MSP FAQ: cum să guvernezi accesul între tenanturi fără un „god admin”

Un mod frecvent de eșec în operațiunile MSP este un cont de tehnician sau de automatizare cu drepturi de administrator permanente în toate tenanturile clienților — un „god admin” care transformă o singură credențială compromisă într-o breșă a întregii baze de clienți. Modelul Granular Delegated Admin Privileges (GDAP) de la Microsoft, creat pentru propriul ecosistem de parteneri, ilustrează alternativa.

Ce schimbă GDAP

Înainte de GDAP, agenții de administrare ai unui partener puteau prelua un rol de Global Administrator în tenantul unui client pe termen nelimitat. GDAP înlocuiește acest lucru cu acces granular — limitat la anumite roluri administrative — și limitat în timp și impune clientului să acorde în mod explicit acel acces, nu să îl moștenească automat. Ghidul Microsoft privind rolurile merge mai departe, asociind fiecare sarcină administrativă rolului încorporat cu privilegii minime care o poate executa, în loc să recurgă la un rol administrativ larg doar pentru că este convenabil.

Aplicarea aceluiași model dincolo de Microsoft 365

Tiparul GDAP se generalizează la orice stivă SaaS pe care un MSP o administrează în numele unui client: fiecare tenant de client ar trebui să fie propria sa graniță de guvernanță, identitățile tehnicienilor și cele de automatizare ar trebui să fie distincte, iar accesul ridicat ar trebui să expire, nu să persiste. Un fir de discuție de pe forumul Non-Human Identity Management Group expune clar riscul subiacent: izolarea slabă a tenanturilor transformă comoditatea operațională într-un risc partajat la nivelul fiecărui client de pe platformă.

O listă de verificare practică

• Fără un rol permanent de Global Administrator sau echivalent care să acopere toate tenanturile clienților.
• Limitați rolurile de partener/tehnician per client și revizuiți-le după un program fix.
• Păstrați o cale separată de urgență (break-glass) cu elevare limitată în timp, legată de un tichet.
• Oferiți automatizării propria identitate cu privilegii minime, distinctă de cea a oricărui tehnician.
• Păstrați jurnale de audit per tenant, căutabile în funcție de client.

Lecția se generalizează dincolo de Microsoft 365: indiferent ce platformă folosește un MSP pentru a ajunge la tenanturile clienților, accesul ar trebui să fie delimitat, limitat în timp și per client — nu o singură identitate de administrator care deschide orice ușă.

Surse: Microsoft Learn — Introducere în GDAP, Non-Human Identity Management Group — administrarea SaaS multi-tenant pentru MSP-uri.