Co je správa nároků?

Správa nároků je funkce zásad správného řízení identity, která organizacím umožňuje spravovat životní cyklus identit a access ve velkém, a to automatizací pracovních postupů access žádostí, přiřazení access, kontrol a vypršení platnosti.

Lidé v organizacích potřebují přístup k různým skupinám, aplikacím a SharePoint online webům, aby mohli provádět svou práci. Správa tohoto access je náročná, protože se mění požadavky. Nové aplikace jsou přidány nebo identity potřebují více access práv. Tento scénář je složitější, když spolupracujete s externími organizacemi. Možná nevíte, kdo v jiné organizaci potřebuje access k prostředkům vaší organizace a nebude vědět, jaké aplikace, skupiny nebo weby vaše organizace používá.

Správa nároků vám může pomoct efektivněji spravovat přístup ke skupinám, aplikacím a SharePoint online webům pro interní identity a také identitám mimo vaši organizaci, které potřebují přístup k těmto prostředkům. Správu oprávnění můžete také použít v náhledu k přiřazení skupin, oprávnění API a rolí k ID agentů.

Proč používat správu nároků?

Podnikové organizace často čelí výzvám při správě pracovních sil access k prostředkům, jako jsou:

  • Identity nemusí vědět, co access oni, jejich přímé zprávy, nebo agenti, které sponzorují, a i když to dělají, mohou mít potíže najít správné osoby ke schválení jejich access
  • Jakmile se zjistí a přiřadí access k prostředkům, můžou se identity uchovávat access déle, než je potřeba pro jejich obchodní potřeby.

Tyto problémy jsou složené pro identity, které potřebují access z jiné organizace, jako jsou externí identity, které jsou od organizací dodavatelského řetězce nebo jiných obchodních partnerů. Příklad:

  • Nikdo nemusí znát všechny konkrétní jednotlivce v adresářích jiné organizace, aby je mohl pozvat.
  • I když tyto identity mohli pozvat, nikdo v této organizaci si nemusí pamatovat spravovat všechny identity access konzistentně.

Správa nároků může pomoct tyto problémy vyřešit. Další informace o tom, jak zákazníci používají správu nároků, si můžete přečíst Mississippi Division of Medicaid, Storebrand a tým Digital Security and Resilience na Microsoft případových studií. Toto video obsahuje přehled správy nároků a jeho hodnoty:

Co můžu dělat se správou nároků?

Tady jsou některé možnosti správy nároků:

  • Určete, kdo může získat přístup k aplikacím, skupinám, Teams, SharePoint webům, přístupovým právům SAP IAG a dalším prostředkům, s vícefázovým schvalováním a zajistit, aby identity nezachovával přístup po neomezenou dobu prostřednictvím časově omezených přiřazení a opakovaných kontrol přístupu.
  • Udělte identitám access těmto prostředkům automaticky na základě vlastností identity, jako jsou oddělení nebo nákladové středisko, a při změně těchto vlastností odeberte access identity.
  • Poskytněte ID agenta access prostředkům potřebným a povolte sponzorům ID agentů, aby se zajistilo, že access zůstane zachována pouze v případě potřeby.
  • Delegujte na správce možnost vytvářet access balíčky. Tyto balíčky access obsahují prostředky, které si můžou vyžádat identity, a delegovaní správci balíčků access můžou definovat zásady s pravidly, pro které mohou identity požadovat, kdo musí schválit své access a kdy vyprší platnost access.
  • Vyberte připojené organizace, jejichž identity mohou požadovat access. Pokud identita, která ještě není ve vašem adresáři, access a je schválená, automaticky se pozve do vašeho adresáře a přiřadí access. Když jejich access vyprší, pokud nemají žádná další přiřazení balíčků access, je možné jejich účet B2B v adresáři automaticky odebrat.

Poznámka:

Pokud jste připraveni vyzkoušet správu nároků, můžete get started s naším tutorial a vytvořit první balíček access.

Můžete si také přečíst běžné scénáře nebo sledovat videa, včetně

Co jsou balíčky access a jaké prostředky s nimi můžu spravovat?

Správa nároků zavádí koncept balíčku access. Balíček access je sada všech prostředků s access identitou musí pracovat na project nebo provádět jejich úlohu. Access balíčky se dají použít k řízení access pro interní identity a také pro identity, které pocházejí mimo vaši organizaci.

Tady jsou typy prostředků, ke kterým můžete spravovat access identit pomocí správy nároků:

  • Členství ve skupinách zabezpečení Microsoft Entra
  • Členství v Skupiny Microsoft 365 a Teams
  • Přiřazení Microsoft Entra podnikových aplikací, včetně aplikací SaaS a vlastních integrovaných aplikací, které podporují federaci, jednotné přihlašování nebo zřizování
  • Členství na SharePoint online webech
  • Oprávnění rozhraní API pro agenty s ID agenta nebo instančními objekty ve verzi Preview v rámci Microsoft Entra ID agenta
  • Obchodní role SAP IAG a další access práva ve verzi Preview

Můžete také řídit přístup k dalším prostředkům, které využívají Microsoft Entra skupiny zabezpečení nebo Skupiny Microsoft 365. Příklad:

  • Licence identit pro Microsoft 365 můžete udělit pomocí skupiny zabezpečení Microsoft Entra v přístupovém balíčku a konfigurací licencování založených na skupiny pro tuto skupinu.
  • Identitám můžete udělit přístup ke správě prostředků Azure pomocí skupiny zabezpečení Microsoft Entra v přístupovém balíčku a vytvořením přiřazení role Azure pro tuto skupinu.
  • Identitám můžete udělit přístup ke správě rolí Microsoft Entra pomocí skupin, které lze přiřadit k rolím Microsoft Entra v přístupovém balíčku a assignace role Microsoft Entra této skupině.

How do I kontrolu nad tím, kdo access?

S přístupovým balíčkem zobrazí správce nebo správce balíčků delegovaný přístup seznam prostředků (skupiny, aplikace a weby, Microsoft Entra role a oprávnění rozhraní API) a role, které tyto prostředky potřebují.

Access balíčky také obsahují jeden nebo více policies. Zásada definuje pravidla nebo mantinely pro přiřazení k balíčku access. Každou zásadu je možné použít k zajištění toho, aby měly access přiřazení pouze příslušné identity, a access je časově omezené na vypršení platnosti, pokud se neprodlouží.

Diagram balíčků access a zásad.

Můžete mít zásady pro identity, které budou požadovat access. V těchto typech zásad definuje správce nebo access package manager

  • Buď již existující identity (obvykle zaměstnanci nebo pozvaní hosté), nebo partnerské organizace externích identit, které mají nárok na access
  • Proces schválení a identity, které můžou schválit nebo zamítnout access
  • Doba trvání přiřazení access identity po schválení před vypršením platnosti přiřazení

Můžete také mít zásady pro přiřazení identit access, a to buď správce, automaticky na základě pravidel nebo pracovních postupů životního cyklu.

Následující diagram znázorňuje příklad různých prvků správy nároků. Zobrazuje jeden katalog se dvěma příklady balíčků access.

  • balíček Access 1 obsahuje jednu skupinu jako prostředek. Access je definována pomocí zásady, která umožňuje sadě identit v adresáři požadovat access.
  • balíček Access 2 zahrnuje skupinu, aplikaci a web SharePoint Online jako prostředky. Access se definuje pomocí dvou různých zásad. První zásada umožňuje sadě identit v adresáři požadovat access. Druhá zásada umožňuje identitám v externím adresáři požadovat access.

Diagram přehledu správy nároků

Kdy mám používat balíčky access?

Access balíčky nenahrazovat jiné mechanismy pro přiřazení access. Nejvhodnější jsou v situacích, jako jsou:

  • Migrace definic zásad přístupu z správy rolí třetích stran na Microsoft Entra ID
  • Identity potřebují pro konkrétní úkol časově omezené access. Můžete například použít licencování na základě skupin a dynamickou skupinu, abyste zajistili, že všichni zaměstnanci budou mít Exchange Online poštovní schránku, a pak použijete přístupové balíčky pro situace, kdy zaměstnanci potřebují více přístupových práv. Například práva ke čtení prostředků oddělení z jiného oddělení.
  • Access, které vyžadují schválení nadřízený osoby nebo jiných určených osob.
  • Access, které by se měly automaticky přiřazovat lidem v určité části organizace během jejich časového období v dané pracovní roli, ale také dostupné lidem jinde v organizaci nebo v organizaci obchodního partnera, aby si mohli vyžádat.
  • Oddělení chtějí spravovat vlastní zásady access pro své prostředky bez zapojení IT.
  • Dvě nebo více organizací spolupracuje na projektu a v důsledku toho je potřeba prostřednictvím Microsoft Entra B2B převést více identit z jedné organizace, aby bylo možné získat přístup k prostředkům jiné organizace.

How do I access delegáta?

Balíčky Access se definují v kontejnerech s názvem catalogs. Můžete mít jeden katalog pro všechny balíčky access nebo můžete určit jednotlivce, kteří budou vytvářet a vlastnit vlastní katalogy. Správce může přidávat prostředky do libovolného katalogu, ale správce může přidat pouze do katalogu prostředky, které vlastní. Vlastník katalogu může přidat další identity jako spoluvlastníky katalogu nebo jako správce balíčků access. Tyto scénáře jsou podrobněji popsány v delegování článku a rolích při správě nároků.

Shrnutí terminologie

Pokud chcete lépe porozumět správě nároků a jeho dokumentaci, můžete se vrátit k následujícímu seznamu podmínek.

Období Popis
přístupový balíček Sada prostředků, které tým nebo project potřebuje a řídí se zásadami. Balíček access je vždy obsažen v katalogu. Vytvořili byste nový balíček access pro scénář, ve kterém identity potřebují požadovat access pro sebe.
žádost o access Žádost o access prostředků v balíčku access Žádost obvykle prochází pracovním postupem schválení. V případě schválení obdrží žádající identita přiřazení balíčku access.
přiřazení Přiřazení balíčku access identitě zajišťuje, že identita má všechny role prostředků daného balíčku access. Access přiřazení balíčků mají obvykle časový limit před vypršením jejich platnosti.
katalog Kontejner souvisejících prostředků a balíčků access Katalogy se používají pro delegování, aby nesprávci mohli vytvářet vlastní balíčky access. Vlastníci katalogu můžou do katalogu přidávat prostředky, které vlastní.
autor katalogu Sbírka identit, které jsou oprávněny vytvářet nové katalogy. Když identita neadministrátora, která je oprávněna být tvůrcem katalogu, vytvoří nový katalog, automaticky se stane vlastníkem tohoto katalogu.
propojená organizace Externí Microsoft Entra adresář nebo doména, se kterou máte relaci. Identity z připojené organizace je možné zadat v zásadách tak, aby mohly požadovat access.
zásada Sada pravidel, která definují životní cyklus access, například způsob, jakým se identity získávají access, kdo může schválit a jak dlouho mají access prostřednictvím přiřazení. Zásada je propojená s balíčkem access. Balíček access může mít například dvě zásady – jednu pro zaměstnance, kteří chtějí požádat o access, a druhou pro externí identity, které budou požadovat access.
prostředek Prostředek, jako je skupina Office, skupina zabezpečení, aplikace nebo web SharePoint Online, s rolí, ke které může být identita udělena oprávnění.
adresář prostředků Adresář, který má jeden nebo více prostředků ke sdílení.
role prostředku Kolekce oprávnění přidružených a definovaných prostředkem. Skupina má dvě role – člena a vlastníka. SharePoint weby obvykle mají tři role, ale můžou mít i jiné vlastní role. Aplikace můžou mít vlastní role.

Požadavky na licenci

Tato funkce vyžaduje Microsoft Entra ID Governance nebo Sada služeb Microsoft Entra předplatná pro uživatele vaší organizace. Některé funkce v rámci této funkce můžou fungovat s předplatným Microsoft Entra ID P2. Další informace najdete v článcích o jednotlivých funkcích. Informace o správné licenci pro vaše požadavky najdete v tématu Microsoft Entra ID Governance základy licencování.

Licenční požadavky pro přiřazování agentů k balíčkům access (Preview)

Použití Microsoft Entra ID Governance pro identity agentů vyžaduje jeden z následujících licenčních plánů:

  • Microsoft 365 E7, která zahrnuje agenta 365 a Sada služeb Microsoft Entra, k zajištění zásad správného řízení identit uživatelů a agentů.
  • Microsoft licence Agent 365 spárované s alespoň Microsoft Entra P1 nebo Microsoft 365 E3.

Další informace najdete v tématu Microsoft plány a ceny agenta 365. Úplný seznam funkcí specifických pro agenty najdete ve sloupci Microsoft Agent 365 v tabulce licencování Microsoft Entra ID Governance.

Další kroky

  • Poslední aktualizace v