Managed Red Tenant

Red Tenant er sjálfstæður Microsoft Entra-tenant sem er eingöngu til fyrir forréttinda-auðkenni og tæki þeirra, og produktiv-tenantinum er stjórnað þaðan, aldrei út frá honum sjálfum.

Ástæðan er einföld: sá sem kompromitterar tenant stýrir sjálfkrafa líka þeim accounts sem menn myndu nota til að lagfæra hann. Liggi þessir accounts í öðrum tenant er leiðin frá kompromitteruðum notanda yfir í fulla stjórn rofin. Nafnið vísar til Red Forest, eldra líkans Microsoft um aðskilinn admin-forest fyrir Active Directory.

Enterprise Access Model skiptir umhverfinu þínu í lög: Control Plane (Tier 0) inniheldur allt sem stýrir auðkennum og réttindum, Management Plane (Tier 1) nær yfir þjóna, forrit og workloads, og User Access Plane (Tier 2) samanstendur af endatækjum og notendum.

Reglan að baki er sú að hærra lag megi aldrei vera stýranlegt úr lægra lagi. Í Entra ID heyra því til Tier 0 hlutverk á borð við Global Administrator, Privileged Role Administrator, Conditional Access Administrator og Intune Administrator, auk Entra Connect og alls sem patchar, afritar eða vaktar þessi kerfi.

Best er að byrja á heiðarlegri úttekt á Control Plane, það er spurningunni um hvaða accounts, hópar, þjónustu-accounts og forrit geta breytt auðkennum eða réttindum í dag. Í flestum umhverfum eru þau umtalsvert fleiri en menn hefðu giskað á.

Síðan aðskilur þú accounts eftir lögum, skiptir varanlegum úthlutunum út fyrir PIM og takmarkar innskráningu við sérstök tæki. Ókeypis Tiering-Check okkar sýnir þér myndrænt hvar farið er yfir Tier-mörk í dag og er þar með fljótlegasta byrjunin sem við þekkjum.

Bæði kanna auðkennið og aðstæður innskráningarinnar, en hvorugt kannar tækið sem lyklaborðið hangir við.

Vel heppnuð, sterk auðkenning endar í token á endatækinu, og sé það tæki kompromitterað er tokeninu stolið eða sessionin yfirtekin, þótt PIM og Conditional Access hafi unnið sitt verk rétt fram að því. Red Tenant nýtir hvort tveggja og gerir að auki þá kröfu að tækið sjálft komi úr einangraða umhverfinu.

Privileged Access Workstation (PAW) er hert vinnustöð sem er eingöngu notuð til stjórnunarverka, það er án pósts og almenns vafurs, með Application Control, án staðbundins admins og með trust anchor um TPM og Secure Boot.

Sérstakan vélbúnað þarf hún fyrir öll hlutverk með aðgang að Control Plane, því þar gildir reglan um hreina lyklaborðið: aðgangsupplýsingar mega aldrei snerta tæki sem nýtur minna trausts en kerfið sem þær eiga að opna. Fyrir Tier 1 nægir sýndarútgáfan.

Fyrir allt neðan Control Plane. Sýndarvinnustöðin (VAW) keyrir sem Azure Virtual Desktop í Red Tenant, og þú nærð í hana úr compliant office-tæki í gegnum Entra Private Access, með auðkennaskiptum og FIDO2.

Hún skalast án vélbúnaðar og nær yfir Azure, Microsoft 365 og on-premises, en eftir stendur áhætta af því að aðgangurinn liggur í gegnum Tier 2-tæki. Einmitt þess vegna er Control Plane áfram frátekið fyrir vélbúnaðar-PAW.

Nei, en sérhver admin þarf sérstakt auðkenni og sérstaka aðgangsleið, og hvort það er PAW í vélbúnaði eða sýndarvædd VAW ræðst af því lagi sem viðkomandi vinnur á.

Í framkvæmd hafa aðeins fáir Tier 0-réttindi og fá vélbúnaðar-PAW, á meðan breiði meirihlutinn vinnur í gegnum VAW. Einmitt þess vegna skalast líkanið frá 5 upp í 5.000 admina.

Munurinn liggur í trust anchor. PAW þar sem account, reglur og tækjastjórnun liggja í sama tenant og produktiv-kerfin deilir örlögum þeirra, því sá sem stýrir tenantinum stýrir líka Intune-reglunni sem herðir PAW-tækið.

Red Tenant færir account, tæki og stjórnun yfir í sjálfstæðan tenant sem ekki er hægt að ná í úr produktiv-tenantinum. PAW er áfram sama byggingareiningin, hún stendur bara á öðrum grunni.

PAM-lausnir geyma aðgangsupplýsingar og hafa milligöngu um sessions, þær tryggja því credentialið en ekki tækið sem það er notað úr. Sé endapunkturinn kompromitteraður fylgir árásaraðilinn einfaldlega með í þeirri session sem miðlað er, og Microsoft skrifar sjálft að PAM-lausnir einar og sér nái ekki áreiðanlega utan um tækjaáhættuna.

Red Tenant kemur ekki í stað PAM heldur bætir við það: PIM og núverandi vaults nýtast áfram, aðgangurinn kemur bara núna úr tæki utan áhættusvæðisins.

Ekkert sem tæki gildi án samþykkis þíns. Sérhver breyting á Red Tenant fer sem kóði í gegnum pipeline og þarf samþykki Customer Approver þín megin, og neyðaraðgangar eru skiptir þannig að hvorugur aðilinn getur athafnað sig einn.

Þar við bætist að við stýrum umhverfinu þínu út frá okkar eigin Red Tenant, eftir sömu reglum og gilda um þitt. Neitunarvaldið liggur alltaf hjá viðskiptavininum.

Grein 21 málsgrein 2 nefnir meðal annars stefnu um aðgangsstýringu, fjölþátta auðkenningu og öryggi við öflun, þróun og viðhald kerfa, og grein 20 gerir framkvæmdastjórn ábyrga fyrir því að hafa eftirlit með innleiðingunni og geta sýnt fram á hana.

Í Þýskalandi gildir þetta frá desember 2025 á grundvelli BSI-laganna, í Austurríki frá 1. október 2026 á grundvelli NISG 2026. BSI IT-Grundschutz þekkir aðskilnað stjórnunarverka sem grunnkröfu og flutning stjórnunarinnar yfir í sjálfstæða byggingu sem aukna kröfu. Red Tenant er cloud-útfærslan á einmitt því, og útgáfustýrða repositoryið er sönnunin þín.

Of flókið í eigin rekstri er það oft í raun, því dýri hlutinn er ekki tæknin heldur viðvarandi herðing, viðhald, vöktun og sönnunarfærsla sem enginn afgreiðir í hjáverkum.

Einmitt það er ástæðan fyrir managed service: vinnan liggur hjá okkur, þar sem sjálfvirkni og endurtekning gera hana viðráðanlega, og Red Tenant fyrir 20 admina er sami kóði og einn fyrir 2.000.

Microsoft dró ESAE til baka af því að líkanið náði aðeins yfir on-premises-stjórnendur og var of flókið í rekstri, ekki af því að aðskilnaðurinn hefði verið gagnslaus.

Sama skjölun heldur því til haga að Microsoft reki áfram sambærilegan arkitektúr innanhúss, mælir með PAW-tækjum fyrir öll stjórnunarverk og nefnir berum orðum einangrun yfir marga tenants fyrir auðlindir sem þarfnast sérstakrar verndar. Red Tenant er cloud-útgáfan af þessari meginreglu, og rekstrarvinnan sem ESAE strandaði á liggur hjá managed service.

Tiering ræður hver má hvað, PIM ræður hvenær, og Conditional Access ræður við hvaða skilyrði. Öll þrjú liggja hins vegar í sama umhverfi og þau eiga að verja og er stýrt af hlutverkum sem árásaraðili með Global Admin-réttindi hefur líka.

Red Tenant tekur stjórnunina út úr þessu umhverfi, núverandi stýringar þínar haldast óbreyttar og fá trust anchor sem ekki er lengur hægt að ná til innan frá.