Общие сведения об управлении правами

Управление правами — это функция управления identity, которая позволяет организациям управлять удостоверениями и жизненным циклом access в масштабе, автоматизуя рабочие процессы запросов access, access назначения, проверки и истечение срока действия.

Людям в организациях нужен доступ к различным группам, приложениям и SharePoint веб-сайтам для выполнения своей работы. Управление этим access сложно, так как требования изменяются. Новые приложения добавляются или удостоверения нуждаются в дополнительных access правах. Этот сценарий усложняется, когда вы сотрудничаете с внешними организациями. Возможно, вы не знаете, кто в другой организации нуждается в access в ресурсах вашей организации, и они не будут знать, какие приложения, группы или сайты использует ваша организация.

Управление правами помогает более эффективно управлять доступом к группам, приложениям и SharePoint веб-сайтам для внутренних удостоверений, а также для удостоверений за пределами организации, которым требуется доступ к этим ресурсам. Вы также можете использовать управление правами в предварительном просмотре для назначения групп, разрешений API и ролей идентификаторам агентов.

Зачем использовать управление правами?

Корпоративные организации часто сталкиваются с проблемами при управлении рабочей силой access к ресурсам, таким как:

  • Удостоверения могут не знать, какие access они, их прямые отчеты или агенты, которые они должны иметь, и даже если они делают, они могут иметь трудности с поиском правильных лиц для утверждения их access
  • После обнаружения и назначения access ресурсов удостоверения могут храниться до access дольше, чем требуется для их бизнес-потребностей.

Эти проблемы усугубляются для удостоверений, которым требуется access из другой организации, например внешних удостоверений, находящихся в организациях цепочки поставок или других деловых партнеров. Например:

  • Никто не может знать всех конкретных лиц в каталогах другой организации, чтобы иметь возможность приглашать их
  • Даже если они смогли пригласить эти удостоверения, никто в этой организации не может запомнить, чтобы управлять всеми удостоверениями access согласованно

Управление правами может помочь решить эти проблемы. Дополнительные сведения о том, как клиенты использовали управление правами, можно ознакомиться с Mississippi Division of Medicaid, Storebrand и Digital Security and Resilience в Microsoft. В этом видео представлены общие сведения об управлении правами и его ценности.

Что можно сделать с помощью управления правами?

Ниже приведены некоторые возможности управления правами.

  • Управление доступом к приложениям, группам, группам, teams, SharePoint сайтам, правами доступа SAP IAG и другим ресурсам с многоэтапным утверждением и обеспечение того, чтобы удостоверения не сохраняли доступ на неопределенный срок через ограниченное время назначения и повторяющиеся проверки доступа.
  • Предоставьте удостоверениям автоматически access эти ресурсы на основе свойств удостоверений, таких как отдел или центр затрат, и удалите access удостоверения при изменении этих свойств.
  • Предоставьте идентификаторам агента access необходимые ресурсы и разрешить спонсорам идентификаторов агента, чтобы убедиться, что access поддерживается только при необходимости.
  • Делегировать неадминистраторам возможность создавать пакеты access. Эти пакеты access содержат ресурсы, которые могут запрашивать удостоверения, а делегированные access диспетчеры пакетов могут определять политики с правилами, для которых удостоверения могут запрашивать, которые должны утвердить свои access и когда истекает срок действия access.
  • Выберите подключенные организации, удостоверения которых могут запрашивать access. Если удостоверение, еще не в вашем каталоге запрашивает access и утверждается, они автоматически приглашены в каталог и назначены access. Когда срок действия access истекает, если у них нет других назначений пакетов access, их учетная запись B2B в каталоге может быть автоматически удалена.

Примечание.

Если вы готовы попробовать управление правами, вы можете get started с помощью нашего tutorial, чтобы создать первый пакет access.

Вы также можете ознакомиться с распространенными сценариями или просмотреть видео, включая перечисленные ниже.

Что такое пакеты access и какие ресурсы можно управлять с ними?

Управление правами представляет концепцию пакета access. Пакет access — это пакет всех ресурсов с access удостоверение должно работать над project или выполнять свою задачу. Access пакеты можно использовать для управления access для внутренних удостоверений, а также для удостоверений, поступающих за пределами организации.

Ниже приведены типы ресурсов, которыми можно управлять access удостоверений, с помощью управления правами:

  • Членство в группах безопасности Microsoft Entra
  • Членство в Группы Microsoft 365 и Teams
  • Назначение Microsoft Entra корпоративным приложениям, включая приложения SaaS и пользовательские интегрированные приложения, поддерживающие федерацию или единый вход и /или подготовку
  • Членство на сайтах SharePoint Online
  • Разрешения API для агентов с идентификаторами агентов или субъектами-службами в предварительной версии в рамках Microsoft Entra ID для агентов
  • Бизнес-роли SAP IAG и другие access права на предварительную версию

Вы также можете управлять доступом к другим ресурсам, которые используют Microsoft Entra группы безопасности или Группы Microsoft 365. Например:

  • Вы можете предоставить удостоверения для Microsoft 365 с помощью группы безопасности Microsoft Entra в пакете доступа и настройке лицензирования на основе группы группы для этой группы.
  • Вы можете предоставить удостоверениям доступ для управления ресурсами Azure с помощью группы безопасности Microsoft Entra в пакете доступа и создания назначения ролей Azure для этой группы.
  • Вы можете предоставить удостоверениям доступ к управлению ролями Microsoft Entra с помощью групп, которые можно назначить Microsoft Entra ролям в пакете доступа и назначение роли Microsoft Entra этой группе.

How do I контролировать, кто получает access?

В пакете доступа администратор или диспетчер пакетов делегированного доступа перечисляет ресурсы (группы, приложения и сайты, Microsoft Entra роли и разрешения API), а также роли удостоверений, необходимых для этих ресурсов.

пакеты Access также включают один или несколько политики. Политика определяет правила или охранники для назначения пакету access. Каждую политику можно использовать для обеспечения того, чтобы только соответствующие удостоверения могли иметь access назначения, и срок действия access ограничен временем, если не продлен.

Dia access gram пакета и policies.

Вы можете использовать политики для удостоверений для запроса access. В таких политиках администратор или access package manager определяет

  • Либо уже существующие удостоверения (как правило, сотрудники или уже приглашенные гости), либо партнерские организации внешних удостоверений, которые могут запрашивать access
  • Процесс утверждения и удостоверения, которые могут утверждать или запрещать access
  • Длительность назначения access удостоверения после утверждения до истечения срока действия назначения

Вы также можете назначать политики для удостоверений access, либо с правами администратора, automatically на основе правил или рабочих процессов жизненного цикла.

На схеме ниже показан пример различных элементов управления правами. В нем показан один каталог с двумя примерами пакетов access.

  • Access пакет 1 включает одну группу в качестве ресурса. Access определяется политикой, которая позволяет набору удостоверений в каталоге запрашивать access.
  • пакет Access 2 включает группу, приложение и сайт SharePoint Online в качестве ресурсов. Access определяется двумя разными политиками. Первая политика позволяет набору удостоверений в каталоге запрашивать access. Вторая политика позволяет удостоверениям во внешнем каталоге запрашивать access.

Обзорная схема управления правами

Когда следует использовать пакеты access?

Access пакеты не заменяют другие механизмы назначения access. Они наиболее уместны в таких ситуациях, как:

  • Перенос определений политик доступа из стороннего управления ролями в Microsoft Entra ID.
  • Удостоверения нуждаются в ограниченном времени access для конкретной задачи. Например, вы можете использовать лицензирование на основе групп и динамическую группу для обеспечения того, чтобы все сотрудники имели Exchange Online почтовый ящик, а затем использовать пакеты доступа для ситуаций, в которых сотрудникам требуется больше прав доступа. Например, права на чтение ресурсов отдела из другого отдела.
  • Access, требующей одобрения руководителя или других назначенных лиц.
  • Access, которые должны быть автоматически назначены людям в определенной части организации в течение своего времени в этой роли, но также доступны для людей в других местах организации или в организации бизнес-партнера, чтобы запросить.
  • Отделы хотят управлять своими собственными политиками access для своих ресурсов без участия ИТ-специалистов.
  • Две или несколько организаций совместно работают над проектом, и в результате для доступа к ресурсам другой организации необходимо Microsoft Entra предоставить несколько удостоверений из одной организации.

How do I делегат access?

пакеты Access определены в контейнерах с именем catalogs. У вас может быть один каталог для всех пакетов access или вы можете назначить отдельных лиц для создания и владения собственными каталогами. Администратор может добавлять ресурсы в любой каталог, но неадминистатор может добавлять только в каталог ресурсы, принадлежащие им. Владелец каталога может добавлять другие удостоверения в качестве совладельцев каталога или как access диспетчеров пакетов. Эти сценарии описаны далее в статье делегирования и ролей в управлении правами.

Сводка по терминологии

Чтобы лучше понимать управление правами и документацию, вы можете использовать следующий список терминов.

Срок Описание
пакет access Пакет ресурсов, необходимых команде или project, и управляется политиками. Пакет access всегда содержится в каталоге. Вы создадите новый пакет access для сценария, в котором удостоверения должны запрашивать access для себя.
запрос access Запрос на access ресурсов в пакете access. Обычно запрос проходит через рабочий процесс утверждения. При утверждении запрашивающее удостоверение получает назначение пакета access.
присваивание Назначение пакета access удостоверения гарантирует, что удостоверение имеет все роли ресурсов этого пакета access. Access назначения пакетов обычно имеют ограничение времени до истечения срока их действия.
сценариев Контейнер связанных ресурсов и пакетов access. Каталоги используются для делегирования, чтобы неадминистраторы могли создавать собственные access пакеты. Владельцы каталога могут добавлять ресурсы, которыми они владеют, в каталог.
создатель каталога Коллекция идентичностей, уполномоченных создавать новые каталоги. Когда неадминистраторская личность, уполномоченная быть создателем каталога, создаёт новый каталог, она автоматически становится владельцем этого каталога.
подключенная организация Внешний Microsoft Entra каталог или домен, с которым у вас есть связь. Удостоверения из подключенной организации можно указать в политике как разрешено запрашивать access.
политика Набор правил, определяющих жизненный цикл access, например, как удостоверения получают access, кто может утвердить и как долго они access через назначение. Политика связана с пакетом access. Например, пакет access может иметь две политики— один для сотрудников, которые запрашивают access и секунду для внешних удостоверений для запроса access.
ресурс Ресурс, например группа Office, группа безопасности, приложение или веб-сайт SharePoint Online, с ролью, которому может быть предоставлено удостоверение.
каталог ресурсов Каталог, содержащий один или несколько ресурсов для совместного использования.
роль ресурса Коллекция разрешений, связанных с определенным ресурсом, и определяемых им. Группа имеет две роли — "член" и "владелец". SharePoint сайты обычно имеют три роли, но могут иметь другие пользовательские роли. Приложения могут иметь пользовательские роли.

Требования к лицензиям

Эта функция требует Управление Microsoft Entra ID или Microsoft Entra Suite подписок для пользователей вашей организации. Некоторые возможности в рамках этой функции могут работать с подпиской Microsoft Entra ID P2. Дополнительные сведения см. в статьях о каждой возможности. Чтобы найти подходящую лицензию для ваших требований, ознакомьтесь с основами лицензирования Управление Microsoft Entra ID.

Требования к лицензиям для назначения агентов пакетам access (предварительная версия)

Для удостоверений агента для использования Управление Microsoft Entra ID требуется один из следующих планов лицензий:

  • Microsoft 365 E7, включающий агент 365 и Microsoft Entra Suite, для управления удостоверениями пользователей и агентов.
  • Microsoft лицензия агента 365, связанная по крайней мере с Microsoft Entra P1 или Microsoft 365 E3.

Дополнительные сведения см. в разделе Microsoft планах и ценах агента 365. Полный список возможностей для конкретного агента см. в столбце Microsoft Agent 365 в таблице лицензирования Управление Microsoft Entra ID.

Следующие шаги

  • Last updated on