詳細な委任された管理者特権 (GDAP) API の概要

名前空間: microsoft.graph

Microsoft パートナー センター エコシステムの一環として、クラウド ソリューション プロバイダー、付加価値リセラー、または Advisor プログラムの Microsoft パートナーは、顧客のテナントに対して管理操作を実行して、顧客のサービス (Microsoft Entra や Microsoft 365 など) の管理を支援できます。 この機能により、パートナーは顧客テナントでグローバル管理者の役割を無期限に引き受け、潜在的なセキュリティ露出を生み出し、市場の可能性を制限することができました。

きめ細かい委任された管理者特権 (GDAP) は、 ゼロ トラスト サイバーセキュリティ モデルに従って、パートナーに顧客テナントへの最小限の特権アクセスを提供します。 パートナーは GDAP を通じて、顧客の環境へのきめ細かいアクセスを構成して要求し、顧客はこの最小限の特権のアクセスをパートナーに明示的に付与する必要があります。 さらに、パートナーは、顧客テナント管理の特定のロールを一定の時間要求する必要があります。 この制御により、パートナーが顧客のテナントでグローバル管理者ロールを持つ必要がなくなりますが、委任された管理タスクに絶対に必要な特権アクセス許可が少なくなります。

GDAP の詳細については、次を参照してください。

• 詳細な委任された管理者特権 (GDAP) の概要
• タスク別の最小特権ロール

GDAP ワークフロー

GDAP リレーションシップのライフサイクル

次の図は、委任された管理者関係の遷移の状態を示しています。

1. delegatedAdminRelationship を作成する
2. delegatedAdminRelationship を更新する
3. delegatedAdminRelationshipRequest の作成 (アクション: lockForApproval)
4. delegatedAdminRelationshipRequest を作成 する (アクション: terminate)

アクションで Create delegatedAdminRelationshipRequest API lockForApproval を実行した後、次の URI テンプレートを使用して顧客の招待リンクを作成します。 {adminRelationshipID} は管理者関係要求の ID です。

https://admin.microsoft.com/AdminPortal/Home#/partners/invitation/granularAdminRelationships/{adminRelationshipID}

GDAP 要求を承認するための招待リンクを顧客に送信します。 たとえば、 https://admin.microsoft.com/AdminPortal/Home#/partners/invitation/granularAdminRelationships/5d027261-d21f-4aa9-b7db-7fa1f56fb163-8777b240-c6f0-4469-9e98-a3205431b836 招待リンクです。ここで 5d027261-d21f-4aa9-b7db-7fa1f56fb163-8777b240-c6f0-4469-9e98-a3205431b836 、 は管理者関係要求 ID です。 お客様が GDAP 要求を承認すると、GDAP 関係はアクティブな状態に移行します。

顧客のテナントの (AOBO) 管理に代わって管理者を有効にするためのワークフローを完了するには、Create accessAssignments API を使用して、委任された管理者関係の新しいアクセス割り当てを作成します。

GDAP 関係のアクセス割り当てのライフサイクル

委任された管理者アクセスの割り当ては、次の図に示す状態遷移を経ます。

1. delegatedAdminAccessAssignment を作成する
2. delegatedAdminAccessAssignment を削除する

GDAP API のユース ケース

このセクションでは、Microsoft パートナーが GDAP API を使用して、顧客の委任された管理者関係をプログラムで管理する方法について説明します。

委任された管理者関係

委任された管理者関係要求

役割の割り当て

実行時間の長い操作

代理管理者のお客様

アクセス許可

委任された管理者リレーションシップを管理するには、呼び出し元のプリンシパルがパートナー テナントにあり、適切な 詳細な委任された管理者特権のアクセス許可が付与されている必要があります。

ゼロ トラスト

この機能は、組織がゼロ トラスト アーキテクチャの 3 つの基本原則に ID を 合わせるのに役立ちます。

• 明確に確認する
• 最小特権を使用する
• 侵害を想定する

ゼロ トラストとその他の方法の詳細については、組織をガイド原則に合わせる方法については、 ゼロ トラスト ガイダンス センターを参照してください。

関連コンテンツ

• 詳細な委任された管理者特権 (GDAP) の概要