Activación de mis roles de recursos de Azure en Privileged Identity Management

Cuando necesite asumir un rol de recurso de Azure, puede solicitar la activación mediante la opción de navegación Mis roles mis roles en Privileged Identity Management.

1. Inicie sesión en el centro de administración de Microsoft Entra como mínimo un administrador de roles con privilegios .

2. Vaya a Identity governance>Privileged Identity Management>Mis roles.

   

3. Seleccione roles de recursos de Azure para ver una lista de los roles de recursos de Azure aptos.

   

4. En la lista roles de recursos de Azure, busque el rol que desea activar.

   

5. Seleccione Activar para abrir la página Activar.

   

6. Si el rol requiere autenticación multifactor, seleccione Comprobar la identidad antes de continuar. Solo tiene que autenticarse una vez por sesión.

7. Seleccione Comprobar mi identidad y siga las instrucciones para proporcionar una comprobación de seguridad adicional.

   

8. Si desea especificar un ámbito reducido, seleccione Ámbito para abrir el panel Filtro de recursos.

   Se recomienda solicitar acceso solo a los recursos que necesita. En el panel Filtro de recursos, puede especificar los grupos de recursos o los recursos a los que necesita acceder.

   

9. Si es necesario, especifique una hora de inicio de activación personalizada. El miembro se activaría después de la hora seleccionada.

10. En el cuadro Motivo, escriba el motivo de la solicitud de activación.

11. Seleccione Activar.

    Nota

    Si el rol de requiere aprobación para activarse, aparecerá una notificación en la esquina superior derecha del explorador que le informa de que la solicitud está pendiente de aprobación.

Privileged Identity Management admite comandos de API de Azure Resource Manager para administrar roles de recursos de Azure, tal como se documenta en la referencia de API de ARM de PIM de . Para obtener los permisos necesarios para usar la API de PIM, consulte Descripción de las API de Privileged Identity Management.

Para activar una asignación de roles de Azure apta y obtener acceso activado, use el solicitudes de programación de asignación de roles: cree una API REST para crear una nueva solicitud y especificar la entidad de seguridad, la definición de roles, requestType = SelfActivate y el ámbito. Para llamar a esta API, debe tener una asignación de roles apta en el ámbito.

Use una herramienta GUID para generar un identificador único para el identificador de asignación de roles. El identificador tiene el formato: 000000000-0000-0000-0000-0000000000000.

Reemplace {roleAssignmentScheduleRequestName} en la solicitud PUT por el identificador GUID de la asignación de roles.

Para más información sobre los roles aptos para la administración de recursos de Azure, consulte tutorial de API de ARM de PIM.

Se trata de una solicitud HTTP de ejemplo para activar una asignación apta para un rol de Azure.

Pedir

PUT https://management.azure.com/providers/Microsoft.Subscription/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignmentScheduleRequests/{roleAssignmentScheduleRequestName}?api-version=2020-10-01

Cuerpo de la solicitud

{ 
"properties": { 
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222", 
  "roleDefinitionId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleDefinitions/c8d4ff99-41c3-41a8-9f60-21dfdad59608", 
  "requestType": "SelfActivate", 
  "linkedRoleEligibilityScheduleId": "b1477448-2cc6-4ceb-93b4-54a202a89413", 
  "scheduleInfo": { 
      "startDateTime": "2020-09-09T21:35:27.91Z", 
      "expiration": { 
          "type": "AfterDuration", 
          "endDateTime": null, 
          "duration": "PT8H" 
      } 
  }, 
  "condition": "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:ContainerName] StringEqualsIgnoreCase 'foo_storage_container'", 
  "conditionVersion": "1.0" 
} 
} 

Respuesta

Código de estado: 201

Puede ver el estado de las solicitudes pendientes para activarse.

1. Abra Microsoft Entra Privileged Identity Management.

2. Seleccione Mis solicitudes para ver una lista de las solicitudes de rol de Microsoft Entra y de recursos de Azure.

   

3. Desplácese a la derecha para ver la columna Estado de la solicitud.

Si no necesita la activación de un rol que requiera aprobación, puede cancelar una solicitud pendiente en cualquier momento.

1. Abra Microsoft Entra Privileged Identity Management.

2. Seleccione Mis solicitudes.

3. Para el rol que desea cancelar, seleccione el vínculo Cancelar .

   When you select Cancel, the request will be canceled. To activate the role again, you will have to submit a new request for activation.
   

   

Cuando se activa una asignación de roles, verá una opción Desactivar en el portal de PIM para la asignación de roles. Además, no puede desactivar una asignación de roles en un plazo de cinco minutos después de la activación.

Activación con Azure Portal

La activación de roles de Privileged Identity Management se integra en las extensiones Billing and Access Control (AD) dentro de Azure Portal. Los accesos directos a suscripciones (facturación) y Control de acceso (AD) permiten activar roles de PIM directamente desde estas hojas.

En la hoja Suscripciones, seleccione "Ver suscripciones aptas" en el menú de comandos horizontal para comprobar las asignaciones válidas, activas y expiradas. Desde allí, puede activar una asignación apta en el mismo panel.

En Control de acceso (IAM) para un recurso, ahora puede seleccionar "Ver mi acceso" para ver las asignaciones de roles actualmente activas y aptas y activarlas directamente.

Mediante la integración de funcionalidades de PIM en distintas hojas de Azure Portal, esta nueva característica le permite obtener acceso temporal para ver o editar suscripciones y recursos más fácilmente.

Activación de roles de PIM mediante la aplicación móvil de Azure

PIM ya está disponible en el identificador de Entra de Microsoft y en las aplicaciones móviles de roles de recursos de Azure en iOS y Android.

1. Para activar una asignación de roles de Microsoft Entra apta, empiece por descargar la aplicación móvil de Azure (iOS | Android). También puede descargar la aplicación seleccionando Abrir en móvil en Privileged Identity Management > Mis roles > roles de Microsoft Entra.

   

2. Abra la aplicación móvil de Azure e inicie sesión. Haga clic en la tarjeta "Privileged Identity Management" y seleccione Mis roles de recursos de Azure para ver las asignaciones de roles válidas y activas.

   

3. Seleccione la asignación de roles y haga clic en Acción > Activar en los detalles de la asignación de roles. Complete los pasos para activar y rellenar los detalles necesarios antes de hacer clic en Activar en la parte inferior.

   

4. Vea el estado de las solicitudes de activación y las asignaciones de roles en "Mis roles de recursos de Azure".