Назначение ролей Microsoft Entra (предварительная версия)

Управление правами поддерживает жизненный цикл доступа для различных типов ресурсов, таких как приложения, сайты SharePoint, группы и Teams. Иногда пользователям требуются дополнительные разрешения для использования этих ресурсов определенными способами. Например, пользователю может потребоваться доступ к панелям мониторинга Power BI вашей организации, но потребуется роль администратора Power BI для просмотра метрик на уровне организации. Хотя другие функциональные возможности идентификатора Microsoft Entra, такие как группы с возможностью назначения ролей, могут поддерживать эти назначения ролей Microsoft Entra, доступ, предоставленный с помощью этих методов, менее явным. Например, вы будете управлять членством в группе, а не управлять назначениями ролей пользователей напрямую.

Назначив роли Microsoft Entra сотрудникам и гостям с помощью управления правами, вы можете быстро определить, какие роли назначены пользователю. При включении роли Microsoft Entra в качестве ресурса в пакет доступа можно также указать, является ли назначение роли "допустимым" или "активным".

Назначение ролей Microsoft Entra через пакеты доступа помогает эффективно управлять назначениями ролей в масштабе и улучшает жизненный цикл назначения ролей.

Сценарии назначения ролей Microsoft Entra с помощью пакетов доступа

Предположим, что ваша организация недавно наняла 50 новых сотрудников для группы поддержки, и что вы хотите предоставить этим новым сотрудникам доступ к нужным ресурсам. Эти сотрудники должны получить доступ к группе поддержки и определенным приложениям, связанным с поддержкой. Для выполнения своих заданий им также требуются три роли Microsoft Entra, включая роль администратора службы технической поддержки. Вместо индивидуального назначения каждому из 50 сотрудников всем ресурсам и ролям можно настроить пакет доступа, содержащий сайт SharePoint, группу и определенные роли Microsoft Entra. Затем вы можете настроить пакет доступа для менеджеров в качестве утверждающих и предоставить ссылку группе поддержки.

Теперь новые члены, присоединенные к группе поддержки, могут запросить доступ к этому пакету доступа в My Access и получить доступ ко всем, что им нужно, как только их менеджер утверждает запрос. Это экономит время и энергию, так как группа поддержки планирует расширяться глобально, нанимать около 1000 новых сотрудников, но вам больше не нужно вручную назначать каждого человека пакету доступа.

Примечание о доступе PIM:

Необходимые условия

Для использования этой функции требуются лицензии Управление идентификацией Microsoft Entra или Microsoft Entra Suite. Чтобы найти подходящую лицензию для ваших требований, см. Управление идентификацией Microsoft Entra основы лицензирования.

Добавление роли Microsoft Entra в качестве ресурса в пакет доступа

Выполните следующие действия, чтобы изменить список несовместимых групп или других пакетов доступа для существующего пакета доступа:

1. Войдите в Центр администрирования Microsoft Entra в качестве глобального администратора.

2. Перейдите к пакетам управления>правами управления>правами для удостоверений.

3. На странице пакетов Access откройте пакет доступа, к которому нужно добавить роли ресурсов, и выберите роли ресурсов.

4. На странице "Добавление ролей ресурсов для доступа к пакету" выберите роли Microsoft Entra (предварительная версия), чтобы открыть панель "Выбор ролей Microsoft Entra".

5. Выберите роли Microsoft Entra, которые необходимо включить в пакет доступа.

6. В списке ролей выберите подходящий член или активный участник.

7. Нажмите кнопку "Добавить".

Добавление роли Microsoft Entra в качестве ресурса в пакет доступа программным способом

Чтобы добавить роль Microsoft Entra программным способом, используйте следующий код:

    "role": {
        "originId": "Eligible",
        "displayName": "Eligible Member",
        "originSystem": "DirectoryRole",
        "resource": {
            "id": "ea036095-57a6-4c90-a640-013edf151eb1"
        }
    },
    "scope": {
        "description": "Root Scope",
        "displayName": "Root",
        "isRootScope": true,
        "originSystem": "DirectoryRole",
        "originId": "c4e39bd9-1100-46d3-8c65-fb160da0071f"
    }
}

Добавление роли Microsoft Entra в качестве ресурса в пакет доступа с помощью Graph

Роли Microsoft Entra можно добавить в качестве ресурсов в пакете доступа с помощью Microsoft Graph. Пользователь в соответствующей роли с приложением с делегированным EntitlementManagement.ReadWrite.All permissionприложением или приложением с EntitlementManagement.ReadWrite.All разрешением приложения может вызвать API, чтобы создать пакет доступа, содержащий роли Microsoft Entra, и назначить пользователей этим пакету доступа.

Добавление роли Microsoft Entra в качестве ресурса в пакет доступа с помощью PowerShell

Вы также можете добавить роли Microsoft Entra в качестве ресурсов в пакетах доступа в PowerShell с помощью командлетов Microsoft Graph PowerShell для модуля управления удостоверениями версии 1.16.0 или более поздней.

Следующий скрипт иллюстрирует добавление роли Microsoft Entra в качестве ресурса в пакет доступа:

Сначала получите идентификатор каталога, а также ресурс в этом каталоге и его области и роли, которые необходимо включить в пакет доступа. Используйте сценарий, аналогичный следующему примеру. Предполагается, что в каталоге есть ресурс роли Microsoft Entra.

Connect-MgGraph -Scopes "EntitlementManagement.ReadWrite.All"

$catalog = Get-MgEntitlementManagementCatalog -Filter "displayName eq 'Entra Admins'" -All
if ($catalog -eq $null) { throw "catalog not found" }
$rsc = Get-MgEntitlementManagementCatalogResource -AccessPackageCatalogId $catalog.id -Filter "originSystem eq 'DirectoryRole'" -ExpandProperty scopes
if ($rsc -eq $null) { throw "resource not found" }
$filt = "(id eq '" + $rsc.Id + "')"
$rrs = Get-MgEntitlementManagementCatalogResource -AccessPackageCatalogId $catalog.id -Filter $filt -ExpandProperty roles,scopes

Затем назначьте роль Microsoft Entra из этого ресурса пакету доступа. Например, если вы хотите включить первую роль ресурса ресурса, возвращенную ранее в качестве роли ресурса пакета доступа, вы будете использовать сценарий, аналогичный приведенному ниже.

$apid = "00001111-aaaa-2222-bbbb-3333cccc4444"

$rparams = @{
    role = @{
        id =  $rrs.Roles[0].Id
        displayName =  $rrs.Roles[0].DisplayName
        description =  $rrs.Roles[0].Description
        originSystem =  $rrs.Roles[0].OriginSystem
        originId =  $rrs.Roles[0].OriginId
        resource = @{
            id = $rrs.Id
            originId = $rrs.OriginId
            originSystem = $rrs.OriginSystem
        }
    }
    scope = @{
        id = $rsc.Scopes[0].Id
        originId = $rsc.Scopes[0].OriginId
        originSystem = $rsc.Scopes[0].OriginSystem
    }
}

New-MgEntitlementManagementAccessPackageResourceRoleScope -AccessPackageId $apid -BodyParameter $rparams

Следующий шаг