Расширение или продление PIM для назначений групп

Обзор

Управление привилегированными идентичностями (PIM) в Microsoft Entra ID предоставляет элементы управления для управления жизненным циклом доступа и назначения для членства в группах и владения. Администраторы могут назначать свойства времени начала и окончания для членства в группах и владения. Перед завершением срока назначения управление привилегированными пользователями отправляет уведомления по электронной почте затронутым пользователям или группам. Также уведомления по электронной почте отправляются администраторам ресурса, чтобы они приняли меры для сохранения требуемого доступа. Назначения могут обновляться и оставаться видимыми в истекшем состоянии до 30 дней, даже если доступ не продлен.

Кто может продлить и возобновить назначение

Только пользователи с разрешениями на управление группами могут продлевать или возобновлять членство в группах с ограниченным сроком действия либо назначения владельцев. Назначаемый может запросить продление назначений, срок действия которых истек, и запросить продление назначений, которые уже истекли.

• Чтобы управлять владением группой, которой можно назначать роли, необходимо иметь роль Microsoft Entra с разрешением microsoft.directory/groupsAssignableToRoles/owners/update, например «Администратор привилегированных ролей» или «Глобальный администратор», либо быть активным владельцем группы.
• Чтобы управлять членством в группе с возможностью назначения ролей, необходима роль Microsoft Entra с разрешением microsoft.directory/groupsAssignableToRoles/members/update, например администратор привилегированных ролей или глобальный администратор, либо вы должны быть активным владельцем группы.
• Чтобы управлять составом владельцев группы, которой нельзя назначать роли, необходима роль Microsoft Entra с разрешением microsoft.directory/groups/owners/update, например роль администратора групп или администратора управления идентификацией, либо нужно быть активным владельцем группы.
• Чтобы управлять членством в группе, не назначаемой ролям, необходима роль Microsoft Entra с разрешением microsoft.directory/groups/members/update, например роль администратора групп или администратора управления удостоверениями, либо нужно быть активным владельцем группы.

Назначения ролей для администраторов могут быть ограничены на уровне каталога или на уровне административной единицы. Поддерживаются встроенные и пользовательские роли Microsoft Entra.

управление привилегированными пользователями не поддерживает разрешения, начинающиеся с microsoft.directory/groups.security/ или microsoft.directory/groups.unified/. Вместо этого используйте разрешения, которые начинаются с microsoft.directory/groups/.

управление привилегированными пользователями не поддерживает группы в административных единицах ограниченного управления (RMAU).

Время отправки уведомлений

управление привилегированными пользователями отправляет Уведомления по электронной почте администраторам и затронутым пользователям PIM для назначений групп, которые истекают:

• за 14 дней до истечения срока действия;
• за один день до истечения срока действия;
• в момент истечения срока действия назначения.

Администраторы получают уведомления, если пользователь или группа с назначением, у которого истекает или уже истек срок действия, запрашивают продление или возобновление. Когда администратор отвечает на такой запрос, все администраторы и запрашивающий пользователь получают уведомления об утверждении или отказе.

Продление назначений в группах

Ниже описан процесс запроса, разрешения или администрирования расширения или продления членства в группе или назначения владения.

Продление истекающих назначений

Пользователи, которым назначено членство в группах или владение, могут продлить срок действия назначений групп непосредственно на вкладке "Допустимые " или "Активные " на странице "Назначения " для группы. Пользователь или группа могут запросить продление допустимых и активных назначений, срок действия которых истекает в ближайшие 14 дней.

Когда до даты и времени завершения задания останется 14 дней, команда Продлить станет доступна. Чтобы запросить продление такого назначения в группу, щелкните Продлить и заполните форму запроса.

Администраторы получают уведомление по электронной почте, запрашивающее, что они просматривают запрос на расширение. Если запрос на продление уже отправлен, на портале появится уведомление Azure.

Чтобы просмотреть состояние запроса или отменить его, откройте страницу Ожидающие запросы для назначения в группу.

Расширение утверждено администратором

Когда пользователь или группа отправляют запрос на продление назначения в группу, администраторы получают по электронной почте уведомление с информацией об исходном назначении и причине запроса. Уведомление содержит прямую ссылку на запрос, чтобы администратор мог утвердить или отклонить его.

Помимо ссылки на сообщение электронной почты, администраторы могут утвердить или запретить запросы, перейдя на портал администрирования управления привилегированными пользователями и выбрав " Утвердить запросы " в левой области.

Когда администратор выбирает утверждение или запрет, отображаются сведения о запросе вместе с полем, чтобы предоставить бизнес-обоснование для журналов аудита.

Утверждая запрос на продление назначения в группу, администраторы ресурсов могут выбрать новые даты начала и окончания срока действия, а также изменить тип назначения. Изменение типа назначения применяется в тех случаях, когда администратор предоставляет ограниченный доступ для выполнения конкретной задачи (например, на один день). В нашем примере администратор может изменить статус назначения с Доступно на Активно. Это означает, что запрашивающая сторона сразу получит указанный доступ, без необходимости активации.

Продление, инициированное администратором

Если назначенный в группу пользователь не запрашивает продление назначения в эту группу, администратор может самостоятельно продлить назначение от имени пользователя. Административные расширения назначения групп не требуют утверждения, но уведомления отправляются всем другим администраторам после расширения назначения.

Чтобы продлить назначение в группу, перейдите на представление назначения в управлении привилегированными идентификационными данными. Найдите назначение, которое вы хотите продлить. Выберите Продлить в столбце действий.

Обновить назначения в группах

Логически возобновление назначения в группу мало чем отличается от продления, но процесс для назначения с уже истекшим сроком действия отличается существенно. Приведенные ниже шаги позволят администраторам возобновить доступ к назначениям с истекшим сроком действия, если это потребуется.

Самостоятельное продление

Пользователи, которым уже не предоставляется доступ к ресурсам, еще в течение 30 дней могут получить информацию об истечении срока действия назначения. Для этого нужно перейти к разделу Мои роли на панели слева, а затем выбрать вкладку Назначения с истекшим сроком действия.

В этом списке назначений по умолчанию отображаются Допустимые назначения. Откройте раскрывающееся меню, чтобы переключаться между режимами "Доступные" и "Активные" задачи.

Чтобы запросить возобновление для любого из назначений в группу, представленных в этом списке, выберите действие Возобновить. Укажите также причину запроса. Полезно предоставить длительность в дополнение к любому другому контексту или бизнес-обоснование, которое может помочь администратору ресурсов решить утвердить или запретить.

После отправки запроса администраторы ресурсов уведомляются о ожидании запроса на продление назначения группы.

Утверждение администратором

Администраторы ресурсов могут получить доступ к запросу на продление из ссылки в уведомлении электронной почты или путем доступа к управление привилегированными пользователями из Центра администрирования Microsoft Entra и выбрав "Утвердить запросы" в левой области.

Когда администратор выбирает Утвердить или Отклонить, сведения о запросе отображаются вместе с полем, чтобы предоставить бизнес-обоснование для журналов аудита.

При утверждении запроса на возобновление назначения в группу администраторы ресурсов должны указать новые даты начала и окончания и выбрать тип назначения.

Следующие шаги

• Утверждение запросов активации для участников группы и владельцев
• Настройка параметров PIM для групп