Asignación de roles de recursos de Azure en Privileged Identity Management

Artículo
02/26/2024

Con Microsoft Entra Privileged Identity Management (PIM), puede administrar los roles de recursos integrados de Azure y los roles personalizados, incluidos (pero no limitados a):

Propietario
Administrador de acceso de usuario
Colaborador
Administrador de seguridad
Administrador de seguridad

Nota:

Los usuarios o los miembros de un grupo asignados a los roles de suscripción Propietario o Administrador de acceso de usuario y los administradores globales de Microsoft Entra que permiten la administración de suscripciones en Microsoft Entra ID tienen permisos de administrador de recursos de forma predeterminada. Estos administradores pueden asignar roles, configurar opciones de rol y revisar el acceso con Privileged Identity Management a los recursos de Azure. Un usuario no puede administrar Privileged Identity Management para recursos sin permisos de administrador de recursos. Consulte la lista de roles integrados de Azure.

En Privileged Identity Management se admiten roles de Azure integrados y personalizados. Para más información sobre los roles personalizados de Azure, consulte Roles personalizados de Azure.

Condiciones de asignación de roles

Puede usar el control de acceso basado en atributos de Azure (Azure ABAC) para agregar condiciones en las asignaciones de roles que reúnen los requisitos mediante Microsoft Entra PIM para recursos de Azure. Con Microsoft Entra PIM, los usuarios finales deben activar una asignación de roles apta para obtener permiso para realizar determinadas acciones. El uso de las condiciones en Microsoft Entra PIM permite no solo limitar los permisos de los roles de un usuario a un recurso mediante condiciones específicas, sino también usar Microsoft Entra PIM para proteger la asignación de roles con una configuración del límite de tiempo, un flujo de trabajo de aprobación y un registro de auditoría, entre otros.

Nota:

Cuando se asigna un rol, la asignación:

No se puede asignar durante menos de cinco minutos.
No se puede quitar dentro de los cinco minutos tras haberse asignado.

Actualmente, los siguientes roles integrados pueden tener condiciones agregadas:

Para más información, consulte ¿Qué es el control de acceso basado en atributo de Azure (Azure ABAC)?

Asignar un rol

Siga estos pasos para hacer que un usuario sea elegible para un rol de directorio de Azure AD.

Inicie sesión en el Centro de administración de Microsoft Entra al menos como Administrador de acceso de usuarios.
Vaya a Gobierno de identidades>Privileged Identity Management>Recursos de Azure.
Seleccione el tipo de recurso que quiera administrar. Comience en la lista desplegable Grupo de administración o en la lista desplegable Suscripciones y, después, seleccione grupos de recursos o Recursos según sea necesario. Haga clic en el botón Seleccionar del recurso que desea administrar para abrir su página de información general.
En Administrar, seleccione Roles para ver la lista de roles de los recursos de Azure.
Seleccione Agregar asignaciones para abrir el panel Agregar asignaciones.
Seleccione un rol que quiera asignar.
Seleccione el vínculo Ningún miembro seleccionado para abrir el panel Seleccionar un miembro o grupo.
Seleccione un miembro o grupo que quiera asignar al rol y luego elija Seleccionar.
En la pestaña Configuración, en la lista Tipo de asignación, seleccione Apto o Activo.

Microsoft Entra PIM para recursos de Azure ofrece dos tipos de asignación distintos:
- Las asignaciones que reúnen las condiciones requieren que el miembro active el rol antes de usarlo. El administrador puede requerir que el miembro de rol realice determinadas acciones antes de la activación de roles, lo que podría incluir realizar una comprobación de autenticación multifactor (MFA), proporcionar una justificación comercial o solicitar la aprobación de los aprobadores designados.
- Las asignaciones activas no requieren que el miembro active el rol antes del uso. Los miembros asignados como activos tienen privilegios asignados listos para usar. Este tipo de asignación también está disponible para los clientes que no usan Microsoft Entra PIM.
Para especificar una duración de asignación específica, cambie las fechas y horas de inicio y finalización.
Si el rol se ha definido con acciones que permiten asignaciones a ese rol con condiciones, puede seleccionar Agregar condición para agregar una condición basada en los atributos de recurso y en el usuario principal que forman parte de la asignación.

Las condiciones se pueden especificar en el generador de expresiones.
Cuando termine, seleccione Asignar.
Una vez creada la nueva asignación de roles, se muestra una notificación de estado.

Asignación de un rol mediante ARM API

Privileged Identity Management admite los comandos de Azure Resource Manager (ARM) API para administrar los roles de los recursos de Azure, como se documenta en la referencia de ARM API de PIM. Para obtener los permisos necesarios para usar PIM API, consulte Descripción de las API de Privileged Identity Management.

A continuación se muestra el ejemplo de una solicitud HTTP de ejemplo para crear una asignación apta para un rol de Azure.

Solicitud

PUT https://management.azure.com/providers/Microsoft.Subscription/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleEligibilityScheduleRequests/64caffb6-55c0-4deb-a585-68e948ea1ad6?api-version=2020-10-01-preview

Cuerpo de la solicitud

{
  "properties": {
    "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
    "roleDefinitionId": "/subscriptions/aaaaaaaa-bbbb-cccc-1111-222222222222/providers/Microsoft.Authorization/roleDefinitions/c8d4ff99-41c3-41a8-9f60-21dfdad59608",
    "requestType": "AdminAssign",
    "scheduleInfo": {
      "startDateTime": "2022-07-05T21:00:00.91Z",
      "expiration": {
        "type": "AfterDuration",
        "endDateTime": null,
        "duration": "P365D"
      }
    },
    "condition": "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:ContainerName] StringEqualsIgnoreCase 'foo_storage_container'",
    "conditionVersion": "1.0"
  }
}

Response

Código de estado: 201

{
  "properties": {
    "targetRoleEligibilityScheduleId": "b1477448-2cc6-4ceb-93b4-54a202a89413",
    "targetRoleEligibilityScheduleInstanceId": null,
    "scope": "/providers/Microsoft.Subscription/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e",
    "roleDefinitionId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleDefinitions/c8d4ff99-41c3-41a8-9f60-21dfdad59608",
    "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
    "principalType": "User",
    "requestType": "AdminAssign",
    "status": "Provisioned",
    "approvalId": null,
    "scheduleInfo": {
      "startDateTime": "2022-07-05T21:00:00.91Z",
      "expiration": {
        "type": "AfterDuration",
        "endDateTime": null,
        "duration": "P365D"
      }
    },
    "ticketInfo": {
      "ticketNumber": null,
      "ticketSystem": null
    },
    "justification": null,
    "requestorId": "a3bb8764-cb92-4276-9d2a-ca1e895e55ea",
    "createdOn": "2022-07-05T21:00:45.91Z",
    "condition": "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:ContainerName] StringEqualsIgnoreCase 'foo_storage_container'",
    "conditionVersion": "1.0",
    "expandedProperties": {
      "scope": {
        "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e",
        "displayName": "Pay-As-You-Go",
        "type": "subscription"
      },
      "roleDefinition": {
        "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleDefinitions/c8d4ff99-41c3-41a8-9f60-21dfdad59608",
        "displayName": "Contributor",
        "type": "BuiltInRole"
      },
      "principal": {
        "id": "a3bb8764-cb92-4276-9d2a-ca1e895e55ea",
        "displayName": "User Account",
        "email": "user@my-tenant.com",
        "type": "User"
      }
    }
  },
  "name": "64caffb6-55c0-4deb-a585-68e948ea1ad6",
  "id": "/providers/Microsoft.Subscription/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/RoleEligibilityScheduleRequests/64caffb6-55c0-4deb-a585-68e948ea1ad6",
  "type": "Microsoft.Authorization/RoleEligibilityScheduleRequests"
}

Actualizar o quitar una asignación de roles existente

Siga estos pasos para actualizar o quiotar una asignación de roles existente.

Abra Microsoft Entra Privileged Identity Management.
Seleccione Azure resources (Recursos de Azure).
Seleccione el tipo de recurso que quiera administrar. Comience en la lista desplegable Grupo de administración o en la lista desplegable Suscripciones y, después, seleccione grupos de recursos o Recursos según sea necesario. Haga clic en el botón Seleccionar del recurso que desea administrar para abrir su página de información general.
En Administrar, seleccione Roles para enumerar los roles de los recursos de Azure. En la captura de pantalla siguiente se enumeran los roles de una cuenta de Azure Storage. Seleccione el rol que quiera actualizar o quitar.
Busque la asignación de roles en las pestañas Roles elegibles o Roles activos.
Para agregar o actualizar una condición para refinar el acceso a los recursos de Azure, seleccione Agregar o Ver o editar en la columna Condición de la asignación de roles. Actualmente, los roles Propietario de datos de Storage Blob, Lector de datos de Storage Blob y Colaborador de datos de Storage Blob en Microsoft Entra PIM son los únicos roles que pueden tener condiciones agregadas.
Seleccione Agregar expresión o Eliminar para actualizar la expresión. También puede seleccionar Agregar condición para agregar una nueva condición al rol.

Para obtener información sobre cómo ampliar una asignación de roles, consulte Ampliación o renovación de roles de recursos de Azure en Privileged Identity Management.

Compartir a través de