問1. 運用チームの特権管理者は、通常は権限を必要とせず、PIMでEligibleになっているAzureリソースの高権限ロールを使って、平均40分、最長でも1時間の定型作業を毎日行います。権限露出を抑えつつ、作業中の権限切れによる再有効化の負荷も増やさない設計はどれですか。
- 最大有効化時間を1時間に設定し、必要な作業時間に応じて有効化して、通常の作業をその範囲内で完了させる
- 最大有効化時間を2時間に設定し、毎回2時間の有効化を要求して、作業時間のばらつきに余裕を持たせる
- 最大有効化時間を8時間に設定し、一度の有効化でその日の追加作業にも対応できるようにする
- 対象ロールを恒久的なActiveに変更し、再有効化を不要にして、必要な管理操作をすぐ開始できるようにする
問2. 本番テナントの高権限Entraロールを運用するチームでは、通常の変更はPIMの承認を通したい一方、通常の管理者アカウントやPIMの承認経路を利用できない障害でも、テナント管理を復旧できなければなりません。通常時の攻撃面を抑えつつ、緊急時の可用性と監査可能性を両立する設計はどれですか。
- 通常用と緊急用を含むすべてのGlobal Administratorを承認必須のEligibleにし、承認経路を一元化する
- 通常の高権限ロールは承認必須のEligibleとし、複数のクラウド専用緊急アクセスアカウントにはGlobal Administratorを恒久的Activeで割り当て、通常管理者とは異なるフィッシング耐性のある認証、制限的な条件付きアクセスからの除外、安全な利用環境、利用時の通知と定期テストを組み合わせる
- 復旧を最優先し、通常の運用担当者全員にGlobal Administratorを恒久的Activeで割り当て、操作ログの事後確認で統制する
- 通常の高権限ロールは承認必須のEligibleとし、緊急アクセスアカウントも承認不要のEligibleにして、条件付きアクセスによる準拠デバイスとMFAを必須にする
問3. ある運用担当者は本番環境の高権限ロールを担当しており、定常作業を実施します。平常時には特権を持たせず、必要時の作業効率と監査可能性を保ちながら、割り当て変更の運用負荷を抑えたい場合、どの設計が最適ですか。
- PIMで対象ロールを永続的なEligibleとして割り当て、必要な作業のときだけ本人が有効化する
- 対象ロールを永続的なActiveとして割り当て、定常作業をいつでも直ちに実行できるようにする
- PIMで対象ロールを期限付きActiveとして割り当て、担当期間中は有効化操作なしで利用する
- 作業の都度、管理者が対象ロールを一時的なActiveとして付与し、完了後に手動で削除する