Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
El migrador de asignaciones de roles de Microsoft Purview es una aplicación empresarial propia de Microsoft en Microsoft Entra ID que ejecuta la sincronización en segundo plano de las asignaciones de rol de Microsoft Purview a los roles de Entra correspondientes. Los servicios de Microsoft 365 usan estos roles de Entra para comprobar que el administrador tiene el nivel correcto de permisos antes de permitir que las operaciones de Microsoft Purview de larga duración, como la búsqueda y exportación de contenido, continúen.
Asignación de roles
En la tabla siguiente se muestran los roles de Purview que se asignan a cada uno de los siguientes roles de Entra. Estos roles de Entra solo conceden la posibilidad de ejecutar operaciones de Purview, y no se concede ninguna otra operación fuera de Purview.
| Roles de Purview | Rol de Entra asignado | Description |
|---|---|---|
| Análisis de la administración de riesgos internos Investigación de administración de riesgos internos Búsqueda de cumplimiento Exportar Administración de Administración de privacidad Análisis de la gestión de la privacidad Investigación sobre la administración de privacidad Contribución permanente de administración de privacidad Contribución temporal de administración de privacidad Visor de administración de privacidad Revisor de investigación de seguridad de datos |
Lector de contenido de carga de trabajo de Purview | Permite que las operaciones de Microsoft Purview lean contenido de servicios de Microsoft 365 (por ejemplo, lean un archivo en SharePoint). |
| Hold Investigación sobre la administración de privacidad Investigador de investigación de seguridad de datos |
Purview Workload Content Writer | Permite que las operaciones de Microsoft Purview lean y escriban contenido en los servicios de Microsoft 365 (por ejemplo, almacenar elementos de correo en Exchange). |
| Buscar y purgar Administración de investigación de seguridad de datos Analista de investigación de seguridad de datos |
Administrador de contenido de carga de trabajo de Purview | Permite a las operaciones de Microsoft Purview leer, escribir y eliminar contenido en los servicios de Microsoft 365 (por ejemplo, purgar mensajes en Microsoft Teams). |
Si un administrador tiene varios roles de Purview que se asignan a diferentes roles de Entra, recibe el rol de Entra con privilegios más altos. El orden de prioridad es: Administrador > , escritor > , lector.
Nota:
El migrador de asignación de roles de Purview administra los roles de Entra Lector de contenido de carga de trabajo de Purview, Escritor de contenido de carga de trabajo de Purview y Administrador de contenido de carga de trabajo de Purview de Purview, y solo los roles de Purview enumerados se sincronizan con Entra. No asigne las funciones de Entra en el portal de Entra. Estos roles no aparecen en el portal de Microsoft Purview como los que se muestran en la página de configuración .
Registros de auditoría de sincronización
El migrador de asignación de roles de Purview funciona en dos modos:
- Sincronización masiva inicial: Cuando el migrador de asignaciones de roles de Purview se activa por primera vez para el inquilino, sincroniza todas las asignaciones de roles de Purview existentes con Microsoft Entra en una sola pasada. Este proceso genera una ráfaga de actividad en los registros de auditoría de Microsoft Entra.
- Sincronización continua: Todos los cambios posteriores en las pertenencias a roles de Purview desencadenan la sincronización con Microsoft Entra.
Importante
Mantenga la aplicación empresarial Purview Role Assignment Migrator habilitada en Microsoft Entra ID. El id. de la aplicación es 7fe3d988-4f3b-4f33-83bd-1fb921a35ed2. Al deshabilitar esta aplicación, se detiene la sincronización. Las nuevas asignaciones de roles de Purview no se propagan a Microsoft Entra, y las operaciones de Purview de larga duración no superan las comprobaciones de autorización en tiempo de ejecución.
La actividad de sincronización de Purview Role Assignment Migrator aparece en los registros de auditoría de Microsoft Entra con el nombre para mostrar PurviewRoleAssignmentMigrator. El campo Nuevo valor de cada entrada de registro muestra la función de Microsoft Entra que se asignó.
Verá dos patrones distintos de actividad:
| Patrón de actividad | Cuando sucede | Volumen |
|---|---|---|
| Sincronización masiva | Una vez, cuando el migrador de asignación de roles de Purview se activa por primera vez para el inquilino | Alto: todas las asignaciones de roles de Purview existentes se sincronizan a la vez |
| Sincronización continua | En curso, después de cada cambio en la pertenencia a un rol de Purview | Baja: proporcional a la tasa de cambios de rol de Purview en el inquilino |
Si observa un pico repentino de entradas en los registros de auditoría de Microsoft Entra, este pico en las entradas del registro de PurviewRoleAssignmentMigrator auditoría proviene de la sincronización masiva inicial y no es un signo de actividad no autorizada.
Importante
No asigne usuarios a estos roles de Microsoft Entra directamente en Microsoft Entra ID. El migrador de asignaciones de roles de Purview administra estas asignaciones exclusivamente desde Purview y sobrescribe las asignaciones manuales en Microsoft Entra en la siguiente sincronización.
Acceso cuando es necesario
De forma predeterminada, el migrador de asignaciones de roles de Purview sincroniza las asignaciones de roles a los roles de Microsoft Entra como asignaciones activas (permanentes). Microsoft Entra Privileged Identity Management (PIM) para Grupos permite a los usuarios aptos activar la pertenencia Just-In-Time a grupos. Al agregar estos grupos de seguridad de Microsoft Entra con asignaciones aptas a los roles de Purview, el Migrador de asignaciones de roles de Purview sincroniza la misma pertenencia al grupo de seguridad en los roles de Microsoft Entra correspondientes. Este proceso permite a las organizaciones que requieren que las asignaciones de roles sean justo a tiempo en Microsoft Entra aplicar el mismo modelo para Microsoft Purview y exigir la activación de roles.
Importante
Ajuste el tamaño de la ventana de activación de la suscripción Just-In-Time en el grupo de seguridad para cubrir toda la duración de las operaciones. Si una activación expira mientras aún se ejecuta una operación de larga duración, es posible que se produzca un error en la siguiente comprobación de autorización en tiempo de ejecución. Por ejemplo, para identificar cuánto tiempo tardan normalmente las operaciones de exhibición de documentos electrónicos, use el Administrador de procesos en exhibición de documentos electrónicos y establezca las duraciones de activación en consecuencia.