Microsoft-beveiliging en naleving: GDAP versus DAP.

Aangezien het Zero Trust-beveiligingsmodel wordt geïmplementeerd in alle Microsoft-producten, -services en -partner-ecosystemen, beëindigt Microsoft gedelegeerde beheerdersrechten (DAP) ten gunste van de veiligere gedetailleerde gedelegeerde beheerdersrechten (GDAP).

Dit heeft gevolgen voor alle Microsoft-partners wereldwijd, maar is een verandering die alle Microsoft-klanten ten goede komt.

Ten eerste, en dat is het belangrijkste, biedt GDAP, in overeenstemming met het Zero Trust-principe van verificatie en het gebruik van toegang met minimale rechten, meer expliciete rollen en tijdgevoelige parameters voor partnertoegang tot klantomgevingen dan DAP.

De toegang is op een dieper niveau beperkt tot klanttenants, waardoor het beveiligingsrisico tussen Microsoft-partners en hun klanten wordt verminderd. Meer specifiek beschrijft GDAP de toegang op het niveau van de klant, de partnertentant, de partnergebruiker en de werklast voor verschillende Microsoft-services.

GDAP is bedoeld als beschermende maatregel rondom de toegang tot klantgegevens en helpt partners tegelijkertijd om te voldoen aan de wettelijke vereisten om alleen minimale toegangsrechten aan providers te verlenen.

Eind mei 2023 heeft Microsoft zowel actieve als inactieve DAP-relaties omgezet naar GDAP-relaties met beperkte Azure Active Directory (AAD)-rollen.

In de loop van de volgende 60 dagen werden de bijbehorende DAP-relaties verwijderd. Relaties die vóór mei van DAP naar GDAP waren overgegaan, bleven onaangetast, maar Microsoft heeft eind juli alle resterende DAP-toegang uitgeschakeld.

Microsoft-partners kunnen hun gebruikers toewijzen aan verschillende beveiligingsgroepen en bijbehorende rollen.

Deze beveiligingsgroepen krijgen toegang tot de workloads van klanten voor een vaste periode van maximaal twee jaar. Zodra deze periode is verstreken, wordt de toegang automatisch beëindigd.

Terwijl DAP-verbindingen nooit verlopen, verlopen GDAP-verbindingen automatisch om een veiligere omgeving te creëren. Wanneer een GDAP-relatie op het punt staat te verlopen, ontvangen zowel de partner als de klant 30 dagen, zeven dagen en één dag voor beëindiging een e-mailmelding. Partnergebruikers die aan een beveiligingsgroep voor die klant waren toegewezen, hebben zonder verlenging geen toegang meer en kunnen geen diensten meer beheren. Om de duur van de toegangsrechten te verlengen, moet een nieuw GDAP-verzoek naar de klant worden gestuurd.

Aangezien GDAP bedoeld is om het risico voor zakelijke klanten van Microsoft aanzienlijk te verminderen, biedt het meer gedetailleerde beveiligingsoplossingen dan DAP.

Deze omvatten:

Toegangsniveau/rollen
DAP-relaties bieden u standaard de rollen Global Admin en Helpdesk Admin, maar u kunt deze niet wijzigen. GDAP biedt een dieper niveau van aanpassing van machtigingen, dat zelfs per klant uniek kan worden gemaakt. Dit is belangrijk als u momenteel met een provider werkt en geen risico's van derden wilt lopen.

Relatietijdlijn
DAP-relaties zijn permanent. De klant accepteert de gedelegeerde beheerderslink en die relatie is permanent, tenzij u naar de instellingen gaat en de relatie handmatig verwijdert. Met GDAP kunt u aangepaste tijdlijnen voor de duur van de relatie maken, met een maximale looptijd van twee jaar.

Uitnodigingslink
DAP-relatielinks zijn universeel per regio. Dit betekent dat u dezelfde DAP-link gebruikt voor elke klant die wordt toegevoegd aan het Partner Center. GDAP biedt verschillende toegangsniveaus per klant, wat betekent dat elke uitnodiging uniek is voor elke klant.

Beveiligingsgroepstoewijzing
In DAP-relaties zijn er geen toewijzingslagen. Elk lid in een Partner Center-omgeving dat toegang heeft tot klanten, krijgt hetzelfde toegangsniveau. GDAP maakt geneste beveiligingsgroepen binnen afzonderlijke rollen mogelijk, waardoor een grotere mate van gediversifieerde machtigingen wordt geboden.

Activiteitenlogboeken
Met DAP zijn er geen gedetailleerde activiteitenlogboeken die laten zien wanneer gedelegeerde toegangsrechten worden gebruikt vanuit het Partner Center. Ze bevatten ook geen informatie over de levenscyclus van een gedelegeerde beheerdersrelatie, zoals wanneer deze is geaccepteerd of verwijderd. GDAP biedt meer inzicht in de AAD-activiteitenlogboeken op zowel provider- als klantniveau.

Toegang tot het S&C Center
Met DAP kunt u bepaalde beheerportalen niet namens klanten openen via partnercentra. GDAP biedt meer flexibiliteit en is intuïtiever dan zijn voorganger.

PIM-ondersteuning
Privilege Identity Management (PIM) is een Microsoft-service die 'just-in-time'-toegangsniveaus mogelijk maakt. Hiermee kunt u in feite uw rol tijdelijk verhogen om bepaalde beheertaken uit te voeren. PIM wordt gekoppeld aan GDAP, zodat providers privileges kunnen verhogen in bepaalde beveiligingsgroepen met specifieke rollen in klantomgevingen. Dit verbetert de beveiliging verder door een snelle reactie op specifieke problemen mogelijk te maken.

GDAP is beschikbaar voor alle Microsoft-partners, inclusief CSP's en MSP's.

Deze wijzigingen zijn, zoals eerder vermeld, van kracht sinds mei 2023. Alle gebruikers die nog steeds DAP gebruiken, zijn volledig overgestapt naar een GDAP-relatie en de DAP-relatie is eind juli beëindigd.

Voorheen hadden zowel distributeurs zoals CSP Tier 1's als MSP's zoals indirecte wederverkopers DAP met alle downstreamklanten opgezet. Hierdoor konden distributeurs licenties verlenen aan klanttenants en ondersteuning bieden, terwijl MSP's en partners ondersteuning en beheer konden bieden via het Partner Center.

Providers hebben nu meer controle over gedetailleerde en tijdgebonden toegang voor de workloads van klanten, zodat ze gemakkelijker kunnen inspelen op de bezorgdheid van klanten over veiligheid. CSP's, MSP's en partners krijgen nu meer hulp bij het aanpakken van bezorgdheid over gegevensbeveiliging, waardoor de kans op beveiligingsincidenten in de toekomst wordt verkleind. Deze entiteiten kunnen ook rapporteren over hoe providerteams toegang krijgen tot Enterprise-tenants.

Providers kunnen de toegang beperken van uw medewerkers die de diensten en omgevingen van uw klanten beheren. Ze kunnen ook ongebruikte GDAP- of DAP-verbindingen uitschakelen of beperken om aansprakelijkheid te beperken en de beveiliging te verbeteren.