Der Umfang sollte eng genug für die Aufgabe sein und nicht länger bestehen als nötig. Es gilt für Alltagskonten ebenso wie für Administratoren, Anwendungen, Automatisierung und Maschinenidentitäten.
Das Prinzip umzusetzen erfordert mehr, als einmal Rollen zuzuweisen. Organisationen müssen tatsächliche Aufgaben- und Systemfunktionen verstehen, privilegierte von routinemäßiger Aktivität trennen, ungenutzte Rechte entfernen, vererbte und kombinierte Berechtigungen überprüfen und kontrollierte Wege für Ausnahmezugriff schaffen. Der Zugriff sollte sich ändern, wenn sich Verantwortlichkeiten, Systeme oder Risiken ändern.
Wichtigste Punkte
Scope-DimensionenWelche Ressourcen, Aktionen, Daten, Umgebungen, Identitäten, Standorte und Zeiträume autorisiert sind.
Praktische KontrollenGranulare Rollen, getrennte Administratorkonten, Genehmigung für Privilegienerweiterung, Zugriffsüberprüfungen, Eigentümerschaft für Dienstkonten und zeitnahes Entfernen veralteter Berechtigungen.
VerifikationEffektive Berechtigungen testen, statt sich nur auf Rollennamen oder Richtlinienabsicht zu verlassen, und überwachen, wie privilegierte Fähigkeiten tatsächlich genutzt werden.
Wichtige EinschränkungEine eng benannte Rolle kann durch Vererbung, Gruppenverschachtelung, Berechtigungskombinationen oder schwache nachgelagerte Kontrollen dennoch übermächtig sein. Least Privilege ist ein fortlaufend zu verifizierender Zustand.