Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Se você estiver trabalhando com um MSSP (Provedor de Soluções de Segurança Gerenciada) da Microsoft, certifique-se de que eles acessem seus recursos do Security Copilot somente quando você conceder acesso.
Há várias maneiras de permitir que um parceiro gerencie seu Security Copilot.
Farol do Azure
Aprove seu MSSP para obter permissões do Security Copilot para seus workspaces do Microsoft Sentinel e outros recursos do Azure com suporte. O plano de capacidade (SCUs) usado é o plano de capacidade do locatário parceiro.GDAP (recomendado)
Aprove seu MSSP para obter permissões do Security Copilot para seu locatário. Eles atribuem a um grupo de segurança as permissões necessárias usando GDAP (Privilégios de Administração Delegada Granular). Os SCUs (planos de capacidade) usados são o plano de capacidade do cliente.Colaboração B2B
Configure contas de convidado para que indivíduos do seu parceiro façam logon em seu locatário. Os SCUs (planos de capacidade) usados são o plano de capacidade do locatário do cliente.
Comparar métodos de acesso
Existem compensações para esses métodos. Use a tabela a seguir para ajudar a decidir qual método é melhor para sua organização. É possível misturar esses métodos para uma estratégia geral de parceiros.
| Considerações | GDAP | Colaboração B2B | Farol do Azure |
|---|---|---|---|
| Como é implementado o acesso com limite de tempo? | O acesso é com limite de tempo por padrão e integrado ao processo de aprovação de permissões. | Os clientes podem implementar o Privileged Identity Management (PIM) com acesso limitado por tempo, mas devem mantê-lo por conta própria. | Privileged Identity Management (PIM) com acesso associado ao tempo é possível para Azure controle de acesso baseado em função (Azure RBAC). |
| Como é administrado o acesso com privilégios mínimos? | O GDAP requer grupos de segurança. Uma lista das funções com privilégios mínimos necessárias guia a configuração. | Os grupos de segurança são opcionais e mantidos pelo cliente. | O Azure Lighthouse requer grupos de segurança do Microsoft Entra. Para obter mais informações, consulte Locatários, usuários e funções em cenários do Azure Lighthouse. |
| Quais são os plug-ins com suporte? | Há suporte para um conjunto parcial de plug-ins. | Todos os plug-ins disponíveis para o cliente estão disponíveis para o parceiro. | O Azure Lighthouse dá suporte ao acesso delegado aos recursos do Azure, que inclui o Microsoft Sentinel. Para obter mais informações sobre cargas de trabalho com suporte, consulte O que é o Azure Lighthouse. |
| O que é a experiência de logon autônomo ? | O MSSP usa o Gerenciamento de serviços para fazer logon diretamente no Security Copilot para o locatário apropriado. | Use a seleção de alternância de locatário na configuração do Security Copilot. | O analista MSSP, de seu portal autônomo do Security Copilot, pode solicitar em qualquer workspace do Microsoft Sentinel que o analista tenha permissões para acessar usando o acesso delegado do Azure Lighthouse. |
| O que é a experiência integrada? | Com suporte, com links de gerenciamento de serviços para facilitar o acesso. | Com suporte normal. | Com suporte à integração da Plataforma Unificada de SecOps entre o Microsoft Defender XDR e o Microsoft Sentinel. Microsoft Sentinel incidentes são exibidos em "Investigação & resposta", permitindo que experiências de Security Copilot inseridas sejam executadas. Para obter mais informações, consulte Integração do Microsoft Defender XDR com o Sentinel. |
| Quem é o plano de capacidade do Security Copilot (SCUs) são usados ao executar prompts? | Plano de capacidade do locatário do cliente. | Plano de capacidade do locatário do cliente. | Plano de capacidade do locatário do parceiro. |
Conceder acesso de parceiro usando o Azure Lighthouse
O Azure Lighthouse permite que um MSSP configure o acesso com menos privilégios e com limite de tempo explicitamente concedido pelo cliente do Security Copilot para acesso delegado aos recursos do Azure. Ao executar prompts do Security Copilot no locatário do parceiro em relação aos workspaces do Microsoft Sentinel do cliente, as SCUs do plano de capacidade do parceiro são usadas em vez das SCUs do plano de capacidade do cliente.
Para obter mais informações, consulte Introdução ao Azure Lighthouse.
Aqui está a matriz atual de plug-ins do Security Copilot que dão suporte ao Azure Lighthouse:
| Plug-in do Copilot de Segurança | Dá suporte ao Azure Lighthouse |
|---|---|
| Gerenciamento de Superfície de Ataque Externo do Microsoft Defender | Não |
| Informações sobre Ameaças do Microsoft Defender | Não |
| Microsoft Defender XDR | Não |
| Microsoft Entra | Não |
| Microsoft Intune | Não |
| Microsoft Purview | Não |
| Microsoft Sentinel | Sim |
| NL2KQL Defender | Não |
| NL2KQL Sentinel | Sim |
Integrar um cliente ao Azure Lighthouse
Coletar detalhes de locatário e assinatura
- Para integrar o locatário de um cliente, você deve ter uma assinatura de Azure ativa e precisará das seguintes informações para criar um modelo Azure Resource Manager.
- ID do locatário do MSSP
- ID do locatário do cliente
- IDs de assinatura do Azure para cada assinatura específica no locatário do cliente que será gerenciada pelo MSSP, incluindo os detalhes da oferta.
- Para obter mais informações, consulte Integrar um cliente ao Azure Lighthouse.
- Para obter mais informações, se você precisar publicar uma oferta de serviço gerenciado público ou privado no Azure Marketplace, consulte Publicar uma oferta de serviço gerenciado no Azure Marketplace.
- Para integrar o locatário de um cliente, você deve ter uma assinatura de Azure ativa e precisará das seguintes informações para criar um modelo Azure Resource Manager.
Definir funções e permissões
Como provedor de serviços, você pode querer executar várias tarefas para um único cliente, exigindo acesso diferente para diferentes escopos. Você pode definir quantas autorizações precisar para atribuir as funções internas apropriadas do Azure. Para definir autorizações em seu modelo, você deve incluir os valores de ID para cada usuário, grupo de usuários ou entidade de serviço no locatário de gerenciamento ao qual deseja conceder acesso. Você também precisará incluir a ID de definição de função para cada função interna que deseja atribuir. Para obter mais informações, consulte Integrar um cliente ao Azure Lighthouse – Azure Lighthouse.
Para usar Microsoft Entra Privileged Identity Management (PIM) para acesso just-in-time, você precisa criar autorizações qualificadas. Para obter mais informações, consulte Criar autorizações qualificadas.
Criar um modelo de Azure Resource Manager
- Para integrar seu cliente, você precisa criar um modelo de Azure Resource Manager para sua oferta com as informações a seguir. Os valores mspOfferName e mspOfferDescription são visíveis para o cliente na página Provedores de serviços do portal do Azure depois que o modelo é implantado no locatário do cliente. Você pode criar esse modelo no portal do Azure ou modificando manualmente os modelos fornecidos em nosso repositório de exemplos. Para obter mais informações, consulte Integrar um cliente ao Azure Lighthouse.
Implantar Azure Resource Manager modelo
- Depois de criar o modelo, um usuário no locatário do cliente deve implantá-lo em seu locatário. Uma implantação separada é necessária para cada assinatura que você deseja integrar (ou para cada assinatura que contenha grupos de recursos que você deseja integrar). A implantação pode ser feita usando o PowerShell, usando a CLI do Azure ou no portal do Azure. Para obter mais informações, consulte Integrar um cliente ao Azure Lighthouse.
Confirmar integração bem-sucedida
- Quando uma assinatura do cliente for integrada com êxito ao Azure Lighthouse, os usuários no locatário do provedor de serviços poderão ver a assinatura e seus recursos. Você pode confirmar isso no portal do Azure, usando o PowerShell ou usando a CLI do Azure. Para obter mais informações, consulte Integrar um cliente ao Azure Lighthouse.
Conceder acesso de parceiro usando GDAP
O GDAP permite que um MSSP configure o acesso com privilégios mínimos e com tempo determinado explicitamente concedido pelo cliente do Security Copilot. Somente MSSPs registrados como CSP (Parceiro de Soluções na Nuvem) têm permissão para gerenciar o Security Copilot. O acesso é atribuído a um grupo de segurança MSSP, o que reduz a carga administrativa para o cliente e o parceiro. Um usuário MSSP recebe a função e o grupo de segurança apropriados para gerenciar o cliente.
Para obter mais informações, consulte Introdução ao GDAP.
Esta é a matriz atual dos plug-ins do Copilot de Segurança que dão suporte ao GDAP:
| Plug-in do Copilot de Segurança | Com suporte para GDAP |
|---|---|
| Gerenciamento da Superfície de Ataque Externa do Defender | Não |
| Microsoft Entra | No geral, não, mas alguns recursos funcionam. |
| Intune | Sim |
| MDTI | Não |
| Defender XDR | Sim |
| NL2KQL Defender | Sim |
| NL2KQL Sentinel | Não |
| Purview | Sim |
| Microsoft Sentinel | Não |
Para obter mais informações, consulte Cargas de trabalho com suporte pelo GDAP.
Relação GDAP
O MSSP envia uma solicitação GDAP ao cliente. Siga as instruções deste artigo, Obter permissões para gerenciar o cliente. Para obter melhores resultados, o MSSP deve solicitar as funções de leitor de segurança e operador de segurança para acessar a plataforma e os plug-ins do Security Copilot. Para obter mais informações, consulte Entender a autenticação.
O cliente aprova a solicitação de GDAP do parceiro. Para obter mais informações, consulte Aprovação do cliente.
Permissões de grupo de segurança
O MSSP cria um grupo de segurança e atribui a ele as permissões aprovadas. Para obter mais informações, consulte Atribuir funções do Microsoft Entra.
O cliente adiciona as funções solicitadas pelo MSSP à função apropriada do Security Copilot (proprietário do Copilot ou contribuidor do copilot). Por exemplo, se o MSSP solicitou permissões de operador de segurança, o cliente adiciona essa função à função de contribuidor do Copilot no Security Copilot. Para obter mais informações, consulte Atribuir funções do Security Copilot.
Acesso ao MSSP Security Copilot
A conta de usuário MSSP precisa ser membro do grupo de segurança do parceiro atribuído e uma função aprovada para acessar o espaço de trabalho delegado do Microsoft Sentinel do cliente no locatário do parceiro.
O MSSP pode acessar o portal autônomo do Security Copilot e usar os prompts de exemplo abaixo:
"Listar todos os workspaces do Sentinel" para ver todos os workspaces do Sentinel disponíveis no locatário do parceiro e nos workspaces do Microsoft Sentinel do cliente delegado.
"Resumir a ID do incidente <do nome do workspace <do Microsoft Sentinel do cliente>" para ver um resumo do incidente do Microsoft Sentinel do workspace do Microsoft Sentinel do> cliente.
O MSSP pode acessar o Painel de Monitoramento de Uso do Security Copilot na experiência autônoma para ver o custo da SCU associado ao prompt executado no espaço de trabalho do Microsoft Sentinel do cliente. Isso pode ser validado vendo a ID da sessão no Painel de Monitoramento de Uso e a ID da sessão na URL do navegador ao exibir a sessão do Security Copilot.
Conceder acesso ao parceiro usando a colaboração B2B
A colaboração B2B convida contas de parceiros individuais como convidados para o locatário do cliente para operar o Security Copilot.
Configurar uma conta de convidado para seu parceiro
Observação
Para executar os procedimentos descritos nesta opção, você deve ter uma função apropriada, como Administrador de Usuários ou Administrador de Cobrança, atribuída no Microsoft Entra.
Acesse o centro de administração do Microsoft Entra e entre.
Vá até Identidade>Usuários>Todos os usuários.
Selecione Novo usuário>Convidar usuário externo e especifique as configurações da conta de convidado.
Na guia Noções Básicas, preencha o endereço de email do usuário, o nome de exibição e uma mensagem, se quiser incluí-la. (Opcionalmente, você pode adicionar um destinatário Cc para receber uma cópia do convite por email.)
Na guia Propriedades, na seção Identidade, preencha o nome e o sobrenome do usuário. (Opcionalmente, você pode preencher quaisquer outros campos que queira usar.)
Na guia Atribuições, selecione + Adicionar função. Role a tela para baixo e selecione Operador de Segurança ou Leitor de Segurança.
Na guia Revisar + convidar, revise suas configurações. Quando estiver pronto, selecione Convidar.
O parceiro recebe um email com um link para aceitar o convite para ingressar no seu locatário como convidado.
Dica
Para saber mais sobre a configuração de uma conta de convidado, consulte Convidar um usuário externo.
Acesso B2B ao Security Copilot
Depois de configurar uma conta de convidado para seu parceiro, você estará pronto para notificá-lo de que agora ele pode usar seus recursos do Security Copilot.
Diga ao seu parceiro para procurar uma notificação por email da Microsoft. O email contém detalhes sobre a conta de usuário e inclui um link que deve ser selecionado para aceitar o convite.
Seu parceiro acessa Security Copilot visitando securitycopilot.microsoft.com e entrando usando sua conta de email.
O parceiro usa o recurso de troca de locatário para garantir que está acessando o cliente apropriado. Por exemplo, a imagem a seguir mostra um parceiro da Fabrikam usando suas credenciais para trabalhar no Security Copilot para seu cliente, a Contoso.
Como alternativa, defina a ID do locatário diretamente na URL, por exemplo,
https://securitycopilot.microsoft.com/?tenantId=aaaabbbb-0000-cccc-1111-dddd2222eeee.Compartilhe os seguintes artigos para ajudar seu MSSP a começar a usar o Security Copilot:
Obtenha suporte técnico para a configuração de acesso do parceiro
Atualmente, se o MSSP ou parceiro tiver dúvidas e precisar de suporte técnico para o Security Copilot fora do Partner Center, a organização do cliente deverá entrar em contato com o suporte em nome do MSSP.