Утверждение запросов активации для участников группы и владельцев

Обзор

С помощью Управления привилегированными удостоверениями (PIM) и Microsoft Entra ID можно настроить активацию членства в группе и управление участниками, чтобы требовать утверждения. Вы также можете выбрать пользователей или группы из вашей организации Microsoft Entra в качестве делегированных утверждающих лиц.

Выберите два или более утверждающих для каждой группы. Делегированные утверждающие лица имеют 24 часа на утверждение запросов. Если запрос не утвержден в течение 24 часов, пользователь должен повторно отправить новый запрос. Окно времени утверждения на 24 часа не настраивается.

Выполните действия, описанные в этой статье, чтобы утвердить или отклонить запросы на членство в группе или руководство.

Просмотр ожидающих запросов

Как делегированный утверждающий, вы получаете уведомление по электронной почте, когда запрос роли ресурса Azure ожидает вашего утверждения. Вы можете просмотреть ожидающие запросы в Управление привилегированными идентичностями.

  1. Войдите в Центр администрирования Microsoft Entra в качестве пользователя, назначенного утверждающим.

  2. Перейдите к управлению идентификаторами>привилегированных пользователей>Одобрение запросов>Группы.

  3. В разделе "Запросы активации ролей" отображается список запросов, ожидающих утверждения.

    Снимок экрана, показывающий запросы на активацию ролей.

Утверждение запросов

Примечание.

Утверждающие не могут утвердить собственные запросы на активацию ролей. Кроме того, субъекты-службы не могут утверждать запросы.

  1. Найдите и выберите запрос, который вы хотите утвердить, и выберите Утвердить.

  2. В поле Обоснование введите коммерческое обоснование.

  3. Выберите Подтвердить. Ваше утверждение создает уведомление Azure.

    Снимок экрана, на котором показано, как выглядит уведомление Azure, созданное утверждением.

Отклонение запросов

  1. Найдите и выберите запрос, который вы хотите отклонить, и выберите Отклонить.

  2. В поле Обоснование введите коммерческое обоснование.

  3. Выберите Подтвердить. Отказ создает уведомление Azure.

Уведомления о рабочем процессе

Ниже приведена информация об уведомлениях рабочего процесса.

  • Утверждающие получают уведомления по электронной почте, когда ожидается проверка запроса на назначение группы. Уведомления по электронной почте содержат прямую ссылку на запрос, где утверждающий может одобрить или отклонить его.
  • Запросы разрешаются первым утверждающим, который утверждает или отклоняет.
  • Когда утверждающий отвечает на запрос, все утверждающие уведомляются об этом действии.

Примечание.

Администратор, который считает, что утвержденный пользователь не должен быть активным участником, может удалить активное назначение группы в Управление привилегированным доступом. Администраторы ресурсов не уведомляются об ожидающих запросах, если они не являются утверждающими. Но они могут просматривать и отменять ожидающие запросы для всех пользователей через Управление привилегированными пользователями, где можно просматривать такие запросы.

Устранение неполадок

Ниже приведен совет по устранению неполадок.

Разрешения не предоставляются после активации роли

Когда вы активируете роль в Azure AD Privileged Identity Management, активация может не сразу распространиться на все порталы, где требуется привилегированная роль. Иногда, даже если изменение распространяется, кэширование веб-страниц на портале может привести к тому, что изменение не вступает в силу немедленно.

Если активация отложена:

  1. Выйдите из Центра администрирования Microsoft Entra, а затем войдите в систему.
  2. В Управлении привилегированными идентификациями убедитесь, что вы указаны в качестве участника роли.

Следующие шаги

Настройка параметров PIM для групп

  • Last updated on