Ativar minhas funções de recurso do Azure no Privileged Identity Management

Quando precisar assumir uma função de recurso do Azure, você poderá solicitar a ativação usando a opção de navegação Minhas funções no Privileged Identity Management.

1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Função Privilegiada.

2. Navegue até Governança de>identidades Gerenciamento privilegiado de>identidades Minhas funções.

   

3. Selecione Funções de recursos do Azure para ver uma lista de suas funções de recursos do Azure qualificadas.

   

4. Na lista de funções de recursos do Azure, localize a função que você deseja ativar.

   

5. Selecione Ativar para abrir a página Ativar.

   

6. Se sua função exigir autenticação multifator, selecione Verificar sua identidade antes de continuar. Só tem de se autenticar uma vez por sessão.

7. Selecione Verificar minha identidade e siga as instruções para fornecer verificação de segurança adicional.

   

8. Se desejar especificar um escopo reduzido, selecione Escopo para abrir o painel Filtro de recursos.

   É uma prática recomendada solicitar apenas acesso aos recursos de que você precisa. No painel Filtro de recursos, você pode especificar os grupos de recursos ou recursos aos quais precisa acessar.

   

9. Se necessário, especifique uma hora de início de ativação personalizada. O membro seria ativado após o tempo selecionado.

10. Na caixa Motivo, insira o motivo da solicitação de ativação.

11. Selecione Ativar.

    Nota

    Se a função exigir aprovação para ser ativada, uma notificação aparecerá no canto superior direito do navegador informando que a solicitação está pendente de aprovação.

O Privileged Identity Management dá suporte a comandos de API do Azure Resource Manager (ARM) para gerenciar funções de recursos do Azure, conforme documentado na referência da API PIM ARM. Para obter as permissões necessárias para usar a API do PIM, consulte Compreender as APIs de gerenciamento de identidades privilegiadas.

Para ativar uma atribuição de função do Azure elegível e obter acesso ativado, use as Solicitações de Agenda de Atribuição de Função - Criar API REST para criar uma nova solicitação e especificar a entidade de segurança, a definição de função, requestType = SelfActivate e o escopo. Para chamar essa API, você deve ter uma atribuição de função qualificada no escopo.

Use uma ferramenta GUID para gerar um identificador exclusivo que será usado para o identificador de atribuição de função. O identificador tem o formato: 00000000-0000-0000-0000-000000000000.

Substitua {roleAssignmentScheduleRequestName} na solicitação PUT abaixo pelo identificador GUID da atribuição de função.

Para obter mais detalhes sobre como gerenciar funções qualificadas para recursos do Azure, consulte este tutorial da API do PIM ARM.

A seguir está uma solicitação HTTP de exemplo para ativar uma atribuição qualificada para uma função do Azure.

Pedir

PUT https://management.azure.com/providers/Microsoft.Subscription/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignmentScheduleRequests/{roleAssignmentScheduleRequestName}?api-version=2020-10-01

Corpo do pedido

{ 
"properties": { 
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222", 
  "roleDefinitionId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleDefinitions/c8d4ff99-41c3-41a8-9f60-21dfdad59608", 
  "requestType": "SelfActivate", 
  "linkedRoleEligibilityScheduleId": "b1477448-2cc6-4ceb-93b4-54a202a89413", 
  "scheduleInfo": { 
      "startDateTime": "2020-09-09T21:35:27.91Z", 
      "expiration": { 
          "type": "AfterDuration", 
          "endDateTime": null, 
          "duration": "PT8H" 
      } 
  }, 
  "condition": "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:ContainerName] StringEqualsIgnoreCase 'foo_storage_container'", 
  "conditionVersion": "1.0" 
} 
} 

Resposta

Código de status: 201

Você pode visualizar o status de suas solicitações pendentes para ativar.

1. Abra o Microsoft Entra Privileged Identity Management.

2. Selecione Minhas solicitações para ver uma lista de suas solicitações de função de recurso do Microsoft Entra e do Azure.

   

3. Desloque-se para a direita para ver a coluna Estado do Pedido.

Se você não precisar da ativação de uma função que exija aprovação, poderá cancelar uma solicitação pendente a qualquer momento.

1. Abra o Microsoft Entra Privileged Identity Management.

2. Selecione Meus pedidos.

3. Para a função que você deseja cancelar, selecione o link Cancelar .

   When you select Cancel, the request will be canceled. To activate the role again, you will have to submit a new request for activation.
   

   

Quando uma atribuição de função é ativada, você verá uma opção Desativar no portal PIM para a atribuição de função. Além disso, não é possível desativar uma atribuição de função dentro de cinco minutos após a ativação.

Ativar com o portal do Azure

A ativação da função Gerenciamento Privilegiado de Identidades foi integrada às extensões de Cobrança e Controle de Acesso (AD) no portal do Azure. Os atalhos para Assinaturas (cobrança) e Controle de Acesso (AD) permitem ativar funções PIM diretamente dessas lâminas.

Na folha Subscrições, selecione "Ver subscrições elegíveis" no menu de comandos horizontal para verificar as suas atribuições elegíveis, ativas e expiradas. A partir daí, você pode ativar uma atribuição qualificada no mesmo painel.

No Controle de acesso (IAM) para um recurso, agora você pode selecionar "Exibir meu acesso" para ver suas atribuições de função atualmente ativas e qualificadas e ativar diretamente.

Ao integrar recursos de PIM em diferentes lâminas do portal do Azure, esse novo recurso permite que você obtenha acesso temporário para exibir ou editar assinaturas e recursos com mais facilidade.

Ativar funções PIM usando o aplicativo móvel do Azure

O PIM agora está disponível nos aplicativos móveis Microsoft Entra ID e Azure resource roles em iOS e Android.

1. Para ativar uma atribuição de função qualificada do Microsoft Entra, comece baixando o aplicativo móvel do Azure (iOS | Android). Você também pode baixar o aplicativo selecionando Abrir em dispositivos móveis em Privileged Identity Management > My roles > Microsoft Entra roles.

   

2. Abra a aplicação móvel do Azure e inicie sessão. Clique no cartão 'Privileged Identity Management' e selecione Minhas funções de recurso do Azure para exibir suas atribuições de função qualificadas e ativas.

   

3. Selecione a atribuição de função e clique em Ativar > ação abaixo dos detalhes da atribuição de função. Conclua as etapas para ativar e preencha todos os detalhes necessários antes de clicar em Ativar na parte inferior.

   

4. Exiba o status de suas solicitações de ativação e suas atribuições de função em 'Minhas funções de recurso do Azure'.