User Administrator + Password Administrator

Detalhe da regra SoD — cinco plataformas, três provedores

MediumEntra ID

User Administrator + Password Administrator

Criar contas de usuário e resetar credenciais sem supervisão de uma segunda pessoa.

Entra IDdirectory role
User Administrator
Entra IDdirectory role
Password Administrator

Por que isso é um conflito

User Administrator já inclui a capacidade de resetar senhas de usuários não-admin; somar explicitamente Password Administrator amplia essa capacidade e reforça a concentração de controle sobre o ciclo de vida completo de uma conta (criação + reset de credencial) numa única identidade.

Risco

Um insider pode criar uma conta de serviço/teste e resetar sua senha repetidamente para uso indevido sem que outra pessoa perceba o padrão.

Como mitigar

  • Registrar e alertar sobre resets de senha em contas criadas nas últimas 24-48h pela mesma identidade.
  • Restringir Password Administrator a administrative units específicas via Entra ID Administrative Units.
  • Revisão periódica de contas criadas e resetadas pelo mesmo operador.

Frameworks aplicáveis

ISO 27001CIS