Toegangsbeheer delegeren aan catalogusmakers in rechtenbeheer
Een catalogus is een container met resources en toegangspakketten. U maakt een catalogus wanneer u gerelateerde resources en toegangspakketten wilt groeperen. Standaard kan een globale Beheer istrator of een identiteitsbeheer-Beheer istrator een catalogus maken en extra gebruikers toevoegen als cataloguseigenaars.
Notitie
Na minimale toegang tot bevoegdheden wordt aanbevolen om de rol Identity Governance Beheer istrator te gebruiken, indien mogelijk in rechtenbeheer.
Er zijn drie manieren waarop een organisatie kan delegeren met catalogi:
- Wanneer u aan de slag gaat in een pilotproject, kunnen beheerders van identiteitsbeheer de catalogus maken en beheren. Later, wanneer ze overstappen van pilot naar productie, kunnen ze een catalogus delegeren door niet-beheerders toe te wijzen als eigenaren aan de catalogus, zodat deze gebruikers het beleid in de toekomst kunnen onderhouden.
- Als er resources zijn die geen eigenaars hebben, kunnen beheerders catalogi maken, deze resources aan elke catalogus toevoegen en vervolgens niet-beheerders toewijzen aan een catalogus. Hierdoor kunnen gebruikers die geen beheerders zijn en geen resource-eigenaren zijn, hun eigen toegangsbeleid voor deze resources beheren.
- Als resources eigenaars hebben, kunnen beheerders een verzameling gebruikers, zoals een
All Employeesdynamische groep, toewijzen aan de rol catalogusmakers, zodat een gebruiker die zich in die groep bevindt en eigen resources een catalogus voor hun eigen resources kan maken.
In dit artikel wordt uitgelegd hoe u gebruikers die geen beheerders zijn, kunt delegeren, zodat ze hun eigen catalogi kunnen maken. U kunt deze gebruikers toevoegen aan de door Microsoft Entra gedefinieerde catalogusmakerrol voor rechtenbeheer. U kunt afzonderlijke gebruikers toevoegen of u kunt een groep toevoegen waarvan de leden vervolgens catalogi kunnen maken. Nadat u een catalogus hebt gemaakt, kunt u resources toevoegen die ze bezitten aan hun catalogus. Ze kunnen toegangspakketten en -beleidsregels maken, inclusief beleidsregels die verwijzen naar bestaande verbonden organisaties.
Als u bestaande catalogi hebt om te delegeren, gaat u verder met het maken en beheren van een catalogus met resources .
Als IT-beheerder delegeren aan een catalogusmaker
Tip
Stappen in dit artikel kunnen enigszins variëren op basis van de portal waaruit u begint.
Volg deze stappen om een gebruiker toe te wijzen aan de rol catalogusmaker.
Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een identity governance-Beheer istrator.
Blader naar de beheerinstellingen voor rechtenbeheer voor identiteitsbeheer>>.
Selecteer Bewerken.
Selecteer in de sectie Rechtenbeheer delegeren catalogusmakers toevoegen om de gebruikers of groepen te selecteren waaraan u deze rechtenbeheerrol wilt delegeren.
Selecteer Selecteren.
Selecteer Opslaan.
Gedelegeerde rollen toegang geven tot het Microsoft Entra-beheercentrum
Als u gedelegeerde rollen, zoals catalogusmakers en pakketbeheerders, toegang wilt geven tot het Microsoft Entra-beheercentrum voor het beheren van toegangspakketten, moet u de instelling van de beheerportal controleren.
Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een identity governance-Beheer istrator.
Blader naar gebruikersinstellingen voor identiteitsgebruikers>>.
Zorg ervoor dat de toegang tot de Microsoft Entra-beheerportal is ingesteld op Nee.
Roltoewijzingen programmatisch beheren
U kunt ook catalogusmakers en catalogusspecifieke roltoewijzingen voor rechtenbeheer weergeven en bijwerken met behulp van Microsoft Graph. Een gebruiker in een geschikte rol met een toepassing met de gedelegeerde machtiging EntitlementManagement.ReadWrite.All kan de Graph API aanroepen voor het weergeven van de roldefinities van rechtenbeheer en het weergeven van roltoewijzingen voor deze roldefinities.
Gebruik de Graph-query om een lijst op te halen van de gebruikers en groepen die zijn toegewezen aan de rol van catalogusmakers, de rol met definitie-id ba92d953-d8e0-4e39-a797-0cbedb0a89e8:
GET https://graph.microsoft.com/v1.0/roleManagement/entitlementManagement/roleAssignments?$filter=roleDefinitionId eq 'ba92d953-d8e0-4e39-a797-0cbedb0a89e8'&$expand=principal