Visualizzare la cronologia delle attività e dei controlli per i ruoli delle risorse di Azure in Privileged Identity Management
Privileged Identity Management (PIM) in Microsoft Entra ID consente di visualizzare attività, attivazioni e cronologia di controllo per i ruoli delle risorse di Azure all'interno dell'organizzazione. tra cui sottoscrizioni, gruppi di risorse e anche macchine virtuali. Qualsiasi risorsa all'interno dell'interfaccia di amministrazione di Microsoft Entra che sfrutta la funzionalità di controllo degli accessi in base al ruolo di Azure può sfruttare le funzionalità di sicurezza e gestione del ciclo di vita in Privileged Identity Management. Se si vogliono conservare i dati di controllo per più tempo rispetto al periodo di conservazione predefinito, è possibile usare Monitoraggio di Azure per instradarli a un account di archiviazione di Azure. Per altre informazioni, vedere Archiviare i log di Microsoft Entra in un account di archiviazione di Azure.
Nota
Se l'organizzazione ha funzioni di gestione esternalizzate a un provider di servizi che usa Azure Lighthouse, le assegnazioni di ruolo autorizzate da tale provider di servizi non verranno visualizzate qui.
Visualizzare attività e attivazioni
Per vedere quali azioni ha compiuto un utente specifico in varie risorse, è possibile visualizzare l'attività della risorsa Azure associata a un determinato periodo di attivazione.
Accedere all'interfaccia di amministrazione di Microsoft Entra almeno con il ruolo Amministratore del ruolo con privilegi .
Passare alle risorse di Azure di Privileged Identity Management>per la governance>delle identità.
Selezionare la risorsa di cui si vogliono visualizzare le attività e le attivazioni.
Selezionare Ruoli o Membri.
Seleziona un utente.
Viene visualizzato un riepilogo delle azioni dell'utente nelle risorse di Azure per data. Mostra anche le attivazioni recenti del ruolo nello stesso periodo di tempo.
Selezionare un'attivazione del ruolo specifica per visualizzare i dettagli e l'attività delle risorse di Azure corrispondente che si è verificata mentre l'utente era attivo.
Esportare le assegnazioni di ruolo con gli elementi figlio
Potrebbe essere previsto un requisito di conformità in base al quale è necessario fornire un elenco completo di assegnazione di ruolo ai revisori. Privileged Identity Management consente di eseguire query sulle assegnazioni di ruolo in una risorsa specifica, che include le assegnazioni di ruolo per tutte le risorse figlio. In precedenza risultava difficile per gli amministratori ottenere un elenco completo di assegnazioni di ruolo per una sottoscrizione ed era necessario esportare le assegnazioni di ruolo per ogni risorsa specifica. Con Privileged Identity Management è possibile eseguire query per tutte le assegnazioni di ruolo attive e idonee in una sottoscrizione, incluse le assegnazioni di ruolo per tutti i gruppi di risorse e le risorse.
Accedere all'interfaccia di amministrazione di Microsoft Entra almeno con il ruolo Amministratore del ruolo con privilegi .
Passare alle risorse di Azure di Privileged Identity Management>per la governance>delle identità.
Selezionare la risorsa per cui esportare le assegnazioni di ruolo, ad esempio una sottoscrizione.
Selezionare Assegnazioni.
Selezionare Esporta per aprire il riquadro Esporta appartenenza.
Selezionare Esporta tutti i membri per esportare tutte le assegnazioni di ruolo in un file CSV.
Visualizzare la cronologia dei controlli delle risorse
Il controllo delle risorse offre una visualizzazione di tutte le attività del ruolo per una risorsa.
Accedere all'interfaccia di amministrazione di Microsoft Entra almeno con il ruolo Amministratore del ruolo con privilegi .
Passare alle risorse di Azure di Privileged Identity Management>per la governance>delle identità.
Selezionare la risorsa per cui si vuole visualizzare la cronologia di controllo.
Selezionare Controllo delle risorse.
Filtrare la cronologia usando una data predefinita o un intervallo personalizzato.
Per Tipo di controllo, selezionare Attiva (assegnato + attivato).
In Azioneselezionare (attività) per consentire a un utente di visualizzare i dettagli dell'attività dell'utente nelle risorse di Azure.
Visualizzare Controllo personale
Controllo personale consente di visualizzare l'attività del ruolo personale.
Accedere all'interfaccia di amministrazione di Microsoft Entra almeno con il ruolo Amministratore del ruolo con privilegi .
Passare alle risorse di Azure di Privileged Identity Management>per la governance>delle identità.
Selezionare la risorsa per cui si vuole visualizzare la cronologia di controllo.
Selezionare Controllo personale.
Filtrare la cronologia usando una data predefinita o un intervallo personalizzato.
Nota
L'accesso alla cronologia di controllo richiede un ruolo Amministrazione di Amministrazione istrator globale o ruolo con privilegi.
Ottenere il motivo, il responsabile approvazione e il numero di ticket per gli eventi di approvazione
Suggerimento
I passaggi descritti in questo articolo possono variare leggermente in base al portale da cui si inizia.
Accedere all'interfaccia di amministrazione di Microsoft Entra almeno con il ruolo Amministratore del ruolo con privilegi .
Passare a Identity Monitoring & health Audit logs (Log di controllo dell'integrità>e monitoraggio delle identità).>
Usare il filtro Servizio per visualizzare solo gli eventi di controllo per il servizio Privileged Identity Management. Nella pagina Log di controllo è possibile:
- Vedere il motivo di un evento di controllo nella colonna Motivo stato.
- Vedere il responsabile approvazione nella colonna Avviato da (attore) per l'evento "add member to role request approved".
Selezionare un evento del log di controllo per visualizzare il numero di ticket nella scheda Attività del riquadro Dettagli .
È possibile visualizzare il richiedente (persona che attiva il ruolo) nella scheda Destinazioni del riquadro Dettagli per un evento di controllo. Esistono tre tipi di destinazione per i ruoli delle risorse di Azure:
- Ruolo (Tipo = Ruolo)
- Richiedente (tipo = altro)
- Responsabile approvazione (tipo = utente)
In genere, l'evento del log immediatamente sopra l'evento di approvazione è un evento per "Aggiungi membro al ruolo completato" in cui l'oggetto Avviato da (attore) è il richiedente. Nella maggior parte dei casi, non è necessario trovare il richiedente nella richiesta di approvazione dal punto di vista del controllo.