Aktivieren meiner Azure-Ressourcenrollen in Privileged Identity Management

Wenn Sie eine Azure-Ressourcenrolle übernehmen müssen, können Sie in Privileged Identity Management über die Navigationsoption Meine Rollen die Aktivierung anfordern.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Administrator für privilegierte Rollen an.

2. Navigieren Sie zu Identitätsgovernance>Privileged Identity Management>Meine Rollen.

   

3. Wählen Sie Azure-Ressourcenrollen aus, um eine Liste der Azure-Ressourcenrollen anzuzeigen, für die Sie berechtigt sind.

   

4. Wechseln Sie in der Liste Azure-Ressourcenrollen zur Rolle, die Sie aktivieren möchten.

   

5. Wählen Sie Aktivieren aus, um die Seite „Aktivieren“ zu öffnen.

   

6. Wenn Ihre Rolle eine Multi-Faktor-Authentifizierung erfordert, wählen Sie Überprüfen Sie Ihre Identität, bevor Sie den Vorgang fortsetzen aus. Sie müssen sich nur einmal pro Sitzung authentifizieren.

7. Wählen Sie Meine Identität überprüfen aus, und folgen Sie den Anweisungen zur Bereitstellung einer zusätzlichen Sicherheitsüberprüfung.

   

8. Wenn Sie einen reduzierten Bereich angeben möchten, wählen Sie Bereich aus, um „Ressourcenfilter“ zu öffnen.

   Es wird empfohlen, nur Zugriff auf die Ressourcen anzufordern, die Sie benötigen. Im Bereich „Ressourcenfilter“ können Sie die Ressourcengruppen bzw. angeben, auf die Sie Zugriff haben möchten.

   

9. Falls erforderlich, geben Sie einen Startzeitpunkt für die Aktivierung an. Das Mitglied wird nach dem ausgewählten Zeitpunkt aktiviert.

10. Geben Sie im Feld Grund den Grund für die Aktivierungsanforderung ein.

11. Wählen Sie Aktivierenaus.

    Hinweis

    Wenn für die Aktivierung der Rolle eine Genehmigung erforderlich ist, werden Sie über eine Benachrichtigung in der oberen rechten Ecke des Browsers darüber informiert, dass die Genehmigung der Anforderung aussteht.

Privileged Identity Management unterstützt ARM-API-Befehle (Azure Resource Manager) zum Verwalten von Azure-Ressourcenrollen, wie in der ARM-API-Referenz von PIM dokumentiert. Informationen zu den Berechtigungen, die für die Verwendung der PIM-API erforderlich sind, finden Sie unter Verstehen der Privileged Identity Management-APIs.

Verwenden Sie zum Aktivieren einer berechtigten Azure-Rollenzuweisung und zum Erhalten des aktivierten Zugriffs die REST-API zum Erstellen von Rollenzuweisungsplananforderungen, um eine neue Anforderung zu erstellen und den Sicherheitsprinzipal, die Rollendefinition, „requestType = SelfActivate“ und den Bereich anzugeben. Sie müssen über eine berechtigte Rollenzuweisung für den Bereich verfügen, um diese API aufrufen zu können.

Verwenden Sie ein GUID-Tool, um einen eindeutigen Bezeichner zu generieren, der für den Bezeichner der Rollenzuweisung verwendet wird. Das Format des Bezeichners lautet „00000000-0000-0000-0000-000000000000“.

Ersetzen Sie in der folgenden PUT-Anforderung den Platzhalter „{roleAssignmentScheduleRequestName}“ durch den global eindeutigen Bezeichner (Globally Unique Identifier, GUID) der Rollenzuweisung.

Weitere Informationen zum Verwalten von berechtigten Rollen für Azure-Ressourcen finden Sie in diesem Tutorial zu PIM und zur ARM-API.

Im Folgenden finden Sie eine Beispiel-HTTP-Anforderung zum Aktivieren einer berechtigten Zuweisung für eine Azure-Rolle.

Anforderung

PUT https://management.azure.com/providers/Microsoft.Subscription/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignmentScheduleRequests/{roleAssignmentScheduleRequestName}?api-version=2020-10-01

Anforderungstext

{ 
"properties": { 
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222", 
  "roleDefinitionId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleDefinitions/c8d4ff99-41c3-41a8-9f60-21dfdad59608", 
  "requestType": "SelfActivate", 
  "linkedRoleEligibilityScheduleId": "b1477448-2cc6-4ceb-93b4-54a202a89413", 
  "scheduleInfo": { 
      "startDateTime": "2020-09-09T21:35:27.91Z", 
      "expiration": { 
          "type": "AfterDuration", 
          "endDateTime": null, 
          "duration": "PT8H" 
      } 
  }, 
  "condition": "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:ContainerName] StringEqualsIgnoreCase 'foo_storage_container'", 
  "conditionVersion": "1.0" 
} 
} 

Antwort

Statuscode: 201

Sie können den Status Ihrer ausstehenden Aktivierungsanforderungen anzeigen.

1. Öffnen Sie „Microsoft Entra Privileged Identity Management“.

2. Wählen Sie Meine Anforderungen aus, um eine Liste mit Ihren Anforderungen von Microsoft Entra-Rollen und Azure-Ressourcenrollen anzuzeigen.

   

3. Scrollen Sie nach rechts, um die Spalte Anforderungsstatus anzuzeigen.

Sollten Sie die Aktivierung einer Rolle, für die eine Genehmigung erforderlich ist, nicht mehr benötigen, können Sie eine ausstehende Anforderung jederzeit abbrechen.

1. Öffnen Sie Microsoft Entra Privileged Identity Management.

2. Wählen Sie Meine Anforderungen aus.

3. Wählen Sie für die Rolle, für die Sie eine ausstehende Anforderung abbrechen möchten, den Link Abbrechen aus.

   When you select Cancel, the request will be canceled. To activate the role again, you will have to submit a new request for activation.
   

   

Wenn eine Rollenzuweisung aktiviert ist, wird im PIM-Portal die Option Deaktivieren für die Rollenzuweisung angezeigt. Außerdem können Sie eine Rollenzuweisung nicht innerhalb von fünf Minuten nach Aktivierung deaktivieren.

Aktivieren mit Azure-Portal

Die Rollenaktivierung in Privileged Identity Management wurde in die Erweiterungen „Abrechnung“ und „Zugriffssteuerung (AD)“ innerhalb des Azure-Portals integriert. Mit Verknüpfungen zu Abonnements (Abrechnung) und der Zugriffssteuerung (AD) können Sie PIM-Rollen direkt auf diesen Blättern aktivieren.

Wählen Sie auf dem Blatt „Abonnements“ im horizontalen Befehlsmenü die Option „Berechtigte Abonnements anzeigen“ aus, um Ihre berechtigten, aktiven und abgelaufenen Zuweisungen zu überprüfen. Von dort aus können Sie eine berechtigte Zuweisung im selben Bereich aktivieren.

In der Zugriffssteuerung (IAM) für eine Ressource können Sie jetzt „Meinen Zugriff anzeigen“ auswählen, um Ihre derzeit aktiven und berechtigten Rollenzuweisungen anzuzeigen und direkt zu aktivieren.

Durch die Integration von PIM-Funktionen in verschiedene Blätter des Azure-Portals ermöglicht Ihnen dieses neue Feature den temporären Zugriff, um Abonnements und Ressourcen einfacher anzuzeigen oder zu bearbeiten.

Aktivieren von PIM-Rollen mithilfe der mobilen Azure-App

PIM ist jetzt in den mobilen Apps von Microsoft Entra ID und Azure-Ressourcenrollen sowohl für iOS als auch für Android verfügbar.

1. Um eine berechtigte Microsoft Entra-Rollenzuweisung zu aktivieren, laden Sie zunächst die mobile Azure-App herunter (iOS | Android). Sie können die App auch herunterladen, indem Sie Auf Mobilgerät öffnen unter „Privileged Identity Management > Meine Rollen > Microsoft Entra-Rollen“ auswählen.

   

2. Öffnen Sie die mobile Azure-App, und melden Sie sich an. Klicken Sie auf die Karte „Privileged Identity Management“, und wählen Sie Meine Azure-Ressourcenrollen aus, um Ihre berechtigten und aktiven Rollenzuweisungen anzuzeigen.

   

3. Wählen Sie die Rollenzuweisung aus, und klicken Sie unter den Rollenzuweisungsdetails auf Aktion > Aktivieren. Führen Sie die Schritte zum Aktivieren aus, und geben Sie alle erforderlichen Details ein, bevor Sie unten auf Aktivieren klicken.

   

4. Zeigen Sie den Status Ihrer Aktivierungsanforderungen und Ihre Rollenzuweisungen unter „Meine Azure-Ressourcenrollen“ an.