Délégation et rôles dans la gestion des droits d’utilisation

Dans Microsoft Entra ID, vous pouvez utiliser des modèles de rôle pour gérer l’accès à grande échelle grâce à la gouvernance des identités.

• Vous pouvez utiliser des packages d’accès pour représenter des rôles organisationnels dans votre organisation, comme « représentant commercial ». Un package d’accès représentant ce rôle organisationnel inclut tous les droits d’accès dont un représentant commercial peut généralement avoir besoin, sur plusieurs ressources.
• Les applications peuvent définir leurs propres rôles. Par exemple, si vous avez une application commerciale et que cette application a le rôle d’application « salesperson » dans son manifeste, vous pouvez inclure ce rôle à partir du manifeste de l’application dans un package d’accès. Les applications peuvent également utiliser des groupes de sécurité dans des scénarios où un utilisateur peut avoir simultanément plusieurs rôles propres à l’application.
• Vous pouvez utiliser des rôles pour déléguer l’accès administratif. Si vous disposez d’un catalogue pour tous les packages d’accès nécessaires aux ventes, vous pouvez affecter une personne responsable de ce catalogue, en lui attribuant un rôle spécifique au catalogue.

Cet article explique comment utiliser des rôles pour gérer les aspects de la gestion des droits d’utilisation Microsoft Entra, afin de contrôler l’accès aux ressources de gestion des droits d’utilisation.

Par défaut, les utilisateurs ayant le rôle d'administrateur général ou d'administrateur de la gouvernance des identités peuvent créer et gérer tous les aspects de la gestion des droits d’utilisation. Toutefois, les utilisateurs de ces rôles sont susceptibles de ne pas connaître toutes les situations dans lesquelles des packages d’accès sont exigés. D’ordinaire, il s’agit d’utilisateurs au sein des services, équipes ou projets respectifs qui savent avec qui ils collaborent, en utilisant quelles ressources et pendant combien de temps. Plutôt que d’accorder des autorisations illimitées aux non-administrateurs, vous pouvez accorder aux utilisateurs les autorisations minimales dont ils ont besoin pour effectuer leur travail et éviter de créer des conflits ou des droits d’accès inappropriés.

Cette vidéo fournit une vue d’ensemble de la délégation de la gouvernance des accès de l’administrateur informatique aux utilisateurs qui ne sont pas administrateurs.

Exemple de délégué

Pour comprendre comment déléguer la gouvernance des accès dans le cadre de la gestion des droits d’utilisation, prenons un exemple. Supposons que votre organisation emploie l’administrateur et les chefs de service suivants.

En tant qu’administratrice informatique, Hana a des contacts au sein de chaque service—Mamta du service marketing, Mark du service financier et Joe du service juridique, chacun étant responsable des ressources et du contenu vital pour l’entreprise de son service.

Avec la gestion des droits d’utilisation, vous pouvez déléguer la gouvernance des accès à ces non-administrateurs, car il s’agit des personnes qui savent quels utilisateurs ont besoin d’un accès, pendant combien de temps et à quelles ressources. Cette délégation à des non-administrateurs garantit que ce sont les bonnes personnes qui gèrent les accès pour leurs services.

Voici une façon pour Hana de déléguer la gouvernance des accès aux services marketing, financier et juridique.

1. Hana crée un nouveau groupe de sécurité Microsoft Entra et ajoute Mamta, Mark et Joe en tant que membres du groupe.

2. Hana ajoute ce groupe au rôle de créateur de catalogue.

   Mamta, Mark et Joe peuvent désormais créer des catalogues pour leurs services, ajouter les ressources dont leurs services ont besoin et effectuer d’autres actions de délégation au sein de leur catalogue. Ils ne peuvent pas voir les catalogues des autres.

3. Mamta crée un catalogue Marketing, qui est un conteneur de ressources.

4. Mamta ajoute les ressources que possède son service marketing à ce catalogue.

5. Mamta peut ajouter d’autres personnes de ce service comme propriétaires de ce catalogue, ce qui permet de partager les responsabilités de la gestion du catalogue.

6. Mamta peut également déléguer la création et la gestion des packages d’accès dans le catalogue Marketing aux chefs de projet du service marketing. Ils peuvent le faire en leur attribuant le rôle de gestionnaire de packages d’accès sur un catalogue. Un gestionnaire de package d’accès peut créer et gérer des packages d’accès, tout comme les stratégies, les requêtes et des affectations dans ce catalogue. Si le catalogue le permet, le gestionnaire de package d’accès peut configurer des stratégies pour attirer des utilisateurs à partir d’organisations connectées.

Le diagramme suivant montre les catalogues contenant les ressources des services marketing, financier et juridique. Lors de l’utilisation de ces catalogues, les chefs de projet peuvent créer des packages d’accès pour leurs équipes ou projets.

À l’issue de la délégation, le service marketing peut avoir des rôles similaires à ceux indiqués dans le tableau suivant.

Rôles de gestion des droits d’utilisation

La gestion des droits d’utilisation a les rôles suivants, avec des autorisations d’administration de la gestion des droits d’utilisation proprement dite, qui s’appliquent à tous les catalogues.

La gestion des droits d’utilisation a les rôles suivants qui sont définis pour chaque catalogue particulier, pour l’administration des packages d’accès et d’autres configurations au sein d’un catalogue. Un administrateur ou un propriétaire de catalogue peut ajouter des utilisateurs, des groupes d’utilisateurs ou des principaux de service à ces rôles.

De plus, l’approbateur choisi et un demandeur d’un package d’accès ont des droits, bien qu’il ne s’agisse pas de rôles.

Le tableau suivant liste les tâches que les rôles de gestion des droits d’utilisation peuvent effectuer dans la gestion des droits d'utilisation.

Pour déterminer le rôle le moins privilégié pour une tâche, vous pouvez également vous reporter à Rôles d’administrateur par tâche administrateur dans Microsoft Entra ID.

Rôles requis pour ajouter des ressources à un catalogue

Un(e) administrateur(-trice) d’entreprise peut ajouter ou supprimer n’importe quel groupe (groupes de sécurité ou groupes Microsoft 365 créés dans le cloud), application ou site SharePoint Online d’un catalogue.

Pour qu’un(e) utilisateur(-trice) qui n’est pas administrateur(-trice) généra(e)l puisse ajouter des groupes, des applications ou des sites SharePoint Online à un catalogue, il doit disposer à la fois d’un rôle d’annuaire Azure AD ou de la propriété de la ressource, et du rôle de gestion des droits d’utilisation du ou de la propriétaire du catalogue. La façon la plus courante pour un utilisateur d’avoir la capacité à realiser des actions pour une ressource est d’être dans un rôle d’annuaire Microsoft Entra qui lui permet d’administrer la ressource. Ou pour les ressources qui ont des propriétaires, l’utilisateur peut avoir la capacité à realiser des actions en ayant été affecté en tant que propriétaire de la ressource.

Les actions que la gestion des droits d’utilisation case activée lorsqu’un utilisateur ajoute une ressource à un catalogue sont les suivantes :

• Pour ajouter un groupe de sécurité ou un groupe Microsoft 365 : l’utilisateur doit être autorisé à effectuer les actions microsoft.directory/groups/members/update et microsoft.directory/groups/owners/update
• Pour ajouter une application : l’utilisateur doit être autorisé à effectuer l’action microsoft.directory/servicePrincipals/appRoleAssignedTo/update
• Pour ajouter un site SharePoint Online : l’utilisateur doit être un Administration istrateur SharePoint ou se trouver dans un rôle de site SharePoint Online, ce qui lui permet de gérer les autorisations dans le site

Le tableau suivant répertorie certaines des combinaisons de rôles qui incluent les actions qui permettent aux utilisateurs de ces combinaisons de rôles d’ajouter des ressources à un catalogue. Pour supprimer des ressources d’un catalogue, vous devez également avoir un rôle ou une propriété avec ces mêmes actions.

Gestion déléguée du cycle de vie de l’utilisateur invité

En règle générale, un utilisateur disposant d’un rôle doté de privilèges Inviteur d’invités peut inviter des utilisateurs externes individuels à une organisation, et ce paramètre peut être modifié à l’aide des paramètres de collaboration externe.

Pour la gestion de la collaboration externe, lorsque les utilisateurs externes individuels d’un projet de collaboration peuvent ne pas être connus à l’avance, l’affectation d’utilisateurs qui travaillent avec des organisations externes à des rôles de gestion des droits d’utilisation peut leur permettre de configurer des catalogues, des packages d’accès et des stratégies pour leur collaboration externe. Ces configurations permettent aux utilisateurs externes avec lesquels ils collaborent de demander et d’être ajoutés aux packages d’accès et au répertoire de votre organisation.

• Pour permettre aux utilisateurs des répertoires externes d’organisations connectées de demander des packages d’accès dans un catalogue, le paramètre de catalogue Activé pour les utilisateurs externes doit être défini sur Oui. La modification de ce paramètre peut être effectuée par un administrateur ou un propriétaire de catalogue du catalogue.
• Le package d’accès doit également avoir une stratégie définie pour les utilisateurs qui ne se trouve pas dans votre annuaire. Cette stratégie peut être créée par un administrateur, un propriétaire de catalogue ou un gestionnaire de package d’accès du catalogue.
• Un package d’accès avec cette stratégie permet aux utilisateurs dans l’étendue de pouvoir demander l’accès, y compris les utilisateurs qui ne se trouvent pas déjà dans votre répertoire. Si sa requête est approuvée ou ne nécessite pas d’approbation, l’utilisateur est automatiquement ajouté à votre répertoire.
• Si le paramètre de stratégie était pour Tous les utilisateurs et que l’utilisateur ne faisait pas partie d’une organisation connectée existante, une organisation connectée proposée est alors automatiquement créée. Vous pouvez afficher la liste des organisations connectées et supprimer les organisations qui ne sont plus nécessaires.

Vous pouvez également configurer ce qui se passe lorsqu’un utilisateur externe introduit par la gestion des droits d’utilisation perd sa dernière affectation à des packages d’accès. Vous pouvez les empêcher de se connecter à cet annuaire ou leur compte invité supprimé dans les paramètres pour gérer le cycle de vie des utilisateurs externes.

Restriction des administrateurs délégués à la configuration des stratégies pour les utilisateurs qui ne se trouve pas dans l’annuaire

Vous pouvez empêcher les utilisateurs qui ne sont pas dans des rôles d’administration d’inviter des invités individuels, dans les paramètres de collaboration externes, en modifiant le paramètre Paramètres d’invitation d’invité en rôles d’administrateur spécifiques, et avoir défini Activer l’inscription en libre-service d’invité sur Non.

Pour empêcher les utilisateurs délégués de configurer la gestion des droits d’utilisation pour permettre aux utilisateurs externes de demander une collaboration externe, veillez à communiquer cette contrainte à tous les Administrateurs généraux, Administrateurs de gouvernance des identités, créateurs de catalogues et propriétaires de catalogues, car ils sont en mesure de modifier les catalogues, afin qu’ils n’autorisent pas par inadvertance une nouvelle collaboration dans des catalogues nouveaux ou mis à jour. Ils doivent s’assurer que les catalogues ont Activé pour les utilisateurs externes défini sur Non, et qu’ils n’ont pas de packages d’accès avec des stratégies permettant à un utilisateur qui ne se trouve pas dans le répertoire de faire une demande.

Vous pouvez afficher la liste des catalogues actuellement activés pour les utilisateurs externes dans le Centre d’administration Microsoft Entra.

1. Connectez-vous au centre d’administration de Microsoft Entra en tant qu’Administrateur de la gouvernance des identités.

2. Accédez à Gouvernance des identités>Gestion des droits d’utilisation>Catalogues.

3. Définissez le paramètre de filtre activé pour les utilisateurs externes sur Oui.

4. Si l’un de ces catalogues a un nombre de packages d’accès différent de zéro, ces packages d’accès peuvent avoir une stratégie pour les utilisateurs qui ne se trouvent pas dans le répertoire.

Gérer les attributions de rôles aux rôles de gestion des droits d’utilisation de manière programmatique

Vous pouvez également afficher et mettre à jour les créateurs de catalogue ainsi que les attributions de rôles propres au catalogue de gestion des droits d’utilisation à l’aide de Microsoft Graph. Un utilisateur disposant d’un rôle approprié et d’une application qui a l’autorisation déléguée EntitlementManagement.ReadWrite.All peut appeler l’API Graph pour lister les définitions de rôles de la gestion des droits d’utilisation et lister les attributions de rôles de ces définitions de rôles.

Par exemple, pour voir les rôles propres à la gestion des droits d’utilisation qui ont été attribués à un(e) utilisateur(-trice) ou à un groupe, utilisez la requête Graph pour lister les attributions de rôles, puis indiquez l’ID de l’utilisateur(-trice) ou du groupe comme valeur du filtre de requête principalId, comme dans

GET https://graph.microsoft.com/v1.0/roleManagement/entitlementManagement/roleAssignments?$filter=principalId eq 'aaaaaaaa-bbbb-cccc-1111-222222222222'&$expand=roleDefinition&$select=id,appScopeId,roleDefinition

Dans le cas d’un rôle propre à un catalogue, le appScopeId de la réponse indique le catalogue dans lequel l’utilisateur se voit attribuer un rôle. Cette réponse récupère uniquement les affectations explicites de ce principal à des rôles dans la gestion des droits d’utilisation. Elle ne retourne pas de résultats pour un utilisateur doté de droits d’accès via un rôle d’annuaire ou via l’appartenance à un groupe affecté à un rôle.

Étapes suivantes

• Déléguer la gouvernance des accès aux créateurs de catalogue
• Déléguer la gouvernance des accès aux gestionnaires de package d’accès
• Créer et gérer un catalogue de ressources