Partager via


Utiliser des stratégies de gestion des rôles pour gérer les règles de chaque rôle au sein de chaque ressource

Les stratégies de gestion des rôles vous aident à régir les règles pour toute demande d’éligibilité de rôle ou demande d’attribution de rôle. Par exemple, vous pouvez définir la durée maximale pendant laquelle une affectation peut être active, ou vous pouvez même autoriser l’affectation permanente. Vous pouvez mettre à jour les paramètres de notification pour chaque affectation. Vous pouvez également définir des approbateurs pour chaque activation de rôle.

Répertorier les stratégies de gestion des rôles pour une ressource

Pour répertorier les stratégies de gestion des rôles, vous pouvez utiliser l’API REST De gestion des rôles - Liste pour l’étendue . Pour affiner vos résultats, vous spécifiez une étendue et un filtre facultatif. Pour appeler cette API, vous devez avoir accès à l’opération Microsoft.Authorization/roleAssignments/read dans l’étendue spécifiée. Tous les rôles intégrés ont accès à cette opération.

Important

Vous n’avez pas besoin de créer des stratégies de gestion des rôles, car chaque rôle au sein de chaque ressource a une stratégie par défaut

  1. Commencez par la requête suivante :

    GET https://management.azure.com/{scope}/providers/Microsoft.Authorization/roleManagementPolicies?api-version=2020-10-01&$filter={filter}
    
  2. Dans l’URI, remplacez {scope} par l’étendue pour laquelle vous souhaitez répertorier les stratégies de gestion des rôles.

    Étendue Type
    providers/Microsoft.Management/managementGroups/{mg-name} Groupe d’administration
    subscriptions/{subscriptionId} Abonnement
    subscriptions/{subscriptionId}/resourceGroups/myresourcegroup1 Resource group
    subscriptions/{subscriptionId}/resourceGroups/myresourcegroup1/providers/Microsoft.Web/sites/mysite1 Ressource
  3. Remplacez {filter} par la condition que vous voulez appliquer pour filtrer la liste des attributions de rôle.

    Filtrer Description
    $filter=roleDefinitionId%20eq%20'{scope}/providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}' Répertoriez la stratégie de gestion des rôles pour une définition de rôle spécifiée dans l’étendue des ressources.

Mettre à jour une stratégie de gestion des rôles

  1. Choisissez la ou les règles que vous souhaitez mettre à jour. Il s’agit des types de règle :

    Type de règle Description
    RoleManagementPolicyEnablementRule Activer l’authentification multifacteur, la justification sur les affectations ou les informations de ticketing
    RoleManagementPolicyExpirationRule Spécifier la durée maximale d’une attribution ou d’une activation de rôle
    RoleManagementPolicyNotificationRule Configurer les paramètres de notification par e-mail pour les affectations, les activations et les approbations
    RoleManagementPolicyApprovalRule Configurer les paramètres d’approbation pour une activation de rôle
    RoleManagementPolicyAuthenticationContextRule Configurer la règle ACRS pour la stratégie d’accès conditionnel
  2. Utilisez la requête suivante :

    PATCH https://management.azure.com/{scope}/providers/Microsoft.Authorization/roleManagementPolicies/{roleManagementPolicyId}?api-version=2020-10-01
    
    {
      "properties": {
        "rules": [
          {
            "isExpirationRequired": false,
            "maximumDuration": "P180D",
            "id": "Expiration_Admin_Eligibility",
            "ruleType": "RoleManagementPolicyExpirationRule",
            "target": {
              "caller": "Admin",
              "operations": [
                "All"
              ],
              "level": "Eligibility",
              "targetObjects": null,
              "inheritableSettings": null,
              "enforcedSettings": null
            }
          },
          {
            "notificationType": "Email",
            "recipientType": "Admin",
            "isDefaultRecipientsEnabled": false,
            "notificationLevel": "Critical",
            "notificationRecipients": [
              "admin_admin_eligible@test.com"
            ],
            "id": "Notification_Admin_Admin_Eligibility",
            "ruleType": "RoleManagementPolicyNotificationRule",
            "target": {
              "caller": "Admin",
              "operations": [
                "All"
              ],
              "level": "Eligibility",
              "targetObjects": null,
              "inheritableSettings": null,
              "enforcedSettings": null
            }
          },
          {
            "enabledRules": [
              "Justification",
              "MultiFactorAuthentication",
              "Ticketing"
            ],
            "id": "Enablement_EndUser_Assignment",
            "ruleType": "RoleManagementPolicyEnablementRule",
            "target": {
              "caller": "EndUser",
              "operations": [
                "All"
              ],
              "level": "Assignment",
              "targetObjects": null,
              "inheritableSettings": null,
              "enforcedSettings": null
            }
          },
          {
            "setting": {
              "isApprovalRequired": true,
              "isApprovalRequiredForExtension": false,
              "isRequestorJustificationRequired": true,
              "approvalMode": "SingleStage",
              "approvalStages": [
                {
                  "approvalStageTimeOutInDays": 1,
                  "isApproverJustificationRequired": true,
                  "escalationTimeInMinutes": 0,
                  "primaryApprovers": [
                    {
                      "id": "2385b0f3-5fa9-43cf-8ca4-b01dc97298cd",
                      "description": "amansw_new_group",
                      "isBackup": false,
                      "userType": "Group"
                    }
                  ],
                  "isEscalationEnabled": false,
                  "escalationApprovers": null
                }
              ]
            },
            "id": "Approval_EndUser_Assignment",
            "ruleType": "RoleManagementPolicyApprovalRule",
            "target": {
              "caller": "EndUser",
              "operations": [
                "All"
              ],
              "level": "Assignment",
              "targetObjects": null,
              "inheritableSettings": null,
              "enforcedSettings": null
            }
          }
        ]
      }
    }