Azure（政策/ RBAC / MFA）-如何阻止用户

Question

我确实已将用户分配为“订阅者”。我还强制MFA 不是所有来自AAD 的用户。

我正在尝试找到一种解决方案（策略？），可以在没有应用MFA解决方案的情况下阻止订阅所有者将用户添加到Sub 。只有拥有MFA的用户才可以分配。

您知道如何实现吗？

我在考虑将使用“ Microsoft.Security/complianceResults”和“ EnableMFAForWritePermissions”和“ Microsoft.Security/complianceResults/resourceStatus”的策略，因此可以防止添加会影响资源合规性但进行多次测试的用户还没工作

谢谢

Answer 1

我将利用Azure中的条件访问。我将在所有者组上对其进行配置，以在执行用户管理时要求MFA。我将使用现有策略之一，例如“需要MFA管理员”等作为我要微调的示例。

以下是其中一些概念的文档链接：

https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/overview

https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/howto-conditional-access-policy-admin-mfa