Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Le verifiche di accesso di Microsoft Entra supportano fino a tre fasi di revisione, in cui più tipi di revisori interagiscono per determinare chi ha ancora bisogno di accesso alle risorse aziendali. Queste verifiche possono essere relative all'appartenenza a gruppi o team, all'accesso alle applicazioni, alle assegnazioni a ruoli con privilegi o alle assegnazioni di pacchetti di accesso. Quando gli amministratori di revisione configurano la verifica per l'applicazione automatica delle decisioni, al termine del periodo di revisione, l'accesso viene revocato per gli utenti a cui è stato negato l'accesso.
Casi d'uso per le revisioni a più fasi
Le verifiche di accesso in più fasi consentono all'utente e all'organizzazione di abilitare flussi di lavoro complessi per soddisfare i requisiti di ricertificazione e controllo che richiedono a più revisori di attestare l'accesso per gli utenti in una determinata sequenza. Consentono inoltre di progettare verifiche più efficienti per i proprietari delle risorse e i revisori riducendo il numero di decisioni di cui ogni revisore è responsabile. Questo approccio consente di combinare le revisioni separate della stessa risorsa in una sola revisione d’accesso.
Ecco alcuni scenari da considerare:
- Raggiungere l’approvazione tra più set di revisori: consentire a due gruppi di destinatari di revisori di revisionare in modo indipendente l'accesso a una risorsa. È possibile configurare le revisioni in modo che i revisori di entrambe le fasi debbano essere d'accordo su Approvato senza vedere le decisioni dell'altro.
- Assegnare revisori alternativi per valutare le decisioni non revisionate: permettere al proprietario della risorsa di attestare prima l'accesso alla propria risorsa. Quindi, gli utenti per cui non viene registrata alcuna decisione, passano a una seconda fase di revisione con, ad esempio, il manager dell'utente o un team di controllo, che revisionano le richieste su cui non si è ancora presa una decisione.
- Ridurre il carico sui revisori in fase successiva: le revisioni possono essere configurate in modo che gli utenti che sono stati respinti in una fase precedente non vengano revisionati nelle fasi successive, consentendo ai revisori delle fasi successive di visualizzare un elenco filtrato verso il basso. Usare questo scenario per filtrare gli utenti da revisionare, fase per fase.
Raggiungere l’approvazione tra più set di revisori
Il raggiungimento del quorum sull'accesso corretto per gli utenti può essere difficile. Sia per le risorse a cui molti utenti hanno accesso sia perché la revisione riguarda un gruppo eterogeneo di utenti, per qualsiasi revisore è particolarmente difficile effettuare delle scelte che siano appropriate per tutti gli utenti sottoposti a revisione. Raggiungere l’approvazione dando la possibilità a tre diversi gruppi di revisori di registrare le decisioni e mostrando ciò che i dei revisori precedenti hanno detto, aiuta a favorire l’approvazione su chi dovrebbe avere accesso alla risorsa.
Un esempio è una revisione costituita da tre fasi che determinano l'appartenenza a un gruppo che regola l'accesso a una risorsa. Nelle impostazioni di revisione l'amministratore sceglie di non visualizzare le decisioni dei revisori delle fasi precedenti. Questa configurazione consente a ogni gruppo di destinatari della revisione, ad esempio il manager dell'utente, il proprietario del gruppo e un responsabile della sicurezza, di revisionare l'accesso in modo indipendente. Le tre fasi sono allineate con importanza crescente in base al peso attribuito alle opinioni del gruppo di revisori, con le decisioni di quest'ultimo gruppo potenzialmente modificando le decisioni dei revisori della fase precedente.
La configurazione di questo scenario sarà simile alla seguente:
| Attributo | Impostazione |
|---|---|
| Revisione in più fasi | Attivata |
| Revisori della prima fase | Gestori di utenti |
| Revisori della seconda fase | Proprietari del gruppo |
| Revisori della terza fase | Selezionare gli utenti o i gruppi: “Gruppo di revisori Contoso” |
| Mostrare le decisioni delle fasi precedenti ai revisori della fase successiva | Attivata |
| Utenti sottoposti a revisione che passano alla fase successiva | Seleziona tutto |
| Se i revisori non rispondono | Rimuovere i privilegi di accesso |
Assegnare revisori alternativi per valutare le decisioni non revisionate
Per gli scenari in cui è necessaria la registrazione delle decisioni e garantire che venga preservato l'accesso delle persone giuste, le revisioni a più fasi consentono di fare avanzare un sottoinsieme di utenti sottoposti a revisione alla fase successiva, che potenzialmente richiede un secondo gruppo di revisori per effettuare un ricontrollo o prendere una decisione. Usare questo modello per assicurarsi che siano presenti meno utenti non revisionati o utenti contrassegnati come Non so, facendo avanzare questi utenti sottoposti a revisione a un'altra fase e far prendere le decisioni a un altro gruppo di revisori.
Un esempio è una revisione che contiene due fasi che determinano l'accesso a un'applicazione. Nelle impostazioni di revisione, l'amministratore della revisione sceglie di mostrare le decisioni delle fasi precedenti ai revisori delle fasi successive. Per gli utenti sottoposti a revisione che accedono alla fase successiva, verranno aggiunte le decisioni che necessitano di conferma: per assicurarsi che per tutti gli utenti sottoposti a revisione sia stata presa una decisione, selezionare Utenti sottoposti a revisione contrassegnati come "Non so" e Utenti sottoposti a revisione non esaminati,in modo che i revisori della fase successiva visualizzino solo gli utenti sottoposti a revisione per i quali si è ancora indecisi, al fine di mantenere l'accesso corretto.
| Attributo | Impostazione |
|---|---|
| Revisione in più fasi | Attivata |
| Revisori della prima fase | Selezionare gli utenti o i gruppi: i proprietari delle applicazioni |
| Revisori della seconda fase | Gestori di utenti |
| Mostrare le decisioni delle fasi precedenti ai revisori della fase successiva | Disabilitata |
| Utenti sottoposti a revisione che passano alla fase successiva | Selezionare Utenti sottoposti a revisione non revisionati eutenti sottoposti a revisione contrassegnati come ‘‘Non so’’ |
| Se i revisori non rispondono | Approvare l'accesso |
Ridurre il carico sui revisori delle fasi successive
Per le revisioni che potrebbero interessare molti utenti sottoposti a revisione o utenti da revisionare e attestare, è possibile richiedere a tutti gli utenti finali di auto-attestarsi prima di essere esaminati da un proprietario della risorsa o dal loro manager in una fase successiva. Questo modello consente di filtrare gli individui da revisionare da una fase all'altra, facendo avanzare solo quelli che si sono auto-approvati.
I revisori delle fasi successive, ad esempio i responsabili dell'utente o il proprietario della risorsa, visualizzano solo l'elenco ridotto di utenti sottoposti a revisione, quelli approvati in precedenza. Il numero di utenti sottoposti a revisione diminuisce di fase in fase. Solo gli utenti approvati in tutte e tre le fasi mantengono l'accesso.
Un esempio è una revisione di un gruppo che concede un'eccezione IT, che un amministratore vuole revisionare regolarmente. Poiché questa eccezione è la più diffusa, agli utenti viene chiesto di prima di rispondere e solo quelli che hanno risposto che hanno ancora bisogno dell'eccezione, vengono fatti avanzare alla seconda fase, in cui il manager decide. Solo se l'utente e il manager approvano, i proprietari IT dell'eccezione possono visualizzare l'elenco degli utenti che ancora necessitano e vogliono l'eccezione, esaminare un elenco ridotto di utenti sottoposti a revisione.
| Attributo | Impostazione |
|---|---|
| Revisione in più fasi | Attivata |
| Revisori della prima fase | Gli utenti verificano il proprio accesso |
| Revisori della seconda fase | Gestori di utenti |
| Revisori della terza fase | Proprietario/i del gruppo |
| Mostrare le decisioni delle fasi precedenti ai revisori della fase successiva | Disabilitata |
| Utenti sottoposti a revisione che passano alla fase successiva | Selezionare Utenti sottoposti a revisione approvati |
| Se i revisori non rispondono | Rimuovere un accesso |
Recensioni degli utenti ospiti
Le revisioni degli utenti guest aiutano le organizzazioni che usano Microsoft Entra B2B per la collaborazione. L'accesso degli utenti guest deve essere revisionato regolarmente per verificare se questi utenti guest hanno ancora il diritto di accesso e che la collaborazione è ancora desiderata. Quindi sarà possibile effettuare la revoca dell'accesso o una pulizia degli account utente guest non più necessari.
Questo scenario può essere configurato con revisioni a più fasi in modo analogo al funzionamento dello scenario "Ridurre il carico sui revisori di fasi successive". In primo luogo, chiedere agli utenti ospiti di revisionare autonomamente e attestare il loro interesse continuo e la necessità di collaborazione, compreso il requisito di fornire una motivazione aziendale. Solo gli utenti guest auto-approvati vengono inoltrati a un'ulteriore fase, in cui uno sponsor o un altro dipendente approva o nega l'accesso continuo o la collaborazione.
Per le revisioni degli utenti guest, valutare anche la possibilità di sfruttare l'impostazione Solo utenti inattivi (a livello di tenant). Questo consentirà di definire l'ambito della revisione per gli utenti esterni inattivi che non hanno eseguito l'accesso al tenant delle risorse nel numero di giorni specificati.
Negli scenari per gli utenti guest, le verifiche di accesso supportano un'opzione di configurazione aggiuntiva: Azione da applicare agli utenti guest respinti, che possono comportare uno dei seguenti:
- Rimuovi l'appartenenza dell'utente dalla risorsa
- Impedisci l'accesso all'utente per 30 giorni e quindi rimuovi l'utente dal tenant
A seconda delle esigenze di revisione, gli utenti guest che non rispondono alla richiesta di revisione o rifiutano ulteriore collaborazione possono essere rimossi automaticamente dal tenant. Ciò si traduce nella cancellazione di un account utente guest B2B, seguita da un blocco di 30 giorni.
| Attributo | Impostazione |
|---|---|
| Solo utenti non attivi a livello di tenant | 180 giorni |
| Revisione in più fasi | Attivata |
| Revisori della prima fase | Gli utenti verificano il proprio accesso |
| Revisori della seconda fase | Proprietario/i del gruppo |
| Mostrare le decisioni delle fasi precedenti ai revisori della fase successiva | Disabilitata |
| Utenti sottoposti a revisione che passano alla fase successiva | Selezionare Utenti sottoposti a revisione approvati |
| Se i revisori non rispondono | Rimuovere un accesso |
| Azione da applicare agli utenti guest a cui è stato respinto l'accesso | Impedisci l'accesso all'utente per 30 giorni e quindi rimuovi l'utente dal tenant |
Nota
L'impostazione Azione da applicare agli utenti guest respinti è visibile solo nel processo di creazione della revisione se l'ambito verifica di accesso è configurato come Solo utenti guest.
Durata delle fasi di revisione
Gli amministratori delle revisioni definiscono la durata di ogni fase di revisione e quindi la quantità di tempo che i revisori della fase devono impiegare per registrare le proprie decisioni. Ogni fase può essere configurata in modo da avere una propria durata, per soddisfare la disponibilità e le aspettative dei revisori.
Ogni fase di revisione rimane aperta per consentire ai revisori di aggiungere decisioni per tutta la durata della stessa. Gli amministratori delle revisioni possono arrestare una fase in esecuzione e passare automaticamente alla fase di revisione successiva nella pagina di panoramica del revisore selezionando Arresta fase corrente.
Applicazione dei risultati
Le verifiche di accesso di Microsoft Entra possono applicare decisioni sull'accesso a una risorsa rimuovendo gli utenti non più necessari dalla risorsa. Le decisioni vengono sempre applicate alla fine del periodo di revisione o quando un amministratore della revisione termina manualmente la revisione. L'applicazione automatica dei risultati viene definita dall'amministratore della revisione con l'impostazione Applica automaticamente i risultati alla risorsa o manualmente tramite il pulsante Applica risultati nella pagina di panoramica della revisione.
Le decisioni vengono rilevate dai revisori di ogni fase. L'impostazione Utenti sottoposti a revisione che vanno alla fase successiva definisce quali i revisori della fase successiva vedranno e gli sarà chiesto di registrare le decisioni. L e decisioni vengono applicate alla risorsa solo alla fine della revisione complessiva.
Per tutte le decisioni, l'ultima decisione registrata per un utente sottoposto a revisione verrà applicata al termine della revisione. Le decisioni prese per Jane nella prima fase della revisione possono essere sovrascritte dai revisori in fase 2 e 3.
Se l'impostazione Utente sottoposto a revisione passa alla fase successiva viene impostata in modo che solo un sottoinsieme di revisioni avanzi alle fasi successive, le decisioni prese nella prima fase potrebbero venire applicate alla fine della revisione. Se l'amministratore della revisione ha configurato una revisione in tre fasi e vuole che solo gli utenti sottoposti a revisione con esito Respinto e Non revisionato passino alle fasi successive, se la revisione di Jane è stata approvata nella prima fase, non procederà nelle fasi successive e la decisione Approva a lei relativa verrà registrata e, alla fine della revisione verrà applicata.