Alterar funções de recursos para um pacote de acesso no gerenciamento de direitos

Como gerenciador de pacotes de acesso, você pode alterar os recursos de um pacote de acesso a qualquer momento, sem se preocupar em provisionar o acesso de usuários aos novos recursos ou em remover o acesso a recursos antigos. Este artigo descreve como alterar as funções de recurso para um pacote de acesso existente.

Este vídeo fornece uma visão geral de como alterar um pacote de acesso.

Verificar o catálogo em busca de recursos

Se você precisar adicionar recursos a um pacote de acesso, verifique se os recursos necessários estão disponíveis no catálogo do pacote de acesso. Como gerenciador de pacotes de acesso, você não pode adicionar recursos a um catálogo, mesmo que seja o proprietário deles. Você pode usar apenas os recursos disponíveis no catálogo.

1. Entre no centro de administração do Microsoft Entra como, no mínimo, Administrador de Governança de Identidade.

   Dica

   Outras funções de privilégio mínimo que podem concluir essa tarefa incluem o proprietário do catálogo e o gerenciador de pacotes do Access.

2. Navegue até Governança de identidade>Gerenciamento de direitos>Pacote de acesso.

3. Na página de Pacotes de acesso, abra o pacote de acesso que você deseja verificar para garantir que seu catálogo tenha os recursos necessários.

4. No menu à esquerda, selecione Catálogo e, em seguida, abra o catálogo.

5. No menu à esquerda, selecione Recursos para ver a lista de recursos nesse catálogo.

   

6. Se os recursos ainda não estiverem no catálogo, como administrador ou proprietário de catálogo você pode adicionar recursos a um catálogo. Os tipos de recursos que você pode adicionar são grupos, aplicativos que você integrou ao seu diretório e sites do SharePoint Online. Por exemplo:

   • Os grupos podem ser do Microsoft 365 criados na nuvem ou de segurança do Microsoft Entra criados na nuvem. Os grupos que se originarem em um Active Directory local não podem ser atribuídos como recursos porque seus atributos de proprietário ou membro não podem ser alterados no Microsoft Entra ID. Para dar aos usuários acesso a um aplicativo que usa associações de grupo de segurança do AD, crie um grupo no Microsoft Entra ID, configure o write-back do grupo para o AD e permita que esse grupo seja gravado no AD. Grupos que se originem no Exchange Online como Grupos de distribuição também não podem ser modificados no Microsoft Entra ID.
   • Os aplicativos podem ser aplicativos empresariais do Microsoft Entra, que incluem aplicativos software como serviço (SaaS), aplicativos locais que usam um diretório ou banco de dados diferente e seus próprios aplicativos federados para o Microsoft Entra ID. Se o aplicativo ainda não tiver sido integrado ao diretório do Microsoft Entra, consulte controlar o acesso para aplicativos em seu ambiente e integrar um aplicativo com o Microsoft Entra ID.
   • Os sites podem ser sites do SharePoint Online ou conjunto de sites do SharePoint Online.

7. Se você tiver a função de gerenciador de pacotes de acesso e precisar adicionar recursos ao catálogo, peça ao proprietário do catálogo para adicioná-los.

Determinar quais funções de recurso incluir em um pacote de acesso

Uma função de recurso é uma coleção de permissões associadas a e definidas por um recurso. Os recursos podem ser disponibilizados para ser atribuídos a usuários quando você adiciona funções de recurso de cada um dos recursos do catálogo ao pacote de acesso. Você pode adicionar funções de recursos fornecidas por grupos, equipes, aplicativos e sites do SharePoint. Quando um usuário receber uma atribuição a um pacote de acesso, ele será adicionado a todas as funções de recurso no pacote de acesso.

Quando eles perdem uma atribuição de pacote de acesso, eles são removidos de todas as funções de recurso no pacote de acesso.

Se você quiser que alguns usuários recebam funções de recursos diferentes dos outros, será necessário criar vários pacotes de acesso no catálogo, com pacotes de acesso separados para cada uma das funções de recurso. Você também pode marcar os pacotes de acesso como incompatíveis entre eles para que os usuários não possam solicitar acesso a pacotes de acesso que permitiriam acesso excessivo.

Em particular, os aplicativos podem ter várias funções de aplicativo. Ao adicionar uma função de aplicativo de um aplicativo como uma função de recurso a um pacote de acesso, se esse aplicativo tiver mais de uma função de aplicativo, você precisará especificar a função apropriada para esses usuários no pacote de acesso.

Além disso, os aplicativos também podem contar com grupos de segurança para expressar permissões. Por exemplo, um aplicativo pode ter uma única função User de aplicativo e também verificar a associação de dois grupos - um grupo de Ordinary Users e grupos de Administrative Access. Um usuário do aplicativo deve ser membro de exatamente um desses dois grupos. Se você quisesse configurar que os usuários poderiam solicitar qualquer permissão, você colocaria em um catálogo três recursos: o aplicativo, o grupo de Ordinary Users e o grupo de Administrative Access. Em seguida, você criaria nesse catálogo dois pacotes de acesso e indicaria que cada pacote de acesso é incompatível com o outro:

• Um primeiro pacote do Access que tem duas funções de recurso, a função User do aplicativo do aplicativo e a associação do grupo Ordinary Users
• Um segundo pacote do Access que tem duas funções de recurso, a função User do aplicativo do aplicativo e a associação do grupo Administrative Access

Verifique se os usuários já estão atribuídos à função de recurso

Quando uma função de recurso for adicionada a um pacote de acesso por um administrador, os usuários que já estiverem nessa função de recurso, mas não tiverem atribuições ao pacote de acesso, permanecerão na função de recurso, mas não serão atribuídos ao pacote de acesso. Por exemplo, se um usuário for membro de um grupo, depois um pacote de acesso for criado e a função de membro desse grupo for adicionada a um pacote de acesso, o usuário não receberá automaticamente uma atribuição ao pacote de acesso.

Se você quiser que os usuários que tinham uma associação de função de recurso também sejam atribuídos ao pacote de acesso, poderá atribuir usuários diretamente a um pacote de acesso usando o centro de administração do Microsoft Entra ou em massa por meio do Graph ou do PowerShell. Assim, os usuários que você atribui ao pacote de acesso também receberão acesso às outras funções de recurso no pacote de acesso. No entanto, como esses usuários que estavam na função do recurso já tinham acesso antes de serem adicionados ao pacote de acesso, quando a atribuição do pacote de acesso for removida, eles serão removidos da função de recurso.

Adicionar funções de recurso

1. Entre no centro de administração do Microsoft Entra como, no mínimo, Administrador de Governança de Identidade.

   Dica

   Outras funções de privilégio mínimo que podem concluir essa tarefa incluem o proprietário do catálogo e o gerenciador de pacotes do Access.

2. Navegue até Governança de identidade>Gerenciamento de direitos>Pacote de acesso.

3. Na página Pacotes de acesso, abra o pacote de acesso ao qual você quer adicionar funções de recursos.

4. No menu esquerdo, selecione Funções de recurso.

5. Selecione Adicionar funções de recurso para abrir a página Adicionar funções de recurso ao pacote de acesso.

   

6. Se quiser adicionar uma associação de um grupo ou equipe, acesso a um aplicativo, site do SharePoint ou função do Microsoft Entra (Versão Prévia), você executará as etapas em uma das seções de função de recurso a seguir.

Adicionar uma função de recurso de equipe ou grupo

Você pode fazer com que o gerenciamento de direitos adicione automaticamente usuários a um grupo ou a uma equipe do Microsoft Teams quando forem atribuídos a um pacote de acesso.

• Quando a adesão a um grupo ou equipe é uma função de recurso que faz parte de um pacote de acesso e um usuário é atribuído a esse pacote de acesso, o usuário é adicionado como membro desse grupo ou equipe, se ainda não estiver presente.
• Quando a atribuição do pacote de acesso de um usuário expira, ele é removido do grupo ou da equipe, a menos que já tenha atribuição a outro pacote de acesso que inclua o mesmo grupo ou equipe.

Você pode selecionar qualquer grupo de segurança do Microsoft Entra ou grupo do Microsoft 365. Os usuários em uma função de administrador que podem gerenciar grupos podem adicionar qualquer grupo a um catálogo; os proprietários do catálogo podem adicionar qualquer grupo ao catálogo se forem proprietários do grupo. Tenha em mente as seguintes restrições do Microsoft Entra ao selecionar um grupo:

• Quando um usuário, até mesmo um convidado, é adicionado como membro a um grupo ou equipe, ele pode ver todos os outros membros desse grupo ou equipe.
• O Microsoft Entra ID não pode alterar a associação de um grupo que foi sincronizado do Windows Server Active Directory usando o Microsoft Entra Connect ou que foi criado no Exchange Online como grupo de distribuição. Se você planeja gerenciar o acesso a aplicativos que usam grupos de segurança do AD, veja como configurar o write-back de grupo com o gerenciamento de direitos.
• Grupos de associação dinâmica não podem ser atualizados com a adição ou remoção de um membro, portanto, eles não são adequados para uso com o gerenciamento de direitos.
• Os grupos do Microsoft 365 têm restrições adicionais, descritas na visão geral de Grupos do Microsoft 365 para administradores, incluindo um limite de 100 proprietários por grupo, limites de quantos membros podem acessar conversas em grupo simultaneamente e 7.000 grupos por membro.

Para obter mais informações, consulte Comparar grupos e Grupos do Microsoft 365 e Microsoft Teams.

1. Na página Adicionar funções de recurso ao pacote de acesso, selecione Grupos e equipes para abrir o painel Selecionar grupos.

2. Selecione os grupos e as equipes que deseja incluir no pacote de acesso.

   

3. Selecione Selecionar.

   Depois de selecionar o grupo ou a equipe, a coluna de Subtipo listará um dos seguintes subtipos:

   Subtipo	Descrição
   Segurança	Usado para conceder acesso aos recursos.
   Distribuição	Usado para enviar notificações a um grupo de pessoas.
   Microsoft 365	O Grupo do Microsoft 365 que não está habilitado para equipes. Usado para colaboração entre usuários, dentro e fora da sua empresa.
   Equipe	Grupo do Microsoft 365 habilitado para equipes. Usado para colaboração entre usuários, dentro e fora da sua empresa.

4. Na lista Função, selecione Proprietário ou Membro.

   Geralmente, a função Membro é a escolhida. Se você selecionar a função Proprietário, os usuários se tornarão proprietários do grupo, o que permite que esses usuários adicionem ou removam outros membros ou proprietários.

   

5. Selecione Adicionar.

   Qualquer usuário com atribuições existentes ao pacote de acesso se tornará automaticamente membros (ou proprietários) do grupo ou da equipe que for adicionado. Para obter mais informações, consulte Quando as alterações são aplicadas.

Adicionar uma função de recurso de aplicativo

Você pode fazer com que o Microsoft Entra ID automaticamente atribua aos usuários o acesso a um aplicativo empresarial da solução, inclusive aplicativos SaaS, aplicativos locais e aplicativos de sua organização integrados ao Microsoft Entra ID, quando receberem um pacote de acesso. Para aplicativos que se integram por meio de logon único federado, o Microsoft Entra ID emitirá tokens de federação para usuários atribuídos ao aplicativo.

Se o aplicativo ainda não tiver sido integrado ao diretório do Microsoft Entra, consulte controlar o acesso para aplicativos em seu ambiente e integrar um aplicativo com o Microsoft Entra ID.

Os aplicativos podem ter várias funções de aplicativo definidas em seu manifesto e gerenciadas por meio da IU de funções de aplicativo. Ao adicionar uma função de aplicativo do aplicativo como uma função de recurso a um pacote de acesso, se esse aplicativo tiver mais de uma função de aplicativo, você precisará especificar a função apropriada para esses usuários em cada pacote de acesso. Se você estiver desenvolvendo aplicativos, leia mais sobre como essas funções são adicionadas aos aplicativos em Como configurar a declaração de função emitida no token SAML para aplicativos empresariais. Se você estiver usando as Bibliotecas de Autenticação da Microsoft, também poderá ver um exemplo de código de como usar funções de aplicativo para controle de acesso.

Uma vez que uma função de aplicativo for um recurso de um pacote de acesso:

• Quando um usuário receber esse pacote de acesso, ele será adicionado a essa função de aplicativo, se ainda não estiver presente. Se o aplicativo exigir atributos, os valores dos atributos coletados da solicitação serão gravados no usuário.
• Quando a atribuição do pacote de acesso de um usuário expirar, seu acesso será removido do aplicativo, a menos que tenha uma atribuição a outro pacote de acesso que inclua essa função de aplicativo. Se o aplicativo exigir atributos, esses atributos serão removidos do usuário.

Eis algumas considerações ao selecionar um aplicativo:

• Os aplicativos também podem ter grupos atribuídos às funções do aplicativo. Você pode optar por adicionar um grupo no lugar de uma função de aplicativo em um pacote de acesso, no entanto, o aplicativo não ficará visível para o usuário como parte do pacote de acesso no portal Meus Acessos.
• O Centro de administração do Microsoft Entra também pode mostrar entidades de serviço para serviços que não podem ser selecionados como aplicativos. Particularmente, o Exchange Online e o SharePoint Online são serviços e não aplicativos com funções de recurso no diretório, portanto, não podem ser incluídos em um pacote de acesso. Em vez disso, use o licenciamento baseado em grupo para estabelecer uma licença apropriada para um usuário que precise acessar esses serviços.
• Os aplicativos que só têm suporte para usuários da Conta Microsoft Pessoal para autenticação e não têm suporte para contas organizacionais no diretório não têm funções de aplicativo e não podem ser adicionados aos catálogos de pacotes de acesso.

1. Na página Adicionar funções de recurso ao pacote de acesso, selecione Aplicativos para abrir o painel Selecionar aplicativos.

2. Selecione os aplicativos que deseja incluir no pacote de acesso.

   

3. Selecione Selecionar.

4. Na lista Função, selecione uma função de aplicativo.

   

5. Selecione Adicionar.

   Todos os usuários com atribuições existentes ao pacote de acesso receberão acesso a esse aplicativo automaticamente quando ele for adicionado. Para obter mais informações, consulte Quando as alterações são aplicadas.

Adicionar uma função de recurso de site do SharePoint

Quando os usuários receberem um pacote de acesso, o Microsoft Entra ID poderá atribuir automaticamente o acesso deles a um site ou a um conjunto de sites do SharePoint Online.

1. Na página Adicionar funções de recurso ao pacote de acesso, selecione Sites do SharePoint para abrir o painel Selecionar sites do SharePoint Online.

   

2. Selecione os sites do SharePoint Online que deseja incluir no pacote de acesso.

   

3. Selecione Selecionar.

4. Na lista Função, selecione uma função de site do SharePoint Online.

   

5. Selecione Adicionar.

   Todos os usuários com atribuições existentes ao pacote de acesso receberão acesso a esse site do SharePoint Online automaticamente quando ele for adicionado. Para obter mais informações, consulte Quando as alterações são aplicadas.

Adicionar uma atribuição de função do Microsoft Entra

Quando os usuários precisarem de permissões adicionais para acessar os recursos da sua organização, você pode gerenciar essas permissões atribuindo-lhes funções do Microsoft Entra por meio de pacotes de acesso. Ao atribuir funções do Microsoft Entra a funcionários e convidados, usando o Gerenciamento de Direitos, você pode analisar os direitos de um usuário para determinar rapidamente quais funções são atribuídas a esse usuário. Ao incluir uma função do Microsoft Entra como um recurso em um pacote de acesso, você também pode especificar se essa atribuição de função é "qualificada" ou "ativa".

Atribuir funções do Microsoft Entra por meio de pacotes de acesso ajuda a gerenciar com eficiência as atribuições de função em escala e aprimora o ciclo de vida da atribuição de função.

Execute essas etapas para incluir uma função do Microsoft Entra como um recurso em um pacote de acesso:

1. Entre no Centro de administração do Microsoft Entra como, no mínimo, um Administrador de Governança de Identidade.

2. Navegue até Governança de identidade>Gerenciamento de direitos>Pacotes de acesso.

3. Na página Pacotes de acesso, abra o pacote de acesso ao qual você quer adicionar funções de recursos e selecione Funções de recurso.

4. Na página Adicionar funções de recurso ao pacote de acesso, selecione as Funções do Microsoft Entra (versão prévia) para abrir o painel Selecionar funções do Microsoft Entra.

5. Selecione as funções do Microsoft Entra que você deseja incluir no pacote de acesso.

6. Na lista Função, selecione Membro Qualificado ou Membro Ativo.

7. Selecione Adicionar.

Para adicionar uma função do Microsoft Entra de forma programática, consulte: Adicionar uma função do Microsoft Entra como um recurso em um pacote de acesso programaticamente.

Adicionar funções de usuário programaticamente

Há duas formas de adicionar uma função de recurso a um pacote de acesso de forma programática, por meio do Microsoft Graph e dos cmdlets do PowerShell para Microsoft Graph.

Adicionar funções de recurso a um pacote de acesso com o Microsoft Graph

Você pode adicionar uma função de recurso a um pacote de acesso usando o Microsoft Graph. Um usuário em uma função adequada com um aplicativo que tenha a permissão delegada EntitlementManagement.ReadWrite.All pode chamar a API para:

1. Liste os recursos no catálogo e crie um accessPackageResourceRequest para todos os recursos que ainda não estão no catálogo.
2. Recuperar as funções e os escopos de cada recurso no catálogo. Essa lista de funções será usada para selecionar uma função, ao criar subsequentemente um resourceRoleScope.
3. Criar um resourceRoleScope para cada função de recurso necessária no pacote de acesso.

Adicionar funções de recurso a um pacote de acesso com o Microsoft PowerShell

Você também pode adicionar um pacote de acesso no PowerShell usando os cmdlets do módulo do Microsoft Graph PowerShell do Governança de Identidade versão 2.1.x ou versão posterior do módulo.

Primeiro, recupere a ID do catálogo e do recurso nesse catálogo e seu escopo e funções que você quer incluir no pacote de acesso. Use um script semelhante ao exemplo a seguir. Isso pressupõe que há apenas um recurso de aplicativo no catálogo.

Connect-MgGraph -Scopes "EntitlementManagement.ReadWrite.All"

$catalog = Get-MgEntitlementManagementCatalog -Filter "displayName eq 'Marketing'" -All
if ($catalog -eq $null) { throw "catalog not found" }
$rsc = Get-MgEntitlementManagementCatalogResource -AccessPackageCatalogId $catalog.id -Filter "originSystem eq 'AadApplication'" -ExpandProperty scopes
if ($rsc -eq $null) { throw "resource not found" }
$filt = "(id eq '" + $rsc.Id + "')"
$rrs = Get-MgEntitlementManagementCatalogResource -AccessPackageCatalogId $catalog.id -Filter $filt -ExpandProperty roles,scopes

Em seguida, atribua a função de recurso desse recurso ao pacote de acesso. Por exemplo, se você quisesse incluir a função do primeiro recurso do recurso retornado anteriormente como uma função de recurso de um pacote de acesso, usaria um script semelhante ao seguinte.

$apid = "00001111-aaaa-2222-bbbb-3333cccc4444"

$rparams = @{
    role = @{
        id =  $rrs.Roles[0].Id
        displayName =  $rrs.Roles[0].DisplayName
        description =  $rrs.Roles[0].Description
        originSystem =  $rrs.Roles[0].OriginSystem
        originId =  $rrs.Roles[0].OriginId
        resource = @{
            id = $rrs.Id
            originId = $rrs.OriginId
            originSystem = $rrs.OriginSystem
        }
    }
    scope = @{
        id = $rsc.Scopes[0].Id
        originId = $rsc.Scopes[0].OriginId
        originSystem = $rsc.Scopes[0].OriginSystem
    }
}

New-MgEntitlementManagementAccessPackageResourceRoleScope -AccessPackageId $apid -BodyParameter $rparams

Para obter mais informações, confira Criar um pacote de acesso no gerenciamento de direitos de um aplicativo com uma só função usando o PowerShell.

Remover funções de recurso

1. Entre no centro de administração do Microsoft Entra como, no mínimo, Administrador de Governança de Identidade.

   Dica

   Outras funções de privilégio mínimo que podem concluir essa tarefa incluem o proprietário do catálogo e o gerenciador de pacotes do Access.

2. Navegue até Governança de identidade>Gerenciamento de direitos>Pacote de acesso.

3. Na página Pacotes de acesso, abra o pacote de acesso do qual você quer remover funções de recursos.

4. No menu esquerdo, selecione Funções de recurso.

5. Na lista de funções de recurso, selecione aquela que deseja remover.

6. Selecione as reticências (...) e, em seguida, selecione Remover função do recurso.

   Todos os usuários com atribuições existentes ao pacote de acesso terão seu acesso para essa função de recurso automaticamente revogado quando ele for removido.

Quando as alterações são aplicadas

No gerenciamento de direitos, o Microsoft Entra ID processará alterações em massa para atribuição e recursos em seus pacotes de acesso várias vezes por dia. Portanto, se você fizer uma atribuição ou alterar as funções de recurso do seu pacote de acesso, poderá levar até 24 horas para que essa alteração seja feita no Microsoft Entra ID, além do tempo que leva para propagar essas alterações a outros serviços online da Microsoft ou aplicativos SaaS conectados. Se a alteração afetar apenas alguns objetos, ela provavelmente levará apenas alguns minutos para ser aplicada ao Microsoft Entra ID. Em sequência, outros componentes do Microsoft Entra ID detectarão essa alteração e atualizarão os aplicativos SaaS. Se a alteração afetar milhares de objetos, ela levará mais tempo. Por exemplo, se você tiver um pacote de acesso com 2 aplicativos e 100 atribuições de usuário e decidir adicionar uma função de site do SharePoint ao pacote de acesso, pode haver um atraso até que todos os usuários façam parte dessa função de site do SharePoint. Você pode monitorar o progresso por meio do log de auditoria do Microsoft Entra, do log de provisionamento do Microsoft Entra e dos logs de auditoria do site do SharePoint.

Quando você remove o membro de uma equipe, ele também é removido do grupo do Microsoft 365. A remoção da funcionalidade de chat da equipe pode ser atrasada. Para obter mais informações, veja Associação a um grupo.

Próximas etapas

• Criar um grupo básico e adicionar membros usando Microsoft Entra ID
• Como configurar a declaração de função emitida no token SAML para aplicativos empresariais
• Introdução ao SharePoint Online