Ativar funções de recurso do Azure no Privileged Identity Management

Quando for necessário assumir uma função de recurso do Azure, solicite a ativação usando a opção de navegação Minhas funções no Privileged Identity Management.

1. Entre no Centro de administração do Microsoft Entra como, no mínimo, um Administrador de funções com privilégios.

2. Navegue até Governança de identidade>Privileged Identity Management>Minhas funções.

   

3. Selecione Funções de recurso do Azure para ver uma lista de funções de recursos qualificadas do Azure.

   

4. Na lista Funções de recursos do Azure, encontre a função que você deseja ativar.

   

5. Clique em Ativar para abrir a página Ativar.

   

6. Se sua função exigir uma autenticação multifator, selecione Verificar sua identidade antes de prosseguir. Você só precisa se autenticar uma vez por sessão.

7. Clique em Verificar minha identidade e siga as instruções para fazer a verificação de segurança adicional.

   

8. Se você quiser especificar um escopo reduzido, clique em Escopo para abrir o painel de filtro Recursos.

   É uma prática recomendada solicitar apenas o acesso aos recursos de que você precisa. No painel de filtro Recursos, você pode especificar os grupos de recursos ou recursos aos quais você precisa acessar.

   

9. Se necessário, especifique uma hora de início de ativação personalizada. O membro seria ativado após o horário selecionado.

10. Na caixa Motivo, insira o motivo da solicitação de ativação.

11. Selecione Ativar.

    Observação

    Se a função exigir aprovação para ser ativada, uma notificação será exibida no canto superior direito do seu navegador informando que a solicitação está com a aprovação pendente.

O Privileged Identity Management dá suporte aos comandos da API do Azure Resource Manager (ARM) para gerenciar funções de recurso do Azure, conforme documentado na referência da PIM da API do ARM. Para obter as permissões necessárias para usar a API do PIM, confira Noções básicas sobre as APIs do Privileged Identity Management.

Para ativar uma atribuição de função qualificada do Azure e obter acesso ativado, use as Solicitações de Agendamento de Atribuição de Função – Criar API REST para criar uma nova solicitação e especificar a entidade de segurança, a definição de função, requestType = SelfActivate e o escopo. Para chamar essa API, é necessário ter uma atribuição de função qualificada no escopo.

Use uma ferramenta GUID para gerar um identificador exclusivo que será usado para atribuição de função personalizada. O identificador tem o formato: 00000000-0000-0000-0000-000000000000.

Substitua {roleAssignmentScheduleRequestName} na solicitação PUT abaixo pelo identificador GUID da atribuição de função.

Para obter mais detalhes sobre como gerenciar funções qualificadas para recursos do Azure, consulte este tutorial da API do ARM do PIM.

Veja a seguir uma solicitação HTTP de exemplo para ativar uma atribuição qualificada para uma função do Azure.

Solicitação

PUT https://management.azure.com/providers/Microsoft.Subscription/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleAssignmentScheduleRequests/{roleAssignmentScheduleRequestName}?api-version=2020-10-01

Corpo da solicitação

{ 
"properties": { 
  "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222", 
  "roleDefinitionId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/providers/Microsoft.Authorization/roleDefinitions/c8d4ff99-41c3-41a8-9f60-21dfdad59608", 
  "requestType": "SelfActivate", 
  "linkedRoleEligibilityScheduleId": "b1477448-2cc6-4ceb-93b4-54a202a89413", 
  "scheduleInfo": { 
      "startDateTime": "2020-09-09T21:35:27.91Z", 
      "expiration": { 
          "type": "AfterDuration", 
          "endDateTime": null, 
          "duration": "PT8H" 
      } 
  }, 
  "condition": "@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:ContainerName] StringEqualsIgnoreCase 'foo_storage_container'", 
  "conditionVersion": "1.0" 
} 
} 

Resposta

Código de status: 201

Você pode exibir o status das suas solicitações pendentes a serem ativadas.

1. Abra o Privileged Identity Management do Microsoft Entra.

2. Clique em Minhas solicitações para ver uma lista de sua função do Microsoft Entra e as solicitações de função de recurso do Azure.

   

3. Role para a direita para exibir o Status da solicitação coluna.

Caso não precise da ativação de uma função que requer aprovação, você pode cancelar uma solicitação pendente a qualquer momento.

1. Abra o Microsoft Entra Privileged Identity Management.

2. Selecione Minhas solicitações.

3. Na função que você deseja cancelar, clique no link Cancelar.

   When you select Cancel, the request will be canceled. To activate the role again, you will have to submit a new request for activation.
   

   

Quando uma atribuição de função for ativada, você verá uma opção Desativar no portal do PIM para a atribuição de função. Além disso, você não pode desativar uma atribuição de função até cinco minutos após a ativação.

Ativar no portal do Azure

A ativação de função do Privileged Identity Management foi integrada às extensões de Cobrança e Controle de Acesso (AD) no portal do Azure. Atalhos para Assinaturas (cobrança) e Controle de Acesso (AD) permitem que você ative funções do PIM diretamente dessas folhas.

Na folha Assinaturas, selecione “Exibir assinaturas qualificadas” no menu de comando horizontal para verificar suas atribuições qualificadas, ativas e expiradas. A partir daí, é possível ativar uma atribuição qualificada no mesmo painel.

Em Controle de acesso (IAM) de um recurso, agora é possível selecionar “Exibir meu acesso” para ver suas atribuições de função atualmente ativas e qualificadas e ativar diretamente.

Ao integrar recursos do PIM em diferentes folhas do portal do Azure, esse novo recurso permite que os usuários obtenham acesso temporário para exibir ou editar assinaturas e recursos com mais facilidade.

Ativar funções do PIM usando o aplicativo móvel do Azure

O PIM agora está disponível no Microsoft Entra ID e nos aplicativos móveis de funções de recurso do Azure no iOS e no Android.

1. Para ativar uma atribuição de função qualificada do Microsoft Entra, comece baixando o aplicativo móvel do Azure (iOS | Android). Você também pode baixar o aplicativo selecionando Abrir no dispositivo móvel em Privileged Identity Management > Minhas funções > Funções do Microsoft Entra.

   

2. Abra o aplicativo móvel do Azure e entre. Clique no cartão "Privileged Identity Management" e selecione Minhas funções de Recursos do Azure para ver suas atribuições de função qualificadas e ativas.

   

3. Selecione a atribuição de função e clique em Ação > Ativar nos detalhes da atribuição de função. Execute as etapas para ativar e preencher todos os detalhes necessários antes de clicar em Ativar na parte inferior.

   

4. Veja o status de suas solicitações de ativação e suas atribuições de função em "Minhas funções de Recursos do Azure".