Det här begär PIANOLA från er miljö

Läser katalogobjekt (användare, grupper, organisationsuppgifter). Grunden för nulägesbilden av er miljö.

Läser administratörsroller och tilldelningar. Används för att hitta överflödiga globala administratörer och dokumentera vem som har vilka privilegier.

Läser organisationsuppgifter som domäner och licenser. Verifierar miljön vid anslutning.

Läser Conditional Access och övriga policys. Används för att se att MFA täcker alla och att inga policys ligger kvar i rapportläge.

Läser Conditional Access-policys i detalj för att bedöma åtkomstskyddet.

Läser inloggningar och händelser i revisionsloggen. Används för att upptäcka avvikande mönster och bygga beviskedja per åtgärd.

Läser säkerhetshändelser från Microsoft Defender.

Läser säkerhetslarm från Defender för att visa aktiva hot i översikten.

Läser säkerhetsincidenter från Defender.

Läser användnings- och Secure Score-rapporter. Underlag för Riskindex och historik.

Läser inkorgsregler och vidarebefordran. Vi öppnar inte innehållet i er mejl, vi tittar på regler som skickar mejl externt eller raderar automatiskt.

Läser delningsinställningar för SharePoint och OneDrive. Används för att hitta för öppen extern delning.

Läser SharePoints administrationsinställningar för er miljö (äldre autentisering, standardlänktyp, versionshistorik, gästlagring) via PnP.PowerShell. Namnet låter brett, men Microsoft erbjuder ingen lägre läsroll för administrationssajten. PIANOLA använder det uteslutande för läsning och kör aldrig någon skriv-åtgärd med det.

Läser appregistreringar och tredjepartsappar i miljön. Används för att hitta riskabla OAuth-appar.

Läser Intune-konfigurations- och efterlevnadsprofiler. Verifierar att grundskyddet på enheter är aktivt.

Läser hanterade enheter och deras status från Intune.

Skapar och uppdaterar Conditional Access-policys. Används av åtgärden som aktiverar MFA för alla med break-glass-undantag och för att stänga av äldre inloggningsprotokoll.

Uppdaterar miljöns auktoriseringspolicy. Används av åtgärderna som begränsar användarsamtycke till okända appar och stramar åt gästinbjudningar.

Behörigheten är bred, men PIANOLA använder den bara för att inaktivera ett vilande administratörskonto efter ert godkännande. Vi ändrar inte lösenord och skapar inga konton.

Behörigheten är bred, men PIANOLA använder den bara för att inaktivera en skadlig eller riskklassad app efter ert godkännande.

Återkallar OAuth-samtycke. Används av åtgärden som drar tillbaka en användares samtycke till en riskabel app.

Inaktiverar misstänkta inkorgsregler och extern vidarebefordran efter ert godkännande.

Återkallar för öppen extern delning och sätter en stramare standard. Används av delningsåtgärderna.

Tilldelas som en Exchange-roll, inte som en Graph-behörighet. Används av åtgärden som stänger av äldre mejlprotokoll (POP/IMAP/Basic Auth).