Controlar a associação e a propriedade de grupos usando o PIM for Groups

Com o Privileged Identity Management for groups (PIM for Groups), você pode controlar como as entidades de segurança são atribuídas à associação ou à propriedade de grupos. Segurança e Grupos do Microsoft 365 são recursos críticos que você pode usar para fornecer acesso aos recursos de nuvem da Microsoft, como funções de Microsoft Entra, funções de Azure, SQL do Azure, Azure Key Vault, Intune; e aplicativos de terceiros. O PIM para Grupos oferece mais controle sobre como e quando as entidades de segurança são membros ou proprietários de grupos e, portanto, têm privilégios concedidos por meio de sua associação ou propriedade de grupo.

As APIs do PIM para Grupos no Microsoft Graph fornecem mais governança sobre segurança e Grupos do Microsoft 365, como os seguintes recursos:

  • Fornecer às entidades de segurança associação just-in-time ou propriedade de grupos
  • Atribuição de entidades de segurança, associação temporária ou propriedade de grupos

Este artigo apresenta os recursos de governança das APIs para PIM para Grupos no Microsoft Graph.

APIs do PIM para Grupos para gerenciar atribuições ativas de proprietários e membros do grupo

As APIs do PIM para Grupos no Microsoft Graph permitem que você atribua entidades de segurança, associações ou propriedades permanentes ou temporárias e com limite de tempo aos grupos.

A tabela a seguir lista cenários para usar APIs do PIM para Grupos para gerenciar atribuições ativas para entidades de segurança e as APIs correspondentes a serem chamadas.

Cenários API
Um administrador:
  • Atribui uma entidade de segurança, associação ativa ou propriedade a um grupo
  • Renova, atualiza, estende ou remove uma entidade de sua associação ativa ou propriedade de um grupo

    Uma entidade de segurança:
  • Executa a ativação just-in-time e com limite de tempo de sua associação qualificada ou atribuição de propriedade para um grupo
  • Desativa sua associação elegível e atribuição de propriedade quando eles não precisam mais de acesso
  • Desativa, estende ou renova sua própria associação e atribuição de propriedade
 Criar assignmentScheduleRequest
Um administrador lista todas as solicitações de associação ativa e atribuições de propriedade para um grupo Listar assignmentScheduleRequests
Um administrador lista todas as atribuições ativas e solicitações de atribuições a serem criadas no futuro, para associação e propriedade de um grupo Listar assignmentSchedules
Um administrador lista todas as atribuições ativas de associação e propriedade de um grupo Listar assignmentScheduleInstances
Um administrador consulta um membro e a atribuição de propriedade de um grupo e seus detalhes Get privilegedAccessGroupAssignmentScheduleRequest
Uma entidade de segurança questiona suas solicitações de atribuição de associação ou propriedade e os detalhes

Um aprovador consulta solicitações de associação ou propriedade aguardando sua aprovação e detalhes dessas solicitações		 privilegedAccessGroupAssignmentScheduleRequest: filterByCurrentUser
Uma entidade cancela uma solicitação de associação ou atribuição de propriedade criada privilegedAccessGroupAssignmentScheduleRequest: cancelar
Um aprovador obtém detalhes da solicitação de aprovação, incluindo informações sobre as etapas de aprovação Obter aprovação
Um aprovador aprova ou nega a solicitação de aprovação aprovando ou negando a etapa de aprovação Atualizar approvalStep

APIs do PIM para Grupos para gerenciar atribuições qualificadas de proprietários e membros do grupo

Suas entidades de segurança podem não exigir associação permanente ou propriedade de grupos porque elas não exigem os privilégios concedidos por meio da associação ou propriedade o tempo todo. Nesse caso, o PIM para Grupos permite que você torne as entidades de segurança elegíveis para a associação ou propriedade dos grupos.

Quando uma entidade de segurança tem uma atribuição qualificada, ela ativa sua atribuição quando precisa dos privilégios concedidos por meio dos grupos para executar tarefas privilegiadas. Uma atribuição qualificada pode ser permanente ou temporária. A ativação é sempre limitada por um tempo máximo de 8 horas. A entidade de segurança também pode estender ou renovar sua associação ou propriedade do grupo.

A tabela a seguir lista cenários para usar APIs do PIM para Grupos para gerenciar atribuições qualificadas para entidades de segurança e as APIs correspondentes a serem chamadas.

Cenários API
Um administrador:
  • Cria uma associação ou atribuição de propriedade qualificada para o grupo
  • Renova, atualiza, estende ou remove uma atribuição de associação/propriedade qualificada para o grupo
  • Desativa, estende ou renova sua própria qualificação para associação/propriedade
 Criar eligibilityScheduleRequest
Um administrador consulta todas as solicitações de associação ou propriedade qualificadas e seus detalhes Listar eligibilityScheduleRequests
Um administrador consulta uma solicitação de associação ou propriedade qualificada e seus detalhes Obter eligibilityScheduleRequest
Um administrador cancela uma solicitação de associação ou propriedade qualificada que criou privilegedAccessGroupEligibilityScheduleRequest:cancel
Uma entidade questiona sua associação ou propriedade qualificada, solicita seus detalhes privilegedAccessGroupEligibilityScheduleRequest: filterByCurrentUser

Configurações de política no PIM para grupos

O PIM para Grupos define configurações ou regras que regem como as entidades de segurança podem receber a associação ou a propriedade de segurança e Grupos do Microsoft 365. Essas regras incluem se a MFA (autenticação multifator), justificativa ou aprovação é necessária para ativar uma associação ou propriedade qualificada para um grupo, ou se você pode criar atribuições permanentes ou elegibilidades para entidades de segurança para os grupos. As regras são definidas em políticas e uma política pode ser aplicada a um grupo.

No Microsoft Graph, essas regras são gerenciadas por meio dos tipos de recurso unifiedRoleManagementPolicy e unifiedRoleManagementPolicyAssignment e seus métodos relacionados.

Por exemplo, suponha que, por padrão, o PIM para Grupos não permita associações ativas permanentes e atribuições de propriedade e defina um máximo de seis meses para atribuições ativas. A tentativa de criar um objeto privilegedAccessGroupAssignmentScheduleRequest sem data de expiração retorna um 400 Bad Request código de resposta para violação da regra de expiração.

O PIM para grupos permite configurar várias regras, incluindo:

  • Se as entidades de segurança podem receber atribuições elegíveis permanentes
  • A duração máxima permitida para uma associação de grupo ou ativação de propriedade e se justificativa ou aprovação é necessária para ativar a associação ou propriedade elegível
  • Os usuários que têm permissão para aprovar solicitações de ativação para uma associação ou propriedade de grupo
  • Se a MFA é necessária para ativar e impor uma associação de grupo ou atribuição de propriedade
  • As entidades de segurança que são notificadas sobre a associação de grupo ou ativações de propriedade

A tabela a seguir lista cenários para usar o PIM para Grupos para gerenciar regras e as APIs a serem chamadas.

Cenários API
Recuperar políticas do PIM para grupos e regras ou configurações associadas Listar unifiedRoleManagementPolicies
Recuperar uma política do PIM para Grupos e suas regras ou configurações associadas Obter unifiedRoleManagementPolicy
Atualizar uma política do PIM para Grupos em suas regras ou configurações associadas Atualizar unifiedRoleManagementPolicy
Recupere as regras definidas para uma política do PIM para Grupos Listar regras
Recuperar uma regra definida para uma política do PIM for Groups Get unifiedRoleManagementPolicyRule
Atualizar uma regra definida para uma política do PIM para grupos Atualizar unifiedRoleManagementPolicyRule
Obtenha os detalhes de todas as atribuições de política do PIM para Grupos, incluindo as políticas e regras associadas à associação e propriedade de grupos Listar unifiedRoleManagementPolicyAssignments
Obtenha os detalhes de uma atribuição de política do PIM para grupos, incluindo a política e as regras associadas à associação ou propriedade de grupos Obter unifiedRoleManagementPolicyAssignment

Para obter mais informações sobre como usar o Microsoft Graph para configurar regras, consulte Visão geral das regras em APIs PIM no Microsoft Graph. Para obter exemplos de atualização de regras, consulte Usar APIs do PIM no Microsoft Graph para atualizar regras.

Integrando grupos ao PIM para Grupos

Você não pode integrar um grupo ao PIM for Groups explicitamente. Quando você faz uma solicitação para adicionar uma atribuição a um grupo usando Create assignmentScheduleRequest ou Create eligibilityScheduleRequest, ou atualiza a política PIM (configurações de função) para um grupo usando Update unifiedRoleManagementPolicy ou Update unifiedRoleManagementPolicyRule, o grupo é integrado ao PIM automaticamente se não tiver sido integrado antes.

Você pode chamar uma das APIs a seguir para grupos integrados ao PIM e grupos que ainda não foram integrados ao PIM, mas recomendamos fazer isso apenas para grupos integrados ao PIM para reduzir as chances de serem limitados.

Depois que o PIM integra um grupo, as IDs das políticas do PIM e as atribuições de política do grupo específico mudam. Chame a API Get unifiedRoleManagementPolicy ou Get unifiedRoleManagementPolicyAssignment para obter as IDs atualizadas.

Depois que o PIM integrar um grupo, você não poderá desintegrá-lo, mas poderá remover todas as atribuições qualificadas e com prazo determinado, conforme necessário.

PIM para Grupos e o objeto do grupo

A associação e a propriedade de qualquer grupo de segurança e do Microsoft 365 (exceto grupos dinâmicos e grupos sincronizados do local) podem ser controladas por meio do PIM para Grupos. O grupo não precisa ser atribuível à função para ser habilitado no PIM for Groups.

Quando você atribui uma entidade principal, ativa , permanente ou temporária, ou a propriedade de um grupo, ou quando ela faz uma ativação just-in-time:

Quando uma entidade de segurança é atribuída a uma associação permanente ou temporária qualificada ou à propriedade de um grupo, os relacionamentos de membros e proprietários do grupo não são atualizados.

Quando a associação ativa temporária de uma entidade de segurança ou a propriedade de um grupo expirar:

  • Os detalhes da entidade de segurança são removidos automaticamente dos relacionamentos de membros e proprietários .
  • Se as alterações no grupo forem rastreadas usando as funções Obter delta e Obter delta para objetos de diretório , um @odata.nextLink indicará o membro ou proprietário do grupo removido.

Confiança Zero

Esse recurso ajuda as organizações a alinhar seus locatários com os três princípios orientadores de uma arquitetura de Confiança Zero:

  • Verificar explicitamente
  • Usar privilégios mínimos
  • Assumir violação

Para saber mais sobre a Confiança Zero e outras maneiras de alinhar sua organização aos princípios orientadores, consulte o Centro de Orientação de Confiança Zero.

Licenciamento

O locatário em que o Privileged Identity Management está sendo usado deve ter licenças compradas ou de avaliação suficientes. Para obter mais informações, consulte Conceitos básicos de licenciamento de Governança do Microsoft Entra ID Governance.

Conteúdo relacionado

  • Última atualização a