PIM 與 Identity Protection 的區別

软件技术 云计算
,
1

Your company has an Azure Active Directory (Azure AD) environment. Users occasionally connect to Azure AD via the Internet.

You have been tasked with making sure that users who connect to Azure AD via the internet from an unidentified IP address, are automatically encouraged to change passwords.

Solution: You configure the use of Azure AD Privileged Identity Management.

Does the solution meet the goal?

提供答案和解答

2025-10-09_09-42-30
2025-10-09_09-42-30801×789 149 KB

Azure AD Privileged Identity Management (PIM) 只提供基于时间的访问控制。

这个选项并不会是涉及到用户密码的重新权限等。

2

好的，這是一個關於 Azure AD 安全性的典型場景。

答案 (Answer):

不 (No)

解答 (Explanation):

該解決方案無法達成目標。

  1. Azure AD Privileged Identity Management (PIM) 的用途：
    PIM 的主要功能是管理、控制和監視組織中對重要資源的特權存取 (privileged access)。它提供「及時 (Just-In-Time)」的管理員角色存取、存取審核、核准工作流程等，旨在降低與永久管理員權限相關的風險。PIM 與根據一般使用者的登入 IP 位址來強制其變更密碼無關。

  2. 正確的解決方案：
    要達成這個目標，你應該使用 Azure AD Identity Protection 和 條件式存取 (Conditional Access) 原則。

    正確的作法如下：

    • 使用 Azure AD Identity Protection 的登入風險原則 (Sign-in risk policy)。
    • 條件 (Condition): Identity Protection 可以偵測各種登入風險，其中就包括「不熟悉的登入屬性 (Unfamiliar sign-in properties)」。這完全符合題目中「從一個未識別的 IP 位址」連線的情境。
    • 控制 (Control): 你可以設定當偵測到中度或高度的登入風險時，自動執行的動作。其中一個可用的控制項就是「要求變更密碼 (Require password change)」。

    總結來說：

    • 錯誤的工具： PIM 用於管理管理員角色。
    • 正確的工具： Identity Protection 用於偵測和修復使用者登入風險。

因此，僅設定 PIM 並不能讓來自不明 IP 的使用者被提示變更密碼。你需要設定 Identity Protection 的登入風險原則。