Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Der Microsoft Purview-Rollenzuweisungs-Migrator ist eine Microsoft-Erstanbieter-Unternehmensanwendung in Microsoft Entra ID, die die Hintergrundsynchronisierung von Microsoft Purview-Rollenzuweisungen zu entsprechenden Entra-Rollen ausführt. Microsoft 365-Dienste verwenden diese Entra-Rollen, um zu überprüfen, ob der Administrator über die richtige Berechtigungsstufe verfügt, bevor Sie zeitintensive Microsoft Purview-Vorgänge wie die Suche und den Export von Inhalten zulassen.
Rollenzuordnung
Die folgende Tabelle zeigt, welche Purview-Rollen jeder der folgenden Entra-Rollen zugeordnet sind. Diese Entra-Rollen gewähren nur die Möglichkeit zum Ausführen von Purview-Vorgängen, und es werden keine anderen Vorgänge außerhalb von Purview gewährt.
| Purview-Rollen | Zugeordnete Entra-Rolle | Beschreibung |
|---|---|---|
| Insider-Risikomanagementanalyse Untersuchung des Insider-Risikomanagements Compliance-Suche Exportieren Datenschutzverwaltungs-Admin Analyse der Datenschutzverwaltung Untersuchung der Datenschutzverwaltung Datenschutzverwaltung Permanenter Beitrag Datenschutzverwaltung Temporärer Beitrag Privacy Management Viewer Prüfer für Datensicherheitsuntersuchungen |
Inhaltsleser für Purview-Workload | Ermöglicht Microsoft Purview-Vorgängen das Lesen von Inhalten aus Microsoft 365-Diensten (z. B. Lesen einer Datei in SharePoint). |
| Hold Untersuchung der Datenschutzverwaltung Ermittler für Datensicherheitsuntersuchungen |
Purview Workload Content Writer | Ermöglicht Microsoft Purview-Vorgängen das Lesen und Schreiben von Inhalten in Microsoft 365-Dienste (z. B. Speichern von E-Mail-Elementen in Exchange). |
| Suchen und Löschen Data Security Investigation Admin Data Security Investigation Analyst |
Administrator für Purview-Workloadinhalt | Ermöglicht Microsoft Purview-Vorgängen das Lesen, Schreiben und Löschen von Inhalten in Microsoft 365-Diensten (z. B. Löschen von Nachrichten in Microsoft Teams). |
Wenn ein Administrator mehrere Purview-Rollen innehat, die verschiedenen Entra-Rollen zugeordnet sind, erhält er die Entra-Rolle mit den höchsten Berechtigungen. Die Rangfolge ist: Administrator > Writer > Reader.
Hinweis
Der Purview-Rollenzuweisungs-Migrator verwaltet die Purview-Workload-Inhaltsleser-, Purview-Workload-Content-Writer- und Purview-Workload-Content-Administrator Entra-Rollen, und nur die aufgelisteten Purview-Rollen werden mit Entra synchronisiert. Weisen Sie die Entra-Rollen nicht im Entra-Portal zu. Diese Rollen werden im Microsoft Purview-Portal nicht wie auf der Einstellungsseite angezeigte Rollen angezeigt.
Überwachungsprotokolle für die Synchronisierung
Der Purview-Rollenzuweisungs-Migrator funktioniert in zwei Modi:
- Anfängliche Massensynchronisierung: Wenn der Purview-Rollenzuweisungs-Migrator zum ersten Mal für Ihren Mandanten aktiviert wird, synchronisiert er alle vorhandenen Purview-Rollenzuweisungen in einem einzigen Durchgang mit Microsoft Entra. Dieser Prozess generiert einen Aktivitätsschub in Ihren Microsoft Entra-Überwachungsprotokollen.
- Fortlaufende Synchronisierung: Alle nachfolgenden Änderungen an Purview-Rollenmitgliedschaften lösen die Synchronisierung mit Microsoft Entra aus.
Wichtig
Lassen Sie die Purview-Rollenzuweisungs-Migrator-Unternehmensanwendung in Microsoft Entra ID aktiviert. Die Anwendungs-ID lautet 7fe3d988-4f3b-4f33-83bd-1fb921a35ed2. Durch Deaktivieren dieser App wird die Synchronisierung beendet. Neue Purview-Rollenzuweisungen werden nicht an Microsoft Entra weitergegeben, und bei Purview-Vorgängen mit langer Ausführungszeit schlagen die Autorisierungsprüfungen zur Laufzeit fehl.
Die Synchronisierungsaktivität Purview-Rollenzuweisungs-Migrator wird in Microsoft Entra-Überwachungsprotokollen unter dem Anzeigenamen PurviewRoleAssignmentMigrator angezeigt. Das Feld "Neuer Wert" für jeden Protokolleintrag zeigt die zugewiesene Microsoft Entra-Rolle.
Es werden zwei unterschiedliche Aktivitätsmuster angezeigt:
| Aktivitätsmuster | Eintritt | Laufwerk |
|---|---|---|
| Massensynchronisierung | Einmal, wenn der Purview-Rollenzuweisungs-Migrator zum ersten Mal für Ihren Mandanten aktiviert wird | Hoch – alle vorhandenen Purview-Rollenzuweisungen werden gleichzeitig synchronisiert |
| Fortlaufende Synchronisierung | Fortlaufend nach jedem Wechsel einer Purview-Rollenmitgliedschaft | Niedrig – proportional zur Rate der Purview-Rollenänderungen in Ihrem Mandanten |
Wenn Sie einen plötzlichen Anstieg von PurviewRoleAssignmentMigrator Einträgen in Ihren Microsoft Entra-Überwachungsprotokollen feststellen, stammt dieser Anstieg der Überwachungsprotokolleinträge aus der ersten Massensynchronisierung und ist kein Zeichen für nicht autorisierte Aktivitäten.
Wichtig
Weisen Sie diesen Microsoft Entra-Rollen nicht direkt in Microsoft Entra ID Benutzer zu. Der Purview-Rollenzuweisungs-Migrator verwaltet diese Zuweisungen ausschließlich über Purview und überschreibt alle manuellen Zuweisungen in Microsoft Entra bei der nächsten Synchronisierung.
Just-in-Time-Zugriff
Standardmäßig synchronisiert der Purview-Rollenzuweisungs-Migrator die Rollenzuweisungen mit den Microsoft Entra-Rollen als aktive (permanente) Zuweisungen. Microsoft Entra Privileged Identity Management (PIM) für Gruppen ermöglicht es berechtigten Benutzern, die Just-In-Time-Mitgliedschaft in Gruppen zu aktivieren. Wenn Sie diese Microsoft Entra-Sicherheitsgruppen mit berechtigten Zuweisungen zu Purview-Rollen hinzufügen, synchronisiert der Purview-Rollenzuweisungs-Migrator dieselbe Sicherheitsgruppenmitgliedschaft mit den entsprechenden Microsoft Entra-Rollen. Dieser Prozess ermöglicht Organisationen, die Rollenzuweisungen just-in-time in Microsoft Entra benötigen, das gleiche Modell für Microsoft Purview anzuwenden und die Rollenaktivierung zu erzwingen.
Wichtig
Passen Sie das Aktivierungsfenster für die Just-In-Time-Mitgliedschaft für die Sicherheitsgruppe so an, dass es die gesamte Dauer Ihrer Vorgänge abdeckt. Wenn eine Aktivierung abläuft, während ein Vorgang mit langer Ausführungszeit noch ausgeführt wird, schlägt der Vorgang möglicherweise bei der nächsten Laufzeitberechtigungsprüfung fehl. Um beispielsweise zu ermitteln, wie lange Ihre eDiscovery-Vorgänge normalerweise dauern, verwenden Sie Process Manager in eDiscovery , und legen Sie die Aktivierungsdauer entsprechend fest.