API Privileged Identity Management
Privileged Identity Management (PIM), parte de Microsoft Entra, incluye tres proveedores:
- PIM para roles de Microsoft Entra
- PIM para recursos de Azure
- PIM para grupos
Puede administrar asignaciones en PIM para roles de Microsoft Entra y PIM para grupos mediante Microsoft Graph API. Puede administrar las asignaciones en PIM para recursos de Azure mediante la API de Azure Resource Manager (ARM). En este artículo se describen conceptos importantes para usar las API de Privileged Identity Management.
Obtenga más información sobre las API que permiten administrar asignaciones en la documentación:
- Referencia de API de PIM para roles de Microsoft Entra
- Referencia de la API de PIM para roles de recursos de Azure
- Referencia de la API de PIM para grupos
- Alertas de PIM para referencia de API de roles de Microsoft Entra
- Referencia de la API de alertas de PIM para recursos de Azure
Historial de la API de PIM
Ha habido varias iteraciones de la API de PIM en los últimos años. Notará que algunas funcionalidades coinciden, pero no representan una progresión lineal de las versiones.
Iteración 1: en desuso
En el punto de conexión /beta/privilegedRoles, Microsoft tenía una versión clásica de la API PIM, que solo admitía funciones de Microsoft Entra y que ya no se admite. El acceso a esta API está en desuso en junio de 2021.
Iteración 2: Admite los roles de Microsoft Entra y de recursos de Azure
En el punto de conexión /beta/privilegedAccess, Microsoft admitía /aadRoles y /azureResources. Este punto de conexión sigue estando disponible en el inquilino, pero Microsoft recomienda no iniciar ningún desarrollo nuevo con esta API. Esta API beta nunca se publicará para disponibilidad general y finalmente dejará de usarse.
Iteración 3 (actual): PIM para roles de Microsoft Entra, grupos en Microsoft Graph API y para recursos de Azure en la API de ARM
Esta es la iteración final de la API de PIM. Incluye:
- PIM para roles de Microsoft Entra en Microsoft Graph API: Disponible con carácter general.
- PIM para recursos de Azure en la API de ARM: disponible con carácter general.
- PIM para grupos en Microsoft Graph API: versión preliminar.
- Alertas de PIM para roles de Microsoft Entra en Microsoft Graph API: Versión preliminar.
- Alertas de PIM para recursos de Azure en la API de ARM: versión preliminar.
Tener PIM para roles de Microsoft Entra en Microsoft Graph API y PIM para recursos de Azure en la API de ARM proporciona algunas ventajas, entre las que se incluyen:
- Alineación de la API de PIM para la API de asignación de roles regular para los roles de Microsoft Entra y los roles de Azure Resource.
- Reducción de la necesidad de llamar a la API de PIM adicional para incorporar un recurso, obtener un recurso u obtener la definición de roles.
- Compatibilidad con los permisos de solo aplicación.
- Nuevas características, como la aprobación y la configuración de notificaciones por correo electrónico.
Información general sobre la iteración 3 de la API de PIM
Las API de PIM entre proveedores (tanto las API de Microsoft Graph como las API de ARM) siguen los mismos principios.
Administración de asignaciones
Para crear una asignación (activa o apta), renovar, ampliar o actualizar una asignación (activa o apta), activar la asignación apta, desactivar la asignación apta, usar recursos *AssignmentScheduleRequest y *EligibilityScheduleRequest:
- Para los roles de Microsoft Entra: unifiedRoleAssignmentScheduleRequest, unifiedRoleEligibilityScheduleRequest;
- Para los recursos de Azure: Solicitud de programación de asignación de roles, Solicitud de programación de idoneidad de roles;
- Para grupos: privilegedAccessGroupAssignmentScheduleRequest, privilegedAccessGroupEligibilityScheduleRequest.
La creación de objetos *AssignmentScheduleRequest o *EligibilityScheduleRequest puede provocar la creación de objetos de solo lectura *AssignmentSchedule, *EligibilitySchedule, *AssignmentScheduleInstance y *EligibilityScheduleInstance.
- Los objetos *AssignmentSchedule y *EligibilitySchedule muestran las asignaciones actuales y las solicitudes de las asignaciones que se van a crear en el futuro.
- Los objetos*AssignmentScheduleInstance y *EligibilityScheduleInstance solo muestran las asignaciones actuales.
Cuando se activa una asignación apta (se llamó a Crear*AssignmentScheduleRequest), *EligibilityScheduleInstance sigue existiendo y se crearán los objetos * AssignmentSchedule y *AssignmentScheduleInstance durante esa duración activada.
Para más información sobre las API de asignación y activación, consulte API de PIM para administrar asignaciones de roles e idoneidades.
Directivas de PIM (configuración de roles)
Para administrar las directivas de PIM, use las entidades *roleManagementPolicy y *roleManagementPolicyAssignment:
- Para PIM para los roles de Microsoft Entra, PIM para grupos: unifiedroleManagementPolicy, unifiedroleManagementPolicyAssignment
- Para PIM para recursos de Azure: directivas de administración de roles, asignaciones de directivas de administración de roles
El recurso *roleManagementPolicy incluye reglas que constituyen la directiva PIM: requisitos de aprobación, duración máxima de activación, configuración de notificación, etc.
El objeto *roleManagementPolicyAssignment conecta la directiva a un rol específico.
Para más información sobre las API de configuración de directivas, consulte Configuración de roles y PIM.
Permisos
PIM para roles de Microsoft Entra
Para obtener permisos de Graph API necesarios para PIM para los roles de Microsoft Entra, consulte Permisos de administración de roles.
PIM para recursos de Azure
La API de PIM para roles de recursos de Azure se desarrolló con el marco de Azure Resource Manager como base. Tendrá que dar su consentimiento a Azure Resource Management, pero no necesitará ningún permiso de Microsoft Graph API. También deberá asegurarse de que el usuario o la entidad de servicio que llama a la API tenga al menos el rol Propietario o Administrador de acceso de usuario en el recurso que está intentando administrar.
PIM para grupos
Para obtener permisos de Graph API necesarios para PIM para grupos, consulte PIM para grupos: permisos y privilegios.
Relación entre las entidades de PIM y las entidades de asignación de roles
El único vínculo entre la entidad de PIM y la entidad de asignación de roles para la asignación persistente (activa) de roles de Microsoft Entra o roles de Azure es *AssignmentScheduleInstance. Hay una correspondencia uno a uno entre las dos entidades. Esa asignación significa que roleAssignment y *AssignmentScheduleInstance incluirán:
- Asignaciones persistentes (activas) realizadas fuera de PIM
- Asignaciones persistentes (activas) con una programación realizadas dentro de PIM
- Asignaciones aptas activadas
Las propiedades específicas de PIM (como la hora de finalización) solo estarán disponibles a través del objeto *AssignmentScheduleInstance.