Punti chiave
- Configura PIM nell’interfaccia di amministrazione di Entra: attiva PIM, assegna i ruoli come “Idoneo”, configura la durata dell’attivazione, richiedi MFA e approvazione e definisci l’ambito per una gestione controllata dei privilegi.
- Policy di attivazione dei ruoli: definisci i requisiti di MFA, giustificazione e approvazione, la durata dell’attivazione e le impostazioni di notifica, assicurandoti che tutte le modifiche siano verificabili nei log di Entra per garantire la tracciabilità.
- Integrazione con PowerShell per l’accesso JIT: usa Microsoft Graph o il modulo PowerShell di Azure AD per automatizzare le assegnazioni di ruolo a tempo determinato, permettendo l’integrazione con i flussi di lavoro di gestione dei ticket o delle richieste di servizio.
- Applicazione locale tramite Registro di sistema e GPO: configura i Criteri di gruppo e le impostazioni del Registro di sistema per applicare il principio del minimo privilegio, negare gli accessi non necessari e richiedere i prompt UAC per le attività che richiedono l’elevazione.
- Pratiche di audit e avviso: usa i log di audit e gli strumenti SIEM per monitorare le attivazioni dei ruoli, individuare un uso sospetto dei privilegi e generare avvisi su attività JIT insolite o tentativi MFA falliti.
L’accesso amministrativo Just-in-Time (JIT) in Azure AD ti permette di concedere privilegi elevati per eseguire attività amministrative per un periodo di tempo limitato. È una soluzione utile per i reparti IT interni e per gli MSP, perché riduce il rischio che account con privilegi eccessivi vengano sfruttati in attacchi informatici.
Questa guida spiega come funziona l’accesso amministrativo JIT in Azure e illustra i passaggi per implementare un accesso amministrativo a tempo determinato con Microsoft Entra ID Privileged Identity Management (PIM), utilizzando l’interfaccia di amministrazione di Entra, PowerShell e il Registro di sistema o i Criteri di gruppo per l’applicazione delle regole.
Obiettivi principali dell’accesso JIT in Azure
L’accesso amministrativo permanente, cioè l’uso di account utente con privilegi amministrativi stabili, è un vettore di attacco molto frequente. Ridurre il numero di questi account privilegiati riduce la superficie di attacco, perché diminuiscono gli account le cui credenziali possono essere sottratte o le cui sessioni possono essere dirottate: la tua infrastruttura IT diventa così più sicura e più conforme.
L’elevazione a tempo limitato protegge da questo rischio, perché concede all’utente i privilegi amministrativi solo dopo un’approvazione e l’autenticazione a più fattori. Al termine dell’attività, i privilegi amministrativi dell’utente scadono: l’account non può quindi essere usato per sferrare un attacco né per altre attività amministrative non autorizzate.
Tra gli obiettivi da perseguire nella configurazione dell’accesso JIT in Azure con Microsoft Entra Privileged Identity Management ci sono la riduzione al minimo dei diritti amministrativi permanenti, la richiesta di una giustificazione e dell’approvazione MFA prima dell’elevazione, l’audit di tutte le attività amministrative e la revoca automatica dei diritti amministrativi. L’accesso JIT andrebbe inoltre affiancato ad altre best practice di sicurezza, come l’accesso condizionale e gli avvisi.
Prerequisiti per l’uso di Microsoft Entra ID Privileged Identity Management
Per utilizzare PIM ti servono:
- Una licenza Azure AD Premium P2 (necessaria per PIM)
- I diritti di Amministratore globale o di Amministratore ruolo con privilegi per configurare PIM
- L’interfaccia di amministrazione di Microsoft Entra ID oppure PowerShell per la configurazione
- Facoltativamente, una piattaforma SIEM o RMM per il monitoraggio, gli avvisi e la distribuzione della configurazione
- Endpoint Windows registrati in Intune o monitorati tramite RMM per l’applicazione delle policy
Attivare PIM e assegnare i ruoli idonei nell’interfaccia di amministrazione di Microsoft Entra ID
Per iniziare, devi attivare PIM e assegnare i ruoli nell’interfaccia di amministrazione di Microsoft Entra ID:
- Vai all’interfaccia di amministrazione di Microsoft Entra.
- Spostati su Governance delle identità > Privileged Identity Management.
- Seleziona i ruoli di Microsoft Entra.
- Scegli un ruolo (ad esempio Amministratore globale o Amministratore di Exchange).
- Fai clic su Aggiungi assegnazioni.
- Imposta l’utente come “Idoneo” per i privilegi a tempo limitato.
- Definisci l’ambito (ad esempio l’intero tenant o una risorsa specifica).
- Configura separatamente le impostazioni del ruolo per definire la durata dell’attivazione (ad esempio da 1 a 24 ore).
- Attiva Richiedi approvazione e Richiedi MFA secondo le tue necessità nelle impostazioni di attivazione.
Gli utenti devono attivare i ruoli in modo esplicito e il loro accesso scade automaticamente. Per la massima sicurezza, è consigliabile richiedere sempre approvazione e MFA.
Configurare le policy di attivazione dei ruoli
In PIM puoi configurare le policy che regolano le modalità di attivazione dei ruoli. Le policy comprendono:
- Se è richiesta l’MFA
- Se è richiesta una giustificazione
- Se è richiesta un’approvazione (puoi inoltre specificare quali utenti possono approvare)
- La durata dell’attivazione (ad esempio da 1 a 8 ore)
- Le impostazioni delle notifiche
Puoi configurarle nell’interfaccia di amministrazione di Entra selezionando un ruolo e andando poi su Impostazioni > Impostazioni ruolo
Richiedere numeri di ticket o ID di caso come campi di giustificazione è una pratica diffusa. Tutte le modifiche alla configurazione sono verificabili nei log di Entra.
Gestire le assegnazioni JIT con PowerShell
Puoi anche usare Microsoft Graph o il modulo PowerShell di Azure AD per assegnare i ruoli in modo programmatico: una soluzione ideale per l’integrazione con le richieste di servizio o con i flussi di lavoro automatizzati di gestione dei ticket che concedono accessi circoscritti.
- Per farlo, connettiti a Microsoft Graph con il comando:
Connect-MgGraph -Scopes "RoleManagement.ReadWrite.Directory"
- Poi elenca i ruoli e i relativi ID:
Get-MgRoleManagementDirectoryRoleDefinition
- Per creare un’assegnazione di ruolo a tempo determinato per un utente, esegui questo comando:
$params = @{
Action = “adminAssign”
PrincipalId = $userId
RoleDefinitionId = $roleId
DirectoryScopeId = “/”
Justification = “Granting temporary access”
ScheduleInfo = @{
StartDateTime = (Get-Date).ToUniversalTime().ToString(“yyyy-MM-ddTHH:mm:ssZ”)
Expiration = @{
Type = “AfterDuration”
Duration = “PT4H” # ISO 8601 format for 4 hours
}
}
}
New-MgRoleManagementDirectoryRoleAssignmentScheduleRequest -BodyParameter $params
- Attiva manualmente il ruolo dal portale di Microsoft Entra (facoltativo).
Applicare le regole con il Registro di sistema e i Criteri di gruppo per allineare le policy locali
Anche se il JIT è basato sul cloud, i sistemi locali andrebbero configurati secondo il principio del minimo privilegio e dotati di funzioni di audit.
Ad esempio, puoi usare l’oggetto Criteri di gruppo (GPO) che si trova in Configurazione del computer > Impostazioni di Windows > Impostazioni di sicurezza > Criteri locali > Assegnazione diritti utente per Nega accesso al computer dalla rete a utenti o gruppi specifici. Questa impostazione impedisce a tali account di usare il diritto di accesso dalla rete, ma non limita tutte le forme di connessione remota.
Anche il Registro di sistema di Windows può essere utilizzato per applicare impostazioni predefinite più restrittive al comportamento dell’elevazione, come la richiesta dei prompt UAC. Ad esempio:
- EnableLUA = 1 garantisce che il Controllo dell’account utente (UAC) sia attivo.
- ConsentPromptBehaviorAdmin = 1 configura l’UAC in modo che agli amministratori in modalità di approvazione amministratore venga richiesto il consenso quando eseguono operazioni che richiedono l’elevazione. Questo non significa però che tutte le azioni amministrative generino sempre una richiesta: vale in modo specifico per gli scenari di elevazione.
Queste configurazioni rafforzano la sicurezza locale, ma non applicano direttamente l’MFA né impediscono che venga aggirata. L’applicazione dell’MFA va sempre gestita tramite piattaforme come Microsoft Entra ID.
Audit e avvisi sull’attività JIT
I log di audit vanno utilizzati per tenere traccia delle attivazioni dei ruoli e dei comportamenti di accesso.
Ecco un esempio di query PowerShell per recuperare le voci del log di audit:
Search-UnifiedAuditLog -StartDate (Get-Date).AddHours(-24) -EndDate (Get-Date) -Operations “Add member to role” | Select-Object CreationDate, UserIds, Operations, AuditData
Nei log di audit di Microsoft Entra, filtra le operazioni “Add member to role” e “Update role assignment” per tenere traccia degli eventi di attivazione. Se monitori anche un Active Directory on-premises, lì tornano utili gli ID evento 4670 e 4688, che però non registrano le attivazioni dei ruoli PIM di Entra ID nel cloud.
Puoi poi inviare questi log al tuo RMM o SIEM per gli avvisi e il reporting.
Conviene usare strumenti di log analytics o un SIEM per generare avvisi in caso di attivazioni frequenti, elevazioni di ruolo al di fuori degli orari previsti e richieste di elevazione fallite o ripetute.
Altri aspetti da valutare per JIT e PIM
Quando configuri l’accesso JIT di Azure in PIM, devi tenere conto anche dei tuoi flussi di lavoro e dei ruoli utente: gli utenti abilitati ad approvare le richieste di elevazione vanno scelti con cura e devono comprendere a fondo le implicazioni di ogni richiesta. Conviene inoltre creare ruoli personalizzati con ambiti ristretti, evitando gli account di amministrazione globale e applicando il principio del minimo privilegio.
Rivedi regolarmente i ruoli ed elimina quelli non più necessari. La pulizia di ruoli e assegnazioni dovrebbe essere integrata nelle procedure di onboarding e offboarding del personale.
Risoluzione dei problemi dell’accesso Just-in-Time di Azure
Se la tua implementazione JIT in Azure non funziona come previsto, verifica questi possibili problemi:
- Il ruolo non è assegnabile: assicurati che l’utente non sia già attivo o non abbia già ricevuto l’assegnazione tramite un gruppo
- Attivazione negata: controlla se manca l’MFA o il campo della giustificazione
- Errori dell’API Graph: verifica le autorizzazioni e l’ambito richiesti durante la richiesta del token
- Gli utenti locali riescono ad aggirare le restrizioni: verifica che le restrizioni tramite GPO e Registro di sistema siano attive, in modo da impedire l’elevazione tramite account amministratore locali
NinjaOne RMM offre maggiore visibilità e controllo su tutta la tua infrastruttura IT e sui tuoi endpoint
Microsoft Entra ID Privileged Identity Management offre una soluzione completa di elevazione amministrativa JIT applicata a livello cloud. La sicurezza garantita da questa funzionalità può essere ampliata con NinjaOne RMM, che ti dà una visione completa di tutti i dispositivi, i servizi e le attività degli utenti in un unico punto e automatizza la distribuzione delle configurazioni su tutti i dispositivi.
La piattaforma MSP e UEM di NinjaOne mette a disposizione strumenti per l’esecuzione degli script e la distribuzione di policy tramite Registro di sistema o GPO, e supporta il monitoraggio dei file di log e degli eventi di Windows per un audit completo (incluse le escalation di privilegi). Include anche reporting e registrazione per la conformità, così puoi correlare le attivazioni PIM con l’attività degli endpoint e verificare che le escalation amministrative siano autorizzate e usate in modo responsabile.
NinjaOne include inoltre strumenti di automazione in grado di disattivare gli account utente quando viene rilevata un’attività sospetta, isolare i sistemi compromessi ed eseguire l’escalation dei ticket al referente giusto o avviare script di remediation, potenziando notevolmente la tua capacità di automatizzare la risposta agli incidenti di sicurezza.
