Настройка и утверждение доступа по требованию для управляемых приложений Azure

Как потребитель управляемого приложения, возможно, вам не будет удобно предоставлять издателю постоянный доступ к управляемой группе ресурсов. Чтобы обеспечить более широкий контроль над предоставлением доступа к управляемым ресурсам, управляемые приложения Azure предоставляют функцию JIT-доступа. Он позволяет утверждать, когда и как долго издатель имеет доступ к группе ресурсов. Издатель может вносить необходимые обновления в течение этого времени, но когда это время истекает, срок действия доступа издателя истекает.

Рабочий поток предоставления доступа:

1. Издатель добавляет управляемое приложение в Marketplace и указывает, что доступ К JIT доступен.

2. Во время развертывания вы включите JIT-доступ для экземпляра управляемого приложения.

3. После развертывания можно изменить параметры для доступа JIT.

4. Издатель отправляет запрос на доступ.

5. Вы утверждаете запрос.

В этой статье рассматриваются действия потребителей для включения JIT-доступа и утверждения запросов. См. Запрос доступа Just-in-Time (JIT) в управляемых приложениях Azure для получения информации о публикации управляемого приложения с доступом JIT.

Включение во время развертывания

1. Войдите на портал Azure.

2. Найдите запись Marketplace для управляемого приложения с поддержкой JIT. Нажмите кнопку "Создать".

3. При предоставлении значений для нового управляемого приложения шаг конфигурации JIT позволяет включить или отключить JIT-доступ для управляемого приложения. Выберите "Да " для включения JIT-доступа. Этот параметр выбран по умолчанию для управляемых приложений, определенных с поддержкой JIT в Marketplace.

   

   Доступ JIT можно включить только во время развертывания. Если выбрать "Нет", издатель получает постоянный доступ к управляемой группе ресурсов. Вы не можете включить JIT-доступ позже.

4. Чтобы изменить параметры утверждения по умолчанию, выберите "Настройка JIT-конфигурации".

   

   По умолчанию управляемое приложение с поддержкой JIT имеет следующие параметры:

   • Режим утверждения — автоматический
   • Максимальная длительность доступа — 8 часов
   • Утверждающие — нет

   Если режим утверждения установлен автоматически, утверждающие получают уведомление для каждого запроса, но запрос автоматически утвержден. Если выбрано вручную, утверждающие лица получают уведомление для каждого запроса, при этом один из них должен утвердить этот запрос.

   Максимальная длительность активации указывает максимальное время, когда издатель может запросить доступ к управляемой группе ресурсов.

   Список утверждающих — это пользователи Microsoft Entra, которые могут утверждать запросы на доступ JIT. Чтобы добавить утверждающего, выберите "Добавить утверждающего" и найдите пользователя.

   После обновления параметра нажмите кнопку "Сохранить".

Обновление после развертывания

Вы можете изменить значения того, как утверждены запросы. Однако если во время развертывания доступ к JIT не включен, его нельзя включить позже.

Чтобы изменить параметры развернутого управляемого приложения, выполните следующие действия.

1. На портале выберите приложение управления.

2. Выберите JIT Configuration и измените параметры по мере необходимости.

   

3. Затем нажмите кнопку Сохранить.

Утвердить запросы

Когда издатель запрашивает доступ, вы получите уведомление о запросе. Вы можете утвердить запросы на доступ JIT напрямую через управляемое приложение или все управляемые приложения через службу управления привилегированными пользователями Microsoft Entra. Чтобы использовать JIT-доступ, необходимо иметь лицензию Microsoft Entra ID P2.

Чтобы утвердить запросы через управляемое приложение, выполните следующие действия.

1. Выберите JIT Access для управляемого приложения и выберите " Утвердить запросы".

   

2. Выберите запрос на утверждение.

   

3. В форме укажите причину утверждения и выберите " Утвердить".

Чтобы утвердить запросы через Microsoft Entra Privileged Identity Management:

1. Выберите все службы и начните поиск microsoft Entra Privileged Identity Management. Выберите подходящий вариант из предложенных.

   

2. Выберите "Утвердить запросы".

   

3. Выберите управляемые приложения Azure и выберите запрос для утверждения.

   

Дальнейшие шаги

Чтобы узнать о публикации управляемого приложения с JIT-доступом, см. статью Запрос JIT-доступа в управляемых приложениях Azure.