Azure (Policy / RBAC / MFA) - как заблокировать пользователя

Question

У меня есть пользователи, назначенные владельцами подписчиков.У меня также MFA принудительно для набора пользователей, а не все из AAD .

Я пытаюсь найти решение (политику?), Где я могу запретить владельцу подписки добавлять пользователя в Sub без применения решения MFA.Для назначения должны быть доступны только пользователи с MFA.

У вас есть идея, как этого достичь?

Я думал о политике, в которой я буду использовать «Microsoft.Security/complianceResults».& «EnableMFAForWritePermissions» и «Microsoft.Security/complianceResults/resourceStatus», поэтому я могу запретить добавление такого пользователя, что повлияет на соответствие ресурсов, но несколько тестов еще не работали.

Спасибо

Answer 1

Я бы использовал условный доступ в Azure.Я настроил бы это на группе владельцев, чтобы требовать MFA при выполнении пользовательского администрирования.Я бы использовал одну из существующих политик, таких как Require MFA for Administrators и т. Д., В качестве примера, который я бы подстроил.

Вот ссылки на документы для некоторых из этих понятий:

https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/overview

https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/howto-conditional-access-policy-admin-mfa