Active mis roles de recursos de Azure en Privileged Identity Management

Cuando necesite asumir un rol de recurso de Azure, puede solicitar la activación mediante la opción de navegación Mis roles en Privileged Identity Management.

1. Inicie sesión en el Centro de administración de Microsoft Entra al menos como Administrador de roles con privilegios.

2. Vaya a Gobernanza de identidades>Privileged Identity Management>Mis roles.

   

3. Seleccione Roles de recursos de Azure para ver una lista de los roles de recursos de Azure válidos.

   

4. En la lista Roles de recursos de Azure, busque el rol que desea activar.

   

5. Seleccione Activar para abrir la Página de activación.

   

6. Si el rol requiere autenticación multifactor, seleccione Comprobar la identidad antes de continuar. Solo tiene que autenticarse una vez por sesión.

7. Seleccione Comprobar mi identidad y siga las instrucciones para proporcionar comprobación de seguridad adicional.

   

8. Si desea especificar un ámbito reducido, seleccione Ámbito para abrir el Panel filtro de recursos.

   Es una práctica recomendada solo solicitar acceso a los recursos que necesita. En el panel de filtro de recursos, puede especificar los grupos de recursos o recursos a los que necesita acceso.

   

9. Si es necesario, especifique una hora de inicio de activación personalizada. El miembro se activaría después de la hora seleccionada.

10. En el campo Razón, escriba el motivo de la solicitud de activación.

11. Seleccione Activar.

    Nota

    Si el rol requiere aprobación para activarse, aparecerá una notificación en la esquina superior del explorador que le informa de que la solicitud está pendiente de aprobación.

Privileged Identity Management admite los comandos de Azure Resource Manager (ARM) API para administrar los roles de los recursos de Azure, como se documenta en la referencia de ARM API de PIM. Para obtener los permisos necesarios para usar PIM API, consulte Descripción de las API de Privileged Identity Management.

Para activar una asignación de rol de Azure apta y obtener un acceso activado, use la API de REST de Solicitudes de Programación de Asignación de Roles - Crear para crear una nueva solicitud y especificar el director de seguridad, la definición del rol, requestType = SelfActivate y el alcance. Para llamar a esta API, debe tener una asignación de roles apta en el ámbito.

Use una herramienta de GUID para generar un identificador único que se use para el identificador de asignación de roles. El identificador tiene el formato: 00000000-0000-0000-0000-000000000000.

Reemplace {roleAssignmentScheduleRequestName} en la solicitud PUT siguiente por el identificador GUID de la asignación de roles.

Para más información sobre cómo administrar roles aptos para recursos de Azure, consulte este tutorial de API de ARM de PIM.

A continuación se muestra una solicitud HTTP de ejemplo para activar una asignación apta para un rol de Azure.

Solicitud

PUT https://management.azure.com/providers/Microsoft.Subscription/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignmentScheduleRequests/{roleAssignmentScheduleRequestName}?api-version=2020-10-01

Cuerpo de la solicitud

{ 
"properties": { 
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222", 
  "roleDefinitionId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleDefinitions/c8d4ff99-41c3-41a8-9f60-21dfdad59608", 
  "requestType": "SelfActivate", 
  "linkedRoleEligibilityScheduleId": "b1477448-2cc6-4ceb-93b4-54a202a89413", 
  "scheduleInfo": { 
      "startDateTime": "2020-09-09T21:35:27.91Z", 
      "expiration": { 
          "type": "AfterDuration", 
          "endDateTime": null, 
          "duration": "PT8H" 
      } 
  }, 
  "condition": "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:ContainerName] StringEqualsIgnoreCase 'foo_storage_container'", 
  "conditionVersion": "1.0" 
} 
} 

Response

Código de estado: 201

Puede ver el estado de las solicitudes pendientes de activación.

1. Abra Microsoft Entra Privileged Identity Management.

2. Seleccione Mis solicitudes para ver una lista de los roles de Microsoft Entra y las solicitudes de rol de recursos de Azure.

   

3. Desplácese a la derecha para ver la columna Estado de solicitud.

Si no necesita activar un rol que requiera aprobación, puede cancelar una solicitud pendiente en cualquier momento.

1. Abra Microsoft Entra Privileged Identity Management.

2. Seleccione Mis solicitudes.

3. En el rol que desea cancelar, seleccione el vínculo Cancelar.

   When you select Cancel, the request will be canceled. To activate the role again, you will have to submit a new request for activation.
   

   

Cuando se activa una asignación de roles, verá una opción Desactivar en el portal de PIM para la asignación de roles. Además, no puede desactivar una asignación de roles a los cinco minutos de la activación.

Activar con Azure Portal

La activación del rol Privileged Identity Management se integró en las extensiones de facturación y control de acceso (AD) dentro de Azure Portal. Los accesos directos a suscripciones (facturación) y Access Control (AD) permiten activar roles de PIM directamente desde estas hojas.

En la hoja Suscripciones, selecciona "Ver suscripciones aptas" en el menú de comandos horizontal para verificar tus asignaciones aptas, activas y vencidas. Desde allí, puedes activar una asignación apta en el mismo panel.

En Control de acceso (IAM) para un recurso, ahora puedes seleccionar "Ver mi acceso" para ver tus asignaciones de roles actualmente activas y aptas y activarlas directamente.

Al integrar las funcionalidades de PIM en diferentes hojas de Azure Portal, esta nueva característica te permitirá obtener acceso temporal para ver o editar suscripciones y recursos más fácilmente.

Activación de roles de PIM mediante Azure Mobile App

PIM ya está disponible en Microsoft Entra ID y en las aplicaciones móviles de roles de recursos de Azure en iOS y Android.

1. Para activar una asignación de roles de Microsoft Entra apta, empiece por descargar Azure Mobile App (iOS | Android). También puede descargar la aplicación seleccionando Abrir en dispositivos móviles en Privileged Identity Management > Mis roles > en los roles de Microsoft Entra.

   

2. Abra Azure Mobile App e inicie sesión. Haga clic en la tarjeta "Privileged Identity Management" y seleccione Mis roles de recursos de Azure para ver las asignaciones de roles válidas y activas.

   

3. Seleccione la asignación de roles y haga clic en Acción > Activar en los detalles de la asignación de roles. Complete los pasos para activar y rellenar los detalles necesarios antes de hacer clic en Activar en la parte inferior.

   

4. Vea el estado de las solicitudes de activación y las asignaciones de roles en "Mis roles de recursos de Azure".