Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Миграция назначений ролей Microsoft Purview — это корпоративное приложение майкрософт в Microsoft Entra ID, которое выполняет фоновую синхронизациюот назначений ролей Microsoft Purview с соответствующими Entra ролями. Службы Microsoft 365 используют эти Entra роли, чтобы убедиться, что администратор имеет правильный уровень разрешений, прежде чем разрешить выполнение длительных операций Microsoft Purview, таких как поиск и экспорт содержимого.
Сопоставление ролей
В следующей таблице показано, какие роли Purview сопоставляются с каждой из следующих Entra ролей. Эти Entra роли предоставляют только возможность выполнения операций Purview, и никакие другие операции за пределами Purview не предоставляются.
| Роли Purview | Сопоставленная роль Entra | Описание |
|---|---|---|
| Анализ управления внутренними рисками Исследование управления внутренними рисками Поиск соответствия Экспорт Управление конфиденциальностью Администратор Анализ управления конфиденциальностью Исследование управления конфиденциальностью Постоянный вклад в управление конфиденциальностью Временный вклад управления конфиденциальностью Средство управления конфиденциальностью Рецензент по анализу безопасности данных |
Средство чтения содержимого рабочей нагрузки Purview | Позволяет операциям Microsoft Purview считывать содержимое из служб Microsoft 365 (например, чтение файла в SharePoint). |
| Hold Исследование управления конфиденциальностью Следователь по анализу безопасности данных |
Модуль записи содержимого рабочей нагрузки Purview | Позволяет операциям Microsoft Purview считывать и записывать содержимое в службы Microsoft 365 (например, хранить почтовые элементы в Exchange). |
| Поиск и очистка Администратор исследования безопасности данных Аналитик по анализу безопасности данных |
Администратор содержимого рабочей нагрузки Purview | Позволяет операциям Microsoft Purview читать, записывать и удалять содержимое в службах Microsoft 365 (например, очистка сообщений в Microsoft Teams). |
Если администратор имеет несколько ролей Purview, которые сопоставляются с разными Entra ролями, он получает Entra роль с наивысшими привилегиями. Порядок приоритета: Средство чтения записи > администратора>.
Примечание.
Миграция назначения ролей Purview управляет ролями читателя содержимого рабочей нагрузки Purview, записи содержимого рабочей нагрузки Purview и администратора содержимого рабочей нагрузки Purview Entra, и только перечисленные роли Purview синхронизируются с Entra. Не назначайте роли Entra на портале Entra. Эти роли не отображаются на портале Microsoft Purview, как те, которые отображаются на странице параметров .
Журналы аудита синхронизации
Миграция назначения ролей Purview работает в двух режимах:
- Начальная массовая синхронизация: Когда миграция ролей Purview впервые активируется для клиента, он синхронизирует все существующие назначения ролей Purview с Microsoft Entra за один проход. Этот процесс создает всплеск активности в журналах аудита Microsoft Entra.
- Непрерывная синхронизация: Все последующие изменения членства в роли Purview инициируют синхронизацию с Microsoft Entra.
Важно!
Оставьте корпоративное приложение Purview Assignment Role Assignment Migrator включенным в Microsoft Entra ID. Идентификатор приложения — 7fe3d988-4f3b-4f33-83bd-1fb921a35ed2. Отключение этого приложения останавливает синхронизацию. Новые назначения ролей Purview не распространяются на Microsoft Entra, и длительные операции Purview не выполняют проверки авторизации во время выполнения.
Действие синхронизации назначения ролей Purview отображается в журналах аудита Microsoft Entra с отображаемым именем PurviewRoleAssignmentMigrator. В поле Новое значение для каждой записи журнала отображается назначенная Microsoft Entra роль.
Вы увидите два разных шаблона действий:
| Шаблон действия | Когда это происходит | Том |
|---|---|---|
| Массовая синхронизация | Один раз, когда миграция назначения ролей Purview впервые активируется для вашего клиента | Высокий — все существующие назначения ролей Purview синхронизируются одновременно |
| Непрерывная синхронизация | Выполняется после каждого изменения членства в роли Purview | Низкий — пропорциональна частоте изменения роли Purview в клиенте. |
Если вы видите внезапный всплеск записей в журналах PurviewRoleAssignmentMigrator аудита Microsoft Entra, этот всплеск записей журнала аудита происходит из-за начальной массовой синхронизации и не является признаком несанкционированной активности.
Важно!
Не назначайте пользователей этим Microsoft Entra ролям непосредственно в Microsoft Entra ID. Миграция ролей Purview управляет этими назначениями исключительно из Purview и перезаписывает все назначения вручную в Microsoft Entra при следующей синхронизации.
Доступ JIT
По умолчанию миграция назначений ролей Purview синхронизирует назначения ролей с ролями Microsoft Entra в качестве активных (постоянных) назначений. Microsoft Entra управление привилегированными пользователями (PIM) для групп позволяет соответствующим пользователям активировать JIT-членство в группах. При добавлении этих Microsoft Entra групп безопасности с соответствующими назначениями к ролям Purview миграция ролей Purview синхронизирует это же членство в группах безопасности с соответствующими Microsoft Entra ролями. Этот процесс позволяет организациям, которым требуется JIT-назначение ролей в Microsoft Entra применять ту же модель для Microsoft Purview и принудительно активировать роли.
Важно!
Размер окна JIT-активации членства в группе безопасности, чтобы охватить всю длительность операций. Если активация истечет, а длительная операция все еще выполняется, операция может завершиться ошибкой при следующем проверка авторизации среды выполнения. Например, чтобы определить, сколько времени обычно занимают операции обнаружения электронных данных, используйте Диспетчер процессов в обнаружении электронных данных и задайте соответствующие сроки активации.