Kontrol Keamanan: Akses istimewa

  • Artikel

Akses Istimewa mencakup kontrol untuk melindungi akses istimewa ke penyewa dan sumber daya Anda, termasuk berbagai kontrol untuk melindungi model administratif, akun administratif, dan stasiun kerja akses istimewa Anda dari risiko yang disengaja dan tidak disengaja.

PA-1: Memisahkan dan membatasi pengguna dengan hak istimewa tinggi/administratif

ID CIS Controls v8 NIST SP 800-53 r4 ID(s) ID PCI-DSS v3.2.1
5.4, 6.8 AC-2, AC-6 7.1, 7.2, 8.1

Prinsip keamanan: Pastikan Anda mengidentifikasi semua akun dampak bisnis yang tinggi. Batasi jumlah akun istimewa/administratif di sarana kontrol cloud, sarana manajemen, dan sarana data/beban kerja Anda.

Panduan Azure: Anda harus mengamankan semua peran dengan akses administratif langsung atau tidak langsung ke sumber daya yang dihosting Azure.

Microsoft Azure Active Directory (Microsoft Azure AD) adalah layanan manajemen identitas dan akses default. Peran bawaan yang paling penting di Microsoft Azure AD adalah Administrator Global dan Administrator Peran Istimewa, karena pengguna yang ditetapkan ke dua peran ini dapat mendelegasikan peran administrator. Dengan hak istimewa ini, pengguna dapat membaca dan memodifikasi setiap sumber daya secara langsung atau tidak langsung di lingkungan Azure Anda:

  • Administrator Global / Administrator Perusahaan: Pengguna dengan peran ini memiliki akses ke semua fitur administratif di Azure AD serta layanan yang menggunakan identitas Azure AD.
  • Administrator Peran Istimewa: Pengguna dengan peran ini dapat mengelola penetapan peran di Azure Active Directory, serta dalam Azure Active Directory Privileged Identity Management (PIM). Selain itu, peran ini memungkinkan pengelolaan semua aspek PIM dan unit administrasi.

Di luar Azure AD, Azure memiliki peran bawaan yang dapat sangat penting untuk akses istimewa di tingkat sumber daya.

  • Pemilik: Memberikan akses penuh untuk mengelola semua sumber daya, termasuk kemampuan untuk menetapkan peran di Azure RBAC.
  • Kontributor: Memberikan akses penuh untuk mengelola semua sumber daya, tetapi tidak mengizinkan Anda untuk menetapkan peran di Azure RBAC, mengelola tugas di Azure Blueprints, atau berbagi galeri gambar.
  • Admin Akses Pengguna: Memungkinkan Anda mengelola akses pengguna ke sumber daya Azure.

Catatan: Anda mungkin memiliki peran penting lainnya yang perlu diatur apabila Anda menggunakan peran kustom di tingkat Microsoft Azure AD atau tingkat sumber daya dengan izin istimewa tertentu yang ditetapkan.

Selain itu, pengguna dengan tiga peran berikut di portal Azure Perjanjian Enterprise (EA) juga harus dibatasi karena mereka dapat digunakan untuk mengelola langganan Azure secara langsung atau tidak langsung.

  • Pemilik Akun: Pengguna dengan peran ini dapat mengelola langganan, termasuk pembuatan dan penghapusan langganan.
  • Administrator Perusahaan: Pengguna yang ditetapkan dengan peran ini dapat mengelola pengguna portal (EA).
  • Administrator Departemen: Pengguna yang ditetapkan dengan peran ini dapat mengubah pemilik akun dalam departemen.

Terakhir, pastikan Anda juga membatasi akun istimewa di sistem manajemen, identitas, dan keamanan lain yang memiliki akses administratif ke aset penting bisnis Anda, seperti Active Directory Domain Controllers (DC), alat keamanan, dan alat manajemen sistem dengan agen yang diinstal pada sistem yang penting bagi bisnis. Penyerang yang menyusup ke dalam sistem manajemen dan keamanan ini dapat segera mengubahnya menjadi sarana untuk menyusupi aset-aset penting bisnis.

Implementasi Azure dan konteks tambahan:

Panduan AWS: Anda harus mengamankan semua peran dengan akses administratif langsung atau tidak langsung ke sumber daya yang dihosting AWS.

Pengguna istimewa/administratif perlu diamankan meliputi:

  • Pengguna root: Pengguna root adalah akun istimewa tingkat tertinggi di akun AWS Anda. Akun root harus sangat dibatasi dan hanya digunakan dalam situasi darurat. Lihat kontrol akses darurat di PA-5 (Menyiapkan akses darurat).
  • Identitas IAM (pengguna, grup, peran) dengan kebijakan izin istimewa: Identitas IAM yang ditetapkan dengan kebijakan izin seperti AdministratorAkses dapat memiliki akses penuh ke layanan dan sumber daya AWS.

Jika Anda menggunakan Azure Active Directory (Azure AD) sebagai penyedia identitas untuk AWS, lihat panduan Azure untuk mengelola peran istimewa dalam Azure AD.

Pastikan Anda juga membatasi akun istimewa di sistem manajemen, identitas, dan keamanan lain yang memiliki akses administratif ke aset penting bisnis Anda, seperti AWS Cognito, alat keamanan, dan alat manajemen sistem dengan agen yang diinstal pada sistem penting bisnis. Penyerang yang menyusup ke dalam sistem manajemen dan keamanan ini dapat segera mengubahnya menjadi sarana untuk menyusupi aset-aset penting bisnis.

Implementasi AWS dan konteks tambahan:

Panduan GCP: Anda harus mengamankan semua peran dengan akses administratif langsung atau tidak langsung ke sumber daya yang dihosting GCP.

Peran bawaan yang paling penting di Google Cloud adalah administrator super. Administrator super dapat melakukan semua tugas di konsol Admin dan memiliki izin administratif yang tidak dapat dicabut. Disarankan untuk tidak menggunakan akun admin super untuk administrasi sehari-hari.

Peran dasar adalah peran warisan yang sangat permisif, dan disarankan bahwa peran dasar tidak digunakan di lingkungan produksi karena memberikan akses luas di semua sumber daya Google Cloud. Peran dasar termasuk peran Penampil, Editor, dan Pemilik. Sebaliknya disarankan untuk menggunakan peran yang telah ditentukan atau kustom. Peran istimewa terkenal yang telah ditentukan sebelumnya meliputi:

  • Administrator Organisasi: Pengguna dengan peran ini dapat mengelola kebijakan IAM dan melihat kebijakan organisasi untuk organisasi, folder, dan proyek.
  • Administrator Kebijakan Organisasi: Pengguna dengan peran ini dapat menentukan batasan apa yang ingin dilakukan organisasi pada konfigurasi sumber daya cloud dengan menetapkan Kebijakan Organisasi.
  • Administrator Peran Organisasi: Pengguna dengan peran ini dapat mengelola semua peran kustom dalam organisasi dan proyek di bawahnya.
  • Admin Keamanan: Pengguna dengan peran ini bisa mendapatkan dan menetapkan kebijakan IAM apa pun.
  • Tolak Admin: Pengguna dengan peran ini memiliki izin untuk membaca dan mengubah kebijakan penolakan IAM.

Selain itu, peran tertentu yang telah ditentukan sebelumnya berisi izin IAM istimewa di tingkat organisasi, folder, dan proyek. Izin IAM ini meliputi:

  • organizationAdmin
  • folderIAMAdmin
  • projectIAMAdmin

Selanjutnya, terapkan pemisahan tugas dengan menetapkan peran ke akun untuk proyek yang berbeda, atau dengan memanfaatkan Otorisasi Biner dengan Google Kubernetes Engine.

Terakhir, pastikan Anda juga membatasi akun istimewa di sistem manajemen, identitas, dan keamanan lain yang memiliki akses administratif ke aset penting bisnis Anda, seperti DNS Cloud, alat keamanan, dan alat manajemen sistem dengan agen yang diinstal pada sistem yang penting bagi bisnis. Penyerang yang menyusup ke dalam sistem manajemen dan keamanan ini dapat segera mengubahnya menjadi sarana untuk menyusupi aset-aset penting bisnis.

Implementasi GCP dan konteks tambahan:

Pemangku kepentingan keamanan pelanggan (Pelajari selengkapnya):

PA-2: Menghindari akses berdiri untuk akun dan izin pengguna

ID CIS Controls v8 NIST SP 800-53 r4 ID(s) ID PCI-DSS v3.2.1
T/A AC-2 T/A

Prinsip keamanan: Alih-alih membuat hak istimewa yang berdiri, gunakan mekanisme just-in-time (JIT) untuk menetapkan akses istimewa ke berbagai tingkat sumber daya.

Panduan Azure: Aktifkan akses istimewa just-in-time (JIT) ke sumber daya Azure dan Azure AD menggunakan Azure AD Privileged Identity Management (PIM). JIT merupakan model di mana pengguna menerima izin sementara untuk menjalankan tugas istimewa, yang mencegah pengguna berbahaya atau tidak sah memperoleh izin setelah izin kedaluwarsa. Akses diberikan hanya ketika pengguna membutuhkannya. PIM juga dapat menghasilkan pemberitahuan keamanan ketika ada aktivitas yang mencurigakan atau tidak aman di organisasi Microsoft Azure AD Anda.

Batasi lalu lintas masuk ke port manajemen mesin virtual (VM) sensitif Anda dengan just-in-time (JIT) Microsoft Defender untuk Cloud untuk fitur akses VM. Ini memastikan akses istimewa ke VM diberikan hanya ketika pengguna membutuhkannya.

Implementasi Azure dan konteks tambahan:

Panduan AWS: Gunakan AWS Security Token Service (AWS STS) untuk membuat info masuk keamanan sementara untuk mengakses sumber daya melalui AWS API. Kredensial keamanan sementara bekerja hampir identik dengan kredensial kunci akses jangka panjang yang dapat digunakan pengguna IAM Anda, dengan perbedaan berikut:

  • Kredensial keamanan sementara memiliki masa pakai jangka pendek, dari menit ke jam.
  • Kredensial keamanan sementara tidak disimpan dengan pengguna tetapi dihasilkan secara dinamis dan diberikan kepada pengguna saat diminta.

Implementasi AWS dan konteks tambahan:

Panduan GCP: Gunakan akses bersyar IAM untuk membuat akses sementara ke sumber daya menggunakan pengikatan peran bersyar dalam kebijakan izinkan, yang diberikan kepada pengguna Identitas Cloud. Konfigurasikan atribut tanggal/waktu untuk menerapkan kontrol berbasis waktu untuk mengakses sumber daya tertentu. Akses sementara mungkin memiliki masa pakai jangka pendek, dari menit ke jam, atau dapat diberikan berdasarkan hari atau jam dalam seminggu.

Implementasi GCP dan konteks tambahan:

Pemangku kepentingan keamanan pelanggan (Pelajari selengkapnya):

PA-3: Mengelola siklus hidup identitas dan hak

ID CIS Controls v8 NIST SP 800-53 r4 ID(s) ID PCI-DSS v3.2.1
6.1, 6.2 AC-5, AC-6 7.1, 7.2, 8.1

Prinsip keamanan: Gunakan proses otomatis atau kontrol teknis untuk mengelola identitas dan mengakses siklus hidup termasuk permintaan, peninjauan, persetujuan, penyediaan, dan deprovisi.

Panduan Azure: Gunakan fitur pengelolaan pemberian hak Azure AD untuk mengotomatiskan alur kerja permintaan akses (untuk grup sumber daya Azure). Hal ini memungkinkan alur kerja untuk grup sumber daya Azure untuk mengelola tugas akses, ulasan, kedaluwarsa, serta persetujuan ganda atau multi-tahap.

Gunakan Manajemen Izin untuk mendeteksi, secara otomatis berukuran tepat, dan terus memantau izin yang tidak digunakan dan berlebihan yang ditetapkan untuk identitas pengguna dan beban kerja di seluruh infrastruktur multi-cloud.

Implementasi Azure dan konteks tambahan:

Panduan AWS: Gunakan AWS Access Advisor untuk menarik log akses untuk akun pengguna dan hak untuk sumber daya. Buat alur kerja manual atau otomatis untuk diintegrasikan dengan AWS IAM untuk mengelola penetapan akses, ulasan, dan penghapusan.

Catatan: Ada solusi pihak ketiga yang tersedia di AWS Marketplace untuk mengelola siklus hidup identitas dan hak.

Implementasi AWS dan konteks tambahan:

Panduan GCP: Gunakan Log Audit Cloud Google untuk menarik aktivitas admin dan log audit akses data untuk akun pengguna dan hak untuk sumber daya. Buat alur kerja manual atau otomatis untuk diintegrasikan dengan GCP IAM untuk mengelola penetapan akses, tinjauan, dan penghapusan.

Gunakan Google Cloud Identity Premium untuk menyediakan layanan manajemen identitas dan perangkat inti. Layanan ini mencakup fitur-fitur seperti provisi pengguna otomatis, daftar putih aplikasi, dan manajemen perangkat seluler otomatis.

Catatan: Ada solusi pihak ketiga yang tersedia di Google Cloud Marketplace untuk mengelola siklus hidup identitas dan hak.

Implementasi GCP dan konteks tambahan:

Pemangku kepentingan keamanan pelanggan (Pelajari selengkapnya):

PA-4: Meninjau dan rekonsiliasi akses pengguna secara rutin

ID CIS Controls v8 NIST SP 800-53 r4 ID(s) ID PCI-DSS v3.2.1
5.1, 5.3, 5.5 AC-2, AC-6 7.1, 7.2, 8.1, A3.4

Prinsip keamanan: Lakukan tinjauan rutin terhadap hak akun istimewa. Pastikan akses yang diberikan ke akun valid untuk administrasi sarana kontrol, sarana manajemen, dan beban kerja.

Panduan Azure: Tinjau semua akun istimewa dan hak akses di Azure termasuk penyewa Azure, layanan Azure, VM/IaaS, proses CI/CD, serta alat manajemen dan keamanan perusahaan.

Gunakan Azure AD tinjauan akses untuk meninjau peran Azure AD, peran akses sumber daya Azure, keanggotaan grup, dan akses ke aplikasi perusahaan. Azure AD pelaporan juga dapat menyediakan log untuk membantu menemukan akun kedaluarsa, atau akun yang belum digunakan untuk waktu tertentu.

Selain itu, Azure Active Directory Privileged Identity Management dapat dikonfigurasi untuk memperingatkan saat jumlah akun administrator yang dibuat berlebihan, dan untuk mengidentifikasi akun administrator yang kedaluwarsa atau tidak dikonfigurasi dengan benar.

Implementasi Azure dan konteks tambahan:

Panduan AWS: Tinjau semua akun istimewa dan hak akses di AWS termasuk akun AWS, layanan, VM/IaaS, proses CI/CD, serta alat manajemen dan keamanan perusahaan.

Gunakan IAM Access Advisor, Access Analyzer, dan Credential Reports untuk meninjau peran akses sumber daya, keanggotaan grup, dan akses ke aplikasi perusahaan. Pelaporan IAM Access Analyzer dan Credential Reports juga dapat menyediakan log untuk membantu menemukan akun kedaluarsa, atau akun yang belum digunakan untuk waktu tertentu.

Jika Anda menggunakan Azure Active Directory (Azure AD) sebagai penyedia identitas untuk AWS, gunakan Azure AD tinjauan akses untuk meninjau akun istimewa dan mengakses hak secara berkala.

Implementasi AWS dan konteks tambahan:

Panduan GCP: Tinjau semua akun istimewa dan hak akses di Google Cloud termasuk akun Cloud Identity, layanan, VM/IaaS, proses CI/CD, serta alat manajemen dan keamanan perusahaan.

Gunakan Log Audit Cloud dan Penganalisis Kebijakan untuk meninjau peran akses sumber daya, dan keanggotaan grup. Buat kueri analisis di Azure Policy Analyzer untuk memahami menentukan prinsipal mana yang dapat mengakses sumber daya tertentu.

Jika Anda menggunakan Azure Active Directory (Azure AD) sebagai penyedia identitas untuk Google Cloud, gunakan Azure AD tinjauan akses untuk meninjau akun istimewa dan mengakses hak secara berkala.

Selain itu, Azure Active Directory Privileged Identity Management dapat dikonfigurasi untuk memperingatkan saat jumlah akun administrator yang dibuat berlebihan, dan untuk mengidentifikasi akun administrator yang kedaluwarsa atau tidak dikonfigurasi dengan benar.

Implementasi GCP dan konteks tambahan:

Pemangku kepentingan keamanan pelanggan (Pelajari selengkapnya):

PA-5: Menyiapkan akses darurat

ID CIS Controls v8 NIST SP 800-53 r4 ID(s) ID PCI-DSS v3.2.1
T/A AC-2 T/A

Prinsip keamanan: Siapkan akses darurat untuk memastikan bahwa Anda tidak secara tidak sengaja terkunci dari infrastruktur cloud penting Anda (seperti sistem manajemen identitas dan akses Anda) dalam keadaan darurat.

Akun akses darurat harus jarang digunakan dan dapat sangat merusak organisasi jika dikompromikan, tetapi ketersediaannya bagi organisasi juga sangat penting untuk beberapa skenario ketika diperlukan.

Panduan Azure: Untuk mencegah terkunci secara tidak sengaja dari organisasi Azure AD Anda, siapkan akun akses darurat (misalnya, akun dengan peran Administrator Global) untuk akses saat akun administratif normal tidak dapat digunakan. Akun akses darurat biasanya sangat diistimewakan, dan tidak boleh diberikan kepada individu tertentu. Akun akses darurat terbatas pada skenario darurat atau "pecahkan kaca" di mana akun administratif normal tidak dapat digunakan.

Anda harus memastikan bahwa kredensial (seperti kata sandi, sertifikat, atau kartu pintar) untuk akun akses darurat tetap aman dan hanya diketahui oleh individu yang berwenang untuk menggunakannya hanya dalam keadaan darurat. Anda juga dapat menggunakan kontrol tambahan, kontrol ganda seperti itu (misalnya, membagi kredensial menjadi dua bagian dan memberikannya kepada orang yang terpisah) untuk meningkatkan keamanan proses ini. Anda juga harus memantau log masuk dan audit untuk memastikan bahwa akun akses darurat hanya digunakan saat diotorisasi.

Implementasi Azure dan konteks tambahan:

Panduan AWS: Akun "root" AWS tidak boleh digunakan untuk tugas administratif reguler. Karena akun "root" sangat istimewa, akun tersebut tidak boleh ditetapkan untuk individu tertentu. Penggunaannya harus dibatasi hanya pada skenario darurat atau "break glass" ketika akun administratif normal tidak dapat digunakan. Untuk tugas administratif harian, akun pengguna istimewa terpisah harus digunakan dan diberi izin yang sesuai melalui peran IAM.

Anda juga harus memastikan bahwa kredensial (seperti kata sandi, token MFA, dan kunci akses) untuk akun root tetap aman dan hanya diketahui oleh individu yang berwenang untuk menggunakannya hanya dalam keadaan darurat. MFA harus diaktifkan untuk akun root, dan Anda juga dapat menggunakan kontrol tambahan, seperti kontrol ganda (misalnya, membagi kredensial menjadi dua bagian dan memberikannya kepada orang yang terpisah) untuk meningkatkan keamanan proses ini.

Anda juga harus memantau log masuk dan audit di CloudTrail atau EventBridge untuk memastikan bahwa akun akses root hanya digunakan saat diotorisasi.

Implementasi AWS dan konteks tambahan:

Panduan GCP: Akun administrator super Google Cloud Identity tidak boleh digunakan untuk tugas administratif reguler. Karena akun admin super sangat istimewa, akun tersebut tidak boleh ditetapkan untuk individu tertentu. Penggunaannya harus dibatasi hanya pada skenario darurat atau "break glass" ketika akun administratif normal tidak dapat digunakan. Untuk tugas administratif harian, akun pengguna istimewa terpisah harus digunakan dan diberi izin yang sesuai melalui peran IAM.

Anda juga harus memastikan bahwa kredensial (seperti kata sandi, token MFA, dan kunci akses) untuk akun admin super tetap aman dan hanya diketahui oleh individu yang berwenang untuk menggunakannya hanya dalam keadaan darurat. MFA harus diaktifkan untuk akun admin super, dan Anda juga dapat menggunakan kontrol tambahan, seperti kontrol ganda (misalnya, membagi kredensial menjadi dua bagian dan memberikannya kepada orang yang terpisah) untuk meningkatkan keamanan proses ini.

Anda juga harus memantau log masuk dan audit di Log Audit Cloud, atau mengkueri Penganalisis Kebijakan, untuk memastikan bahwa akun admin super hanya digunakan saat diotorisasi.

Implementasi GCP dan konteks tambahan:

Pemangku kepentingan keamanan pelanggan (Pelajari selengkapnya):

PA-6: Menggunakan stasiun kerja akses dengan hak istimewa

ID CIS Controls v8 NIST SP 800-53 r4 ID(s) ID PCI-DSS v3.2.1
12.8, 13.5 AC-2, SC-2, SC-7 T/A

Prinsip keamanan: Stasiun kerja yang aman dan terisolasi sangat penting untuk keamanan peran sensitif seperti administrator, pengembang, dan operator layanan penting.

Panduan Azure: Gunakan Azure Active Directory, Microsoft Defender, dan/atau Microsoft Intune untuk menyebarkan stasiun kerja akses istimewa (PAW) lokal atau di Azure untuk tugas istimewa. PAW harus dikelola secara terpusat untuk memberlakukan konfigurasi yang aman, termasuk autentikasi yang kuat, garis besar perangkat lunak dan perangkat keras, serta akses logika dan jaringan yang dibatasi.

Anda juga dapat menggunakan Azure Bastion yang merupakan layanan PaaS yang dikelola platform sepenuhnya yang dapat diprovisikan di dalam jaringan virtual Anda. Azure Bastion memungkinkan konektivitas RDP/SSH ke komputer virtual Anda langsung dari portal Azure menggunakan browser web.

Implementasi Azure dan konteks tambahan:

Panduan AWS: Gunakan Session Manager di AWS Systems Manager untuk membuat jalur akses (sesi koneksi) ke instans EC2 atau sesi browser ke sumber daya AWS untuk tugas istimewa. Session Manager memungkinkan konektivitas RDP, SSH, dan HTTPS ke host tujuan Anda melalui penerusan port.

Anda juga dapat memilih untuk menyebarkan stasiun kerja akses istimewa (PAW) yang dikelola secara terpusat melalui Azure Active Directory, Microsoft Defender, dan/atau Microsoft Intune. Manajemen pusat harus memberlakukan konfigurasi aman, termasuk autentikasi yang kuat, garis besar perangkat lunak dan perangkat keras, serta akses logis dan jaringan terbatas.

Implementasi AWS dan konteks tambahan:

Panduan GCP: Gunakan Identity-Aware Proxy (IAP) Desktop untuk membuat jalur akses (sesi koneksi) ke instans komputasi untuk tugas istimewa. IAP Desktop memungkinkan konektivitas RDP dan SSH ke host tujuan Anda melalui penerusan port. Selain itu, instans komputasi Linux yang menghadap eksternal mungkin terhubung melalui SSH-in-browser melalui konsol Google Cloud.

Anda juga dapat memilih untuk menyebarkan stasiun kerja akses istimewa (PAW) yang dikelola secara terpusat melalui Google Workspace Endpoint Management atau solusi Microsoft (Azure Active Directory, Microsoft Defender, dan/atau Microsoft Intune). Manajemen pusat harus memberlakukan konfigurasi aman, termasuk autentikasi yang kuat, garis besar perangkat lunak dan perangkat keras, serta akses logis dan jaringan terbatas.

Anda juga dapat membuat host bastion untuk akses aman ke lingkungan tepercaya dengan parameter yang ditentukan.

Implementasi GCP dan konteks tambahan:

Pemangku kepentingan keamanan pelanggan (Pelajari selengkapnya):

PA-7: Mengikuti prinsip administrasi yang cukup (prinsip hak istimewa paling rendah)

ID CIS Controls v8 NIST SP 800-53 r4 ID(s) ID PCI-DSS v3.2.1
3.3, 6.8 AC-2, AC-3, AC-6 7.1, 7.2

Prinsip keamanan: Ikuti prinsip administrasi (hak istimewa terkecil) yang cukup untuk mengelola izin pada tingkat halus. Gunakan fitur seperti kontrol akses berbasis peran (RBAC) untuk mengelola akses sumber daya melalui penetapan peran.

Panduan Azure: Gunakan kontrol akses berbasis peran Azure (Azure RBAC) untuk mengelola akses sumber daya Azure melalui penetapan peran. Melalui RBAC, Anda dapat menetapkan peran kepada pengguna, grup, perwakilan layanan, dan identitas terkelola. Ada peran bawaan yang telah ditentukan sebelumnya untuk sumber daya tertentu, dan peran ini dapat diinventarisasi atau ditanyakan melalui alat seperti Azure CLI, Azure PowerShell, dan portal Microsoft Azure.

Hak istimewa yang Anda tetapkan ke sumber daya melalui Azure RBAC harus selalu dibatasi pada apa yang diperlukan oleh peran. Hak istimewa terbatas akan melengkapi pendekatan just in time (JIT) Microsoft Azure Active Directory Privileged Identity Management (PIM), dan hak istimewa tersebut harus ditinjau secara berkala. Jika diperlukan, Anda juga dapat menggunakan PIM untuk menentukan penetapan terikat waktu, yang merupakan kondisi dalam penetapan peran di mana pengguna hanya dapat mengaktifkan peran dalam tanggal mulai dan berakhir yang ditentukan.

Catatan: Gunakan peran bawaan Azure untuk mengalokasikan izin dan hanya membuat peran kustom jika diperlukan.

Implementasi Azure dan konteks tambahan:

Panduan AWS: Gunakan kebijakan AWS untuk mengelola akses sumber daya AWS. Ada enam jenis kebijakan: kebijakan berbasis identitas, kebijakan berbasis sumber daya, batas izin, kebijakan kontrol layanan (SCP) AWS Organizations, daftar Access Control, dan kebijakan sesi. Anda dapat menggunakan kebijakan terkelola AWS untuk kasus penggunaan izin umum. Namun, Anda harus berhati-hati bahwa kebijakan terkelola dapat membawa izin berlebihan yang tidak boleh ditetapkan kepada pengguna.

Anda juga dapat menggunakan AWS ABAC (kontrol akses berbasis atribut) untuk menetapkan izin berdasarkan atribut (tag) yang dilampirkan ke sumber daya IAM, termasuk entitas IAM (pengguna atau peran) dan sumber daya AWS.

Implementasi AWS dan konteks tambahan:

Panduan GCP: Gunakan Kebijakan IAM Google Cloud untuk mengelola akses sumber daya GCP melalui penetapan peran. Anda dapat menggunakan peran Google Cloud yang telah ditentukan sebelumnya untuk kasus penggunaan izin umum. Namun, Anda harus berhati-hati bahwa peran yang telah ditentukan sebelumnya dapat membawa izin berlebihan yang tidak boleh ditetapkan kepada pengguna.

Selain itu, gunakan Kecerdasan Kebijakan dengan Pemberi Rekomendasi IAM untuk mengidentifikasi dan menghapus izin yang berlebihan dari akun.

Implementasi GCP dan konteks tambahan:

Pemangku kepentingan keamanan pelanggan (Pelajari selengkapnya):

PA-8 Menentukan proses akses untuk dukungan penyedia cloud

ID CIS Controls v8 NIST SP 800-53 r4 ID(s) ID PCI-DSS v3.2.1
6.1, 6.2 AC-4, AC-2, AC-3 T/A

Prinsip keamanan: Menetapkan proses persetujuan dan jalur akses untuk meminta dan menyetujui permintaan dukungan vendor dan akses sementara ke data Anda melalui saluran yang aman.

Panduan Azure: Dalam skenario dukungan di mana Microsoft perlu mengakses data Anda, gunakan Customer Lockbox untuk meninjau dan menyetujui atau menolak setiap permintaan akses data yang dibuat oleh Microsoft.

Implementasi Azure dan konteks tambahan:

Panduan AWS: Dalam skenario dukungan di mana tim dukungan AWS perlu mengakses data Anda, buat akun di portal DUKUNGAN AWS untuk meminta dukungan. Tinjau opsi yang tersedia seperti menyediakan akses data baca-saja, atau opsi berbagi layar untuk dukungan AWS untuk mengakses data Anda.

Implementasi AWS dan konteks tambahan:

Panduan GCP: Dalam skenario dukungan di mana Google Cloud Customer Care perlu mengakses data Anda, gunakan Persetujuan Akses untuk meninjau dan menyetujui atau menolak setiap permintaan akses data yang dibuat oleh Cloud Customer Care.

Implementasi GCP dan konteks tambahan:

Pemangku kepentingan keamanan pelanggan (Pelajari selengkapnya):