Утверждать или отклонять запросы на роли ресурсов Azure в Privileged Identity Management

Обзор

Microsoft Entra управление привилегированными пользователями (PIM) позволяет настраивать роли таким образом, чтобы они требовали утверждения для активации, а также выбирать пользователей или группы из организации Microsoft Entra в качестве делегированных утверждающих. Выберите два или более утверждающих для каждой роли, чтобы уменьшить рабочую нагрузку для администратора привилегированных ролей. Делегированные утверждающие лица имеют 24 часа на утверждение запросов. Если запрос не утвержден в течение 24 часов, пользователь должен повторно отправить новый запрос. Окно времени утверждения на 24 часа не настраивается.

Выполните действия, описанные в этой статье, чтобы утверждать или отклонять запросы для ролей ресурсов Azure.

Просмотр ожидающих запросов

Как делегированный утверждающий, вы получаете уведомление по электронной почте, когда запрос на роль ресурса Azure ожидает вашего утверждения. Вы можете просмотреть эти ожидающие запросы в Azure AD Privileged Identity Management.

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор привилегированных ролей.

2. Перейдите к Управление идентификаторами>Управление привилегированными удостоверениями>Утверждение запросов.

   В разделе "Запросы активации ролей " отображается список запросов, ожидающих утверждения.

Утверждение запросов

1. Найдите и выберите запрос, который требуется утвердить. Откроется страница утверждения и отклонения.
2. В поле "Обоснование " введите бизнес-обоснование.
3. Выберите "Утвердить". Вы получите уведомление Azure об утверждении.

Утверждение ожидающих запросов с помощью API Microsoft Azure Resource Manager

Получение идентификаторов для шагов, которые требуют утверждения

Чтобы получить сведения о любом этапе утверждения назначения ролей, можно использовать REST API Role Assignment Approval Step - Get By ID.

HTTP-запрос

GET https://management.azure.com/providers/Microsoft.Authorization/roleAssignmentApprovals/{approvalId}/stages/{stageId}?api-version=2021-01-01-preview

Утвердить этап запроса на активацию

Чтобы утвердить шаг запроса на активацию, выполните следующий вызов API.

HTTP-запрос

PATCH https://management.azure.com/providers/Microsoft.Authorization/roleAssignmentApprovals/{approvalId}/stages/{stageId}?api-version=2021-01-01-preview
{ 
    "reviewResult": "Approve", // or "Deny"
    "justification": "Trusted User" 
} 

HTTP-ответ

Успешные вызовы метода PATCH возвращают пустой ответ.

Дополнительные сведения см. в разделе "Использование утверждений назначения ролей" для утверждения запросов на активацию ролей PIM с помощью REST API.

Отклонение запросов

1. Найдите и выберите запрос, который вы хотите запретить. Откроется страница утверждения и отклонения.
2. В поле "Обоснование " введите бизнес-обоснование.
3. Выберите "Запретить". Появится уведомление о вашем отказе.

Уведомления о рабочем процессе

Ниже приведена информация об уведомлениях рабочего процесса.

• Утверждающие получают уведомление по электронной почте, когда запрос на роль находится на рассмотрении. Уведомления по электронной почте содержат прямую ссылку на запрос, где утверждающий может одобрить или отклонить его.
• Запросы обрабатываются первым одобряющим, который утверждает или отклоняет.
• Когда утверждающий отвечает на запрос, все утверждающие уведомляются об этом действии.
• Администраторы ресурсов получают уведомление, когда пользователь с утвержденным запросом начинает выполнять свою роль.

Следующие шаги

• Уведомления по электронной почте в Управлении привилегированными удостоверениями
• Утверждение или отклонение запросов на назначение ролей Microsoft Entra в средстве Privileged Identity Management