PIM for Groups を使用してグループのメンバーシップと所有権を管理する

グループ用 Privileged Identity Management (PIM for Groups) を使用すると、プリンシパルにグループのメンバーシップまたは所有権を割り当てる方法を管理できます。 セキュリティとMicrosoft 365 グループは、Microsoft Entra ロール、Azure ロール、Azure SQL、Azure Key Vault、Intune、サード パーティなどの Microsoft クラウド リソースへのアクセスを提供するために使用できる重要なリソースですアプリケーション。 PIM for Groupsでは、プリンシパルがグループのメンバーまたは所有者である方法とタイミングをより詳細に制御できるため、グループのメンバーシップまたは所有権を通じて特権が付与されます。

Microsoft Graph のグループ API の PIM では、セキュリティと Microsoft 365 グループに対する次のようなガバナンスが強化されます。

  • プリンシパルにグループの Just-In-Time メンバーシップまたは所有権を提供する
  • プリンシパル、一時メンバーシップ、またはグループの所有権の割り当て

この記事では、Microsoft Graph のグループ用 PIM API のガバナンス機能について説明します。

グループの所有者とメンバーのアクティブな割り当てを管理するための PIM for Groups API

Microsoft Graph のグループ API の PIM を使用すると、プリンシパルに永続的または一時的かつ期限付きのメンバーシップまたは所有権をグループに割り当てることができます。

次の表は、グループ API の PIM を使用して、プリンシパルのアクティブな割り当てと呼び出す対応する API を管理するシナリオを示しています。

Scenarios API
管理者:
  • プリンシパルのアクティブなメンバーシップまたは所有権をグループに割り当てます
  • プリンシパルのアクティブなメンバーシップまたはグループへの所有権を更新、更新、拡張、または削除します

    プリンシパル:
  • グループの 適格 なメンバーシップまたは所有権の割り当ての Just-In-Time かつ期限付きアクティベーションを実行します
  • アクセスが不要になった場合、対象となるメンバーシップと所有権の割り当てを無効にします
  • 独自のメンバーシップと所有権の割り当てを非アクティブ化、拡張、または更新します
 assignmentScheduleRequest の作成
管理者は、グループのアクティブなメンバーシップと所有権の割り当てに関するすべての要求を一覧表示します assignmentScheduleRequests の一覧表示
管理者は、グループのメンバーシップと所有権について、すべてのアクティブな割り当てと、将来作成される割り当ての要求を一覧表示します List assignmentSchedules
管理者は、グループのすべてのアクティブなメンバーシップと所有権の割り当てを一覧表示します List assignmentScheduleInstances
管理者がグループとその詳細のメンバーと所有権の割り当てを照会する Get privilegedAccessGroupAssignmentScheduleRequest
プリンシパルは、メンバーシップまたは所有権の割り当て要求と詳細を照会します

承認者は、メンバーシップまたは所有権の要求を照会し、承認とこれらの要求の詳細を待機しています		 privilegedAccessGroupAssignmentScheduleRequest: filterByCurrentUser
プリンシパルが、作成したメンバーシップまたは所有権の割り当て要求を取り消します privilegedAccessGroupAssignmentScheduleRequest: cancel
承認者は、承認手順に関する情報など、承認要求の詳細を取得します 承認を受ける
承認者は、承認ステップを承認または拒否することにより、承認要求を承認または拒否します。 Update approvalStep

グループの所有者とメンバーの適格な割り当てを管理するための PIM for Groups API

プリンシパルは、メンバーシップまたは所有権を通じて付与される特権を常に必要としないため、グループの恒久メンバーシップや所有権を必要としない場合があります。 この場合、PIM for Groups を使用すると、プリンシパルをグループのメンバーシップまたは所有権の対象にすることができます。

プリンシパルに適格な割り当てがある場合、プリンシパルは、特権タスクを実行するためにグループを通じて付与された権限が必要なときに割り当てをアクティブ化します。 対象となる割り当ては、永続的または一時的です。 アクティブ化は常に最大 8 時間の時間制限されます。 プリンシパルは、グループのメンバーシップまたは所有権を延長または更新することもできます。

次の表は、PIM for Groups API を使用して、プリンシパルの適格な割り当てと呼び出す API を管理するシナリオを示しています。

Scenarios API
管理者:
  • グループの適格なメンバーシップまたは所有権の割り当てを作成します
  • グループの対象となるメンバーシップ/所有権の割り当てを更新、更新、拡張、または削除します
  • 自分のメンバーシップ/所有権の資格を無効化、延長、または更新します
 eligibilityScheduleRequest の作成
管理者は、資格のあるすべてのメンバーシップまたは所有権の要求とその詳細に対してクエリを実行します eligibilityScheduleRequests を一覧表示する
管理者が、資格のあるメンバーシップまたは所有権の要求とその詳細を照会します Get eligibilityScheduleRequest
管理者が、作成した資格のあるメンバーシップまたは所有権の要求を取り消します privilegedAccessGroupEligibilityScheduleRequest:cancel
プリンシパルは、資格のあるメンバーシップまたは所有権の詳細を要求します privilegedAccessGroupEligibilityScheduleRequest: filterByCurrentUser

PIM for Groups のポリシー設定

PIM for Groups は、セキュリティと Microsoft 365 グループのメンバーシップまたは所有権をプリンシパルに割り当てる方法を制御する設定または規則を定義します。 このようなルールには、グループの適格なメンバーシップまたは所有権をアクティブ化するために多要素認証 (MFA)、正当性、または承認が必要かどうか、またはグループに対するプリンシパルの恒久的な割り当てまたは資格を作成できるかどうかが含まれます。 ルールはポリシーで定義され、ポリシーはグループに適用できます。

Microsoft Graph では、これらのルールは unifiedRoleManagementPolicy リソースの種類と unifiedRoleManagementPolicyAssignment リソースの種類、およびそれらの関連メソッドを通じて管理されます。

たとえば、既定では、PIM for Groups は永続的なアクティブなメンバーシップと所有権の割り当てを許可せず、アクティブな割り当てに最大 6 か月を定義していると仮定します。 有効期限のない privilegedAccessGroupAssignmentScheduleRequest オブジェクトを作成しようとすると、有効期限ルールに違反しているという 400 Bad Request 応答コードが返されます。

PIM for Groups では、次のようなさまざまなルールを構成できます。

  • プリンシパルに恒久的な資格のある割り当てを割り当てることができるかどうか
  • グループ メンバーシップまたは所有権のアクティブ化に許可される最大期間、および適格なメンバーシップまたは所有権をアクティブ化するために正当な理由または承認が必要かどうか
  • グループ メンバーシップまたは所有権のアクティブ化要求を承認できるユーザー
  • グループ メンバーシップまたは所有権の割り当てのアクティブ化と適用の両方に MFA が必要かどうか
  • グループ メンバーシップまたは所有権のアクティブ化の通知を受け取るプリンシパル

次の表は、PIM for Groups を使用してルールと呼び出す API を管理するシナリオを示しています。

シナリオ API
グループ ポリシーおよび関連するルールまたは設定の PIM を取得する List unifiedRoleManagementPolicies
グループ ポリシーおよび関連するルールまたは設定の PIM を取得する unifiedRoleManagementPolicy を取得する
関連するルールまたは設定で PIM for Groups ポリシーを更新する unifiedRoleManagementPolicy を更新する
PIM for Groups ポリシーに定義されている規則を取得する List rules
グループ ポリシーの PIM に定義された規則を取得する UnifiedRoleManagementPolicyRule を取得する
PIM for Groups ポリシーに定義された規則を更新する UnifiedRoleManagementPolicyRule を更新する
グループのメンバーシップと所有権に関連付けられているポリシーと規則など、すべての PIM for Groups ポリシーの割り当ての詳細を取得します List unifiedRoleManagementPolicyAssignments
グループのメンバーシップまたは所有権に関連付けられているポリシーと規則など、グループ ポリシー割り当ての PIM の詳細を取得します unifiedRoleManagementPolicyAssignment を取得する

Microsoft Graph を使用してルールを構成する方法の詳細については、「 Microsoft Graph の PIM API のルールの概要」を参照してください。 ルールの更新例については、「 Microsoft Graph で PIM API を使用してルールを更新する」を参照してください。

グループの PIM へのグループのオンボード

グループを PIM for Groups に明示的にオンボードすることはできません。 Create assignmentScheduleRequest または Create eligibilityScheduleRequest を使用してグループに割り当てを追加する要求を行うか、 Update unifiedRoleManagementPolicy または Update unifiedRoleManagementPolicyRule を使用してグループの PIM ポリシー (ロール設定) を更新すると、グループは以前にオンボードされていなかった場合、PIM に自動的にオンボードされます。

PIM にオンボードされているグループと、PIM にまだオンボードされていないグループの両方に対して、次のいずれかの API を呼び出すことができますが、スロットリングされる可能性を減らすために、PIM にオンボードされているグループに対してのみ呼び出すことをお勧めします。

PIM がグループをオンボードすると、PIM ポリシーの ID と特定のグループのポリシー割り当てが変更されます。 Get unifiedRoleManagementPolicy または Get unifiedRoleManagementPolicyAssignment API を呼び出して、更新された ID を取得します。

PIM がグループをオンボードした後に、そのグループをオフボードすることはできませんが、必要に応じて、対象となるすべての割り当てと期限付き割り当てを削除できます。

グループ用 PIM とグループ オブジェクト

セキュリティと Microsoft 365 グループ (動的グループとオンプレミスから同期されたグループを除く) のメンバーシップと所有権は、PIM for Groups を通じて管理できます。 グループは、PIM for Groups で有効にするために役割を割り当て可能にする必要はありません。

プリンシパルに 、アクティブ 、永続的、一時的なメンバーシップ、またはグループの所有権を割り当てる場合、または Just-In-Time アクティブ化を行う場合:

プリンシパルに 、適格 な永続的または一時的なメンバーシップまたはグループの所有権が割り当てられた場合、グループのメンバーと所有者の関係は更新されません。

プリンシパルの 一時的なアクティブ メンバーシップまたはグループの所有権の有効期限が切れた場合:

  • プリンシパルの詳細は、 メンバー と 所有者 の関係から自動的に削除されます。
  • ディレクトリ オブジェクトの デルタの取得 およびデル タの取得 機能を使用してグループへの変更を追跡する場合、 @odata.nextLink は削除されたグループのメンバーまたは所有者を示します。

ゼロ トラスト

この機能は、組織がテナントをゼロ トラスト アーキテクチャの 3 つの基本原則に合わせるのに役立ちます。

  • 明確に確認する
  • 最小限の特権を使用する
  • 侵害を想定する

ゼロ トラストと、organizationを指針の原則に合わせるその他の方法の詳細については、ゼロ トラスト ガイダンス センターを参照してください。

ライセンス

Privileged Identity Management が使用されているテナントには、十分な購入済みライセンスまたは試用版ライセンスが必要です。 詳細については、「Microsoft Entra ID ガバナンス ライセンスの基礎」を参照してください。

関連コンテンツ

  • 最終更新: