Просмотр активности и журнала аудита для ролей ресурсов Azure в PIM

управление привилегированными пользователями (PIM) в идентификаторе Microsoft Entra, позволяет просматривать действия, активации и журнал аудита для ролей ресурсов Azure в организации. Включая подписки, группы ресурсов и даже виртуальные машины. Любой ресурс в Центре администрирования Microsoft Entra, использующий функциональные возможности управления доступом на основе ролей Azure, может воспользоваться возможностями управления безопасностью и жизненным циклом в Privileged Identity Management. Если вы хотите сохранить данные аудита дольше, чем срок хранения по умолчанию, можно использовать Azure Monitor для маршрутизации данных в учетную запись хранения Azure. Дополнительные сведения см. в статье «Архив журналов Microsoft Entra в учетную запись хранения Azure».

Просмотр действий и активаций

Чтобы просмотреть действия, выполняемые определенным пользователем в различных ресурсах, просмотрите действие ресурса Azure, связанное с периодом активации.

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор привилегированных ролей.

2. Перейдите к управлению идентификаторами>Управление привилегированными удостоверениями>ресурсам Azure.

3. Выберите ресурс, для которого нужно просмотреть сведения о действиях и активациях.

4. Выберите роли или члены.

5. Выберите пользователя.

   Отображается сводка действий пользователя в ресурсах Azure по датам. Здесь же будет показана информация о последних активациях роли за тот же период времени.

   

6. Выберите конкретную активацию роли, чтобы просмотреть подробные сведения и соответствующие действия с ресурсами Azure, которые произошли за время активности этого пользователя.

   

Экспорт назначений ролей с дочерними элементами

Для соответствия требованиям вам может потребоваться указать полный список назначений ролей для аудиторов. PIM позволяет запрашивать назначения ролей конкретного ресурса, в том числе всех его дочерних ресурсов. Ранее у администраторов возникали трудности при получении полного списка назначений ролей для подписки, и им нужно было экспортировать назначения ролей для каждого конкретного ресурса. С помощью PIM можно запрашивать все активные и допустимые назначения ролей в подписке, включая назначения ролей для всех ресурсов и групп ресурсов.

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор привилегированных ролей.

2. Перейдите к управлению идентификаторами>Управление привилегированными удостоверениями>ресурсам Azure.

3. Выберите ресурс, для которого нужно экспортировать назначения ролей, например подписку.

4. Выберите назначения.

5. Выберите "Экспорт", чтобы открыть область "Экспорт членства".

   

6. Выберите "Экспорт всех участников" , чтобы экспортировать все назначения ролей в CSV-файле.

   

Просмотр журнала аудита ресурсов

Аудит ресурсов позволяет просмотреть все действия ролей для какого-либо ресурса.

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор привилегированных ролей.

2. Перейдите к управлению идентификаторами>Управление привилегированными удостоверениями>ресурсам Azure.

3. Выберите ресурс, для которого нужно просмотреть журнал аудита.

4. Выберите аудит ресурсов.

5. Отфильтруйте данные: используйте уже заданный диапазон дат или настройте собственный.

   

6. Для типа аудита выберите "Активировать" (Назначено и активировано).

   

7. В разделе "Действие" выберите (действие) для пользователя, чтобы просмотреть сведения о действиях этого пользователя в ресурсах Azure.

   

Просмотр раздела "Мой аудит"

В разделе "Мой аудит" можно просматривать действия, выполняемые в личной роли.

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор привилегированных ролей.

2. Перейдите к управлению идентификаторами>Управление привилегированными удостоверениями>ресурсам Azure.

3. Выберите ресурс, для которого нужно просмотреть журнал аудита.

4. Выберите "Мой аудит".

5. Отфильтруйте данные: используйте уже заданный диапазон дат или настройте собственный.

   

Получите причину, утверждающего и номер билета для событий утверждения

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор привилегированных ролей.

2. Перейдите к Entra ID>Контроль и работоспособность>Журналы аудита.

3. Используйте фильтр службы для отображения только событий аудита для службы управления привилегированными пользователями. На странице журналов аудита можно:

   • См. причину события аудита в столбце "Причина состояния ".
   • См. утверждающего в столбце Инициатор (субъект) для события "запрос на добавление участника в роль одобрен".

   

4. Выберите событие журнала аудита, чтобы просмотреть номер билета на вкладке "Действие " области сведений .

   

5. Вы можете просмотреть запрашивающий объект (пользователь, активировающий роль) на вкладке "Цели " области сведений для события аудита. Существует три типа целевых объектов для ролей ресурсов Azure:

   • Роль (тип = роль)
   • Запрашиватель (Type = Other)
   • Утверждающий (тип = пользователь)

   

Как правило, событие журнала, расположенное непосредственно над событием утверждения, является событием для Добавление участника к роли завершено, где инициатором (субъектом) является запрашивающий. В большинстве случаев вам не нужно искать инициатора запроса в запросе на утверждение с точки зрения аудита.

Следующие шаги

• Просмотр журнала аудита ролей Microsoft Entra в службе "Управление привилегированными пользователями"