorhanden) bei Entfernung von Personen aus der Gruppe neue Anmeldeinformationen ausgestellt werden. |
Implementierung des Account Lifecycle Management für kundenkontrollierte Accounts. Überwachen Sie die Nutzung von Konten und benachrichtigen Sie Kundenbetreuer über Ereignisse im Kontolebenszyklus. Überprüfung der Konten auf Einhaltung der Anforderungen an die Kontenverwaltung jeden Monat für privilegierten Zugang und alle sechs Monate für nicht privilegierten Zugang. Verwenden Sie Microsoft Entra ID zum Bereitstellen von Konten aus externen HR-Systemen, des lokalen Active Directory oder direkt in der Cloud. Alle Vorgänge des Kontolebenszyklus werden in den Microsoft Entra-Auditprotokollen geprüft. Sie können Protokolle mithilfe einer SIEM-Lösung (Security Information and Event Management) wie Microsoft Sentinel sammeln und analysieren. Alternativ können Sie Azure Event Hubs verwenden, um Protokolle in SIEM-Lösungen von Drittanbietern zu integrieren und so die Überwachung und Benachrichtigung zu ermöglichen. Verwenden Sie die Microsoft Entra-Berechtigungsverwaltung mit Zugriffsüberprüfungen, um den Konformitätsstatus von Konten sicherzustellen. Bereitstellen von Konten Konten überwachen Konten überprüfen Ressourcen
|
| AC-2(1) Die Organisation setzt automatisierte Mechanismen zur Unterstützung der Verwaltung von Informationssystemkonten ein. |
Verwenden Sie automatisierte Mechanismen, um die Verwaltung von kundengesteuerten Konten zu unterstützen. Konfigurieren Sie die automatisierte Bereitstellung von kundengesteuerten Konten aus externen HR-Systemen oder dem lokalen Active Directory. Konfigurieren Sie Microsoft Entra ID für Anwendungen, welche die Anwendungsbereitstellung unterstützen, um automatisch Benutzeridentitäten und Rollen in SaaS-Anwendungen (Software-as-a-Solution) in der Cloud zu erstellen, auf die Benutzer Zugriff benötigen. Zusätzlich zur Erstellung von Benutzeridentitäten umfasst die automatische Bereitstellung auch die Wartung und Entfernung von Benutzeridentitäten, wenn sich der Status oder die Rollen ändern. Zur leichteren Überwachung der Kontonutzung können Sie Microsoft Entra ID-Identitätsschutz-Protokolle, die riskante Benutzer und Anmeldungen als auch Risikoerkennungen anzeigen, sowie Überwachungsprotokolle direkt in Microsoft Sentinel oder den Event Hub streamen. bereitstellen Überwachung |
| AC-2(2) Das Informationssystem [FedRAMP-Auswahl: deaktiviert] temporäre Konten und Notfallkonten automatisch nach [FedRAMP-Zuweisung: 24 Stunden nach der letzten Verwendung]. AC-02(3) AC-2 (3) Zusätzliche FedRAMP-Anforderungen und Anleitungen: |
Verwenden Sie automatisierte Mechanismen, um das automatische Entfernen oder Deaktivieren von temporären Konten und Notfallkonten nach 24 Stunden ab der letzten Verwendung und aller kundengesteuerten Konten nach 35 Tagen Inaktivität zu unterstützen. Implementieren Sie die Automatisierung der Kontoverwaltung mit Microsoft Graph und Microsoft Graph PowerShell. Verwenden Sie Microsoft Graph, um Anmeldeaktivitäten zu überwachen, und Microsoft Graph PowerShell, um Innerhalb des erforderlichen Zeitrahmens Maßnahmen für Konten zu ergreifen. Bestimmen von Inaktivität Entfernen oder Deaktivieren von Konten Arbeiten mit Geräten in Microsoft Graph Weitere Informationen finden Sie in der Microsoft Graph PowerShell-Dokumentation. |
| AC-2(4) Das Informationssystem überwacht automatisch alle Aktionen zur Erstellung, Änderung, Aktivierung, Deaktivierung und Entfernung von Konten und benachrichtigt [FedRAMP-Zuweisung: den Systembesitzer der Organisation und/oder des Dienstanbieters]. |
Implementieren Sie ein automatisiertes Überwachungs- und Benachrichtigungssystem für den Verwaltungslebenszyklus kundengesteuerter Konten. Alle Vorgänge im Kontolebenszyklus (z. B. Erstellen, Ändern, Aktivieren, Deaktivieren und Entfernen des Kontos) werden in den Azure AD-Überwachungsprotokollen überwacht. Zur Unterstützung von Benachrichtigungen können Sie die Protokolle direkt in Microsoft Sentinel oder Event Hubs streamen. Überwachung Benachrichtigung |
| AC-2(5) Die Organisation erfordert, dass sich Benutzer abmelden, wenn [FedRAMP-Zuweisung: die Inaktivität voraussichtlich fünfzehn (15) Minuten überschreitet]. AC-2 (5) Zusätzliche FedRAMP-Anforderungen und Anleitungen: |
Implementieren Sie eine Geräteabmeldung nach einem 15-minütigen Zeitraum der Inaktivität. Implementieren Sie eine Gerätesperre mithilfe einer Richtlinie für bedingten Zugriff, die den Zugriff auf kompatible Geräte beschränkt. Konfigurieren Sie Richtlinieneinstellungen auf dem Gerät, um die Gerätesperre auf Betriebssystemebene mit MDM-Lösungen (Mobile Device Management, mobile Geräteverwaltung) wie z. B. Intune zu erzwingen. In Hybridbereitstellungen können auch Endpoint Manager oder Gruppenrichtlinienobjekte berücksichtigt werden. Für nicht verwaltete Geräte konfigurieren Sie die Anmeldefrequenz-Einstellung um Benutzer zu zwingen, sich erneut zu authentifizieren. Bedingter Zugriff MDM-Richtlinie |
| AC-2(7) Die Organisation: |
Verwalten und überwachen Sie privilegierte Rollenzuweisungen, indem Sie ein rollenbasiertes Zugriffsschema für kundenkontrollierte Konten anwenden. Deaktivierung oder Entzug von Zugriffsrechten für Konten, wenn diese nicht mehr angemessen sind. Implementieren Sie Microsoft Entra Privileged Identity Management mit Zugriffsüberprüfungen für privilegierte Rollen in Microsoft Entra ID, um Rollenzuweisungen zu überwachen und Rollenzuweisungen zu entfernen, sobald sie nicht mehr angemessen sind. Zur Unterstützung der Überwachung können Sie die Überwachungsprotokolle direkt in Microsoft Sentinel oder Event Hubs streamen. Verwalten Monitor |
| AC-2(11) Das Informationssystem erzwingt [Zuweisung: von der Organisation definierte Umstände und/oder die Nutzungsbedingungen] für [Zuweisung: von der Organisation definierte Informationssystemkonten]. |
Erzwingen Sie die Nutzung von kundengesteuerten Konten, um vom Kunden definierte Bedingungen oder Umstände zu erfüllen. Erstellen Sie Richtlinien für den bedingten Zugriff, um Zugriffssteuerungsentscheidungen über Benutzer und Geräte hinweg durchzusetzen. Bedingter Zugriff |
| AC-2(12) Die Organisation: AC-2 (12) (a) und AC-2 (12) (b) Zusätzliche FedRAMP-Anforderungen und Anleitungen: |
Überwachen Sie kundengesteuerte Konten mit privilegiertem Zugriff auf untypische Nutzung, und melden Sie diese. Zur Unterstützung bei der Überwachung von untypischer Nutzung können Sie Identitätsschutz(Identity Protection)-Protokolle zum Anzeigen riskanter Benutzer und Anmeldungen als auch von Risikoerkennunge sowie Überwachungsprotokolle zur Erleichterung der Korrelation mit der Berechtigungszuweisung direkt in eine SIEM-Lösung wie Microsoft Sentinel streamen. Sie können auch Event Hubs verwenden, um Protokolle in SIEM-Lösungen von Drittanbietern zu integrieren. Schutz der Identität (Identity Protection) Konten überwachen |
| AC-2(13) Die Organisation deaktiviert Konten von Benutzern, von denen ein erhebliches Risiko ausgeht, innerhalb [FedRAMP-Zuweisung: einer (1) Stunde] nach Risikoerkennung. |
Deaktivieren Sie kundengesteuerte Konten von Benutzern, die ein erhebliches Risiko darstellen, innerhalb von einer Stunde. Konfigurieren und aktivieren Sie in Microsoft Entra ID die Identity Protection eine Benutzerrisikorichtlinie mit dem Schwellenwert hoch. Erstellen Sie Richtlinien für den bedingten Zugriff, um den Zugriff für riskante Benutzer und riskante Anmeldungen zu sperren. Konfigurieren Sie Risikorichtlinien, um Benutzern die Möglichkeit zu geben, sich selbst zu korrigieren und nachfolgende Anmeldeversuche zu entsperren. Schutz der Identität (Identity Protection) Bedingter Zugriff |
| AC-6(7) Die Organisation: |
Überprüfen und validieren Sie jedes Jahr alle Benutzer mit privilegiertem Zugang. Stellen Sie sicher, dass Privilegien neu zugewiesen (oder ggf. entfernt) werden, um sie mit dem Unternehmensauftrag und den Geschäftsanforderungen in Einklang zu bringen. Verwenden Sie die Microsoft Entra-Berechtigungsverwaltung mit Zugriffsüberprüfungen für privilegierte Benutzer, um zu überprüfen, ob ein privilegierter Zugriff erforderlich ist. Zugriffsüberprüfungen |
| AC-7 U Fehlgeschlagene Anmeldeversuche Die Organisation: |
Begrenzung auf maximal drei aufeinanderfolgende fehlgeschlagene Anmeldeversuche bei vom Kunden bereitgestellten Ressourcen innerhalb von 15 Minuten. Sperren Sie das Konto für mindestens drei Stunden oder bis zur Entsperrung durch einen Administrator. Aktivieren Sie benutzerdefinierte Smart Lockout-Einstellungen. Konfigurieren Sie den Sperrschwellenwert und die Sperrdauer in Sekunden, um diese Anforderungen umzusetzen. Smart Lockout |
| AC-8 Systemnutzungsbenachrichtigung Das Informationssystem: (b.) belässt die Benachrichtigungsmeldung oder das Banner auf dem Bildschirm, bis der Benutzer die Nutzungsbedingungen bestätigt und eindeutige Handlungen durchführt, um sich anzumelden und nachfolgend auf das Informationssystem zuzugreifen; und (c.) für öffentlich zugängliche Systeme: AC-8 Zusätzliche FedRAMP-Anforderungen und Anleitungen: |
Zeigen Sie Datenschutz- und Sicherheitshinweise an, und fordern Sie deren Bestätigung durch den Benutzer, bevor Sie den Zugriff auf Informationssysteme gewähren. Mit Microsoft Entra ID können Sie Benachrichtigungs- oder Bannermeldungen für alle Apps bereitstellen, die vor Gewähren des Zugriffs eine Bestätigung erfordern und erfassen. Sie können diese Nutzungsbedingungen genau auf bestimmte Benutzer (Mitglied oder Gast) ausrichten. Sie können sie auch über Richtlinien für bedingten Zugriff für jede Anwendung anpassen. Nutzungsbedingungen |
| AC-10 Steuerung simultaner Sitzungen Das Informationssystem beschränkt die Anzahl gleichzeitiger Sitzungen für jeden [Zuweisung: durch die Organisation definierte Konten und/oder Kontotypen] auf [FedRAMP-Zuweisung: drei (3) Sitzungen für privilegierten Zugriff und zwei (2) Sitzungen für nicht privilegierten Zugriff]. |
Beschränken Sie gleichzeitige Sitzungen auf drei Sitzungen für privilegierten Zugriff und zwei für nicht privilegierten Zugriff. Aktuell stellen Benutzer Verbindungen von mehreren Geräten her, manchmal auch gleichzeitig. Das Beschränken gleichzeitiger Sitzungen führt zu beeinträchtigter Funktionalität für Benutzer und bietet nur einen geringen Nutzen im Hinblick auf die Sicherheit. Ein besserer Ansatz zum Erreichen dieser Zielsetzung ist die Einführung eines Zero Trust-Sicherheitsstatus. Bedingungen werden vor dem Erstellen einer Sitzung explizit überprüft, und diese Überprüfung wird während der gesamten Lebensdauer einer Sitzung kontinuierlich fortgesetzt. Verwenden Sie zusätzlich die folgenden ausgleichenden Steuerungsmöglichkeiten. Verwenden Sie Richtlinien für bedingten Zugriff, um den Zugriff auf kompatible Geräte einzuschränken. Konfigurieren Sie Richtlinieneinstellungen auf dem Gerät, um mit MDM-Lösungen wie Intune Einschränkungen für die Benutzeranmeldung auf Betriebssystemebene zu erzwingen. In Hybridbereitstellungen können auch Endpoint Manager oder Gruppenrichtlinienobjekte berücksichtigt werden. Verwenden Sie Privileged Identity Management, um privilegierte Konten weiter einzuschränken und zu steuern. Konfigurieren Sie eine intelligente Kontosperrung für ungültige Anmeldeversuche. Implementierungsleitfaden Zero Trust Bedingter Zugriff Geräterichtlinien Ressourcen Weitere Anleitungen zur erneuten Auswertung von Sitzungen und Risikominderung finden Sie unter AC-12. |
| AC-11 Sitzungssperre Das Informationssystem: (a) verhindert weiteren Zugriff auf das System, indem eine Sitzungssperre nach [FedRAMP-Zuweisung: fünfzehn (15) Minuten] Inaktivität oder nach Erhalt einer Anforderung eines Benutzers initiiert wird; und (b) erhält die Sitzungssperre aufrecht, bis der Benutzer den Zugriff mithilfe festgelegter Identifizierungs- und Authentifizierungsverfahren erneut herstellt. AC-11(1) |
Implementieren Sie eine Sitzungssperre nach einer 15-minütigen Inaktivität oder nach Erhalt einer Anfrage von einem Benutzer. Behalten Sie die Sitzungssperre bei, bis sich der Benutzer erneut authentifiziert. Verbirgt zuvor sichtbare Informationen, wenn eine Sitzungssperre eingeleitet wird. Implementieren Sie eine Gerätesperre mithilfe einer Richtlinie für bedingten Zugriff, um den Zugriff auf kompatible Geräte zu beschränken. Konfigurieren Sie Richtlinieneinstellungen auf dem Gerät, um die Gerätesperre auf Betriebssystemebene mit MDM-Lösungen wie Intune zu erzwingen. In Hybridbereitstellungen können auch Endpoint Manager oder Gruppenrichtlinienobjekte berücksichtigt werden. Für nicht verwaltete Geräte konfigurieren Sie die Anmeldefrequenz-Einstellung um Benutzer zu zwingen, sich erneut zu authentifizieren. Bedingter Zugriff MDM-Richtlinie |
| AC-12 Sitzungsende Das Informationssystem beendet eine Benutzersitzung automatisch nach [Zuweisung: von der Organisation definierten Bedingungen oder Auslöseereignissen, die eine Trennung der Sitzung erfordern]. |
Beenden Sie Benutzersitzungen automatisch, wenn von der Organisation definierte Bedingungen oder Triggerereignisse auftreten. Implementieren Sie die automatische erneute Auswertung von Benutzersitzungen mit Microsoft Entra-Funktionen wie dem risikobasierten bedingten Zugriff und der fortlaufenden Zugriffsevaluierung. Sie können Inaktivitätsbedingungen auf Geräteebene implementieren, wie es unter AC-11 beschrieben ist. Ressourcen |
| AC-12(1) Das Informationssystem: (a.) stellt eine Abmeldefunktion für benutzerseitig initiierte Kommunikationssitzungen bereit, wenn eine Authentifizierung verwendet wird, um Zugriff auf [Zuweisung: von der Organisation definierte Datenressourcen] zu erhalten; und (b.) zeigt Benutzern eine ausdrückliche Abmeldenachricht an, die die zuverlässige Beendigung authentifizierter Kommunikationssitzungen signalisiert. AC-8 Zusätzliche FedRAMP-Anforderungen und Anleitungen: |
Stellen Sie eine Abmeldefunktion für alle Sitzungen bereit, und zeigen Sie eine ausdrückliche Abmeldenachricht an. Alle in Microsoft Entra ID angezeigten Webschnittstellen bieten eine Abmeldefunktion für vom Benutzer initiierte Kommunikations-Sessions. Wenn SAML-Anwendungen in Microsoft Entra ID integriert sind, implementieren Sie das einmalige Abmelden. Abmeldefunktion Meldung anzeigen
Ressourcen |
| AC-20 Verwendung externer Informationssysteme Die Organisation legt Geschäftsbedingungen fest, die konsistent zu mit anderen Organisationen, die externe Informationssysteme besitzen, betreiben und/oder pflegen, hergestellten Vertrauensbeziehungen sind, und ermöglicht autorisierten Personen: (a.) Zugriff auf das Informationssystem über externe Informationssysteme; und (b.) das Verarbeiten, Speichern oder Übertragen von organisationsgesteuerten Informationen mithilfe externer Informationssysteme. AC-20(1) |
Legen Sie Bedingungen fest, die autorisierten Personen den Zugriff auf die vom Kunden bereitgestellten Ressourcen über externe Informationssysteme wie nicht verwaltete Geräte und externe Netzwerke ermöglichen. Fordern Sie die Annahme von Nutzungsbedingungen für autorisierte Benutzer, die von externen Systemen auf Ressourcen zugreifen. Implementieren Sie Richtlinien für den bedingten Zugriff, um den Zugriff von externen Systemen einzuschränken. Richtlinien für bedingten Zugriff können in Defender for Cloud-Apps integriert werden, um Steuerungsmöglichkeiten für cloudbasierte und lokale Anwendungen aus externen Systemen bereitzustellen. Die Verwaltung mobiler Anwendungen in Intune kann Daten der Organisation auf Anwendungsebene, einschließlich benutzerdefinierter Apps und Store-Apps, auf verwalteten Geräten schützen, die mit externen Systemen interagieren. Ein Beispiel wäre der Zugriff auf Clouddienste. Sie können die App-Verwaltung auf Geräten im Besitz der Organisation und persönlichen Geräten verwenden. Geschäftsbedingungen Bedingter Zugriff MDM Resource |
