建议的安全做法

使用 Azure Lighthouse 时，请务必考虑安全性和访问控制。 你的租户中的用户将具有直接访问客户订阅和资源组的权限，因此你可能希望采取措施来维护你的租户的安全性。 可能还希望确保仅允许必需的访问权限，以有效管理客户的资源。 本主题提供相关建议，以帮助你实现此目的。

需要 Microsoft Entra 多重身份验证

Microsoft Entra 多重身份验证（也称为双重验证）通过要求进行多重身份验证步骤，以防止攻击者获取帐户的访问权限。 你应要求管理租户中的所有用户（包括任何将有权访问委托的客户资源的用户）都进行 Microsoft Entra 多重身份验证。

建议你要求客户对其租户也实施 Microsoft Entra 多重身份验证。

使用最低权限原则向组分配权限

若要更轻松地进行管理，建议为每个管理客户资源所需的角色都使用 Microsoft Entra 组。 这样，你就可以根据需要向组添加或删除单个用户，而不是直接向每个用户分配权限。

创建权限结构时，请确保遵循最低权限原则，以便用户仅具有完成作业所需的权限，这样有助于减少发生意外错误的几率。

例如，建议使用如下结构：

创建这些组之后，即可根据需要分配用户。 仅添加真正需要访问权限的用户。 请确保定期查看组成员身份，并删除不再适合或不再需要的任何用户。

请记住，通过公共托管服务产品加入客户时，包含的任何组（或用户或服务主体）都将具有与每位购买计划的客户的相同权限。 若要分配不同的组以与每位客户合作，将需要发布专属于每位客户的单独专用计划，或使用 Azure 资源管理器单独载入客户。 例如，可以发布访问权限限制极少的公用计划，然后使用自定义 Azure 资源模板（可根据需要授予更多访问权限）直接与客户一起载入其资源以获取更多访问权限。

后续步骤

• 查看安全基线信息，了解 Microsoft 云安全基准中的指导如何应用于 Azure Lighthouse。
• 部署 Microsoft Entra 多重身份验证。
• 了解跨租户管理体验。