昨天我們稍微實作了將權限拆分，不再讓每個人都拿著「全域管理員」這把危險的萬能鑰匙，但老實說，就算你只發給 IT 騎士團 「使用者管理員」的鑰匙，這裡面還是隱藏著一個巨大的資安未爆彈。

試想一個情境：如果在凌晨三點，騎士團某個成員正在家裡呼呼大睡時，他的帳號（或是存取權杖 Token）被潛伏在暗處的暗影神偷竊取了，問題來了：在凌晨三點，這個帳號依然擁有「使用者管理員」的權限！暗影神偷完全可以趁著夜深人靜，在公會裡大肆破壞、偷建後門帳號。

為了防範這種威脅，今天我們要利用大家前幾天在沙盒啟用的 Entra ID P2 授權，來實作零信任 (Zero Trust) 架構中最迷人、也是資安魔導團最推薦的防禦機制：徹底消滅常設權限 (Standing Privileges)！

• 什麼是最小權限原則？
  只給你完成當下任務所需要的最小權限，並且只在需要的時間內給予。
• 在純微軟的雲端生態系中，我們透過 Privileged Identity Management (PIM) 的強大工具來實現這個理念的。PIM 為我們帶來了一個被稱為 JIT (Just-In-Time) 存取 的限時魔法。
• PIM 與 JIT：權限的「限時動態」與「暫時增益 Buff」

1. 平日狀態 (Eligible)：IT 騎士團的成員平常登入系統時，身上的裝備就跟「沒有任何特權的初心者」一樣，他不能亂改設定，也沒有任何管理鑰匙。就算帳號這時候被盜，暗影神偷進來後也會發現自己什麼都做不了，只能無功而返。
2. 申請啟用 (Activation)：當IT 騎士團成員今天接到了任務，需要幫新進村民建帳號時，他必須進到 Entra ID 系統裡，主動「申請」啟用使用者管理員的角色。
3. 安全驗證： 魔法不是隨便就能放的！系統會要求他必須通過 MFA (多因素驗證) 來證明「你真的是本人」，在更嚴格的設定下，系統甚至會要求他必須填寫「工單號碼」，或是觸發通知，等待「IT 騎士團長（主管）審核同意」後才能放行。
4. 限時生效 (Just-In-Time)： 審核通過後，權限就會像 Instagram 的限時動態一樣發給他，變成一個掛在身上的限時 Buff（例如設定這個權限只能維持 2 小時），在這 2 小時內，他可以火力全開，順利完成建置帳號的工作。
5. 自動回收：2 小時一到，不管他工作做完了沒，系統會像時鐘敲響十二點的灰姑娘一樣，自動在背景把權限沒收，讓他瞬間變回沒有特權的一般使用者。

實作

1. 尋找使用者系統管理員
   
2. 設定角色的PIM規則

• 點擊設定進入編輯
  
• 啟用頁面設定
  • 啟用持續時間上限： 建議設為 2 到 4 小時。
  • 啟用時要求 MFA： 強烈建議打勾！(確保是本人在申請)。
  • 要求提供票證/理由： 打勾，強迫管理員輸入他在做哪一件工單。
    

3. 將管理員設定為「合格 (Eligible)」

• 新增指派
  • 選擇你要指派的使用者
    
    
• 指派類型
  • 請選擇「合格 (Eligible)」，若選擇「作用中 (Active)」，權限又會變回 24 小時。
    

4. 驗證

• 當clouduser01登入系統想要直接「新增使用者」，系統會告訴他「沒有權限」。他必須先去 PIM 的介面點擊「啟用我的角色」，並輸入理由後，才能開始工作。
  
  

• 在還沒有 PIM 的時代，管理員的日常維運行為全部混雜在一般村民龐大的登入與操作日誌 (Logs) 裡，當系統發生異常設定變更時，資安魔導團往往要看著成千上萬條的 Log 抓破頭，很難立刻分辨：這到底是 IT 騎士團在做例行的日常維運，還是帳號已經被暗影神偷操控，正在偷偷建立後門？

• 透過 PIM 與 JIT 存取，我們不僅把爆炸半徑縮到了最小，更為防禦團隊裝上了最強的監視器，把駭客可以利用的「攻擊時間窗」壓縮到了極致。