AZIAM-009: Definiciones de roles RBAC personalizados
- Plataforma
- Entra ID / M365
- Categoría
- Azure IAM & Resource Security
- Severidad
- Medium
- Pilar de Zero Trust
- Identity (peso 3)
- Fixtures de referencia
- 4
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
Los roles RBAC personalizados de Azure proporcionan permisos adaptados más allá de lo que ofrecen los roles integrados, pero pueden otorgar de forma inadvertida combinaciones de acciones excesivas o peligrosas. Los roles personalizados mal delimitados con permisos comodín o ámbitos asignables demasiado amplios crean rutas de escalada de privilegios. Cada rol personalizado debe revisarse para garantizar que siga los principios de privilegio mínimo y no combine operaciones sensibles.
Valor recomendado
Minimice las definiciones de roles personalizados; evite las acciones comodín; restrinja los ámbitos asignables a grupos de administración o suscripciones específicos
Remediación
Enumere todas las definiciones de roles RBAC personalizados y revise sus actions, notActions, dataActions y ámbitos asignables en busca de configuraciones demasiado permisivas. Elimine cualquier permiso comodín (*/*, Microsoft.*/*, etc.) y reemplácelo por cadenas de acción específicas necesarias para la función del rol. Documente la justificación de negocio de cada rol personalizado y evalúe si un rol integrado o una combinación de roles integrados podría reemplazar la definición personalizada.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | WARN |
| no-data | Not Assessed |
| partial-collection | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-6
- CIS Azure
- 1.23