Data/Locales/checks/he/EntraTenantChecks.json
|
{ "_family": "EntraTenantChecks.json", "EIDTNT-001": { "name": { "value": "ייצוא הגדרות ברמת הדייר", "status": "machine-draft" }, "description": { "value": "ייצוא מקיף של כל הגדרות התצורה ברמת הדייר מבסס קו בסיס ידוע כתקין לזיהוי שינויים ולהתאוששות מאסון. ללא קו בסיס מתועד, אי אפשר לקבוע אם ההגדרות הנוכחיות סטו מהמצב המיועד או אם תוקף שינה את תצורת הדייר כדי להחליש בקרות אבטחה. יש ללכוד קו בסיס זה בתצורה הראשונית ולעדכן אותו בכל פעם שמבוצעים שינויים מורשים.", "status": "machine-draft" }, "recommendedValue": { "value": "קו בסיס מלא של תצורת הדייר מיוצא ומאוחסן במאגר מנוהל בקרת גרסאות עם תמונות מצב סדירות", "status": "machine-draft" }, "remediationSteps": { "value": "ייצא את כל ההגדרות ברמת הדייר באמצעות Microsoft Graph API כולל מדיניות הרשאה, מדיניות שיטות אימות, מדיניות הסכמה, הגדרות cross-tenant access והגדרות מדריך. אחסן את הייצוא במאגר מאובטח ומנוהל בקרת גרסאות והקם תהליך מתוזמן ללכידת תמונות מצב תקופתיות. השווה את ההגדרות הנוכחיות מול קו הבסיס באופן סדיר כדי לזהות סחף תצורה בלתי מורשה או בלתי מכוון.", "status": "machine-draft" } }, "EIDTNT-002": { "name": { "value": "בחינת הגדרות משתמש", "status": "machine-draft" }, "description": { "value": "הגדרות המשתמש ברמת הדייר שולטות אם משתמשים רגילים יכולים לרשום יישומים, להסכים ליישומים הניגשים לנתוני החברה, ליצור קבוצות אבטחה ולקרוא מידע מדריך על משתמשים אחרים. הגדרות משתמש מתירניות מדי מאפשרות shadow IT, אינטגרציות יישום בלתי מורשות וזחילת קבוצות המרחיבות את משטח התקיפה. יש להגביל הגדרות אלו כדי למנוע ממשתמשים רגילים לבצע פעולות שצריכות לדרוש פיקוח ניהולי.", "status": "machine-draft" }, "recommendedValue": { "value": "משתמשים אינם יכולים לרשום יישומים, הסכמת משתמש מוגבלת למפרסמים מאומתים, יצירת קבוצות מוגבלת למשתמשים מורשים", "status": "machine-draft" }, "remediationSteps": { "value": "נווט אל Entra ID > User settings ובחן כל הגדרה. השבת את Users can register applications כדי למנוע זחילה בלתי נשלטת של רישום יישומים. הגבל את הגדרות הסכמת המשתמש כך שיתירו הסכמה רק ליישומים ממפרסמים מאומתים בעלי הרשאות בסיכון נמוך. הגבל מי יכול ליצור קבוצות Microsoft 365 וקבוצות אבטחה למנהלים ייעודיים או לבעלי קבוצות.", "status": "machine-draft" } }, "EIDTNT-003": { "name": { "value": "הגבלות גישה של משתמשי אורח", "status": "machine-draft" }, "description": { "value": "משתמשי אורח הם זהויות חיצוניות המוזמנות לשתף פעולה עם הארגון. כברירת מחדל, למשתמשי אורח עשויה להיות נראות רחבה מדי למדריך, כולל היכולת למנות משתמשים, קבוצות ויישומים. גישת אורח בלתי מוגבלת מאפשרת לצדדים חיצוניים למפות את מבנה הזהות של הארגון, לזהות יעדים בעלי ערך גבוה ולאסוף מודיעין להתקפות עוקבות. יש להגביל הרשאות אורח למינימום הנדרש לשיתוף פעולה.", "status": "machine-draft" }, "recommendedValue": { "value": "גישת משתמשי אורח מוגבלת לתכונות ולחברויות של אובייקטי המדריך שלהם עצמם בלבד", "status": "machine-draft" }, "remediationSteps": { "value": "נווט אל Entra ID > External Identities > External collaboration settings ובחן את הגבלות גישת האורח. הגדר את גישת האורח לאפשרות המגבילה ביותר המצמצמת אורחים לתכונות ולחברויות של אובייקטי המדריך שלהם עצמם. ודא שאורחים אינם יכולים למנות את רשימת המשתמשים המלאה, חברויות קבוצה או רישומי יישומים על ידי בדיקה עם חשבון אורח.", "status": "machine-draft" } }, "EIDTNT-004": { "name": { "value": "הגבלות הזמנת אורחים", "status": "machine-draft" }, "description": { "value": "הגדרות הזמנת אורחים שולטות מי יכול להזמין משתמשים חיצוניים לדייר, החל מאפשור לכל משתמש להזמין אורחים ועד להגבלת הזמנות למנהלים בלבד. הגדרות הזמנה מתירניות מאפשרות למשתמשים רגילים להזמין צדדים חיצוניים ללא פיקוח, ובכך פוטנציאלית מכניסות זהויות חיצוניות בלתי מבוקרות בעלות גישה למשאבי הארגון. יש להתאים את הגבלות ההזמנה לדרישות הממשל של שיתוף פעולה חיצוני בארגון.", "status": "machine-draft" }, "recommendedValue": { "value": "הזמנות אורח מוגבלות למשתמשים בעלי תפקידי מנהל ספציפיים או תפקיד guest inviter, ללא הפעלת גישת אורח בשירות עצמי", "status": "machine-draft" }, "remediationSteps": { "value": "נווט אל Entra ID > External Identities > External collaboration settings ובחן את הגדרות הזמנת האורח. הגבל את הזמנות האורח למשתמשים המוקצים לתפקיד Guest Inviter או לתפקידי מנהל ספציפיים במקום לאפשר לכל החברים להזמין. השבת את האפשרות לאורחים להזמין אורחים אחרים כדי למנוע שרשראות הזמנה בלתי נשלטות והקם זרימת אישור לבקשות הזמנת אורח.", "status": "machine-draft" } }, "EIDTNT-005": { "name": { "value": "הגדרות שיתוף פעולה חיצוני", "status": "machine-draft" }, "description": { "value": "הגדרות שיתוף הפעולה החיצוני מגדירות את היקף הדומיינים שמהם ניתן להזמין משתמשי אורח ואילו ארגונים חיצוניים יכולים לשתף פעולה עם הדייר. ללא הגבלות דומיין, ניתן להזמין אורחים מכל ארגון חיצוני, כולל מתחרים, גורמים מוגבלים או דיירים שבשליטת תוקף. יש להגדיר רשימות היתר או רשימות חסימה של דומיינים כדי להגביל את שיתוף הפעולה לארגוני שותפים מאושרים ולמנוע גישה חיצונית בלתי מורשית.", "status": "machine-draft" }, "recommendedValue": { "value": "שיתוף פעולה חיצוני מוגבל לדומיינים מותרים ספציפיים עם רשימת חסימה לדומיינים ידועים בסיכון גבוה", "status": "machine-draft" }, "remediationSteps": { "value": "נווט אל Entra ID > External Identities > External collaboration settings והגדר הגבלות שיתוף פעולה. הטמע רשימת היתר של דומיינים של שותפים מאושרים או רשימת חסימה של דומיינים ידועים בסיכון גבוה ושל מתחרים על סמך מודל שיתוף הפעולה של הארגון. בחן ועדכן את רשימת הדומיינים מדי רבעון כדי לשקף שינויים ביחסי השותפים וודא שהגבלות שיתוף הפעולה תואמות למדיניות סיווג הנתונים ושיתוף המידע.", "status": "machine-draft" } }, "EIDTNT-006": { "name": { "value": "מדיניות Azure B2B Cross-Tenant Access", "status": "machine-draft" }, "description": { "value": "מדיניות cross-tenant access מספקת שליטה גרעינית באופן שבו משתמשים מאמתים וניגשים למשאבים בעת שיתוף פעולה עם דיירי Entra ID חיצוניים. הגדרות cross-tenant access ברירת מחדל עשויות לאפשר גישה נכנסת ויוצאת רחבה שאינה תואמת לדרישות האבטחה של הארגון. מדיניות cross-tenant access המוגדרת כראוי מאפשרת שיתוף פעולה B2B מהימן תוך מניעת גישה בלתי מורשית מדיירים בלתי מהימנים ושליטה באילו משתמשים יכולים לגשת למשאבים חיצוניים.", "status": "machine-draft" }, "recommendedValue": { "value": "מדיניות cross-tenant access ברירת מחדל מוגדרת לחסימה עם כללי היתר מפורשים עבור דיירי שותפים מאושרים בלבד", "status": "machine-draft" }, "remediationSteps": { "value": "נווט אל Entra ID > External Identities > Cross-tenant access settings ובחן את הגדרות הגישה הנכנסת והיוצאת ברירת מחדל. הגדר את מדיניות ברירת המחדל כך שתגביל גישה נכנסת ויוצאת כאחד, ולאחר מכן צור מדיניות ספציפית לארגון עבור דיירי שותפים מאושרים עם בקרות גישה מתאימות. הפעל הגדרות אמון עבור דיירי שותפים כדי לקבל את טענות ה-MFA ועמידת המכשירים שלהם היכן שמתאים, ובכך להפחית חיכוך אימות בשיתופי פעולה מהימנים.", "status": "machine-draft" } }, "EIDTNT-007": { "name": { "value": "מצב הפעלה/השבתה של Security Defaults", "status": "machine-draft" }, "description": { "value": "Security defaults מספקים סט בסיסי של מנגנוני אבטחת זהות כולל דרישות רישום MFA, אתגרי MFA למנהלים וחסימת אימות מדור קודם. ארגונים המשתמשים במדיניות Conditional Access צריכים להשבית את security defaults כדי להימנע מהתנגשויות, אך דיירים ללא Conditional Access שגם השביתו את security defaults נותרים ללא הגנת בסיס מפני התקפות זהות נפוצות. בדיקה זו מאמתת שאו security defaults או מדיניות Conditional Access מקבילה מגינים על הדייר באופן פעיל.", "status": "machine-draft" }, "recommendedValue": { "value": "security defaults מופעלים עבור דיירים ללא Conditional Access. עבור דיירים עם Conditional Access, security defaults מושבתים עם מדיניות CA מקבילה או חזקה יותר", "status": "machine-draft" }, "remediationSteps": { "value": "בדוק אם security defaults מופעלים ב-Entra ID > Properties > Manage security defaults. אם security defaults מושבתים, ודא שמדיניות Conditional Access מספקת הגנה מקבילה או חזקה יותר כולל MFA לכל המשתמשים, חסימת אימות מדור קודם ו-MFA לפעולות ניהוליות. אם אין security defaults ואין מדיניות Conditional Access מקבילה, הפעל מיד את security defaults כאמצעי הגנת בסיס.", "status": "machine-draft" } }, "EIDTNT-008": { "name": { "value": "מלאי וניצול רישיונות", "status": "machine-draft" }, "description": { "value": "מלאי מקיף של הרישיונות המוקצים ושיעורי הניצול שלהם מספק נראות לתכונות האבטחה הזמינות ומזהה פערים פוטנציאליים שבהם יכולות מורשות אינן בשימוש. ארגונים עשויים לשלם עבור תכונות אבטחה מתקדמות כגון Entra ID P2, Microsoft Defender for Identity או Microsoft Sentinel שאינן פרוסות או מוגדרות במלואן. הבנת נוף הרישוי מבטיחה שכל יכולות האבטחה שנרכשו מופעלות ומנוצלות.", "status": "machine-draft" }, "recommendedValue": { "value": "כל הרישיונות ממופים עם מעקב ניצול וכל תכונות האבטחה המורשות פרוסות ומוגדרות במלואן", "status": "machine-draft" }, "remediationSteps": { "value": "בחן את סיכום הקצאת הרישיונות במרכז הניהול של Microsoft 365 או ב-Entra ID > Licenses > Overview. זהה רישיונות רלוונטיים לאבטחה כגון Entra ID P1/P2, Microsoft Defender for Identity ו-Microsoft 365 E5 Security. ודא שהתכונות הכלולות בכל רישיון מוגדרות ופרוסות באופן פעיל, וצור תוכנית להפעלת יכולות אבטחה בלתי מנוצלות שכבר מורשות.", "status": "machine-draft" } }, "EIDTNT-009": { "name": { "value": "תצורת יחידות ניהוליות", "status": "machine-draft" }, "description": { "value": "יחידות ניהוליות מספקות היקף ניהולי מואצל על ידי קיבוץ משתמשים, קבוצות ומכשירים למכולות לוגיות עם מנהלים ספציפיים המוקצים לנהל רק אותם אובייקטים. ללא יחידות ניהוליות, למנהלים מואצלים עשויה להיות גישה רחבה מהמיועד, או שהגבולות הניהוליים עשויים שלא לתאום למבנה הארגוני. יחידות ניהוליות המוגדרות כראוי אוכפות האצלה בהרשאה מזערית ומונעות חריגה ניהולית.", "status": "machine-draft" }, "recommendedValue": { "value": "יחידות ניהוליות מוגדרות בהתאם למודל ההאצלה הארגוני, כאשר restricted management administrative units משמשות לאובייקטים רגישים", "status": "machine-draft" }, "remediationSteps": { "value": "בחן את תצורת היחידות הניהוליות הקיימת ב-Entra ID > Roles and administrators > Administrative units. הערך אם המבנה הנוכחי תואם לדרישות ההאצלה הארגוניות ואם אובייקטים רגישים כגון חשבונות מורשים מוגנים על ידי restricted management administrative units. צור או שנה יחידות ניהוליות לפי הצורך כדי להבטיח שמנהלים יכולים לנהל רק אובייקטים בהיקף המיועד שלהם.", "status": "machine-draft" } }, "EIDTNT-010": { "name": { "value": "תצורת דומיין מותאם אישית", "status": "machine-draft" }, "description": { "value": "דומיינים מותאמים אישית הרשומים בדייר מגדירים את כתובת הדוא״ל וסיומות הכניסה המשמשות את הארגון. דומיינים בלתי מאומתים או בלתי מורשים עשויים להצביע על תצורה שגויה או על תוקף המנסה לבסס נוכחות בדייר. יש לאמת כל דומיין מותאם אישית באמצעות רשומות DNS ולבחון אותו באופן תקופתי כדי לוודא שכל הדומיינים עדיין בבעלות הארגון ושרשומות אימות ה-DNS נשארות תקינות.", "status": "machine-draft" }, "recommendedValue": { "value": "כל הדומיינים המותאמים אישית מאומתים, מנוהלים באופן פעיל ובעלי רשומות אימות DNS תקינות", "status": "machine-draft" }, "remediationSteps": { "value": "בחן את כל הדומיינים המותאמים אישית הרשומים ב-Entra ID > Custom domain names וודא שכל דומיין עדיין בבעלות הארגון ושרשומות אימות ה-DNS מוגדרות כראוי. הסר כל דומיין שאינו עוד בשימוש או שלא ניתן לאמת שהוא בבעלות הארגון. ודא שרישומי ה-DNS של הדומיין מוגנים בנעילות רשם ושתאריכי פקיעת הדומיין מנוטרים כדי למנוע אובדן דומיין בלתי מכוון.", "status": "machine-draft" } }, "EIDTNT-011": { "name": { "value": "הגדרות אבחון עבור יומני ביקורת וכניסה", "status": "machine-draft" }, "description": { "value": "Entra ID מייצר יומני ביקורת ויומני כניסה הקריטיים לניטור אבטחה, לחקירת אירועים ולדיווח עמידה בדרישות. ללא הגדרות אבחון המוגדרות לייצא יומנים אלו למיקום אחסון עמיד כגון Log Analytics workspace, חשבון Azure Storage או SIEM, היומנים נשמרים רק לתקופה מוגבלת בתוך Entra ID ועשויים להיות בלתי זמינים במהלך חקירת אירוע. תוקפים מכוונים באופן פעיל לתצורת התיעוד כדי להשבית או להתחמק מזיהוי.", "status": "machine-draft" }, "recommendedValue": { "value": "כל קטגוריות היומן של Entra ID (audit, sign-in, non-interactive sign-in, service principal sign-in, managed identity sign-in, provisioning) מיוצאות ל-Log Analytics workspace או ל-SIEM", "status": "machine-draft" }, "remediationSteps": { "value": "נווט אל Entra ID > Monitoring > Diagnostic settings וצור או אמת הגדרת אבחון המייצאת את כל קטגוריות היומן ל-Log Analytics workspace, חשבון Azure Storage או Event Hub לצריכת SIEM. ודא שכל קטגוריות היומן הזמינות נבחרות כולל audit logs, sign-in logs, non-interactive sign-in logs, service principal sign-in logs, managed identity sign-in logs ו-provisioning logs. אמת שלאחסון היעד יש מדיניות שמירה ובקרות גישה מתאימות מוגדרות.", "status": "machine-draft" } }, "EIDTNT-012": { "name": { "value": "הגדרות שמירת יומני ביקורת", "status": "machine-draft" }, "description": { "value": "שמירת יומני הביקורת קובעת כמה זמן אירועי אבטחה היסטוריים זמינים לחקירה, לדיווח עמידה בדרישות ולניתוח פורנזי. תקופות שמירה בלתי מספקות עלולות לגרום לכך שראיות קריטיות יהיו בלתי זמינות בעת חקירת אירועים המתגלים שבועות או חודשים לאחר הפריצה הראשונית. ארגונים צריכים לשמור יומני ביקורת למשך שנה אחת לפחות כדי לתמוך בצירי זמן של תגובה לאירועים ולעמוד בדרישות רגולטוריות נפוצות.", "status": "machine-draft" }, "recommendedValue": { "value": "יומני ביקורת נשמרים למשך שנה אחת לפחות במיקום אחסון בלתי ניתן לשינוי, כאשר לפחות 90 ימים ניתנים לשאילתה מיידית", "status": "machine-draft" }, "remediationSteps": { "value": "בחן את הגדרות השמירה ב-Log Analytics workspace, בחשבון Azure Storage או ביעד ה-SIEM שאליו מיוצאים יומני Entra ID. הגדר שמירה של 365 ימים לפחות עבור כל קטגוריות היומן של Entra ID כדי לתמוך בחקירת אירועים ובדרישות עמידה בדרישות. ודא שלפחות 90 ימים של יומנים ניתנים לשאילתה מיידית ללא פעולות שחזור, והטמע אחסון בלתי ניתן לשינוי או מדיניות write-once כדי למנוע שיבוש של נתוני יומן היסטוריים.", "status": "machine-draft" } }, "EIDTNT-013": { "name": { "value": "ביקורת הגדרות התראה", "status": "machine-draft" }, "description": { "value": "הגדרות ההתראה של Entra ID שולטות מי מקבל התראות על אירועי אבטחה קריטיים כגון משתמשים בסיכון, דוחות תקציר שבועיים והתראות ניהוליות. הגדרות התראה שגויות עלולות לגרום להתראות אבטחה להישלח לתיבות דואר בלתי פעילות, לעובדים לשעבר או שלא להישלח כלל. ניתוב התראות נאות מבטיח שאירועים רלוונטיים לאבטחה יגיעו לאנשים המתאימים לחקירה ותגובה בזמן.", "status": "machine-draft" }, "recommendedValue": { "value": "כל התראות האבטחה מנותבות לתיבות דואר פעילות ומנוטרות השייכות לאנשי מבצעי אבטחה נוכחיים", "status": "machine-draft" }, "remediationSteps": { "value": "בחן את הגדרות ההתראה ברחבי Entra ID כולל נמעני התראות Identity Protection, הגדרות התראות איפוס סיסמה ואנשי קשר להתראות טכניות. ודא שכל נמעני ההתראות הם עובדים נוכחיים בעלי תיבות דואר מנוטרות באופן פעיל ועדכן כל הפניה לעובדים לשעבר או לרשימות תפוצה בלתי פעילות. הגדר את ההתראות כך שיישלחו לרשימת תפוצה של מבצעי אבטחה במקום למשתמשים בודדים כדי להבטיח רציפות בעת חילופי כוח אדם.", "status": "machine-draft" } }, "EIDTNT-014": { "name": { "value": "פקיעת סיסמת משתמש מושבתת (סיסמאות לעולם אינן פוקעות)", "status": "machine-draft" }, "description": { "value": "החלפת סיסמאות תקופתית מחייבת מובילה משתמשים לסיסמאות צפויות, חלשות וממוחזרות ומספקת ערך הגנתי מועט כאשר MFA והגנות פרטי הזדהות מודרניות קיימות. בהתאם להנחיות NIST SP 800-63B ו-OMB M-22-09, יש להגדיר סיסמאות משתמש כך שלעולם לא יפקעו. ב-Entra ID הדבר נשלט לכל דומיין מאומת על ידי התכונה passwordValidityPeriodInDays; הערך 2147483647 מציין שהסיסמאות מוגדרות כך שלעולם לא יפקעו. בדיקה זו בוחנת כל דומיין מנוהל ומסמנת כל דומיין שעדיין אוכף תקופת פקיעת סיסמה סופית.", "status": "machine-draft" }, "recommendedValue": { "value": "passwordValidityPeriodInDays מוגדר ל-2147483647 (לעולם לא פוקע) בכל הדומיינים המנוהלים", "status": "machine-draft" }, "remediationSteps": { "value": "הגדר את מדיניות פקיעת הסיסמה כך שסיסמאות לעולם לא יפקעו, בהתאם ל-SCuBA MS.AAD.6.1. במרכז הניהול של Microsoft 365 עבור אל Settings > Org settings > Security & privacy > Password expiration policy ובחר Set passwords to never expire. באופן שקול, עבור כל דומיין מנוהל הגדר את passwordValidityPeriodInDays ל-2147483647 (לעולם לא פוקע). ודא שבקרות מפצות נשארות קיימות: MFA נאכף, הגנת סיסמאות אסורות ותיקון פרטי הזדהות מבוסס סיכון.", "status": "machine-draft" } }, "EIDTNT-015": { "name": { "value": "גישת ניהול מואצלת מורשית של שותפים (GDAP)", "status": "machine-draft" }, "description": { "value": "Granular Delegated Admin Privileges (GDAP) מאפשרות ל-CSP או לשותף שירותים מנוהלים להחזיק בתפקידים ניהוליים קבועים בדייר שלך. יחסים אלו בלתי נראים ברוב תצוגות הניהול היומיומיות, נבחנים לעתים רחוקות ומהווים נתיב התפשטות מסוג Kaseya: תוקף הפורץ לשותף אחד יורש ניהול מואצל בכל דייר לקוח במורד הזרם בבת אחת. יחסי שותף הנושאים תפקיד מדריך Tier-0 / בעל השפעה גבוהה (Global Administrator, Privileged Role Administrator, Privileged/Authentication Administrator, Security Administrator, User/Password/Application/Cloud Application Administrator) הם למעשה סט מפתחות חיצוני לממלכה. בדיקה זו ממפה delegatedAdminRelationships פעילים ונכשלת (FAIL) כאשר יחסים פעילים כלשהם מעניקים אחד מהתפקידים המורשים הללו; היא מזהירה כאשר קיימת גישת שותף בלתי מורשית כדי שניתן יהיה לאשר ולתחום אותה, ועוברת רק כאשר אין ניהול מואצל פעיל של שותף. תוצאות ריקות נחשבות ל'אין יחסים' רק כאשר האיסוף הצליח, קריאה שנכשלה מוצפת כ-Not Assessed, לעולם לא כמעבר נקי.", "status": "machine-draft" }, "recommendedValue": { "value": "אף יחס GDAP פעיל אינו מעניק תפקיד מדריך מורשה; גישת השותף היא בהרשאה מזערית, מוגבלת בזמן ונבחנת", "status": "machine-draft" }, "remediationSteps": { "value": "בחן כל יחס ניהול מואצל של שותף (GDAP) פעיל ב-Microsoft Entra admin center > Identity > External Identities > Cross-tenant access (Partner-led) וב-Microsoft 365 admin center > Settings > Partner relationships. עבור כל יחס, הסר תפקידי Tier-0 / בעלי השפעה גבוהה (Global Administrator, Privileged Role Administrator, Privileged Authentication Administrator, Security Administrator, User/Password/Application/Cloud Application Administrator) אלא אם קיים צורך מתועד ומוגבל בזמן. החלף האצלה מורשית קבועה בתפקידי הרשאה מזערית, בקש הסלמה בזמן אמת דרך ה-PIM של השותף עצמו היכן שאפשר, וסיים כל יחס שאינו עוד נדרש. ודא שהדייר של השותף עצמו אוכף MFA עמיד בפני דיוג עבור המנהלים המפעילים גישה זו.", "status": "machine-draft" } }, "EIDTNT-016": { "name": { "value": "היגיינת הענקת ניהול מואצל של שותפים (GDAP ארוך טווח)", "status": "machine-draft" }, "description": { "value": "משך יחס GDAP הוא חלון ההארכה האוטומטית שלו: כאשר הוא פג הוא מתחדש לתקופה זו ללא כל בחינה אנושית. הארכה אוטומטית ארוכה (מעבר לשנה) היא אפוא הענקה קבועה ומתחדשת מעצמה של גישה ניהולית של שותף, ההפך מגישה בזמן אמת, והיא בדיוק סוג היחסים הנשכחים ששורדים מעבר להתקשרות שיצרה אותם. בדיקה זו בוחנת delegatedAdminRelationships פעילים ומזהירה כאשר יחס כלשהו מתארך אוטומטית מעבר ל-365 ימים; יחס שמשכו לא ניתן לקביעה מטופל בזהירות כארוך טווח במקום להניח שהוא תקין. היא עוברת רק כאשר כל היחסים הפעילים מתארכים אוטומטית בתוך שנה. זהו אות היגיינה/ממשל המשלים את EIDTNT-015 (המדרג את ההרשאה שהשותף מחזיק); כאן העניין הוא כמה זמן ההענקה נמשכת ללא בחינה.", "status": "machine-draft" }, "recommendedValue": { "value": "כל יחסי ה-GDAP הפעילים מתארכים אוטומטית בתוך 365 ימים ונבחנים בכל חידוש", "status": "machine-draft" }, "remediationSteps": { "value": "עבור כל יחס ניהול מואצל של שותף (GDAP) פעיל, הגדר את משך ההארכה האוטומטית הקצר ביותר המתאים להתקשרות (הימנע מהענקות קבועות רב-שנתיות), ותזמן בחינה בכל חידוש. ב-Microsoft 365 admin center תחת Settings > Partner relationships, ודא שכל יחס עדיין נדרש וסיים יחסים מיושנים. העדף האצלות קצרות וניתנות לחידוש על פני גישה מתארכת אוטומטית ארוכת טווח כך שניהול השותף מאושר מחדש במכוון ולא כברירת מחדל.", "status": "machine-draft" } } } |