Gobernar la pertenencia y la propiedad de grupos mediante PIM para grupos

Con Privileged Identity Management for groups (PIM for Groups), puede controlar cómo se asigna a las entidades principales la pertenencia o la propiedad de los grupos. La seguridad y la Grupos de Microsoft 365 son recursos críticos que puede usar para proporcionar acceso a los recursos de la nube de Microsoft, como los roles de Microsoft Entra, los roles de Azure, Azure SQL, Azure Key Vault, Intune y de terceros aplicaciones. PIM para grupos le ofrece más control sobre cómo y cuándo las entidades de seguridad son miembros o propietarios de grupos y, por lo tanto, tienen privilegios concedidos a través de su pertenencia o propiedad de grupo.

Las API de PIM para grupos de Microsoft Graph proporcionan más gobernanza sobre la seguridad y los Grupos de Microsoft 365, como las siguientes funcionalidades:

  • Proporcionar a los principales la pertenencia o propiedad Just-In-Time de grupos
  • Asignar entidades principales, pertenencia temporal o propiedad de grupos

En este artículo se presentan las capacidades de gobierno de las API de PIM para grupos en Microsoft Graph.

API de PIM for Groups para administrar las asignaciones activas de los propietarios y miembros de grupos

Las API de PIM para grupos de Microsoft Graph permiten asignar entidades de seguridad, permanentes o temporales, y pertenencia o propiedad con límite de tiempo a los grupos.

En la tabla siguiente se enumeran escenarios para usar PIM para grupos, API para administrar asignaciones activas para entidades de seguridad y las API correspondientes a las que llamar.

Scenarios API
Un administrador:
  • Asigna una pertenencia activa principal o propiedad a un grupo
  • Renueva, actualiza, amplía o quita una entidad de seguridad de su pertenencia activa o propiedad a un grupo

    Entidad de seguridad:
  • Realiza la activación Just-In-Time y con límite de tiempo de su pertenencia apta o asignación de propiedad para un grupo
  • Desactiva su pertenencia elegible y la asignación de propiedad cuando ya no necesitan acceso
  • Desactiva, amplía o renueva su propia pertenencia y asignación de propiedad
 Crear asignaciónScheduleRequest
Un administrador enumera todas las solicitudes de pertenencia activa y asignaciones de propiedad de un grupo List assignmentScheduleRequests
Un administrador enumera todas las asignaciones activas y las solicitudes de asignaciones que se crearán en el futuro para la pertenencia y la propiedad de un grupo List assignmentSchedules
Un administrador enumera todas las asignaciones de propiedad y pertenencia activas de un grupo List assignmentScheduleInstances
Un administrador consulta una asignación de miembro y propiedad de un grupo y sus detalles Get privilegedAccessGroupAssignmentScheduleRequest
Una entidad de seguridad consulta sus solicitudes de pertenencia o asignación de propiedad y los detalles

Un aprobador consulta las solicitudes de pertenencia o propiedad que esperan su aprobación y los detalles de estas solicitudes		 privilegedAccessGroupAssignmentScheduleRequest: filterByCurrentUser
Un director cancela una solicitud de pertenencia o asignación de propiedad que creó privilegedAccessGroupAssignmentScheduleRequest: cancelar
Un aprobador obtiene detalles de la solicitud de aprobación, incluida información sobre los pasos de aprobación Obtener aprobación
Un aprobador aprueba o deniega una solicitud de aprobación mediante el paso de aprobación Update approvalStep

API de PIM for Groups para administrar las asignaciones aptas de propietarios y miembros de grupos

Es posible que las entidades de seguridad no requieran la pertenencia permanente o la propiedad de grupos porque no requieren los privilegios concedidos a través de la pertenencia o la propiedad todo el tiempo. En este caso, PIM para grupos permite que las entidades de seguridad sean elegibles para la pertenencia o propiedad de los grupos.

Cuando una entidad de seguridad tiene una asignación apta, activa su asignación cuando necesita los privilegios concedidos a través de los grupos para realizar tareas con privilegios. Una asignación elegible puede ser permanente o temporal. La activación siempre tiene un límite de tiempo de un máximo de 8 horas. El director también puede ampliar o renovar su pertenencia o propiedad al grupo.

En la tabla siguiente se enumeran escenarios para usar PIM para las API de grupos para administrar las asignaciones aptas para las entidades de seguridad y las API correspondientes a las que se debe llamar.

Scenarios API
Un administrador:
  • Crea una asignación de propiedad o pertenencia apta para el grupo
  • Renueva, actualiza, amplía o quita una asignación de propiedad o pertenencia apta para el grupo
  • Desactiva, amplía o renueva su propia elegibilidad de membresía/propiedad
 Crear eligibilityScheduleRequest
Un administrador consulta todas las solicitudes de pertenencia o propiedad aptas y sus detalles List eligibilityScheduleRequests
Un administrador consulta una solicitud de pertenencia o propiedad apta y sus detalles Get eligibilityScheduleRequest
Un administrador cancela una solicitud de pertenencia o propiedad apta que ha creado privilegedAccessGroupEligibilityScheduleRequest:cancel
Un director consulta sus detalles sobre su pertenencia o propiedad apta privilegedAccessGroupEligibilityScheduleRequest: filterByCurrentUser

Configuración de directivas en PIM para grupos

PIM para grupos define la configuración o las reglas que rigen cómo se puede asignar a las entidades de seguridad la pertenencia o la propiedad de la seguridad y los Grupos de Microsoft 365. Estas reglas incluyen si se requiere autenticación multifactor (MFA), justificación o aprobación para activar una pertenencia o propiedad apta para un grupo, o si puede crear asignaciones permanentes o elegibilidad para entidades de seguridad de los grupos. Las reglas se definen en directivas y una directiva se puede aplicar a un grupo.

En Microsoft Graph, estas reglas se administran mediante los tipos de recursos unifiedRoleManagementPolicy y unifiedRoleManagementPolicyAssignment y sus métodos relacionados.

Por ejemplo, suponga que, de forma predeterminada, PIM para grupos no permite asignaciones de propiedad y pertenencia activas permanentes y define un máximo de seis meses para las asignaciones activas. Al intentar crear un objeto privilegedAccessGroupAssignmentScheduleRequest sin fecha de expiración, se devuelve un 400 Bad Request código de respuesta para la infracción de la regla de expiración.

PIM para grupos le permite configurar varias reglas, entre las que se incluyen:

  • Si se pueden asignar a las entidades principales asignaciones permanentes válidas
  • La duración máxima permitida para la activación de propiedad o pertenencia a grupos, y si se requiere justificación o aprobación para activar la pertenencia o propiedad apta
  • Los usuarios a los que se les permite aprobar solicitudes de activación para la pertenencia o propiedad de un grupo
  • Si se requiere MFA para activar y aplicar una pertenencia a grupos o una asignación de propiedad
  • Las entidades de seguridad a las que se notifica de la pertenencia a un grupo o de las activaciones de propiedad

En la tabla siguiente se enumeran escenarios para usar PIM for Groups para administrar reglas y las API a las que llamar.

Escenarios API
Recuperar PIM para directivas de grupos y reglas o configuraciones asociadas Lista unifiedRoleManagementPolicies
Recuperar una directiva de PIM for Groups y sus reglas o configuraciones asociadas Obtener unifiedRoleManagementPolicy
Actualizar una directiva de PIM for Groups en sus reglas o configuraciones asociadas Update unifiedRoleManagementPolicy
Recuperar las reglas definidas para una directiva de PIM para grupos Enumerar reglas
Recuperar una regla definida para una directiva de PIM para grupos Obtener unifiedRoleManagementPolicyRule
Actualizar una regla definida para una directiva de PIM para grupos Update unifiedRoleManagementPolicyRule
Obtén los detalles de todas las asignaciones de directivas de PIM for Groups, incluidas las directivas y reglas asociadas a la pertenencia y propiedad de los grupos Lista unifiedRoleManagementPolicyAssignments
Obtenga los detalles de una asignación de directiva de PIM for Groups, incluida la directiva y las reglas asociadas a la pertenencia o propiedad de grupos Get unifiedRoleManagementPolicyAssignment

Para obtener más información sobre cómo usar Microsoft Graph para configurar reglas, consulte Introducción a las reglas de las API de PIM en Microsoft Graph. Para obtener ejemplos de actualización de reglas, consulte Uso de las API de PIM en Microsoft Graph para actualizar reglas.

Incorporación de grupos a PIM para grupos

No puede incorporar un grupo a PIM para grupos explícitamente. Al realizar una solicitud para agregar una tarea a un grupo mediante Create assignmentScheduleRequest o Create eligibilityScheduleRequest, o al actualizar la directiva PIM (configuración de roles) para un grupo mediante la actualización unifiedRoleManagementPolicy o la actualización unifiedRoleManagementPolicyRule, el grupo se incorpora automáticamente a PIM si no se incorporó antes.

Puede llamar a una de las siguientes API tanto para los grupos que están incorporados a PIM como para los grupos que aún no se han incorporado a PIM, pero se recomienda hacerlo solo para los grupos que están incorporados a PIM para reducir las posibilidades de limitación.

Después de que PIM incorpora un grupo, cambian los identificadores de las directivas de PIM y las asignaciones de directivas del grupo específico. Llame a la API Get unifiedRoleManagementPolicy u Get unifiedRoleManagementPolicyAssignment para obtener los identificadores actualizados.

Después de que PIM incorpore un grupo, no puede retirarlo, pero puede quitar todas las asignaciones elegibles y con límite de tiempo según sea necesario.

PIM for Groups y el objeto de grupo

La pertenencia y la propiedad de cualquier grupo de seguridad y Microsoft 365 (excepto los grupos dinámicos y los grupos sincronizados desde el entorno local) se pueden gobernar a través de PIM para grupos. No es necesario que el grupo sea asignable a roles para habilitarse en PIM para grupos.

Cuando asigna una pertenencia o propiedad principal, activa , permanente o temporal de un grupo, o cuando realiza una activación Just-In-Time:

Cuando a una entidad de seguridad se le asigna una pertenencia permanente o temporal apta o la propiedad de un grupo, las relaciones entre los miembros y los propietarios del grupo no se actualizan.

Cuando expira la pertenencia activa temporal de un principal o la propiedad de un grupo:

  • Los detalles de la entidad de seguridad se eliminan automáticamente de las relaciones entre miembros y propietarios .
  • Si se realiza un seguimiento de los cambios en el grupo mediante las funciones Get delta y Get delta para los objetos de directorio , an @odata.nextLink indica el propietario o miembro del grupo eliminado.

Confianza cero

Esta característica ayuda a las organizaciones a alinear sus inquilinos con los tres principios rectores de una arquitectura de Confianza cero:

  • Comprobar de forma explícita.
  • Usar privilegios mínimos
  • Asumir la vulneración.

Para obtener más información sobre la Confianza cero y otras formas de alinear su organización con los principios rectores, vea el Centro de instrucciones de Confianza cero.

Licencias

El inquilino en el que se usa Privileged Identity Management debe tener suficientes licencias compradas o de prueba. Para obtener más información, consulte Fundamentos de licencias de Gobierno de Microsoft Entra ID.

Contenido relacionado

  • Se actualizó por última vez el