Упражнение по назначению ролей Microsoft Entra в службе "Управление привилегированными удостоверениями"
С помощью платформы Microsoft Entra ID глобальный администратор может выполнять постоянные назначения ролей администратора в системе Microsoft Entra. Эти назначения ролей можно создавать с помощью портала Azure или с помощью команд PowerShell.
Служба Microsoft Entra Privileged Identity Management (PIM) также позволяет администраторам привилегированных ролей назначать постоянные роли администратора. Кроме того, администраторы привилегированных ролей могут сделать пользователей подходящими для ролей администратора Microsoft Entra. Уполномоченный администратор может активировать роль, когда это необходимо, а затем срок действия его разрешений истекает после завершения использования роли.
Назначение роли
Выполните следующие действия, чтобы сделать пользователя подходящим для роли администратора Microsoft Entra.
Войдите в Центр администрирования Microsoft Entra от имени администратора клиента.
Найдите и выберите Microsoft Entra Privileged Identity Management.
На экране управления привилегированными идентификаторами выберите в левую область навигации роли Microsoft Entra.
На странице быстрого запуска в области навигации слева выберите Роли.
В верхнем меню выберите +Добавить назначения.
На вкладке "Добавление назначений" на вкладке "Членство " просмотрите параметры.
Выберите меню "Выбор роли " и выберите "Администратор соответствия требованиям". Вы можете использовать фильтр Поиск роли по имени, чтобы найти роль.
В разделе "Выбор элементов" выберите "Нет выбранных элементов".
В области "Выбор члена" выберите учетную запись администратора и нажмите кнопку "Выбрать".
На экране "Добавление назначений" нажмите кнопку "Далее".
На вкладке "Параметры" в разделе "Тип назначения" просмотрите доступные параметры. Для этой задачи используйте параметр по умолчанию.
- Допустимые назначения требуют, чтобы член роли предпринял действие для использования роли. Действия могут включать выполнение многофакторной проверки подлинности (MFA), предоставление бизнес-обоснования или запрос утверждения от лиц, ответственных за утверждение.
- Активные назначения не требуют от участника выполнения каких-либо действий для использования роли. Члены, назначенные активными, всегда имеют привилегии, присвоенные роли.
Просмотрите оставшиеся параметры и нажмите кнопку "Назначить".
Активация ролей Microsoft Entra
Если необходимо принять роль Microsoft Entra, вы можете запросить активацию, открыв мои роли в Службе управления привилегированными пользователями.
На экране "Управление привилегированными пользователями" в меню навигации слева выберите "Мои роли".
В области "Мои роли" просмотрите список подходящих назначений.
В строке роли "Администратор соответствия требованиям" выберите "Активировать".
В области "Активация — администратор соответствия требованиям" выберите "Дополнительная проверка подлинности", а затем следуйте инструкциям, чтобы обеспечить дополнительную проверку безопасности. Для проверки подлинности требуется только один раз за сеанс.
После завершения проверки безопасности в области "Активация — администратор соответствия требованиям" в поле "Причина " введите обоснование для активации этой роли.
Выберите "Активировать".
Назначение роли с ограниченной областью
Для определенных ролей область предоставленных разрешений может быть ограничена одной административной единицей, служебным принципалом или приложением. Эта процедура служит примером назначения роли, которая имеет область действия административной единицы.
Перейдите на экран управления привилегированными пользователями и в меню навигации слева выберите роли Microsoft Entra.
В области ролей в верхнем меню нажмите кнопку +Добавить назначения.
На экране "Добавление назначений" выберите меню "Выбрать роль " и выберите "Администратор пользователя".
Выберите меню "Тип области" и просмотрите доступные параметры. На данный момент вы будете использовать тип области Directory.
Совет
Перейдите к разделу "Управление административными единицами" в идентификаторе Microsoft Entra, чтобы найти дополнительные сведения о типе области административной единицы.
Похоже на назначение роли без ограниченного диапазона действий. Добавьте участников и заполните параметры. Теперь нажмите кнопку "Отмена".
Обновление или удаление существующего назначения роли
Выполните следующие действия, чтобы обновить или удалить существующее назначение роли.
На экране "Open Microsoft Entra Privileged Identity Management" (Управление привилегированными пользователями Майкрософт) в области навигации слева выберите "Назначения".
В списке назначений для администратора соответствия требованиям просмотрите параметры в столбце "Действие ".
Выберите "Обновить " и просмотрите параметры, доступные на панели параметров членства. По завершении закройте область.
Нажмите кнопку "Удалить".
В диалоговом окне "Удалить " просмотрите сведения и нажмите кнопку "Да".