Ein Azure-Abonnement enthält eine benutzerdefinierte Anwendung (Application1), die von einem externen Unternehmen (Fabrikam, Ltd.) entwickelt wurde. Den Fabrikam-Entwicklern wurde rollenbasierter Zugriff auf Komponenten von Application1 gewährt. Schlagen Sie eine entwicklungsarme Lösung vor, die: (1) dem Manager der Entwickler eine monatliche E-Mail mit den Zugriffsberechtigungen für Application1 sendet und (2) automatisch alle Berechtigungen widerruft, die der Manager nicht bestätigt. Was sollten Sie empfehlen?

Eine Zugriffsüberprüfung in Azure Active Directory (Azure AD) ist die empfohlene Lösung, da sie genau die Anforderungen erfüllt: Sie kann so konfiguriert werden, dass sie monatliche E-Mails an den Manager sendet, um die Zugriffsberechtigungen für Application1 zu überprüfen, und nicht bestätigte Berechtigungen automatisch widerruft. Dies ist ein integriertes Feature für Governance und Compliance. Ein Azure Automation-Runbook mit Get-AzRoleAssignment würde nur die aktuellen Zuweisungen abrufen, aber keine Überprüfung oder automatische Widerrufung durchführen. Eine benutzerdefinierte Rollenzuweisung in Privileged Identity Management (PIM) ist für die Verwaltung von Just-in-Time-Zugriff gedacht, nicht für regelmäßige Überprüfungen. Get-AzureADUserAppRoleAssignment würde ebenfalls nur Zuweisungen abrufen, aber keine Überprüfungs- und Widerrufslogik bieten.