Mengelola akses ke atribut keamanan kustom di ID Microsoft Entra

Artikel
02/01/2024

Agar orang-orang di organisasi Anda dapat bekerja secara efektif dengan atribut keamanan khusus,Anda harus memberikan akses yang sesuai. Bergantung pada informasi yang Anda rencanakan untuk disertakan dalam atribut keamanan khusus, Anda mungkin ingin membatasi atribut keamanan khusus atau Anda mungkin ingin membuatnya dapat diakses secara luas di organisasi Anda. Artikel ini menjelaskan cara mengelola akses ke atribut keamanan kustom.

Prasyarat

Untuk mengelola akses ke atribut keamanan khusus, Anda harus memiliki:

Administrator Tugas Atribut
Modul Microsoft.Graph saat menggunakan Microsoft Graph PowerShell

Penting

Secara default, Administrator Global dan peran administrator lainnya tidak memiliki izin untuk membaca, menentukan, atau menetapkan atribut keamanan kustom.

Langkah 1: Tentukan cara mengatur atribut Anda

Setiap definisi atribut keamanan kustom harus menjadi bagian dari set atribut. Tambahkan set atribut ke grup dan kelola atribut keamanan kustom terkait. Anda harus menentukan bagaimana Anda ingin menambahkan set atribut untuk organisasi Anda. Misalnya, Anda mungkin ingin menambahkan set atribut berdasarkan departemen, tim, atau proyek. Kemampuan Anda untuk memberikan akses ke atribut keamanan kustom tergantung pada cara Anda mengatur set atribut Anda.

Diagram yang menunjukkan atribut yang ditetapkan oleh departemen.

Langkah 2: Mengidentifikasi cakupan yang dibutuhkan

Cakupan: Cakupan adalah sekumpulan sumber daya tempat akses tersebut berlaku. Untuk atribut keamanan kustom, Anda dapat menetapkan peran di lingkup penyewa atau pada lingkup set atribut. Jika Anda ingin menetapkan akses yang luas, Anda dapat menetapkan peran di lingkup penyewa. Namun, jika Anda ingin membatasi akses ke set atribut tertentu, Anda dapat menetapkan peran pada lingkup set atribut.

Diagram yang menunjukkan cakupan penyewa dan cakupan set atribut.

Penetapan peran Microsoft Entra adalah model aditif, sehingga izin efektif Anda adalah jumlah penetapan peran Anda. Misalnya, jika Anda menetapkan peran pengguna di lingkup penyewa dan menetapkan pengguna yang sama peran yang sama pada lingkup set atribut, pengguna masih akan memiliki izin pada lingkup penyewa.

Langkah 3: Tinjau peran yang tersedia

Anda perlu menentukan siapa yang membutuhkan akses untuk bekerja dengan atribut keamanan khusus di organisasi Anda. Untuk membantu Anda mengelola akses ke atribut keamanan kustom, ada empat peran bawaan Microsoft Entra. Jika perlu, seseorang dengan setidaknya peran Administrator Peran Istimewa dapat menetapkan peran ini.

Tabel berikut memberikan perbandingan tingkat tinggi dari peran atribut keamanan kustom.

Izin	Administrator Definisi Atribut	Administrator Tugas Atribut	Pembaca Definisi Atribut	Pembaca Tugas Atribut
Tambahkan set atribut	✅	✅	✅	✅
Baca definisi atribut	✅	✅	✅	✅
Baca tugas atribut untuk pengguna dan aplikasi (prinsip layanan)		✅		✅
Menambahkan atau mengedit kumpulan atribut	✅
Menambahkan, mengedit, atau menonaktifkan definisi atribut	✅
Menetapkan atribut untuk pengguna dan aplikasi (prinsip layanan)		✅

Langkah 4: Tentukan strategi delegasi Anda

Langkah ini menjelaskan dua cara Anda dapat mengelola akses ke atribut keamanan khusus. Cara pertama adalah mengelolanya secara terpusat dan cara kedua adalah mendelegasikan manajemen kepada orang lain.

Mengelola atribut secara terpusat

Administrator yang telah diberi peran Administrator Definisi Atribut dan Administrator Penugasan Atribut di lingkup penyewa dapat mengelola semua aspek atribut keamanan khusus. Diagram berikut menunjukkan bagaimana atribut keamanan kustom didefinisikan dan ditetapkan oleh administrator tunggal.

Administrator (Xia) memiliki peran Administrator Definisi Atribut dan Administrator Penugasan Atribut yang ditugaskan di lingkup penyewa. Administrator menambahkan set atribut dan mendefinisikan atribut.
Administrator menetapkan atribut ke objek Microsoft Entra.

Mengelola atribut secara terpusat memiliki keuntungan bahwa hal itu dapat dikelola oleh satu atau dua administrator. Kerugiannya adalah administrator mungkin mendapatkan beberapa permintaan untuk menentukan atau menetapkan atribut keamanan khusus. Dalam hal ini, Anda mungkin ingin mendelegasikan manajemen.

Mengelola atribut dengan delegasi

Administrator mungkin tidak tahu semua situasi bagaimana atribut keamanan kustom harus ditentukan dan ditetapkan. Biasanya pengguna dalam departemen, tim, atau proyek masing-masing yang paling tahu tentang daerah mereka. Alih-alih menugaskan satu atau dua administrator untuk mengelola semua atribut keamanan khusus, Anda malah dapat mendelegasikan manajemen pada lingkup yang ditetapkan atribut. Ini juga mengikuti praktik terbaik yang paling tidak istimewa untuk memberikan hanya izin yang dibutuhkan administrator lain untuk melakukan pekerjaan mereka dan menghindari akses yang tidak perlu. Diagram berikut menunjukkan bagaimana pengelolaan atribut keamanan kustom dapat didelegasikan ke beberapa administrator.

Administrator (Xia) dengan peran Administrator Definisi Atribut yang ditugaskan di lingkup penyewa menambahkan set atribut. Administrator juga memiliki izin untuk menetapkan peran kepada orang lain (Administrator Peran Istimewa) dan delegasi yang dapat membaca, mendefinisikan, atau menetapkan atribut keamanan khusus untuk setiap set atribut.
Administrator Definisi Atribut yang didelegasikan (Alice dan Bob) mendefinisikan atribut dalam set atribut yang telah diberikan akses kepada mereka.
Administrator Penugasan Atribut yang didelegasikan (Chandra dan Bob) menetapkan atribut dari set atribut mereka ke objek Microsoft Entra.

Langkah 5: Memilih peran yang sesuai

Setelah Anda memiliki pemahaman yang lebih baik tentang bagaimana atribut Anda akan diatur dan siapa yang membutuhkan akses, Anda dapat memilih peran dan ruang lingkup atribut keamanan khusus yang sesuai. Tabel berikut dapat membantu Anda dengan pilihan.

Saya ingin memberikan akses ini	Tetapkan peran ini	Cakupan
Membaca semua set atribut di penyewa Membaca semua definisi atribut di penyewa Tambahkan atau edit semua set atribut di penyewa Menambahkan, mengedit, atau menonaktifkan definisi atribut	Administrator Definisi Atribut	Penyewa
Membaca definisi atribut dalam kumpulan atribut dengan ruang lingkup Menambahkan, mengedit, atau menonaktifkan definisi atribut dalam kumpulan atribut dengan ruang lingkup Tak bisa memperbarui kumpulan atribut dengan ruang lingkup Tak bisa membaca, menambahkan, atau memperbarui kumpulan atribut lainnya	Administrator Definisi Atribut	Set atribut
Membaca semua set atribut di penyewa Membaca semua definisi atribut di penyewa Membaca semua tugas atribut di penyewa untuk pengguna Baca semua tugas atribut di penyewa untuk aplikasi (prinsip layanan) Menetapkan semua atribut dalam penyewa kepada pengguna Menetapkan semua atribut dalam penyewa untuk aplikasi (prinsip layanan) Author Azure kondisi penugasan peran yang menggunakan atribut Utama untuk semua atribut dalam penyewa	Administrator Tugas Atribut	Penyewa
Membaca definisi atribut dalam kumpulan atribut dengan ruang lingkup Baca tugas atribut yang menggunakan atribut dalam kumpulan atribut lingkup untuk pengguna Baca penetapan atribut yang menggunakan atribut dalam kumpulan atribut cakupan untuk aplikasi (prinsip layanan) Menetapkan atribut dalam atribut lingkup yang diatur ke pengguna Menetapkan atribut dalam atribut lingkup yang diatur ke aplikasi (kepala layanan) Author Azure kondisi penugasan peran yang menggunakan atribut Utama untuk semua atribut dalam penyewa Tak bisa membaca, menambahkan, atau memperbarui kumpulan atribut lainnya Tidak dapat membaca penetapan atribut yang menggunakan atribut di kumpulan atribut lain	Administrator Tugas Atribut	Set atribut
Membaca semua set atribut di penyewa Membaca semua definisi atribut di penyewa	Pembaca Definisi Atribut	Penyewa
Membaca definisi atribut dalam kumpulan atribut dengan ruang lingkup Tak bisa membaca set atribut lain	Pembaca Definisi Atribut	Set atribut
Membaca semua set atribut di penyewa Membaca semua definisi atribut di penyewa Membaca semua tugas atribut di penyewa untuk pengguna Baca semua tugas atribut di penyewa untuk aplikasi (prinsip layanan)	Pembaca Tugas Atribut	Penyewa
Membaca definisi atribut dalam kumpulan atribut dengan ruang lingkup Baca tugas atribut yang menggunakan atribut dalam kumpulan atribut lingkup untuk pengguna Baca penetapan atribut yang menggunakan atribut dalam kumpulan atribut cakupan untuk aplikasi (prinsip layanan) Tak bisa membaca, menambahkan, atau memperbarui kumpulan atribut lainnya Tidak dapat membaca penetapan atribut yang menggunakan atribut di kumpulan atribut lain	Pembaca Tugas Atribut	Set atribut

Langkah 6: Tetapkan peran

Untuk memberikan akses ke orang yang sesuai, ikuti langkah-langkah ini untuk menetapkan salah satu peran atribut keamanan khusus.

Menetapkan peran pada lingkup kumpulan atribut

Tip

Langkah-langkah dalam artikel ini mungkin sedikit berbeda berdasarkan portal tempat Anda memulai.

Contoh berikut menunjukkan cara menetapkan peran atribut keamanan kustom ke prinsipal pada cakupan set atribut bernama Engineering.

Masuk ke pusat admin Microsoft Entra sebagai Administrator Penugasan Atribut.
Telusuri ke Proteksi>Atribut keamanan kustom.
Pilih set atribut yang ingin Anda beri akses.
Pilih Peran dan administrator.
Mendapatkan penetapan atribut keamanan kustom untuk pengguna.

Catatan

Jika Anda menggunakan Microsoft Entra Privileged Identity Management (PIM), penetapan peran yang memenuhi syarat pada cakupan set atribut saat ini tidak didukung. Penetapan peran permanen pada cakupan set atribut didukung.

New-MgRoleManagementDirectoryRoleAssignment

$roleDefinitionId = "58a13ea3-c632-46ae-9ee0-9c0d43cd7f3d"
$principalId = "aaaaaaaa-bbbb-cccc-1111-222222222222"
$directoryScopeId = "/attributeSets/Engineering"
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -RoleDefinitionId $roleDefinitionId -PrincipalId $principalId -DirectoryScopeId $directoryScopeId

Membuat unifiedRoleAssignment

POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
Content-type: application/json

{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "roleDefinitionId": "58a13ea3-c632-46ae-9ee0-9c0d43cd7f3d",
    "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
    "directoryScopeId": "/attributeSets/Engineering"
}

New-AzureADMSRoleAssignment

$roleDefinitionId = "58a13ea3-c632-46ae-9ee0-9c0d43cd7f3d"
$principalId = "aaaaaaaa-bbbb-cccc-1111-222222222222"
$directoryScope = "/attributeSets/Engineering"
$roleAssignment = New-AzureADMSRoleAssignment -RoleDefinitionId $roleDefinitionId -PrincipalId $principalId -DirectoryScopeId $directoryScope

Menetapkan peran di lingkup penyewa

Contoh berikut menunjukkan cara menetapkan peran atribut keamanan kustom ke prinsipal di cakupan penyewa.

Masuk ke pusat admin Microsoft Entra sebagai Administrator Penugasan Atribut.
Telusuri Peran Identitas>& Peran admin>& admin.
Mendapatkan penetapan atribut keamanan kustom untuk pengguna.

New-MgRoleManagementDirectoryRoleAssignment

$roleDefinitionId = "58a13ea3-c632-46ae-9ee0-9c0d43cd7f3d"
$principalId = "aaaaaaaa-bbbb-cccc-1111-222222222222"
$directoryScopeId = "/"
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -RoleDefinitionId $roleDefinitionId -PrincipalId $principalId -DirectoryScopeId $directoryScopeId

Membuat unifiedRoleAssignment

POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
Content-type: application/json

{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "roleDefinitionId": "58a13ea3-c632-46ae-9ee0-9c0d43cd7f3d",
    "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
    "directoryScopeId": "/"
}

New-AzureADMSRoleAssignment

$roleDefinitionId = "58a13ea3-c632-46ae-9ee0-9c0d43cd7f3d"
$principalId = "aaaaaaaa-bbbb-cccc-1111-222222222222"
$directoryScope = "/"
$roleAssignment = New-AzureADMSRoleAssignment -RoleDefinitionId $roleDefinitionId -PrincipalId $principalId -DirectoryScopeId $directoryScope

Log audit atribut keamanan kustom

Terkadang Anda memerlukan informasi tentang perubahan atribut keamanan kustom untuk tujuan audit atau pemecahan masalah. Setiap kali seseorang membuat perubahan pada definisi atau penugasan, aktivitas akan dicatat.

Log audit atribut keamanan kustom memberi Anda riwayat aktivitas yang terkait dengan atribut keamanan kustom, seperti menambahkan definisi baru atau menetapkan nilai atribut kepada pengguna. Berikut adalah aktivitas terkait atribut keamanan khusus yang dicatat:

Tambahkan set atribut
Menambahkan definisi atribut keamanan kustom dalam set atribut
Perbarui set atribut
Memperbarui nilai atribut yang ditetapkan ke servicePrincipal
Memperbarui nilai atribut yang ditetapkan untuk pengguna
Memperbarui definisi atribut keamanan kustom dalam set atribut

Menampilkan log audit untuk perubahan atribut

Untuk melihat log audit atribut keamanan kustom, masuk ke pusat admin Microsoft Entra, telusuri ke Log Audit, dan pilih Keamanan Kustom. Untuk melihat log audit atribut keamanan kustom, Anda harus diberi salah satu peran berikut. Jika perlu, seseorang dengan setidaknya peran Administrator Peran Istimewa dapat menetapkan peran ini.

Untuk informasi tentang cara mendapatkan log audit atribut keamanan kustom menggunakan Microsoft Graph API, lihat customSecurityAttributeAudit jenis sumber daya. Untuk informasi selengkapnya, lihat Log audit Microsoft Entra.

Pengaturan diagnostik

Untuk mengekspor log audit atribut keamanan kustom ke tujuan yang berbeda untuk pemrosesan tambahan, Anda menggunakan pengaturan diagnostik. Untuk membuat dan mengonfigurasi pengaturan diagnostik untuk atribut keamanan kustom, Anda harus diberi peran Administrator Log Atribut.

Tip

Microsoft menyarankan agar Anda memisahkan log audit atribut keamanan kustom dari log audit direktori Anda sehingga penetapan atribut tidak terungkap secara tidak sengaja.

Cuplikan layar berikut menunjukkan pengaturan diagnostik untuk atribut keamanan kustom. Untuk informasi selengkapnya, lihat Cara mengonfigurasi pengaturan diagnostik.

Perubahan pada perilaku log audit

Perubahan telah dilakukan pada log audit atribut keamanan kustom untuk ketersediaan umum yang mungkin memengaruhi operasi harian Anda. Jika Anda telah menggunakan log audit atribut keamanan kustom selama pratinjau, berikut adalah tindakan yang harus Anda lakukan untuk memastikan operasi log audit Anda tidak terganggu.

Menggunakan lokasi log audit baru
Menetapkan peran Log Atribut untuk melihat log audit
Membuat pengaturan diagnostik baru untuk mengekspor log audit

Menggunakan lokasi log audit baru

Selama pratinjau, log audit atribut keamanan kustom ditulis ke titik akhir log audit direktori. Pada Oktober 2023, titik akhir baru ditambahkan secara eksklusif untuk log audit atribut keamanan kustom. Cuplikan layar berikut menunjukkan log audit direktori dan lokasi log audit atribut keamanan kustom baru. Untuk mendapatkan log audit atribut keamanan kustom menggunakan Microsoft Graph API, lihat customSecurityAttributeAudit jenis sumber daya.

Ada periode transisi di mana log audit keamanan kustom ditulis ke direktori dan titik akhir log audit atribut keamanan kustom. Ke depannya, Anda harus menggunakan titik akhir log audit atribut keamanan kustom untuk menemukan log audit atribut keamanan kustom.

Tabel berikut mencantumkan titik akhir tempat Anda dapat menemukan log audit atribut keamanan kustom selama periode transisi.

Tanggal acara	Titik akhir direktori	Titik akhir atribut keamanan kustom
Okt 2023	✅	✅
Feb 2024		✅

Menetapkan peran Log Atribut untuk melihat log audit

Selama pratinjau, log audit atribut keamanan kustom dapat dilihat oleh mereka yang memiliki setidaknya peran Administrator Keamanan dalam log audit direktori. Anda tidak lagi dapat menggunakan peran ini untuk melihat log audit atribut keamanan kustom menggunakan titik akhir baru. Untuk melihat log audit atribut keamanan kustom, Anda harus diberi peran Pembaca Log Atribut atau Administrator Log Atribut.

Membuat pengaturan diagnostik baru untuk mengekspor log audit

Selama pratinjau, jika Anda mengonfigurasi untuk mengekspor log audit, log audit atribut audit keamanan kustom dikirim ke pengaturan diagnostik Anda saat ini. Untuk terus menerima log audit atribut audit keamanan kustom, Anda harus membuat pengaturan diagnostik baru seperti yang dijelaskan di bagian Pengaturan diagnostik sebelumnya.

Share via