Создание каталога ресурсов и управление ими в управлении правами

В этой статье показано, как создать и управлять каталогом ресурсов и пакетами доступа в управлении правами доступа. Каталоги также используются в проверках доступа (предварительная версия).

Создание каталога

Каталог — это контейнер ресурсов и пакетов доступа. Каталог создается, когда требуется сгруппировать связанные ресурсы и пакеты доступа. Администратор может создать каталог. Кроме того, пользователь, делегированный роли создателя каталога, может создать каталог для ресурсов, принадлежащих им. Создатель каталога, не являющийся администратором, становится его первым владельцем. Владелец каталога может добавлять больше пользователей, групп пользователей или субъектов-служб приложений в качестве владельцев каталога.

Создание каталога:

1. Войдите в Центр администрирования Microsoft Entra как минимум в качестве администратора управления идентификацией.

   Совет

   Другие роли с минимальными привилегиями, которые могут завершить эту задачу, включают создателя каталога. Идентичности, которым назначена роль администратора пользователей, больше не смогут создавать каталоги или управлять пакетами доступа в каталоге, которым они не владеют. Если удостоверения в вашей организации были назначены на роль администратора пользователей для настройки каталогов, пакетов доступа или политик в управлении полномочиями, следует вместо этого назначить этим удостоверениям роль администратора управления идентификацией.

2. Перейдите к управлению идентификаторами>каталогам.

   

3. Выберите новый каталог.

4. Введите уникальное имя каталога и описание.

   Пользователи увидят эту информацию в сведениях о пакете Access.

5. Если требуется, чтобы пакеты для доступа в этом каталоге были доступны пользователям для запроса сразу после их создания, задайте для параметра Включено значение Да.

6. Если вы хотите, чтобы пользователи внешних каталогов из подключенных организаций могли запрашивать пакеты доступа в этом каталоге, установите параметр Включено для внешних пользователей в Да. Пакеты доступа также должны иметь политику, позволяющую пользователям из подключенных организаций делать запросы. Если пакеты доступа в этом каталоге предназначены только для пользователей, которые уже есть в каталоге, установите Параметр "Разрешено для внешних пользователей" в "Нет".

   Примечание.

   Этот параметр определяет, могут ли внешние пользователи запрашивать пакеты доступа через самообслуживание. Этот параметр не требуется для администраторов, чтобы напрямую назначать внешних пользователей пакету доступа, контролирующейся политикой пакета доступа.

   

7. Нажмите кнопку "Создать" , чтобы создать каталог.

Создание каталога программным способом

Есть два способа создать каталог программными средствами.

Создание каталога с помощью Microsoft Graph

Каталог можно создать с помощью Microsoft Graph. Пользователь в соответствующей роли с приложением с делегированным EntitlementManagement.ReadWrite.All разрешением или приложением с EntitlementManagement.ReadWrite.All разрешением приложения может вызвать API для создания каталога.

Создание каталога с помощью PowerShell

Вы также можете создать каталог в PowerShell с помощью командлета New-MgEntitlementManagementCatalog из командлетов модуля управления удостоверениями Microsoft Graph PowerShell версии 2.2.0 или более поздней.

Connect-MgGraph -Scopes "EntitlementManagement.ReadWrite.All"
$catalog = New-MgEntitlementManagementCatalog -DisplayName "Marketing"

Добавить ресурсы в каталог

Чтобы включить ресурсы в пакет Access, ресурсы должны находиться в каталоге. Типы ресурсов, которые можно добавить в каталог для использования в пакетах доступа, включают группы, приложения, SharePoint веб-сайты и (в предварительной версии) ресурсы SAP IAG.

• Группы могут быть облачно созданными группами Microsoft 365 или облачно созданными группами безопасности Microsoft Entra.

  • Группы, которые исходят из локальная служба Active Directory, не могут быть назначены в качестве ресурсов, поскольку их атрибуты владельца или члена не могут быть изменены в Microsoft Entra ID. Чтобы предоставить пользователю доступ к приложению, использующему членство в группах безопасности AD, вы можете изменить источник полномочий существующей группы и настроить ее для обратной записи в группу, или создать новую группу безопасности в Microsoft Entra ID, настроить обратную запись группы в AD и обеспечить возможность записи этой группы в AD, чтобы созданная в облаке группа могла использоваться приложением на основе AD.

  • Группы, созданные в Exchange Online как группы рассылки, не могут быть изменены в Microsoft Entra ID, поэтому их нельзя добавить в каталоги.

• Приложения могут включать корпоративные приложения Microsoft Entra, такие как приложения SaaS, локально установленные приложения и собственные приложения, интегрированные с Microsoft Entra ID.

  • Если ваше приложение еще не интегрировано с Microsoft Entra ID, см. govern access for applications in your environment и integrate an application with Microsoft Entra ID, и добавьте приложение в ваш каталог перед тем, как добавить его в каталог.

  • Дополнительные сведения о выборе соответствующих ресурсов для приложений с несколькими ролями см. в статье о том, как определить, какие роли ресурсов следует включить в пакет доступа.

• Сайты могут быть сайтами SharePoint Online или коллекциями сайтов SharePoint Online.

• Проверки доступа к каталогу (предварительная версия) также позволяют включать в каталог ресурсы с предоставленными пользовательскими данными.

**Необходимые роли:*См. сведения о необходимых ролях для добавления ресурсов в каталог.

Добавление ресурсов в каталог:

1. Войдите в Центр администрирования Microsoft Entra как минимум в роли Администратора управления идентификацией.

2. Перейдите к управлению идентификаторами>каталогам.

3. На странице "Каталоги" откройте каталог, в который нужно добавить ресурсы.

4. В меню слева выберите "Ресурсы".

5. Щелкните Добавление ресурсов.

6. Выберите тип ресурса Groups и Teams, Applications или сайты SharePoint.

   Если вы не видите ресурс, который вы хотите добавить или не удается добавить ресурс, убедитесь, что у вас есть необходимая Microsoft Entra роль каталога и роль управления правами. Возможно, потребуется попросить пользователя с необходимыми ролями добавить ресурс в каталог. Дополнительные сведения см. в разделе Роли, требуемые для добавления ресурсов в каталог.

7. Выберите один или несколько ресурсов данного типа, которые вы хотите добавить в каталог.

   

8. По завершении нажмите кнопку "Добавить".

   Теперь эти ресурсы можно включать в пакеты доступа в каталоге.

Добавление атрибутов ресурсов в каталог

Атрибуты — это обязательные поля, на которые должны ответить запрашивающие, прежде чем отправлять запрос доступа. Их ответы на эти атрибуты показываются утверждающим, а также фиксируются на объекте пользователя в Microsoft Entra ID.

Требовать указания атрибутов для запросов на доступ:

1. В меню слева выберите элемент Ресурсы. В каталоге отобразится список ресурсов.

2. Выберите многоточие рядом с ресурсом, для которого требуется задать атрибуты, а затем выберите Требовать атрибуты.

   

3. Выберите тип атрибута

   1. Встроенные атрибуты профиля пользователя Microsoft Entra.
   2. Предоставляет способ хранения дополнительных данных для пользователей Microsoft Entra через расширение схемы Directory. Вы можете расширить схему, создав атрибут расширения. Эти атрибуты расширения для пользовательских объектов можно использовать для отправки утверждений приложениям во время подготовки или единого входа.

4. Если вы выбрали параметр Встроенный, выберите атрибут из раскрывающегося списка. Если вы выбрали параметр Directory schema extension (Расширение схемы каталогов) введите имя атрибута в текстовом поле.

   Примечание.

   Атрибут User.mobilePhone — это конфиденциальное свойство, которое может обновляться только некоторыми администраторами. Дополнительные сведения см. в статье "Кто может обновить конфиденциальные атрибуты пользователя?".

5. Выберите формат, который запрашивающим сторонам следует использовать для указания сведений. Возможные форматы ответов: короткий текст, несколько вариантов и длинный текст.

6. Если вы выберете вариант с множественным выбором, нажмите Edit and localize (Изменить и локализовать), чтобы настроить варианты ответа.

   1. В открывшейся области просмотра и изменения вопроса введите варианты ответов, которые вы хотите предоставить запрашивающему пользователю при ответе на вопрос в полях значений ответов.
   2. Выберите язык для варианта ответа. Если выбрать дополнительные языки, то можно будет локализовать варианты ответа.
   3. Введите требуемое число ответов, а затем нажмите кнопку Сохранить.

7. Если нужно, чтобы значение атрибута было доступно для изменения во время прямых назначений и запросов на самостоятельное обслуживание, выберите вариант Да.

   Примечание.

   

   • Если в поле Attribute value is editable (Значение атрибута можно изменить) выбран вариант Нет и значение атрибута не указано, пользователи могут ввести значение этого атрибута. После сохранения значение изменить нельзя.
   • Если в поле Нет выбрано значение Attribute value is editable (Значение атрибута можно изменить), а значение атрибута не пустое, пользователи не смогут изменить существующее значение во время прямых назначений и запросов на самостоятельное обслуживание.

   

8. Если вы хотите добавить локализацию, выберите команду Add localization (Добавить локализацию).

   1. В области Add localizations for question (Добавление локализации для вопроса) выберите код для языка, на который вам нужно локализовать вопрос, который связан с выбранным атрибутом.

   2. Введите вопрос на выбранном языке в поле Localized Text (Локализованный текст).

   3. После добавления всех нужных локализаций нажмите кнопку Сохранить.

      

9. После указания всех сведений для атрибутов на странице Необходимые атрибуты нажмите кнопку Сохранить.

Добавить сайт Multi-Geo SharePoint

1. Если вы включили Multi-Geo для SharePoint, выберите среду, из которой вы хотите выбрать сайты.

   

2. Выберите сайты, которые хотите добавить в каталог.

Добавление ресурса в каталог программными средствами

Вы также можете добавить ресурс в каталог с помощью Microsoft Graph. Пользователь в подходящей роли или владелец каталога или ресурса, приложение которого имеет делегированное EntitlementManagement.ReadWrite.All разрешение, может вызвать API для создания запроса на ресурс. Приложение, имеющее разрешение приложения EntitlementManagement.ReadWrite.All и разрешения на изменение ресурсов, например Group.ReadWrite.All, может также добавлять ресурсы в каталог.

Добавление ресурса в каталог с помощью PowerShell

Вы также можете добавить ресурс в каталог в PowerShell с помощью командлета New-MgEntitlementManagementResourceRequest из модуля командлеты Microsoft Graph PowerShell для управления удостоверениями версии 2.1.x или более поздней. В следующем примере показано, как добавить группу в каталог в качестве ресурса с помощью модуля командлетов PowerShell Microsoft Graph версии 2.4.0.

Connect-MgGraph -Scopes "EntitlementManagement.ReadWrite.All,Group.ReadWrite.All"

$g = Get-MgGroup -Filter "displayName eq 'Marketing'"
if ($null -eq $g) {throw "no group" }

$catalog = Get-MgEntitlementManagementCatalog -Filter "displayName eq 'Marketing'"
if ($null -eq $catalog) { throw "no catalog" }
$params = @{
  requestType = "adminAdd"
  resource = @{
    originId = $g.Id
    originSystem = "AadGroup"
  }
  catalog = @{ id = $catalog.id }
}

New-MgEntitlementManagementResourceRequest -BodyParameter $params
sleep 5
$ar = Get-MgEntitlementManagementCatalog -AccessPackageCatalogId $catalog.Id -ExpandProperty resources
$ar.resources

Удаление ресурсов из каталога

Ресурсы можно удалять из каталога. Ресурс можно удалить из каталога, только если он не используется ни в одном из пакетов для доступа к каталогу.

Требуемые роли: см. раздел Роли, необходимые для добавления ресурсов в каталог.

Удаление ресурсов из каталога:

1. Войдите в Центр администрирования Microsoft Entra как минимум с правами Администратора управления идентификацией.

2. Перейдите к управлению идентификаторами>каталогам.

3. На странице "Каталоги" откройте каталог, из которого нужно удалить ресурсы.

4. В меню слева выберите "Ресурсы".

5. Выберите ресурсы, которые нужно удалить.

6. Выберите Удалить. При необходимости нажмите кнопку с многоточием (...), а затем выберите команду Удалить ресурс.

Добавьте больше владельцев каталога

Пользователь, создавший каталог, станет его первым владельцем. Для делегирования управления каталогом добавьте пользователей в роль владельца каталога. Добавление владельцев каталога позволяет разделить обязанности по управлению каталогом.

Чтобы назначить пользователя роли владельца каталога, сделайте следующее:

1. Войдите в Центр администрирования Microsoft Entra как минимум как Администратор управления идентификацией.

   Совет

   Другие роли с минимальными привилегиями, которые могут завершить эту задачу, включают владельца каталога.

2. Перейдите к управлению идентификаторами>каталогам.

3. На странице "Каталоги" откройте каталог, в который нужно добавить администраторов.

4. В меню слева выберите элемент Роли и администраторы.

   

5. Выберите команду Добавить владельцев, чтобы выбрать членов для этих ролей.

6. Нажмите Выбрать, чтобы добавить этих участников.

Редактирование каталога

Вы можете изменять имя и описание каталога. Пользователи увидят эту информацию в сведениях о пакете Access.

Редактирование каталога:

1. Войдите в Центр администрирования Microsoft Entra как минимум с ролью Identity Governance Administrator.

   Совет

   Другие роли с минимальными привилегиями, которые могут завершить эту задачу, включают создателя каталога.

2. Перейдите к управлению идентификаторами>каталогам.

3. На странице "Каталоги" откройте каталог, который требуется изменить.

4. На странице каталога Обзор выберите команду Изменить.

5. Измените имя каталога, описание или включенные настройки.

   

6. Нажмите Сохранить.

Удаление каталога

Каталог можно удалить, но только в том случае, если у него нет пакетов доступа.

Удаление каталога:

1. Войдите в Microsoft Entra администраторский центр как минимум в роли Администратора управления идентификацией.

   Совет

   Другие роли с минимальными привилегиями, которые могут завершить эту задачу, включают создателя каталога.

2. Перейдите к управлению идентификаторами>каталогам.

3. На странице "Каталоги" откройте каталог, который нужно удалить.

4. На странице каталога Обзор выберите команду Удалить.

5. В появившемся окне сообщения выберите вариант Да.

Удаление каталога программными средствами

Вы также можете удалить каталог с помощью Microsoft Graph. Пользователь с соответствующей ролью в приложении, имеющем делегированное разрешение EntitlementManagement.ReadWrite.All, может вызвать API, чтобы удалить accessPackageCatalog.

Следующие шаги

делегирование управления доступом менеджерам пакетов доступа