Privileged Identity Management の API

概要

Microsoft Entra の一部である Privileged Identity Management (PIM) には、3 つのプロバイダーが含まれます。

  • Microsoft Entra のロールに対する PIM。
  • Azure リソースの PIM。
  • グループ向けの PIM。

Microsoft Entra ロール用 PIM とグループ用 PIM での割り当ては、Microsoft Graph を使って管理できます。 Azure リソース用 PIM での割り当ては、Azure Resource Manager API を使って管理できます。 この記事では、Privileged Identity Management の API を使用するための重要な概念について説明します。

割り当てを管理できる API の詳細については、ドキュメントを参照してください。

PIM API の歴史

PIM API は、過去数年に渡って何度か見直しが行われてきました。 機能に重複している部分はいくつかありますが、直線的にバージョンが上がっているわけではありません。

イテレーション 1 – 廃止

/beta/privilegedRoles エンドポイントでは、Microsoft には従来のバージョンの PIM API があり、Microsoft Entra ロールのみがサポートされていました。 この API は 2021 年 6 月に廃止されました。

イテレーション 2 – 非推奨

/beta/privilegedAccess エンドポイントでは、Microsoft は Microsoft Entra ロールと Azure リソース ロールをそれぞれ管理するために、/aadRolesセグメントと/azureResources セグメントの両方をサポートしました。 このエンドポイントは非推奨であり、2026 年 10 月 28 日にデータの返しを停止します。 Microsoft では、これらの API を使用して新しい開発を開始しないことをお勧めします。

さらに、現在、UI を Iteration 3 API に移行中です。

イテレーション 3 (現行) – Microsoft Entra のロール、Microsoft Graph API のグループ、および Azure Resource Manager API における Azure リソースのための PIM

これは、PIM API の最後の見直しです。 次の機能が含まれます。

  • Microsoft Graph API における Microsoft Entra ロールの PIM - 一般公開されました。
  • Azure Resource Manager API の Azure リソース用 PIM - 一般提供開始。
  • Microsoft Graph API のグループに対する特権ID管理 (PIM) - 広く利用可能となりました。
  • Microsoft Graph API での Microsoft Entra ロール用 PIM アラート - プレビュー。
  • ARM API での Azure リソース用 PIM アラート - プレビュー。

注

roleAssignmentApprovals API は/beta でのみ使用できます。

Microsoft Graph API に Microsoft Entra ロール用の PIM を、ARM API の Azure リソース用 PIM を使用すると、次のようないくつかの利点があります。

  • Microsoft Entra ロールと Azure Resource ロールの両方における役割の通常割り当てに対する PIM API の整合性。
  • リソースのオンボード、リソースの取得、ロール定義の取得を行うために、他の PIM API を呼び出す必要が減ります。
  • アプリ専用のアクセス許可のサポート。
  • 承認やメール通知の構成などの新機能。

PIM API イテレーション 3 の概要

プロバイダー間の PIM API (Microsoft Graph API と Azure Resource Manager API の両方) は、同じ原則に従います。

割り当ての管理

割り当てを作成するには (アクティブまたは有資格)、割り当てを更新、延長、または更新する (アクティブまたは適格)、適格な割り当てをアクティブ化する、対象となる割り当てを非アクティブ化する、リソース *AssignmentScheduleRequest および *EligibilityScheduleRequest を使用します。

*AssignmentScheduleRequest または *EligibilityScheduleRequest オブジェクトを作成すると、読み取り専用の *AssignmentSchedule、*EligibilitySchedule、*AssignmentScheduleInstance、*EligibilityScheduleInstance オブジェクトが作成される場合があります。

  • *AssignmentSchedule と *EligibilitySchedule オブジェクトでは、現在の割り当てと、将来作成される割り当ての要求が示されます。
  • *AssignmentScheduleInstance と *EligibilityScheduleInstance オブジェクトでは、現在の割り当てのみが示されます。

適格な割り当てがアクティブ化された (Create*AssignmentScheduleRequest が呼び出された) とき、*EligibilityScheduleInstance は存続し、そのアクティブ化された期間に対して新しい *AssignmentSchedule オブジェクトと *AssignmentScheduleInstance オブジェクトが作成されます。

割り当てとアクティブ化の API の詳細については、ロールの割り当てと適格性を管理するための PIM API に関する記事を参照してください。

PIM ポリシー (ロールの設定)

PIM ポリシーを管理するには、*roleManagementPolicy と *roleManagementPolicyAssignment エンティティを使います。

*roleManagementPolicy リソースには、PIM ポリシーを構成するルール (承認要件、最大アクティブ化期間、通知設定) が含まれています。

*roleManagementPolicyAssignment オブジェクトにより、ポリシーが特定のロールにアタッチされます。

ポリシー設定 API の詳細については、「ロール設定と PIM」を参照してください。

権限

Microsoft Entra ロール用の PIM

PIM for Microsoft Entra ロールに必要な Microsoft Graph のアクセス許可については、対応する REST API リファレンス ページを参照してください。

Azure リソース向けの PIM

Azure リソース ロールの PIM API は、Azure Resource Manager フレームワーク上で開発されています。 Azure Resource Management に同意する必要がありますが、Microsoft Graph のアクセス許可は必要ありません。 また、API を呼び出すユーザーまたはサービス プリンシパルに、管理予定のリソースに対する所有者またはユーザー アクセス管理者以上のロールが割り当てられていることを確認します。

グループの PIM（アクセス特権管理）

PIM for Groups に必要な Microsoft Graph のアクセス許可については、対応する REST API リファレンス ページを参照してください。

PIM エンティティとロールの割り当てエンティティ間の関係

PIM エンティティと Microsoft Entra ロールまたは Azure ロールの永続的 (アクティブ) 割り当てのロール割り当てエンティティを結ぶ唯一のリンクは、*AssignmentScheduleInstanceです。 2 つのエンティティ間には 1 対 1 のマッピングがあります。 そのマッピングは、 roleAssignment と *AssignmentScheduleInstance の両方が含まれることを意味します。

  • PIM の外部で行われた永続的かつアクティブな割り当て。
  • PIM 内でスケジュールを設定した永続的な（アクティブな）割り当て。
  • アクティブ化された適格な割り当て。

PIM 固有のプロパティ (終了時刻など) は、*AssignmentScheduleInstance オブジェクトを通じてのみ使用できます。

次のステップ

  • 最終更新: