Attivare un ruolo Microsoft Entra in PIM

Quando è necessario assumere un ruolo Microsoft Entra, è possibile richiedere l'attivazione aprendo Ruoli personali in Privileged Identity Management.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come utente con un'assegnazione di ruolo idonea.

2. Passare a ID Governance>Privileged Identity Management>Ruoli personali. Per informazioni su come aggiungere il riquadro Privileged Identity Management al dashboard, vedere Iniziare a usare Privileged Identity Management.

3. Selezionare Ruoli di Microsoft Entra per visualizzare un elenco dei ruoli Microsoft Entra idonei.

   

4. Nell'elenco ruoli di Microsoft Entra trovare il ruolo che si vuole attivare.

   

5. Selezionare Attiva per aprire il riquadro Attiva .

   

6. Selezionare Verifica aggiuntiva obbligatoria e seguire le istruzioni per fornire la verifica di sicurezza. È necessario eseguire l'autenticazione solo una volta per sessione.

   

7. Dopo l'autenticazione a più fattori, selezionare Attiva prima di procedere.

   

8. Per specificare un ambito ridotto, selezionare Ambito per aprire il riquadro filtro. Nel riquadro filtro è possibile specificare le risorse di Microsoft Entra a cui è necessario accedere. È consigliabile richiedere l'accesso alle poche risorse necessarie.

9. Se necessario, specificare un'ora di inizio di attivazione personalizzata. Il ruolo Microsoft Entra viene attivato dopo l'ora selezionata.

10. Nella casella Motivo immettere il motivo della richiesta di attivazione.

11. Selezionare Attiva.

    Se il ruolo richiede l'approvazione per l'attivazione , viene visualizzata una notifica nell'angolo superiore destro del browser che informa che la richiesta è in attesa di approvazione.

    

    Attivare un ruolo usando l'API Microsoft Graph

    Per altre informazioni sulle API Microsoft Graph per PIM, vedere Panoramica della gestione dei ruoli tramite l'API pim (Privileged Identity Management).

    Ottenere tutti i ruoli idonei che è possibile attivare

    Quando un utente ottiene l'idoneità al ruolo tramite l'appartenenza al gruppo, questa richiesta di Microsoft Graph non restituisce l'idoneità.

    Richiesta HTTP

    GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleEligibilityScheduleRequests/filterByCurrentUser(on='principal')  
    

    Risposta HTTP

    Per risparmiare spazio, verrà visualizzata solo la risposta per un ruolo, ma verranno elencate tutte le assegnazioni di ruolo idonee che è possibile attivare.

    {
        "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#Collection(unifiedRoleEligibilityScheduleRequest)",
        "value": [
            {
                "@odata.type": "#microsoft.graph.unifiedRoleEligibilityScheduleRequest",
                "id": "50d34326-f243-4540-8bb5-2af6692aafd0",
                "status": "Provisioned",
                "createdDateTime": "2022-04-12T18:26:08.843Z",
                "completedDateTime": "2022-04-12T18:26:08.89Z",
                "approvalId": null,
                "customData": null,
                "action": "adminAssign",
                "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
                "roleDefinitionId": "8424c6f0-a189-499e-bbd0-26c1753c96d4",
                "directoryScopeId": "/",
                "appScopeId": null,
                "isValidationOnly": false,
                "targetScheduleId": "50d34326-f243-4540-8bb5-2af6692aafd0",
                "justification": "Assign Attribute Assignment Admin eligibility to myself",
                "createdBy": {
                    "application": null,
                    "device": null,
                    "user": {
                        "displayName": null,
                        "id": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee"
                    }
                },
                "scheduleInfo": {
                    "startDateTime": "2022-04-12T18:26:08.8911834Z",
                    "recurrence": null,
                    "expiration": {
                        "type": "afterDateTime",
                        "endDateTime": "2024-04-10T00:00:00Z",
                        "duration": null
                    }
                },
                "ticketInfo": {
                    "ticketNumber": null,
                    "ticketSystem": null
                }
            }
        ]
    }
    

    Attivare automaticamente un'idoneità al ruolo con giustificazione

    Richiesta HTTP

    POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignmentScheduleRequests 
    
    {
        "action": "selfActivate",
        "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
        "roleDefinitionId": "8424c6f0-a189-499e-bbd0-26c1753c96d4",
        "directoryScopeId": "/",
        "justification": "I need access to the Attribute Administrator role to manage attributes to be assigned to restricted AUs",
        "scheduleInfo": {
            "startDateTime": "2022-04-14T00:00:00.000Z",
            "expiration": {
                "type": "AfterDuration",
                "duration": "PT5H"
            }
        },
        "ticketInfo": {
            "ticketNumber": "CONTOSO:Normal-67890",
            "ticketSystem": "MS Project"
        }
    }
    

    Risposta HTTP

    HTTP/1.1 201 Created
    Content-Type: application/json
    
    {
        "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#roleManagement/directory/roleAssignmentScheduleRequests/$entity",
        "id": "911bab8a-6912-4de2-9dc0-2648ede7dd6d",
        "status": "Granted",
        "createdDateTime": "2022-04-13T08:52:32.6485851Z",
        "completedDateTime": "2022-04-14T00:00:00Z",
        "approvalId": null,
        "customData": null,
        "action": "selfActivate",
        "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
        "roleDefinitionId": "8424c6f0-a189-499e-bbd0-26c1753c96d4",
        "directoryScopeId": "/",
        "appScopeId": null,
        "isValidationOnly": false,
        "targetScheduleId": "911bab8a-6912-4de2-9dc0-2648ede7dd6d",
        "justification": "I need access to the Attribute Administrator role to manage attributes to be assigned to restricted AUs",
        "createdBy": {
            "application": null,
            "device": null,
            "user": {
                "displayName": null,
                "id": "071cc716-8147-4397-a5ba-b2105951cc0b"
            }
        },
        "scheduleInfo": {
            "startDateTime": "2022-04-14T00:00:00Z",
            "recurrence": null,
            "expiration": {
                "type": "afterDuration",
                "endDateTime": null,
                "duration": "PT5H"
            }
        },
        "ticketInfo": {
            "ticketNumber": "CONTOSO:Normal-67890",
            "ticketSystem": "MS Project"
        }
    }
    

È possibile visualizzare lo stato delle richieste in attesa da attivare.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore del ruolo con privilegi.

2. Passare a ID Governance>Privileged Identity Management>Richieste personali.

3. Quando si seleziona Richieste personali viene visualizzato un elenco delle richieste del ruolo Microsoft Entra e del ruolo delle risorse di Azure.

   

4. Scorrere verso destra per visualizzare la colonna Stato richiesta .

Se non è necessaria l'attivazione di un ruolo che richiede l'approvazione, è possibile annullare una richiesta in sospeso in qualsiasi momento.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore del ruolo con privilegi.

2. Passare a ID Governance>Privileged Identity Management>Richieste personali.

3. Per il ruolo che si desidera annullare, selezionare il collegamento Annulla .

   Quando si seleziona Annulla, la richiesta viene annullata. Per attivare nuovamente il ruolo, è necessario inviare una nuova richiesta per l'attivazione.

   

Quando viene attivata un'assegnazione di ruolo, viene visualizzata un'opzione Disattiva nel portale PIM per l'assegnazione di ruolo. Inoltre, non è possibile disattivare un'assegnazione di ruolo entro cinque minuti dall'attivazione.

Attivare i ruoli PIM usando l'app per dispositivi mobili di Azure

PIM è ora disponibile nelle app per dispositivi mobili Microsoft Entra ID e ruoli delle risorse di Azure sia in iOS che in Android.

1. Per attivare un'assegnazione di ruolo Microsoft Entra idonea, iniziare scaricando l'app per dispositivi mobili di Azure (iOS | Android). È anche possibile scaricare l'app selezionando "Apri in dispositivi mobili" da Privileged Identity Management > I ruoli > di Microsoft Entra.

   

2. Aprire l'app per dispositivi mobili di Azure ed eseguire l'accesso. Selezionare la scheda Privileged Identity Management e selezionare Ruoli Personali di Microsoft Entra per visualizzare le assegnazioni di ruolo idonee e attive.

   

3. Selezionare l'assegnazione di ruolo e fare clic su Azione > Attiva nei dettagli dell'assegnazione di ruolo. Completare i passaggi per l'attivazione e compilare i dettagli necessari prima di fare clic su "Attiva" nella parte inferiore.

   

4. Visualizzare lo stato delle richieste di attivazione e delle assegnazioni di ruolo in Ruoli Microsoft Entra personali.