Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
L’utilitaire de migration d’attribution de rôle Microsoft Purview est une application d’entreprise interne Microsoft dans Microsoft Entra ID qui exécute la synchronisation en arrière-plan des attributions de rôles Microsoft Purview vers les rôles Entra correspondants. Les services Microsoft 365 utilisent ces rôles Entra pour vérifier que l’administrateur dispose du niveau d’autorisations approprié avant d’autoriser les opérations Microsoft Purview de longue durée, telles que la recherche et l’exportation de contenu.
Mappage des rôles
Le tableau suivant indique les rôles Purview qui correspondent à chacun des rôles Entra suivants. Ces rôles Entra donnent uniquement la possibilité d’exécuter des opérations Purview. Ils n’étendent pas les autorisations Purview existantes et n’accordent pas l’accès aux opérations en dehors de Purview.
| Rôles de portée | Rôle d’Entra mappé | Description |
|---|---|---|
| Analyse de la gestion du risque interne Enquête sur la gestion du risque interne Recherche de conformité Exporter Gestion de la confidentialité Administration Analyse de la gestion de la confidentialité Enquête sur la gestion de la confidentialité Contribution permanente de la gestion de la confidentialité Contribution temporaire pour la gestion de la protection des renseignements personnels Visionneuse de gestion de la confidentialité Réviseur d’enquête sur la sécurité des données |
Lecteur de contenu de la charge de travail Purview | Permet aux opérations Microsoft Purview de lire le contenu des services Microsoft 365 (par exemple, lire un fichier dans SharePoint). |
| Suspension Enquête sur la gestion de la confidentialité Enquêteur chargé d’enquêter sur la sécurité des données |
Enregistreur de contenu de charge de travail Purview | Permet aux opérations Microsoft Purview de lire et d’écrire du contenu dans les services Microsoft 365 (par exemple, stocker des éléments de courrier dans Exchange). |
| Rechercher et vider Administration d’enquête sur la sécurité des données Analyste des enquêtes sur la sécurité des données |
Administrateur de contenu de la charge de travail de portée | Permet aux opérations Microsoft Purview de lire, écrire et supprimer du contenu dans les services Microsoft 365 (par exemple, purger les messages dans Microsoft Teams). |
Si un administrateur détient plusieurs rôles Purview qui correspondent à différents rôles Entra, il reçoit le rôle Entra avec les privilèges les plus élevés. L’ordre de priorité est le suivant : Administrateur > Writer > Reader.
Remarque
L’utilitaire de migration d’attribution de rôle Purview gère les rôles de Entra Lecteur de contenu de charge de travail Purview, Rédacteur de contenu de charge de travail Purview et Administrateur de contenu de charge de travail Purview, et seuls les rôles Purview répertoriés se synchronisent avec Entra. N’attribuez pas les rôles d’Entra dans le portail Entra. Ces rôles n’apparaissent pas dans le portail Microsoft Purview comme ceux affichés sur la page des paramètres .
Journaux d’audit de synchronisation
L’utilitaire de migration d’attribution de rôle Purview fonctionne selon deux modes :
- Synchronisation en bloc initiale : Lorsque l’utilitaire de migration d’attribution de rôle Purview s’active pour la première fois pour votre client, il synchronise toutes les attributions de rôles Purview existantes avec Microsoft Entra en une seule passe. Ce processus génère une rafale d’activité dans vos journaux d’audit Microsoft Entra.
- Synchronisation continue : Toutes les modifications apportées ultérieurement aux appartenances aux rôles Purview déclenchent la synchronisation avec Microsoft Entra.
Importante
Conservez l’application d’entreprise Purview Role Assignment Migrator activée dans Microsoft Entra ID. L’ID de l’application est 7fe3d988-4f3b-4f33-83bd-1fb921a35ed2. La désactivation de cette application arrête la synchronisation. Les nouvelles attributions de rôles Purview ne se propagent pas à Microsoft Entra, ce qui peut entraîner l’échec des vérifications d’autorisation au moment de l’exécution.
L’activité de synchronisation Purview Role Assignment Migrator apparaît dans les journaux d’audit de Microsoft Entra avec le nom complet PurviewRoleAssignmentMigrator. Le champ Nouvelle valeur pour chaque entrée de journal indique le rôle Microsoft Entra qui a été attribué.
Vous voyez deux modèles d’activité distincts :
| Modèle d’activité | Occurrence | Volume |
|---|---|---|
| Synchronisation en bloc | Une fois, lorsque l’utilitaire de migration d’attribution de rôle Purview s’active pour la première fois pour votre locataire | Élevée : toutes les attributions de rôles Purview existantes sont synchronisées en même temps |
| Synchronisation continue | En cours, après chaque modification apportée à une appartenance à un rôle Purview | Faible : proportionnel au taux de modifications du rôle Purview de votre locataire |
Pendant la synchronisation initiale, les administrateurs et les utilisateurs affectés peuvent également recevoir des e-mails d’attribution de rôle, même si aucune autorisation Purview n’a été modifiée récemment. Les destinataires dépendent de vos paramètres de notification Microsoft Entra Privileged Identity Management (PIM). Des modifications de rôle ultérieures peuvent également générer des e-mails.
Pour vérifier une attribution ou une alerte indiquant qu’un rôle a été attribué en dehors de PIM, case activée l’ID de l’application initiatrice, le rôle Entra mappé et l’affectation Purview correspondante. Ne vous fiez pas au nom d’affichage seul ou ignorez les affectations inattendues.
Importante
N’attribuez pas d’utilisateurs à ces rôles Microsoft Entra directement dans Microsoft Entra ID. L’utilitaire de migration des attributions de rôle Purview gère ces affectations à partir de Purview et peut remplacer les modifications manuelles dans Microsoft Entra pendant la synchronisation.
Accès Juste-à-temps
L’utilitaire de migration d’attribution de rôle Purview suit votre stratégie PIM pour les rôles Entra correspondants. Lorsque la stratégie nécessite une affectation éligible ou limitée dans le temps, elle applique cette exigence. Lorsque la stratégie ne nécessite pas d’éligibilité ou d’expiration, elle crée des affectations actives sans expiration.
Pour un accès utilisateur juste-à-temps, nous vous recommandons d’attribuer des autorisations Purview aux groupes de sécurité Microsoft Entra et d’utiliser PIM pour les groupes pour donner aux utilisateurs une appartenance éligible aux groupes. L’utilitaire de migration d’attribution de rôle Purview synchronise le groupe lui-même avec le rôle Entra correspondant sous la stratégie PIM de ce rôle ; les utilisateurs activent l’appartenance limitée dans le temps pour utiliser les autorisations fournies par ce groupe. L’utilisation de PIM pour les groupes ne convertit pas les affectations d’utilisateur direct existantes en affectations éligibles.
Importante
Dimensionnez votre fenêtre d’activation d’abonnement juste-à-temps sur le groupe de sécurité pour couvrir toute la durée de vos opérations. Si une activation expire alors qu’une opération de longue durée est toujours en cours d’exécution, l’opération peut échouer lors de la prochaine case activée d’autorisation d’exécution. Par exemple, pour déterminer la durée habituelle des opérations de découverte électronique, utilisez le Gestionnaire de processus dans la découverte électronique et définissez des durées d’activation en conséquence.
Foire aux questions
Ces attributions de rôle indiquent-elles une attaque ?
La synchronisation par l’utilitaire de migration d’attribution de rôle Purview est attendue Activité de service Microsoft. Il n’indique pas, en soi, une compromission ou une attribution manuelle du rôle d’administrateur. Avant de traiter un événement comme prévu, vérifiez les détails suivants :
| Détails | Valeur attendue |
|---|---|
| Initiateur | PurviewRoleAssignmentMigrator |
| ID de l’application d’entreprise | 7fe3d988-4f3b-4f33-83bd-1fb921a35ed2 |
| Rôle Entra attribué | Lecteur de contenu de la charge de travail Purview, Rédacteur de contenu de la charge de travail Purview ou Administrateur de contenu de la charge de travail Purview |
Vérifiez également que l’attribution Entra correspond à l’affectation Purview existante de l’utilisateur ou du groupe. Ne vous fiez pas uniquement au nom d’affichage. Si aucun détail ne correspond, utilisez votre processus normal d’enquête de sécurité et de réponse aux incidents.
Cela accorde-t-il un nouvel accès ?
Non. Le rôle Entra synchronisé reflète une attribution Purview existante et autorise uniquement les opérations Purview. Il n’étend pas les autorisations Purview de l’utilisateur ou du groupe, n’accorde pas d’autres autorisations administratives Microsoft Entra ou Microsoft 365, ni ne fournit un accès indépendant au contenu Microsoft 365.
Pourquoi PIM a-t-il généré une alerte ou une affectation active ?
Purview Role Assignment Migrator suit la stratégie PIM configurée pour le rôle Entra mappé, y compris les exigences relatives aux affectations éligibles ou limitées dans le temps. Si la stratégie ne nécessite pas d’éligibilité ou d’expiration, l’affectation synchronisée est active sans expiration.
Les administrateurs et les utilisateurs concernés peuvent recevoir des notifications PIM sur les affectations éligibles, limitées dans le temps ou actives, y compris des alertes indiquant qu’un rôle a été attribué en dehors de PIM. Une fois que vous avez vérifié l’initiateur, l’ID d’application, le rôle mappé et l’affectation Purview correspondante, ces notifications sont attendues pour l’affectation synchronisée.
Comment utiliser l’accès juste-à-temps ?
Attribuez des autorisations Purview à un groupe de sécurité et utilisez PIM pour les groupes pour fournir une adhésion utilisateur éligible et limitée dans le temps. L’utilitaire de migration d’attribution de rôle Purview synchronise le groupe lui-même avec le rôle Entra mappé. Les utilisateurs activent l’appartenance avant de commencer une opération et doivent la garder active pendant toute la durée de l’opération. Pour obtenir des liens de configuration et des conseils d’activation, consultez Accès juste-à-temps.
Continuez à gérer les affectations sous-jacentes dans Purview, qui reste la source de vérité. Passez en revue et supprimez l’accès périmé, y compris les affectations à des comptes désactivés. L’utilisation de PIM pour les groupes ne supprime pas les attributions utilisateur directes existantes.