Menyetujui atau menolak permintaan untuk peran Microsoft Entra dalam Privileged Identity Management

Ikhtisar

Privileged Identity Management (PIM) di MICROSOFT Entra ID memungkinkan Anda mengonfigurasi peran untuk memerlukan persetujuan untuk aktivasi, dan memilih satu atau beberapa pengguna atau grup sebagai pemberi izin yang didelegasikan. Pemberi persetujuan yang didelegasikan memiliki waktu 24 jam untuk menyetujui permintaan. Jika permintaan tidak disetujui dalam waktu 24 jam, maka pengguna yang memenuhi syarat harus mengirimkan ulang permintaan baru. Jendela waktu persetujuan 24 jam tidak dapat dikonfigurasi.

Melihat permintaan tertunda

Sebagai pemberi izin yang didelegasikan, Anda menerima pemberitahuan email saat permintaan peran Microsoft Entra menunggu persetujuan Anda. Anda dapat melihat permintaan yang tertunda ini dalam Privileged Identity Management.

  1. Masuk ke pusat admin Microsoft Entra.

  2. Telusuri ke Id Governance>Privileged Identity Management>Menyetujui permintaan.

    Cuplikan layar memperlihatkan halaman Setujui permintaan yang memperlihatkan permintaan untuk meninjau peran Microsoft Entra.

    Di bagian Permintaan untuk aktivasi peran , Anda dapat melihat daftar permintaan yang menunggu persetujuan Anda.

Menampilkan permintaan yang tertunda menggunakan API Microsoft Graph

Permintaan HTTP

GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignmentScheduleRequests/filterByCurrentUser(on='approver')?$filter=status eq 'PendingApproval'

Respons HTTP

{ 
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#Collection(unifiedRoleAssignmentScheduleRequest)", 
    "value": [ 
        { 
            "@odata.type": "#microsoft.graph.unifiedRoleAssignmentScheduleRequest", 
            "id": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee", 
            "status": "PendingApproval", 
            "createdDateTime": "2021-07-15T19:57:17.76Z", 
            "completedDateTime": "2021-07-15T19:57:17.537Z", 
            "approvalId": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee", 
            "customData": null, 
            "action": "SelfActivate", 
            "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222", 
            "roleDefinitionId": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b", 
            "directoryScopeId": "/", 
            "appScopeId": null, 
            "isValidationOnly": false, 
            "targetScheduleId": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee", 
            "justification": "test", 
            "createdBy": { 
                "application": null, 
                "device": null, 
                "user": { 
                    "displayName": null, 
                    "id": "d96ea738-3b95-4ae7-9e19-78a083066d5b" 
                } 
            }, 
            "scheduleInfo": { 
                "startDateTime": null, 
                "recurrence": null, 
                "expiration": { 
                    "type": "afterDuration", 
                    "endDateTime": null, 
                    "duration": "PT5H30M" 
                } 
            }, 
            "ticketInfo": { 
                "ticketNumber": null, 
                "ticketSystem": null 
            } 
        } 
    ] 
}

Menyetujui permintaan

Catatan

Pemberi persetujuan tidak bisa menyetujui permintaan aktivasi peran mereka sendiri. Selain itu, perwakilan layanan tidak diizinkan untuk menyetujui permintaan.

  1. Temukan dan pilih permintaan yang ingin Anda setujui. Halaman menyetujui atau menolak muncul.
  2. Di kotak Justifikasi, masukkan justifikasi bisnis.
  3. Pilih Kirim. Pada titik ini, sistem mengirimkan pemberitahuan Azure tentang persetujuan Anda.

Menyetujui permintaan yang tertunda menggunakan API Microsoft Graph

Catatan

Persetujuan untuk permintaan perpanjangan dan perpanjangan saat ini tidak didukung oleh Microsoft Graph API.

Dapatkan ID untuk langkah-langkah yang memerlukan persetujuan

Untuk permintaan aktivasi tertentu, perintah ini mendapatkan semua langkah persetujuan yang memerlukan persetujuan. Persetujuan multi-langkah saat ini tidak didukung.

Permintaan HTTP

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignmentApprovals/<request-ID-GUID>

Respons HTTP

{ 
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignmentApprovals/$entity", 
    "id": "<request-ID-GUID>",
    "steps@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignmentApprovals('<request-ID-GUID>')/steps", 
    "steps": [ 
        { 
            "id": "<approval-step-ID-GUID>", 
            "displayName": null, 
            "reviewedDateTime": null, 
            "reviewResult": "NotReviewed", 
            "status": "InProgress", 
            "assignedToMe": true, 
            "justification": "", 
            "reviewedBy": null 
        } 
    ] 
}

Menyetujui langkah permintaan aktivasi

Permintaan HTTP

PATCH 
https://graph.microsoft.com/beta/roleManagement/directory/roleAssignmentApprovals/<request-ID-GUID>/steps/<approval-step-ID-GUID> 
{ 
    "reviewResult": "Approve", // or "Deny"
    "justification": "Trusted User" 
}

Respons HTTP

Panggilan PATCH yang berhasil menghasilkan respons kosong.

Menolak permintaan

  1. Temukan dan pilih permintaan yang ingin Anda tolak. Halaman menyetujui atau menolak muncul.
  2. Di kotak Justifikasi, masukkan justifikasi bisnis.
  3. Pilih Tolak. Pemberitahuan muncul tentang penolakan Anda.

Pemberitahuan alur kerja

Berikut ini beberapa informasi tentang pemberitahuan alur kerja:

  • Pemberi izin diberitahu melalui email ketika permintaan peran tertunda peninjauannya. Pemberitahuan email menyertakan tautan langsung ke permintaan, di mana pemberi izin dapat menyetujui atau menolak.
  • Permintaan diselesaikan oleh pemberi izin pertama yang menyetujui atau menolak.
  • Semua pemberi izin diberi tahu saat pemberi persetujuan merespons permintaan persetujuan.
  • Administrator Global dan Administrator Peran Istimewa diberi tahu ketika pengguna yang disetujui menjadi aktif dalam peran mereka.

Catatan

Administrator Global atau Admin Peran Istimewa yang percaya bahwa pengguna yang disetujui tidak boleh aktif dapat menghapus penetapan peran aktif di Privileged Identity Management. Meskipun administrator tidak diberi tahu tentang permintaan yang tertunda kecuali mereka adalah pemberi izin, mereka dapat melihat dan membatalkan permintaan yang tertunda untuk semua pengguna dengan melihat permintaan yang tertunda di Privileged Identity Management.

Langkah berikutnya

  • Terakhir diperbarui pada