Un abbonamento Azure contiene un'applicazione personalizzata (Application1) sviluppata da una società esterna (Fabrikam, Ltd.). Ai developer di Fabrikam è stato concesso l'accesso basato sui ruoli ai componenti di Application1. Proporre una soluzione a basso sviluppo che: (1) invii al manager dei developer un'e-mail mensile che elenchi le autorizzazioni di accesso a Application1 e (2) revochi automaticamente qualsiasi autorizzazione che il manager non confermi. Cosa si dovrebbe raccomandare?

La creazione di una revisione degli accessi in Azure AD per Application1 è la soluzione migliore perché soddisfa entrambi i requisiti con il minimo sforzo di sviluppo. Le revisioni degli accessi consentono di esaminare regolarmente le assegnazioni di ruolo, inviare notifiche ai revisori (come il manager dei developer) e revocare automaticamente gli accessi non confermati. Le altre opzioni non sono adatte: Un runbook di Azure Automation con Get-AzRoleAssignment può elencare le autorizzazioni, ma richiederebbe uno sviluppo significativo per inviare e-mail, raccogliere conferme e revocare automaticamente gli accessi non confermati. La creazione di un'assegnazione di ruolo personalizzata in Privileged Identity Management (PIM) non risolve il problema della revisione e della revoca automatica degli accessi esistenti; PIM si concentra sulla gestione just-in-time e just-enough access. Un runbook di Azure Automation con Get-AzureADUserAppRoleAssignment è simile all'opzione Get-AzRoleAssignment e richiederebbe comunque uno sviluppo estensivo per soddisfare tutti i requisiti.