Descrição geral da API de privilégios de administrador delegados granulares (GDAP)

Namespace: microsoft.graph

Como parte do ecossistema do Centro de Parceiros da Microsoft, os parceiros da Microsoft nos programas Fornecedor de Soluções Cloud, Revendedor de Valor Acrescentado ou Assistente podem realizar operações administrativas nos inquilinos dos clientes para ajudar a gerir os serviços do cliente, por exemplo, o Microsoft Entra e o Microsoft 365. Esta capacidade permitia anteriormente que os parceiros assumissem uma função de Administrador Global no inquilino do cliente indefinidamente, criando potenciais exposições de segurança e limitando o potencial de mercado.

Os privilégios de administrador delegados granulares (GDAP) fornecem aos parceiros acesso com menos privilégios aos inquilinos dos clientes, seguindo o modelo de cibersegurança Confiança Zero. Através do GDAP, os parceiros configuram e pedem acesso granular e vinculado ao tempo aos ambientes dos clientes e os clientes têm de conceder explicitamente este acesso menos privilegiado aos parceiros. Além disso, os parceiros têm de pedir funções específicas para a administração de inquilinos do cliente durante um período de tempo definido. Este controlo elimina a necessidade de os parceiros terem a função de Administrador Global no inquilino do cliente, mas, em vez disso, têm agora permissões com privilégios menores de que precisam absolutamente para tarefas administrativas delegadas.

Para obter mais informações sobre o GDAP, consulte:

• Introdução aos privilégios de administrador delegado granulares (GDAP)
• Funções com menos privilégios por tarefa

Fluxo de trabalho GDAP

Ciclo de vida de uma relação GDAP

O diagrama seguinte mostra o estado das transições de relações de Administrador Delegado.

1. Criar delegatedAdminRelationship
2. Atualizar delegatedAdminRelationship
3. Criar delegatedAdminRelationshipRequest (ação: lockForApproval)
4. Criar delegatedAdminRelationshipRequest (ação: terminar)

Depois de executar a API Create delegatedAdminRelationshipRequest com a lockForApproval ação, crie a ligação de convite do cliente com o seguinte modelo de URI, em que {adminRelationshipID} é o ID do pedido de relação de administrador.

https://admin.microsoft.com/AdminPortal/Home#/partners/invitation/granularAdminRelationships/{adminRelationshipID}

Envie a ligação de convite ao cliente para que este aprove o pedido GDAP. Por exemplo, https://admin.microsoft.com/AdminPortal/Home#/partners/invitation/granularAdminRelationships/5d027261-d21f-4aa9-b7db-7fa1f56fb163-8777b240-c6f0-4469-9e98-a3205431b836 é uma ligação de convite, onde 5d027261-d21f-4aa9-b7db-7fa1f56fb163-8777b240-c6f0-4469-9e98-a3205431b836 está o ID do pedido de relação de administrador. Depois de o cliente aprovar o pedido GDAP, a relação GDAP passará para um estado ativo.

Para finalizar o fluxo de trabalho para ativar o administrador em nome da gestão (AOBO) do inquilino do cliente, crie uma nova atribuição de acesso para a relação de administrador delegado com a API Create accessAssignments .

Ciclo de vida de uma atribuição de acesso a relações GDAP

A atribuição de acesso de administrador delegado passa pelas transições de estado apresentadas no diagrama seguinte.

1. Criar delegatedAdminAccessAssignment
2. Eliminar delegatedAdminAccessAssignment

Casos de utilização para APIs GDAP

Esta secção descreve as formas como os parceiros da Microsoft podem utilizar as APIs GDAP para gerir programaticamente relações de administrador delegado para os seus clientes.

Relação de administrador delegado

Pedido de relação de administrador delegado

Atribuições de função

Operações de execução prolongada

Clientes administradores delegados

Permissões

Para gerir relações de administrador delegado, o principal de chamada tem de estar no inquilino do parceiro e ser-lhe-ão concedidas as permissões de privilégios de administrador delegado granulares adequados.

Confiança Zero

Esta funcionalidade ajuda as organizações a alinhar as respetivas identidades com os três princípios de orientação de uma arquitetura de Confiança Zero:

• Verificar explicitamente
• Utilizar menos privilégios
• Assumir violação

Para saber mais sobre a Confiança Zero e outras formas de alinhar a sua organização com os princípios de orientação, consulte o Centro de Orientação de Confiança Zero.

Conteúdo relacionado

• Introdução aos privilégios de administrador delegado granulares (GDAP)