Обнаружение и аналитика (предварительная версия) для ролей Microsoft Entra (ранее мастер безопасности)
Если вы начинаете использовать управление привилегированными пользователями (PIM) в идентификаторе Microsoft Entra для управления назначениями ролей в организации, вы можете использовать страницу обнаружения и аналитических сведений (предварительная версия) для начала работы. Эта функция показывает, кому назначены привилегированные роли в вашей организации и как использовать PIM для быстрого преобразования постоянных назначений ролей в своевременные назначения. Вы можете просматривать или изменять назначения постоянных привилегированных ролей в разделе Обнаружение и аналитика (предварительная версия). Это инструмент анализа и инструмент действия.
Обнаружение и аналитика (предварительная версия)
Прежде чем ваша организация начнет использовать управление привилегированными пользователями, все назначения ролей будут постоянными. Пользователи всегда находятся в назначенных им ролях, даже если им не нужны их привилегии. Обнаружение и аналитика (предварительная версия), заменяющие прежний мастер безопасности, показывает список привилегированных ролей и количество пользователей, которые в настоящее время находятся в этих ролях. Вы можете перечислить назначения роли, чтобы узнать больше о назначенных пользователях, если один или несколько из них незнакомы.
✔️ Корпорация Майкрософт рекомендует организациям постоянно назначать роль глобального администратора двум учетным записям доступа только в облаке. Такие учетные записи имеют высокий уровень привилегий и не назначаются конкретным лицам. Учетные записи ограничены сценариями аварийного реагирования или "разбиения", когда обычные учетные записи не могут использоваться или все другие администраторы случайно заблокированы. Эти учетные записи должны быть созданы после рекомендаций учетной записи аварийного доступа.
Кроме того, сохраняйте постоянные назначения ролей, если у пользователя есть учетная запись Майкрософт (другими словами, учетная запись, которую он использует для входа в службы Майкрософт, такие как Skype или Outlook.com). Если вам требуется многофакторная аутентификация для пользователя с учетной записью Майкрософт, чтобы активировать назначение ролей, пользователь будет заблокирован.
Открыть обнаружение и аналитику (предварительная версия)
Войдите в Центр администрирования Microsoft Entra как минимум администратор привилегированных ролей.
Перейдите к управлению удостоверениями> управление привилегированными пользователями> ролей>EntraMicrosoft Entra Discovery и insights (предварительная версия).
Открытие страницы запускает процесс обнаружения для поиска соответствующих назначений ролей.
Выберите "Уменьшить глобальные администраторы".
Просмотрите список назначений ролей глобального администратора.
Нажмите Далее, чтобы выбрать пользователей или группы, которых вы хотите сделать допущенными, а затем выберите Сделать подходящим или Удалить назначение.
Вы также можете требовать, чтобы все глобальные администраторы проверяли собственный доступ.
После выбора любого из этих изменений вы увидите уведомление Azure.
Затем вы можете выбрать Исключить постоянный доступ или Просмотр субъектов-служб, чтобы повторить описанные выше действия для других привилегированных ролей и назначений ролей субъектов-служб. Для назначений ролей субъекта-службы можно только удалить назначения ролей.
