建议的安全做法

使用 Azure Lighthouse 时，请务必考虑安全性和访问控制。 你的租户中的用户将具有直接访问客户订阅和资源组的权限，因此务必要采取有助于维护租户的安全性的措施。 同时建议仅启用有效管理客户资源所必要的最低访问权限。 本主题提供有助于实施这些安全做法的建议。

Microsoft Entra 多重身份验证（也称为双重验证）通过要求进行多重身份验证步骤，以防止攻击者获取帐户的访问权限。 你应要求管理租户中的所有用户（包括任何将有权访问委托的客户资源的用户）都进行 Microsoft Entra 多重身份验证。

建议要求客户对其租户也实施 Microsoft Entra 多重身份验证。

若要更轻松地进行管理，建议为每个管理客户资源所需的角色都使用 Microsoft Entra 组。 这样，你就可以根据需要向组添加或删除单个用户，而不是直接向每个用户分配权限。

创建权限结构时，请务必遵循最小特权原则，使用户只具有完成其工作所需的权限。 限制用户的权限有助于减少意外错误的可能性。

例如，建议使用如下结构：

创建这些组后，可根据需要分配用户。 仅添加真正需要拥有该组授予的访问权限的用户。

请确保定期查看组成员身份，并删除不再需要包含的任何用户。

请记住，通过公共托管服务产品加入客户时，包含的任何组（或用户或服务主体）都将具有与每位购买计划的客户的相同权限。 若要分配不同的组以与不同的客户合作，必须发布专属于每位客户的单独专用计划，或使用 Azure 资源管理器单独加入客户。 例如，可发布访问权限非常有限的公用计划，然后直接与每位客户合作，使用自定义 Azure 资源模板（根据需要授予额外的访问权限）加入其资源。

• 查看安全基线信息，了解 Microsoft 云安全基准中的指导如何应用于 Azure Lighthouse。
• 部署 Microsoft Entra 多重身份验证。
• 了解跨租户管理体验。