Ativar minhas funções de recurso do Azure no Privileged Identity Management

Quando precisar assumir uma função de recurso do Azure, você poderá solicitar a ativação usando a opção Minhas funções navegação no Privileged Identity Management.

1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Função Privilegiada.

2. Navegue até Governança de identidade>Gerenciamento privilegiado de identidades>Minhas funções.

   

3. Selecione funções de recursos do Azure para ver uma lista das suas funções de recursos do Azure elegíveis.

   

4. Na lista de funções de recursos do Azure, localize a função que você deseja ativar.

   

5. Selecione Ativar para abrir a página Ativar.

   

6. Se sua função exigir autenticação multifator, selecione Verificar sua identidade antes de prosseguir. Só tem de se autenticar uma vez por sessão.

7. Selecione Verificar minha identidade e siga as instruções para fornecer verificação de segurança adicional.

   

8. Se desejar especificar um escopo reduzido, selecione Escopo para abrir o painel Filtro de recursos.

   É uma prática recomendada solicitar apenas acesso aos recursos de que você precisa. No painel Filtro de recursos, você pode especificar os grupos de recursos ou recursos aos quais precisa acessar.

   

9. Se necessário, especifique uma hora de início de ativação personalizada. O membro seria ativado após o tempo selecionado.

10. Na caixa Motivo, insira o motivo da solicitação de ativação.

11. Selecione Ativar.

    Observação

    Se a função exigir aprovação para ativar, uma notificação aparecerá no canto superior direito do navegador informando que a solicitação está pendente de aprovação.

O Privileged Identity Management dá suporte aos comandos da API do Azure Resource Manager para gerenciar funções de recursos do Azure, conforme documentado node referência da API do PIM ARM. Para obter as permissões necessárias para usar a API do PIM, consulte Compreender as APIs do Privileged Identity Management.

Para ativar uma atribuição de função do Azure elegível e obter acesso ativado, use o Solicitações de Agenda de Atribuição de Função - Criar API REST para criar uma nova solicitação e especificar a entidade de segurança, a definição de função, requestType = SelfActivate e o escopo. Para chamar essa API, você deve ter uma atribuição de função qualificada no escopo.

Use uma ferramenta GUID para gerar um identificador exclusivo para o identificador de atribuição de função. O identificador tem o formato: 00000000-0000-0000-0000-000000000000.

Substitua {roleAssignmentScheduleRequestName} na solicitação PUT pelo identificador GUID da atribuição de função.

Para obter mais informações sobre funções qualificadas para o gerenciamento de recursos do Azure, consulte tutorial PIM ARM API.

Esta é uma solicitação HTTP de exemplo para ativar uma atribuição qualificada para uma função do Azure.

Solicitar

PUT https://management.azure.com/providers/Microsoft.Subscription/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignmentScheduleRequests/{roleAssignmentScheduleRequestName}?api-version=2020-10-01

Corpo do pedido

{ 
"properties": { 
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222", 
  "roleDefinitionId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleDefinitions/c8d4ff99-41c3-41a8-9f60-21dfdad59608", 
  "requestType": "SelfActivate", 
  "linkedRoleEligibilityScheduleId": "b1477448-2cc6-4ceb-93b4-54a202a89413", 
  "scheduleInfo": { 
      "startDateTime": "2020-09-09T21:35:27.91Z", 
      "expiration": { 
          "type": "AfterDuration", 
          "endDateTime": null, 
          "duration": "PT8H" 
      } 
  }, 
  "condition": "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:ContainerName] StringEqualsIgnoreCase 'foo_storage_container'", 
  "conditionVersion": "1.0" 
} 
} 

Resposta

Código de status: 201

Você pode visualizar o status de suas solicitações pendentes para ativar.

1. Abra o Microsoft Entra Privileged Identity Management.

2. Selecione Minhas solicitações para ver uma lista de suas solicitações de função de recursos do Microsoft Entra e do Azure.

   

3. Desloque-se para a direita para ver a coluna Estado do Pedido de .

Se você não precisar ativar uma função que exija aprovação, poderá cancelar uma solicitação pendente a qualquer momento.

1. Abra o Microsoft Entra Privileged Identity Management.

2. Selecione Meus pedidos.

3. Para a função que você deseja cancelar, selecione o link Cancelar.

   When you select Cancel, the request will be canceled. To activate the role again, you will have to submit a new request for activation.
   

   

Quando uma atribuição de função é ativada, você vê uma opção Desativar no portal PIM para a atribuição de função. Além disso, não é possível desativar uma atribuição de função dentro de cinco minutos após a ativação.

Ativar com o portal do Azure

A ativação da função Gerenciamento Privilegiado de Identidades é integrada às extensões de Controle de Acesso e Cobrança (AD) no portal do Azure. Os atalhos para Assinaturas (cobrança) e Controle de Acesso (AD) permitem ativar funções PIM diretamente dessas lâminas.

Na folha Subscrições, selecione "Ver subscrições elegíveis" no menu de comandos horizontal para verificar as suas atribuições elegíveis, ativas e expiradas. A partir daí, você pode ativar uma atribuição qualificada no mesmo painel.

No Controle de acesso (IAM) para um recurso, agora você pode selecionar "Exibir meu acesso" para ver suas atribuições de função atualmente ativas e qualificadas e ativar diretamente.

Ao integrar recursos de PIM em diferentes lâminas do portal do Azure, esse novo recurso permite que você obtenha acesso temporário para exibir ou editar assinaturas e recursos com mais facilidade.

Ativar funções PIM usando o aplicativo móvel do Azure

O PIM agora está disponível nos aplicativos móveis Microsoft Entra ID e Azure resource roles em iOS e Android.

1. Para ativar uma atribuição de função Microsoft Entra elegível, comece por transferir a aplicação móvel do Azure (iOS | Android). Você também pode baixar o aplicativo selecionando Abrir no móvel em Gerenciamento privilegiado de identidades > Minhas funções > funções do Microsoft Entra.

   

2. Abra a aplicação móvel do Azure e inicie sessão. Clique no cartão 'Privileged Identity Management' e selecione de funções My Azure Resource para exibir suas atribuições de função qualificadas e ativas.

   

3. Selecione a atribuição de função e clique em Ação > Ativar abaixo dos detalhes da atribuição de função. Conclua as etapas para ativar e preencha todos os detalhes necessários antes de clicar Ativar na parte inferior.

   

4. Exiba o status de suas solicitações de ativação e suas atribuições de função em 'Minhas funções de recurso do Azure'.