Attivare i ruoli delle risorse di Azure in Privileged Identity Management

Quando è necessario assumere un ruolo risorsa di Azure, è possibile richiedere l'attivazione usando l'opzione di spostamento ruoli personali in Privileged Identity Management.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra almeno un amministratore del ruolo con privilegi .

2. Passare a Identity Governance>Privileged Identity Management>Ruoli personali.

   

3. Selezionare ruoli delle risorse di Azure per visualizzare un elenco dei ruoli delle risorse di Azure idonei.

   

4. Nell'elenco ruoli delle risorse di Azure individuare il ruolo da attivare.

   

5. Selezionare Attiva per aprire la pagina Attiva.

   

6. Se il ruolo richiede l'autenticazione a più fattori, selezionare Verificare l'identità prima di procedere. È necessario eseguire l'autenticazione una sola volta per sessione.

7. Selezionare Verificare l'identità e seguire le istruzioni per fornire una verifica aggiuntiva di sicurezza.

   

8. Per specificare un ambito ridotto, selezionare Ambito per aprire il riquadro Filtro risorse.

   È consigliabile richiedere solo l'accesso alle risorse necessarie. Nel riquadro Filtro risorse è possibile specificare i gruppi di risorse o le risorse a cui è necessario accedere.

   

9. Se necessario, specificare un'ora di inizio dell'attivazione personalizzata. Il membro verrà attivato dopo l'ora selezionata.

10. Nella casella Motivo immettere il motivo della richiesta di attivazione.

11. Selezionare Attiva.

    Nota

    Se il ruolo richiede l'approvazione per l'attivazione, verrà visualizzata una notifica nell'angolo superiore destro del browser che informa che la richiesta è in attesa di approvazione.

Privileged Identity Management supporta i comandi api di Azure Resource Manager per gestire i ruoli delle risorse di Azure, come documentato nella guida di riferimento all'API ARM di PIM. Per le autorizzazioni necessarie per usare l'API PIM, vedere Informazioni sulle API di Privileged Identity Management.

Per attivare un'assegnazione di ruolo di Azure idonea e ottenere l'accesso attivato, usare le richieste di pianificazione dell'assegnazione di ruolo - Creare un'API REST per creare una nuova richiesta e specificare l'entità di sicurezza, la definizione del ruolo, requestType = SelfActivate e l'ambito. Per chiamare questa API, è necessario avere un'assegnazione di ruolo idonea nell'ambito.

Usare uno strumento GUID per generare un identificatore univoco per l'identificatore di assegnazione di ruolo. L'identificatore ha il formato 000000000-0000-0000-0000-0000000000000000.

Sostituire {roleAssignmentScheduleRequestName} nella richiesta PUT con l'identificatore GUID dell'assegnazione di ruolo.

Per altre informazioni sui ruoli idonei per la gestione delle risorse di Azure, vedere esercitazione sull'API ARM di PIM.

Si tratta di una richiesta HTTP di esempio per attivare un'assegnazione idonea per un ruolo di Azure.

Richiesta

PUT https://management.azure.com/providers/Microsoft.Subscription/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignmentScheduleRequests/{roleAssignmentScheduleRequestName}?api-version=2020-10-01

Corpo della richiesta

{ 
"properties": { 
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222", 
  "roleDefinitionId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleDefinitions/c8d4ff99-41c3-41a8-9f60-21dfdad59608", 
  "requestType": "SelfActivate", 
  "linkedRoleEligibilityScheduleId": "b1477448-2cc6-4ceb-93b4-54a202a89413", 
  "scheduleInfo": { 
      "startDateTime": "2020-09-09T21:35:27.91Z", 
      "expiration": { 
          "type": "AfterDuration", 
          "endDateTime": null, 
          "duration": "PT8H" 
      } 
  }, 
  "condition": "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:ContainerName] StringEqualsIgnoreCase 'foo_storage_container'", 
  "conditionVersion": "1.0" 
} 
} 

Risposta

Codice di stato: 201

È possibile visualizzare lo stato delle richieste in sospeso da attivare.

1. Aprire Microsoft Entra Privileged Identity Management.

2. Selezionare Richieste personali per visualizzare un elenco delle richieste del ruolo Microsoft Entra e del ruolo delle risorse di Azure.

   

3. Scorrere verso destra per visualizzare la colonna Stato richiesta.

Se non è necessaria l'attivazione di un ruolo che richiede l'approvazione, è possibile annullare una richiesta in sospeso in qualsiasi momento.

1. Aprire Microsoft Entra Privileged Identity Management.

2. Selezionare Richieste personali.

3. Per il ruolo che si desidera annullare, selezionare il collegamento Annulla .

   When you select Cancel, the request will be canceled. To activate the role again, you will have to submit a new request for activation.
   

   

Quando viene attivata un'assegnazione di ruolo, viene visualizzata un'opzione Disattiva nel portale PIM per l'assegnazione di ruolo. Inoltre, non è possibile disattivare un'assegnazione di ruolo entro cinque minuti dall'attivazione.

Attivare con il portale di Azure

L'attivazione del ruolo Privileged Identity Management è integrata nelle estensioni Di fatturazione e controllo di accesso (AD) all'interno del portale di Azure. I collegamenti alle sottoscrizioni (fatturazione) e al controllo di accesso (AD) consentono di attivare i ruoli PIM direttamente da questi pannelli.

Nel pannello Sottoscrizioni selezionare "Visualizza sottoscrizioni idonee" nel menu dei comandi orizzontale per controllare le assegnazioni idonee, attive e scadute. Da qui è possibile attivare un'assegnazione idonea nello stesso riquadro.

In Controllo di accesso (IAM) per una risorsa è ora possibile selezionare "Visualizza l'accesso" per visualizzare le assegnazioni di ruolo attualmente attive e idonee e attivarsi direttamente.

Integrando le funzionalità pim in diversi pannelli del portale di Azure, questa nuova funzionalità consente di ottenere l'accesso temporaneo per visualizzare o modificare più facilmente sottoscrizioni e risorse.

Attivare i ruoli PIM usando l'app per dispositivi mobili di Azure

PIM è ora disponibile nelle app per dispositivi mobili Microsoft Entra ID e ruoli delle risorse di Azure sia in iOS che in Android.

1. Per attivare un'assegnazione di ruolo Microsoft Entra idonea, iniziare scaricando l'app per dispositivi mobili di Azure (iOS | Android). È anche possibile scaricare l'app selezionando Apri nel per dispositivi mobili da Privileged Identity Management > Ruoli personali > ruoli Di Microsoft Entra.

   

2. Aprire l'app per dispositivi mobili di Azure ed eseguire l'accesso. Fare clic sulla scheda "Privileged Identity Management" e selezionare Ruoli risorse di Azure personali per visualizzare le assegnazioni di ruolo idonee e attive.

   

3. Selezionare l'assegnazione di ruolo e fare clic su Azione > Attiva nei dettagli dell'assegnazione di ruolo. Completare i passaggi per attivare e compilare i dettagli necessari prima di fare clic su Attiva nella parte inferiore.

   

4. Visualizzare lo stato delle richieste di attivazione e delle assegnazioni di ruolo in "Ruoli risorse personali di Azure".