Criar e gerenciar um catálogo de recursos no gerenciamento de direitos

Este artigo mostra como criar e gerenciar um catálogo de recursos e pacotes de acesso no gerenciamento de direitos.

Criar um catálogo

Um catálogo é um contêiner de recursos e pacotes de acesso. Você cria um catálogo quando deseja agrupar recursos relacionados e pacotes de acesso. Um administrador pode criar um catálogo. Além disso, um usuário delegado à função de criador do catálogo pode criar um catálogo para recursos que eles possuem. Uma pessoa não administradora que criar o catálogo se tornará o primeiro proprietário dele. Um proprietário de catálogo pode adicionar mais usuários, grupos de usuários ou entidades de serviço de aplicativo como proprietários de catálogo.

Para criar um catálogo:

1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Governança de Identidade.

   Dica

   Outras funções de privilégio mínimo que podem concluir essa tarefa incluem o criador do Catálogo. Os usuários aos quais foi atribuída a função de Administrador de Usuários não poderão mais criar catálogos ou gerenciar pacotes de acesso em um catálogo que não seja de sua propriedade. Se os usuários da sua organização receberam a função Administrador de usuários para configurar catálogos, pacotes de acesso ou políticas no gerenciamento de direitos, você deve atribuir a esses usuários a função Administrador de governança de identidade.

2. Navegue até ID Governance>gerenciamento de permissões>catálogos.

   

3. Selecione Novo catálogo.

4. Insira um nome exclusivo para o catálogo e uma descrição.

   Os usuários veem essas informações nos detalhes de um pacote de acesso.

5. Se você quiser que os pacotes de acesso neste catálogo estejam disponíveis para os usuários solicitarem assim que forem criados, defina Enabled como Sim.

6. Se você quiser permitir que os usuários em diretórios externos de organizações conectadas possam solicitar pacotes de acesso neste catálogo, defina Habilitado para usuários externos como Sim. Os pacotes de acesso também devem ter uma política que permita que os usuários de organizações conectadas solicitem. Se os pacotes de acesso neste catálogo forem destinados somente aos usuários que já estão no diretório, defina Enabled para usuários externos comoNo.

   

7. Selecione Criar para criar o catálogo.

Criar um catálogo programaticamente

Existem duas formas de criar um catálogo programaticamente.

Criar um catálogo com o Microsoft Graph

Você pode criar um catálogo usando o Microsoft Graph. Um usuário em uma função apropriada com um aplicativo que tem a permissão delegada EntitlementManagement.ReadWrite.All ou um aplicativo com a permissão do EntitlementManagement.ReadWrite.All aplicativo pode chamar a API para criar um catálogo.

Criar um catálogo no PowerShell

Você também pode criar um catálogo no PowerShell usando o New-MgEntitlementManagementCatalog cmdlet do módulo Microsoft Graph PowerShell para Governança de Identidades, versão 2.2.0 ou posterior.

Connect-MgGraph -Scopes "EntitlementManagement.ReadWrite.All"
$catalog = New-MgEntitlementManagementCatalog -DisplayName "Marketing"

Adicionar recursos a um catálogo

Para incluir recursos em um pacote de acesso, os recursos devem existir em um catálogo. Os tipos de recursos que você pode adicionar a um catálogo são grupos, aplicativos e sites do SharePoint Online.

• Os grupos podem ser do Microsoft 365 criados na nuvem ou de segurança do Microsoft Entra criados na nuvem.

  • Grupos que se originem em um Active Directory local não podem ser atribuídos como recursos porque seus atributos de proprietário ou membro não podem ser alterados no Microsoft Entra ID. Para conceder a um usuário acesso a um aplicativo que usa associações de grupo de segurança do AD, crie um novo grupo de segurança no Microsoft Entra ID, configure a sincronização reversa de grupos para o AD e habilite a escrita desse grupo no AD, para que o grupo criado na nuvem possa ser usado por um aplicativo baseado em AD.

  • Grupos que se originam no Exchange Online como grupos de distribuição também não podem ser modificados no Microsoft Entra ID, portanto, não podem ser adicionados aos catálogos.

• Os aplicativos podem ser aplicativos empresariais do Microsoft Entra, que incluem aplicativos software como serviço (SaaS), aplicativos locais e seus próprios aplicativos federados para o Microsoft Entra ID.

  • Se o aplicativo ainda não tiver sido integrado à ID do Microsoft Entra, consulte o acesso de governança para aplicativos em seu ambiente e integre um aplicativo à ID do Microsoft Entra e adicione o aplicativo ao diretório antes de adicioná-lo ao catálogo.

  • Para obter mais informações sobre como selecionar recursos apropriados para aplicativos com várias funções, confira como determinar quais funções de recurso incluir em um pacote de acesso.

• Os sites podem ser sites do SharePoint Online ou conjunto de sites do SharePoint Online.

Observação

Pesquise o site SharePoint por nome do site ou uma URL exata, pois a caixa de pesquisa diferencia maiúsculas de minúsculas.

Funções de pré-requisito: Consulte as funções necessárias para adicionar recursos a um catálogo.

Adicionar recursos a um catálogo:

1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Governança de Identidade.

2. Navegue até ID Governance>gerenciamento de permissões>catálogos.

3. Na página Catálogos, abra o catálogo ao qual você deseja adicionar recursos.

4. No menu à esquerda, selecione Recursos.

5. Selecione Adicionar recursos.

6. Selecione o tipo de recurso Grupos e Teams, Aplicativos ou sites do SharePoint.

   Se não vir um grupo que você queira adicionar ou se não conseguir adicioná-lo, verifique se você tem as funções necessárias de gerenciamento de direitos e de diretório do Microsoft Entra. Pode ser necessário solicitar que alguém com as funções necessárias adicione o recurso ao catálogo. Para obter mais informações, consulte as funções necessárias para adicionar recursos a um catálogo.

7. Selecione um ou mais recursos do tipo que você deseja adicionar ao catálogo.

   

8. Quando terminar, selecione Adicionar.

   Esses recursos agora podem ser incluídos em pacotes de acesso no catálogo.

Adicionar atributos de recurso no catálogo

Atributos são campos obrigatórios que os solicitantes devem responder antes de enviarem sua solicitação de acesso. Suas respostas para esses atributos são mostradas aos aprovadores e também carimbadas no objeto de usuário no Microsoft Entra ID.

Observação

Todos os atributos configurados em um recurso exigem uma resposta antes que uma solicitação de um pacote de acesso que contenha esse recurso possa ser enviada. Se os solicitantes não fornecerem uma resposta, sua solicitação não será processada.

Para exigir atributos para solicitações de acesso:

1. Selecione Recursos no menu à esquerda e uma lista de recursos no catálogo é exibida.

2. Selecione as reticências ao lado do recurso onde você deseja adicionar atributos e, em seguida, selecione Exigir atributos.

   

3. Selecione o tipo de atributo:

   1. Integrado inclui atributos de perfil de usuário do Microsoft Entra.
   2. Extensão de esquema de diretório permite armazenar mais dados em usuários do Microsoft Entra. Você pode estender o esquema criando um atributo de extensão. Esses atributos de extensão em objetos de usuário podem ser usados para enviar declarações para aplicativos durante o provisionamento ou logon único.

4. Se você escolheu Embutido, selecione um atributo na lista suspensa. Se você escolheu a extensão de esquema de diretório, insira o nome do atributo na caixa de texto.

   Observação

   O atributo User.mobilePhone é uma propriedade confidencial que só pode ser atualizada por alguns administradores. Saiba mais em Quem pode atualizar atributos de usuário confidenciais?.

5. Selecione o formato de resposta que deseja que os solicitantes usem para sua resposta. Os formatos de resposta incluem texto curto, várias opções e texto longo.

6. Se você selecionar várias opções, selecione Editar e localizar para configurar as opções de resposta.

   1. No painel Exibir/editar pergunta exibido, insira as opções de resposta que você deseja dar ao solicitante quando responderem à pergunta nas caixas de valores de Resposta .
   2. Selecione o idioma para a opção de resposta. Você pode localizar opções de resposta se escolher mais idiomas.
   3. Insira quantas respostas forem necessárias e selecione Salvar.

7. Se você quiser que o valor do atributo seja editável durante atribuições diretas e solicitações de autoatendimento, selecione Sim.

   Observação

   

   • Se você selecionar Não na caixa O valor do atributo pode ser editado e o valor do atributo estiver vazio, os usuários poderão inserir o valor desse atributo. Depois de salvar, o valor não pode ser editado.
   • Se você selecionar Não na caixa Valor de atributo é editável e o valor do atributo não estiver vazio, os usuários não poderão editar o valor pré-existente durante atribuições diretas e solicitações de autoatendimento.

   

8. Se você quiser adicionar a localização, selecione Adicionar localização.

   1. No painel Adicionar localizações para perguntas , selecione o código de idioma para o idioma no qual você deseja localizar a pergunta relacionada ao atributo selecionado.

   2. No idioma configurado, insira a pergunta na caixa Texto Localizado .

   3. Depois de adicionar todas as localizações necessárias, selecione Salvar.

      

9. Depois que todas as informações de atributo forem concluídas na página Exigir atributos , selecione Salvar.

Adicionar um site do SharePoint de várias regiões geográficas

1. Se você tiver habilitado várias áreas geográficas para o SharePoint, selecione o ambiente do qual deseja selecionar sites.

   

2. Em seguida, selecione os sites que deseja adicionar ao catálogo.

Adicionar programaticamente um recurso a um catálogo

Você também pode adicionar um recurso a um catálogo com o Microsoft Graph. Um usuário em uma função adequada, ou um proprietário de catálogo e recursos, com um aplicativo que possui a permissão delegada EntitlementManagement.ReadWrite.All pode chamar a API para criar uma solicitação de recurso. Um aplicativo com a permissão EntitlementManagement.ReadWrite.All e permissões para alterar recursos, como Group.ReadWrite.All, também pode adicionar recursos ao catálogo.

Adicionar um recurso a um catálogo com o PowerShell

Você também pode adicionar um recurso a um catálogo no PowerShell com o New-MgEntitlementManagementResourceRequest cmdlet dos cmdlets do Microsoft Graph PowerShell para governança de identidade, versão 2.1.x ou posterior. O exemplo a seguir mostra como adicionar um grupo a um catálogo como um recurso usando o módulo de cmdlets do Microsoft Graph PowerShell versão 2.4.0.

Connect-MgGraph -Scopes "EntitlementManagement.ReadWrite.All,Group.ReadWrite.All"

$g = Get-MgGroup -Filter "displayName eq 'Marketing'"
if ($null -eq $g) {throw "no group" }

$catalog = Get-MgEntitlementManagementCatalog -Filter "displayName eq 'Marketing'"
if ($null -eq $catalog) { throw "no catalog" }
$params = @{
  requestType = "adminAdd"
  resource = @{
    originId = $g.Id
    originSystem = "AadGroup"
  }
  catalog = @{ id = $catalog.id }
}

New-MgEntitlementManagementResourceRequest -BodyParameter $params
sleep 5
$ar = Get-MgEntitlementManagementCatalog -AccessPackageCatalogId $catalog.Id -ExpandProperty resources
$ar.resources

Remover recursos de um catálogo

Você pode remover recursos de um catálogo. Um recurso pode ser removido de um catálogo somente quando não estiver sendo usado em nenhum de seus pacotes de acesso.

Funções de pré-requisito: Consulte as funções necessárias para adicionar recursos a um catálogo.

Para remover recursos de um catálogo:

1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Governança de Identidade.

2. Navegue até ID Governance>gerenciamento de permissões>catálogos.

3. Na página Catálogos, abra o catálogo do qual você quer remover recursos.

4. No menu à esquerda, selecione Recursos.

5. Selecionar os recursos que você deseja remover.

6. Selecione Remover. Opcionalmente, selecione as reticências (...) e, em seguida, selecione Remover recurso.

Adicione mais proprietários de catálogo

O usuário que criou um catálogo se torna o primeiro proprietário do catálogo. Para delegar o gerenciamento de um catálogo, você adiciona usuários à função de proprietário de catálogo. Adicionar mais proprietários de catálogo ajuda a compartilhar as responsabilidades de gerenciamento de catálogo.

Para atribuir a um usuário a função de proprietário de catálogo:

1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Governança de Identidade.

   Dica

   Outras funções de privilégio mínimo que podem concluir esta tarefa incluem o proprietário do Catálogo.

2. Navegue até ID Governance>gerenciamento de permissões>catálogos.

3. Na página Catálogos, abra o catálogo ao qual você quer adicionar administradores.

4. No menu à esquerda, selecione Funções e administradores.

   

5. Selecione Adicionar proprietários para selecionar os membros para essas funções.

6. Selecione Selecionar para adicionar esses membros.

Editar um catálogo

É possível editar o nome e a descrição de um catálogo. Os usuários veem essas informações nos detalhes de um pacote de acesso.

Para editar um catálogo:

1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Governança de Identidade.

   Dica

   Outras funções de privilégio mínimo que podem concluir essa tarefa incluem o criador do Catálogo.

2. Navegue até ID Governance>gerenciamento de permissões>catálogos.

3. Na página Catálogos, abra o catálogo que você quer editar.

4. Na página Visão geral do catálogo, selecione Editar.

5. Edite o nome e a descrição do catálogo ou as configurações habilitadas.

   

6. Selecione Salvar.

Excluir um catálogo

Você poderá excluir um catálogo, mas somente se ele não tiver nenhum pacote de acesso.

Para excluir um catálogo:

1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Governança de Identidade.

   Dica

   Outras funções de privilégio mínimo que podem concluir essa tarefa incluem o criador do Catálogo.

2. Navegue até ID Governance>gerenciamento de permissões>catálogos.

3. Na página Catálogos, abra o catálogo que você quer excluir.

4. Na página Visão geral do catálogo, selecione Excluir.

5. Na caixa de mensagem exibida, selecione Sim.

Excluir um catálogo programaticamente

Você também pode excluir um catálogo com o Microsoft Graph. Um usuário em uma função apropriada com um aplicativo que tem a permissão delegada EntitlementManagement.ReadWrite.All pode chamar a API para excluir um accessPackageCatalog.

Próximas etapas

Delegar governança de acesso para acessar gerenciadores de pacotes