mcpField
A
azure-pim

azure-pim

github.com/vinayaklattheセキュリティ17882 回インストール19 週間前に更新
リポジトリ

azure-pim について

azure-pimは、Microsoft Entra Privileged Identity Managementで特権アクセスを管理する管理者向けのスキルです。恒常的な割り当てを適格なアクセスへ移行し、アクティブ化制御、アクセスレビュー、監査アラートを設定する手順を示します。

主な機能

  1. 01恒常的な割り当ての棚卸しと変換
  2. 02階層別のアクティブ化制御
  3. 03特権グループとAzureロールの管理
  4. 04定期的なアクセスレビューの設定
  5. 05PIMの操作に関するアラートと監査

活用シーン

  1. 01常時有効な管理者ロールを適格なアクセスへ移行
  2. 02Global Adminのアクティブ化に承認と強力なMFAを要求
  3. 03Tier 0のアクセス権を四半期ごとにレビュー
  4. 04PIMを経由しないロールのアクティブ化を検知

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill azure-pim

インストール後、Claude Code で/azure-pimを入力して読み込まれたか確認します。

詳細

Microsoft Entra Privileged Identity Management (PIM)

PIM は、特権ロールの昇格に、必要なときだけ利用できる時間制限付きの承認ベースのアクセスと監査を提供します。恒常的な管理者アクセスをなくし、価値の高いアカウントの攻撃対象領域を縮小します。Entra ID P2 が必要です。

使用する場面

Entra ロール、Azure RBAC ロール、特権グループへのアクセスを管理する場合に使用します。永続的な割り当てを対象にした割り当てへの変更、アクティブ化制御の設定、定期的なアクセスレビューの実施に利用してください。

このスキルは、リソースアクセスパッケージ（entra-id-governance）やリスク検出（entra-id-protection）には使用しないでください。

ロール階層に応じたアクティブ化制御の選択

ロール階層例承認MFA の強度最大アクティブ化時間
Tier 0 - コントロールプレーンGlobal Admin、Privileged Role Admin、Privileged Auth Admin必須（承認者 2 名）フィッシング耐性1 時間
Tier 0 - Azure管理グループ／ルートサブスクリプションの Owner必須フィッシング耐性2 時間
Tier 1 - ワークロード管理者Exchange Admin、SharePoint Admin、Intune Admin必須（承認者 1 名）フィッシング耐性4 時間
Tier 1 - Azure本番サブスクリプションの Owner／Contributor理由＋チケットMFA4 時間
Tier 2 - 運用Helpdesk、Reports Reader、Security Reader理由MFA8 時間

経験則： Global Admin に対する承認者 2 名の要件は、PIM で最も価値の高い制御です。自己昇格を防ぎ、テナント全体に関わる変更ごとに立会人を必須にします。

アプローチ

  1. 永続的な割り当てを棚卸しする — Get-MgRoleManagementDirectoryRoleAssignment と、各サブスクリプションの Azure portal の Assignments ビューを使用します。階層ごとに分類してください。目標：緊急用アクセスを除き、恒常的な割り当てをゼロにする。 確認：PIM → Entra roles → Assignments → Active に、Global Admin の緊急用アカウントのみが表示されます。

  2. 段階的に対象にした割り当てへ変更する — まず Tier 2（アクティブ化フローに問題が発生しても影響範囲が小さいため）、次に Tier 1、最後に Tier 0 の順で進めます。管理者には 7 日前に通知し、操作説明の動画を提供してください。 確認：週ごとのアクティブ化数が想定どおりに増加し、アクセス喪失に関する管理者からの苦情がありません。

  3. ロールごとにアクティブ化の設定を行う — 上の階層表に合わせてください。フィッシング耐性のある MFA は、一般的な MFA ではなく、認証強度を必須にします。 確認：Global Admin のアクティブ化で、承認者 2 名とフィッシング耐性のある認証強度が必須になります。

  4. グループの PIM — Entra ロールではない特権グループ（例：複数のロール割り当てを持つ「Tier 0 Admins」グループ、機密性の高い RBAC を保持する AD 同期グループ）に使用します。個々のロールではなく、グループをアクティブ化します。

  5. Azure リソースの PIM — サブスクリプションと管理グループをオンボードします。Owner と User Access Administrator を対象にした割り当てへ変更します。時間制限付きの割り当てのスコープは可能な限り狭くします（可能であればサブスクリプションではなく、リソースグループに設定します）。

  6. 定期的なアクセスレビュー — Tier 0 は四半期ごと、Tier 1 は半年ごとに実施します。レビュー担当者は管理者チームではなく、ロール割り当て先のマネージャーにします。「応答なし」の場合は、削除を既定の動作にします（24 時間の猶予期間に関する通知を設定）。 確認：レビュー完了率が 90% を超え、削除された割り当てが監査ログに記録されます。

  7. アラートと監査 — 「Too many global admins」、「Roles activated outside PIM」、「Activation doesn't require approval」を有効にします。PIM の監査ログ（AuditLogs テーブル）を Sentinel にストリーミングします。

ガードレール

  • PIM の対象外とする、永続的なグローバル管理者権限を持つ緊急用アカウントを 2 つ用意します。 すべてのサインインを監視します。PIM が停止しても、アクセス手段を確保できます。
  • グローバル管理者の有効化には 2 人の承認者を設定します。 承認者が 1 人だと、両方の承認者が管理者である場合に自己承認が可能になります。2 人にすることで、そのループを防げます。
  • Tier 0 の有効化にはフィッシング耐性のある MFA を適用します。 2026 年にグローバル管理者への昇格で SMS MFA を使うのは許容できません。
  • Azure RBAC は、範囲を限定し、期限を設けます。 リソースグループ ＞ サブスクリプション ＞ 管理グループの順に範囲を広げます。範囲を狭くするほど、侵害時の影響範囲を抑えられます。
  • 「少しの間だけ必要」という理由を正当化に使わないでください。 正当化の内容を監査してください。内容が意味をなさないなら、制御が機能していません。
  • アクセスレビューは最低でも四半期ごとに実施します。 年次レビューでは、古くなったアクセス権が 12 か月分蓄積する可能性があります。

よくあるアンチパターン

  • 「IT チームには常時グローバル管理者権限を付与する」 - PIM が排除することを目的としている、まさに攻撃対象領域です。承認が必要な適格な割り当てに変更してください。
  • 「管理者は信頼されているので、承認は任意」 - 承認者による確認要件と監査証跡がなくなります。Tier 0 では常に承認を必須にしてください。
  • 「承認者は 1 人」 - 承認者が管理者でもある場合、自己承認のループが発生します。最低 2 人にしてください。
  • 「Entra のロールだけ PIM を使い、Azure RBAC は常時割り当てのままにする」 - クラウドサブスクリプションの所有者は、多くのテナントで最大の影響範囲を持ちます。Azure も対象にしてください。
  • 「レビューは年 1 回」 - 12 か月分のずれが生じます。Tier 0 では四半期ごとに実施してください。
  • 「正当化フィールドは任意」 - 正当化がなければ、監査ログから背景情報が失われます。すべてのケースで必須にしてください。
  • 「共有サービスアカウントに PIM を使う」 - サービスアカウントは対話的に承認できません。PIM ではなく、マネージド ID と RBAC を使用してください。

プロンプトの例

  • テナント内の常時割り当ての管理者権限を一覧化し、緊急用アカウント以外をゼロにしてください。
  • 2 人の承認者とフィッシング耐性のある MFA を使って、グローバル管理者の PIM 有効化を設定してください。
  • Azure リソースロール（本番サブスクリプションの所有者）に PIM を設定してください。
  • 応答がない場合に自動削除する、Tier 0 ロールの四半期アクセスレビューを設定してください。
  • PIM を経由せずにグローバル管理者が追加された場合、または週に 5 回を超えて有効化された場合にアラートを設定してください。
  • 「Privileged Admins」セキュリティグループを PIM for Groups に移行してください。

Microsoft Learn

コメント

Markdown 対応