Creare e gestire account di accesso di emergenza

Completato

È importante evitare di essere accidentalmente bloccati dall'ID Microsoft Entra. Con Microsoft Entra ID non è possibile accedere o attivare l'account di un altro utente come amministratore. È possibile ridurre la probabilità di mancanza accidentale di accesso amministrativo. Il segreto è creare due o più account di accesso di emergenza nell'organizzazione.

Gli account di accesso di emergenza hanno privilegi elevati e non sono assegnati a utenti specifici. Gli account di accesso di emergenza sono limitati agli scenari di emergenza o "rompi-vetro", in cui non è possibile usare gli account amministrativi normali. È consigliabile limitare l'accesso all'account di emergenza. Usare gli account solo quando è necessario.

Questo articolo fornisce linee guida per la gestione degli account di accesso di emergenza in Microsoft Entra ID.

Perché usare un account di accesso di emergenza

Un'organizzazione potrebbe dover usare un account di accesso di emergenza nelle situazioni seguenti:

• Gli account utente sono federati e la federazione non è attualmente disponibile a causa di un'interruzione della rete cellulare o di un'interruzione del provider di identità. Ad esempio, se l'host del provider di identità nell'ambiente è inattivo, gli utenti potrebbero non essere in grado di accedere quando Microsoft Entra ID reindirizza al provider di identità.
• Gli amministratori vengono registrati tramite Microsoft Entra Multifactor Authentication. Tutti i singoli dispositivi non sono disponibili o il servizio non è disponibile. Gli utenti potrebbero non essere in grado di completare l'autenticazione a più fattori per attivare un ruolo. Ad esempio, un'interruzione della rete cellulare impedisce loro di rispondere a telefonate o ricevere SMS. Soprattutto quando questi metodi di autenticazione sono gli unici due meccanismi di autenticazione registrati.
• La persona con l'accesso di amministratore globale più recente ha lasciato l'organizzazione. Microsoft Entra ID impedisce l'eliminazione dell'ultimo account amministratore globale, ma non impedisce che l'account venga eliminato o disabilitato in locale. Entrambe le situazioni potrebbero rendere l'organizzazione incapace di recuperare l'account.
• Circostanze impreviste, ad esempio un'emergenza naturale, durante la quale un telefono cellulare o altre reti potrebbe non essere disponibile.

Creare account di accesso di emergenza

Creare due o più account di accesso di emergenza. Questi account devono essere account solo cloud che usano il dominio .onmicrosoft.com e che non sono federati o sincronizzati da un ambiente locale.

Quando un amministratore configura gli account di emergenza, è necessario soddisfare i requisiti seguenti:

• Gli account di accesso di emergenza non devono essere associati ad alcun singolo utente dell'organizzazione. Assicurarsi che gli account non siano connessi a telefoni cellulari forniti dai dipendenti, token hardware che viaggiano con singoli dipendenti o altre credenziali specifiche dei dipendenti. Questa precauzione riguarda le istanze in cui un singolo dipendente non è raggiungibile quando è necessaria la credenziale. Tutti i dispositivi registrati devono essere conservati in una posizione sicura nota. Queste posizioni necessitano di più mezzi per comunicare con Microsoft Entra ID.
• Il meccanismo di autenticazione usato per un account di accesso di emergenza deve essere distinto. Mantenerlo separato da quello usato dagli altri account amministrativi, inclusi altri account di accesso di emergenza. Ad esempio, se l'accesso normale dell'amministratore avviee tramite MFA locale, l'autenticazione a più fattori sarà un meccanismo diverso. Tuttavia, se l'autenticazione a più fattori è la parte principale dell'autenticazione per gli account amministrativi, prendere in considerazione un approccio diverso per gli account di emergenza. Provare ad usare l'accesso condizionale con un provider MFA di terze parti tramite controlli personalizzati.
• Il dispositivo o le credenziali non devono scadere o essere nell'ambito della pulizia automatizzata a causa della mancanza di utilizzo.
• È necessario rendere permanente l'assegnazione di ruolo Amministratore globale per gli account di accesso di emergenza.

Escludere almeno un account dall'autenticazione a più fattori basata sul telefono

Per ridurre il rischio di un attacco causato da una password compromessa, Microsoft Entra ID consiglia di richiedere l'autenticazione a più fattori per tutti i singoli utenti. Questo gruppo include amministratori e tutti gli altri (ad esempio, funzionari finanziari) il cui conto compromesso avrebbe un'opportunità significativa di causare danni.

Tuttavia, almeno uno degli account di accesso di emergenza non deve avere lo stesso meccanismo di autenticazione a più fattori degli altri account non di emergenza. Sono incluse le soluzioni di autenticazione a più fattori di terze parti. Se si dispone di un criterio di accesso condizionale per richiedere l'autenticazione a più fattori per ogni amministratore per Microsoft Entra ID e altre app SaaS (Connected Software as a Service), è consigliabile escludere gli account di accesso di emergenza da questo requisito e configurare un meccanismo diverso. Inoltre, è necessario assicurarsi che gli account non dispongano di criteri di autenticazione a più fattori per utente.

Escludere almeno un account dai criteri di accesso condizionale

Durante un'emergenza, non si vuole che un criterio blocchi potenzialmente l'accesso per risolvere un problema. Almeno un account di accesso di emergenza deve essere escluso da tutti i criteri di accesso condizionale.

Indicazioni sulla federazione

Un'altra opzione per le organizzazioni che usano AD Domain Services e ADFS o provider di identità simili per la federazione con Microsoft Entra ID, consiste nel configurare un account di accesso di emergenza il cui attestazione MFA potrebbe essere fornita da tale provider di identità. Ad esempio, l'account di accesso di emergenza può essere supportato da un certificato e da una coppia di chiavi, ad esempio quella archiviata in una smart card. Quando l'utente è autenticato in AD, ADFS può fornire un'attestazione all'ID Microsoft Entra che indica che l'utente ha soddisfatto i requisiti di autenticazione a più fattori. Anche con questo approccio, le organizzazioni devono comunque avere account di accesso di emergenza basati sul cloud nel caso in cui non sia possibile stabilire la federazione.

Monitorare l'accesso e i log di controllo

Le organizzazioni devono monitorare l'accesso e l'attività del log di controllo dagli account di emergenza e attivare le notifiche ad altri amministratori. Quando si monitora l'attività sugli account break-glass, è possibile verificare che questi account vengano usati solo per i test o le emergenze effettive. È possibile usare Azure Log Analytics per monitorare i log di accesso e attivare avvisi tramite posta elettronica e SMS agli amministratori ogni volta che si accede agli account break-glass.

Convalidare regolarmente gli account

Quando si addestrano i membri del personale per usare gli account di accesso di emergenza e si convalidano gli account di accesso di emergenza, eseguire almeno i passaggi seguenti a intervalli regolari:

• Assicurarsi che il personale addetto al monitoraggio della sicurezza sia consapevole che l'attività di controllo degli account è in corso.
• Assicurarsi che il processo per gli scenari di emergenza per usare questi account sia documentato e corrente.
• Assicurarsi che gli amministratori e i responsabili della sicurezza che potrebbero dover eseguire questi passaggi durante un'emergenza vengano addestrati nel processo.
• Aggiornare le credenziali dell'account, in particolare le password, per gli account di accesso di emergenza e quindi verificare che gli account di accesso di emergenza possano accedere ed eseguire attività amministrative.
• Assicurarsi che gli utenti non abbiano eseguito la registrazione con l'autenticazione a più fattori o la reimpostazione della password self-service (SSPR) per qualsiasi dispositivo utente o per le informazioni personali.
• Se gli account vengono registrati per l'autenticazione a più fattori in un dispositivo, per l'uso durante l'accesso o l'attivazione del ruolo, assicurarsi che il dispositivo sia accessibile a tutti gli amministratori che potrebbero dover usarlo durante un'emergenza. Verificare anche che il dispositivo possa comunicare tramite almeno due percorsi di rete che non condividono una modalità di errore comune. Ad esempio, il dispositivo può comunicare con Internet tramite la rete wireless di una struttura e una rete del provider di celle.

Questi passaggi devono essere eseguiti a intervalli regolari e per le modifiche delle chiavi:

• Almeno ogni 90 giorni
• Quando è stata apportata una recente modifica al personale IT, ad esempio un cambiamento di lavoro, una partenza o un nuovo assunzione
• Quando le sottoscrizioni di Microsoft Entra nell'organizzazione sono cambiate