Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Microsoft Purview Role Assignment Migrator è un'applicazione aziendale Microsoft proprietaria in Microsoft Entra ID che esegue la sincronizzazione in background dalle assegnazioni dei ruoli Microsoft Purview ai ruoli Entra corrispondenti. I servizi Microsoft 365 usano questi ruoli Entra per verificare che l'amministratore disponga del livello corretto di autorizzazioni prima di consentire il proseguimento delle operazioni di Microsoft Purview, ad esempio la ricerca e l'esportazione di contenuto.
Mapping dei ruoli
La tabella seguente mostra i ruoli Purview mappati a ognuno dei ruoli Entra seguenti. Questi ruoli Entra concedono solo la possibilità di eseguire operazioni Purview e non vengono concesse altre operazioni all'esterno di Purview.
| Ruoli di Purview | Ruolo di Entra mappato | Descrizione |
|---|---|---|
| Analisi della gestione dei rischi Insider Indagine sulla gestione dei rischi Insider Ricerca di conformità Esporta Gestione della privacy per l'Amministrazione Analisi gestione privacy Indagine sulla gestione della privacy Gestione della privacy Contributo permanente Contributo temporaneo alla gestione della privacy Visualizzatore gestione privacy Revisore dell'indagine sulla sicurezza dei dati |
Lettore di contenuto del carico di lavoro Purview | Consente alle operazioni di Microsoft Purview di leggere il contenuto dei servizi di Microsoft 365 (ad esempio, leggere un file in SharePoint). |
| Hold Indagine sulla gestione della privacy Investigatore investigativo sulla sicurezza dei dati |
Autore di contenuto del carico di lavoro Purview | Consente alle operazioni di Microsoft Purview di leggere e scrivere contenuti nei servizi di Microsoft 365, ad esempio archiviare elementi di posta in Exchange. |
| Ricerca ed eliminazione Data Security Investigation Amministrazione Data Security Investigation Analyst |
Purview Workload Content Administrator | Consente alle operazioni di Microsoft Purview di leggere, scrivere ed eliminare il contenuto nei servizi di Microsoft 365 (ad esempio, eliminare i messaggi in Microsoft Teams). |
Se un amministratore detiene più ruoli Purview associati a ruoli Entra diversi, riceve il ruolo Entra con privilegi più elevati. L'ordine di precedenza è: Administrator > Writer > Reader.
Nota
La migrazione assegnazione ruolo Purview gestisce i ruoli Entra Purview Workload Content Reader, Purview Workload Content Writer e Purview Workload Content Administrator e solo i ruoli Purview elencati vengono sincronizzati con Entra. Non assegnare ruoli a Entra nel portale Entra. Questi ruoli non vengono visualizzati nel portale di Microsoft Purview come quelli visualizzati nella pagina delle impostazioni .
Log di controllo della sincronizzazione
La migrazione dell'assegnazione del ruolo Purview funziona in due modalità:
- Sincronizzazione in blocco iniziale: Quando Purview Role Assignment Migrator viene attivato per la prima volta per il tenant, sincronizza tutte le assegnazioni di ruolo Purview esistenti in Microsoft Entra in un unico passaggio. Questo processo genera un'esplosione di attività nei log di controllo di Microsoft Entra.
- Sincronizzazione continua: Tutte le modifiche successive all'appartenenza ai ruoli Purview attivano la sincronizzazione con Microsoft Entra.
Importante
Mantenere abilitata l'applicazione aziendale Purview Role Assignment Migrator in Microsoft Entra ID. L'ID dell'applicazione è 7fe3d988-4f3b-4f33-83bd-1fb921a35ed2. La disabilitazione di questa app interrompe la sincronizzazione. Le nuove assegnazioni di ruolo Purview non si propagano a Microsoft Entra e le operazioni Purview a esecuzione prolungata non superano i controlli di autorizzazione in fase di esecuzione.
L'attività di sincronizzazione di Purview Role Assignment Migrator viene visualizzata nei log di controllo di Microsoft Entra con il nome visualizzato PurviewRoleAssignmentMigrator. Il campo Nuovo valore per ogni voce del log mostra il ruolo Microsoft Entra assegnato.
Si vedono due modelli distinti di attività:
| Modello di attività | Quando si verifica | Volume |
|---|---|---|
| Sincronizzazione in blocco | Una volta, quando la migrazione dell'assegnazione dei ruoli Purview viene attivata per la prima volta per il tenant | Alta: tutte le assegnazioni di ruolo Purview esistenti vengono sincronizzate contemporaneamente |
| Sincronizzazione continua | In corso, dopo ogni modifica all'appartenenza a un ruolo Purview | Basso: proporzionale alla frequenza di modifiche dei ruoli di Purview nel tenant |
Se si verifica un picco improvviso di voci nei log di PurviewRoleAssignmentMigrator controllo di Microsoft Entra, questo picco di voci del log di controllo proviene dalla sincronizzazione in blocco iniziale e non è un segno di attività non autorizzata.
Importante
Non assegnare utenti a questi ruoli di Microsoft Entra direttamente in Microsoft Entra ID. Purview Role Assignment Migrator gestisce queste assegnazioni esclusivamente da Purview e sovrascrive tutte le assegnazioni manuali in Microsoft Entra alla sincronizzazione successiva.
Accesso just-in-time
Per impostazione predefinita, Purview Role Assignment Migrator sincronizza le assegnazioni di ruolo ai ruoli Microsoft Entra come assegnazioni attive (permanenti). Microsoft Entra Privileged Identity Management (PIM) per Gruppi consente agli utenti idonei di attivare l'appartenenza just-in-time ai gruppi. Quando si aggiungono questi gruppi di sicurezza di Microsoft Entra con assegnazioni idonee ai ruoli Purview, il Purview Role Assignment Migrator sincronizza la stessa appartenenza al gruppo di sicurezza nei ruoli di Microsoft Entra corrispondenti. Questo processo consente alle organizzazioni che richiedono che le assegnazioni di ruolo siano just-in-time in Microsoft Entra di applicare lo stesso modello per Microsoft Purview e imporre l'attivazione dei ruoli.
Importante
Ridimensionare la finestra di attivazione dell'appartenenza just-in-time nel gruppo di sicurezza per coprire l'intera durata delle operazioni. Se un'attivazione scade mentre un'operazione a esecuzione prolungata è ancora in esecuzione, l'operazione potrebbe non riuscire al successivo controllo di autorizzazione di runtime. Ad esempio, per identificare la durata tipica delle operazioni di eDiscovery, utilizzare Process Manager in eDiscovery e impostare le durate di attivazione di conseguenza.