Создание проверки доступа групп и приложений в идентификаторе Microsoft Entra
Доступ к группам и приложениям для сотрудников и гостей с течением времени изменяется. Чтобы снизить риск, связанный с устаревшими назначениями доступа, администраторы могут использовать идентификатор Microsoft Entra для создания проверок доступа для участников группы или доступа к приложениям.
Владельцы групп безопасности Microsoft 365 и безопасности также могут использовать идентификатор Microsoft Entra для создания проверок доступа для участников группы, если пользователь с по крайней мере ролью администратора управления удостоверениями включает параметр с помощью области параметров проверки доступа. Дополнительные сведения об этих сценариях см. в статье "Управление проверками доступа".
Просмотрите короткое видео, которое рассказывает о включении проверок доступа.
В этой статье описывается создание одного или нескольких проверок доступа для участников группы или доступа к приложениям.
- Сведения о проверке назначений пакетов доступа см. в статье о настройке проверки доступа в управлении правами.
- Сведения о проверке ресурсов Azure или ролей Microsoft Entra см. в статье "Создание проверки доступа к ресурсу Azure" и ролей Microsoft Entra в управление привилегированными пользователями.
- Обзоры PIM для групп см. в статье о создании проверки доступа PIM для групп.
Необходимые условия
- Лицензии Microsoft Entra ID P2 или Управление идентификацией Microsoft Entra.
- Для создания проверки неактивных пользователей или рекомендаций о принадлежности пользователей к группам требуется лицензия Управление идентификацией Microsoft Entra.
- Глобальный администратор или администратор управления удостоверениями для создания проверок в группах или приложениях.
- Пользователи должны быть по крайней мере администратором привилегированных ролей, чтобы создавать проверки для групп, назначаемых ролями. Дополнительные сведения см. в разделе "Использование групп Microsoft Entra" для управления назначениями ролей.
- Владелец группы безопасности Microsoft 365 и группы безопасности.
Дополнительные сведения см. в разделе "Требования к лицензии".
Заметка
После минимального доступа к привилегиям рекомендуется использовать роль администратора управления удостоверениями.
Если вы просматриваете доступ к приложению, перед созданием проверки ознакомьтесь со статьей о подготовке проверки доступа пользователей к приложению , чтобы убедиться, что приложение интегрировано с идентификатором Microsoft Entra в клиенте.
Заметка
Проверки доступа записывают моментальный снимок доступа в начале каждого экземпляра проверки. Любые изменения, внесенные во время процесса проверки, будут отражены в последующем цикле проверки. По сути, при начале каждого нового повторения извлекаются соответствующие данные о пользователях, ресурсах и их соответствующих рецензентах.
Заметка
При проверке группы вложенные группы будут автоматически сплощены, поэтому пользователи из вложенных групп будут отображаться как отдельные пользователи. Если пользователь помечен для удаления из-за их членства в вложенной группе, он не будет автоматически удален из вложенной группы, а только из прямого членства в группах.
Создание одноэтапной проверки доступа
Размах
Войдите в Центр администрирования Microsoft Entra как минимум администратор управления удостоверениями.
Перейдите к проверкам доступа к управлению удостоверениями>.
Выберите "Создать проверку доступа", чтобы создать новую проверку доступа.
В поле "Выбор того, что нужно проверить", выберите нужный ресурс.
Если выбраны Teams + Группы, у вас есть два варианта:
Все группы Microsoft 365 с гостевыми пользователями: выберите этот параметр, если вы хотите создать повторяющиеся проверки для всех гостевых пользователей во всех группах Microsoft Teams и Microsoft 365 в вашей организации. Динамические группы и группы, назначаемые ролем, не включаются. Вы также можете исключить отдельные группы, выбрав " Выбрать группы", чтобы исключить их.
Выберите Teams + группы: выберите этот параметр, если вы хотите указать конечный набор команд или групп для проверки. Список групп, которые нужно выбрать справа.
Если выбрано приложение, выберите одно или несколько приложений.
Заметка
Выбор нескольких групп или приложений приводит к созданию нескольких проверок доступа. Например, если выбрать пять групп для проверки, результатом является пять отдельных проверок доступа.
Теперь можно выбрать область для проверки. Возможные варианты:
- Только гостевые пользователи: этот параметр ограничивает проверку доступа только гостевым пользователям Microsoft Entra B2B в вашем каталоге.
- Все: этот параметр ограничивает проверку доступа ко всем объектам пользователя, связанным с ресурсом.
Заметка
Если выбраны все группы Microsoft 365 с гостевыми пользователями, единственным вариантом является проверка только гостевых пользователей.
Или если вы проводите проверку членства в группе, вы можете создать проверки доступа только для неактивных пользователей в группе. В разделе "Область пользователей" установите флажок "Неактивные пользователи" (на уровне клиента). Если флажок установлен, область проверки фокусируется только на неактивных пользователей, тех, кто не выполнил вход в интерактивном или неинтерактивном режиме для клиента. Затем укажите неактивные дни с многодневным неактивным до 730 дней (два года). Пользователи в группе неактивны в течение указанного числа дней являются единственными пользователями в проверке.
Заметка
Недавно созданные пользователи не затрагиваются при настройке времени бездействия. Проверка доступа проверяет, был ли пользователь создан в настроенном интервале времени и игнорирует пользователей, которые не существовали по крайней мере в течение этого периода времени. Например, если задать время бездействия как 90 дней, а гостевой пользователь был создан или приглашен менее 90 дней назад, гостевой пользователь не будет в области проверки доступа. Это гарантирует, что пользователь может войти по крайней мере один раз перед удалением.
Нажмите кнопку "Далее": отзывы.
Далее: отзывы
Вы можете создать одноэтапную или многоэтапную проверку. Чтобы просмотреть один этап, перейдите здесь. Чтобы создать проверку доступа с несколькими этапами, выполните действия, описанные в разделе "Создание многоэтапной проверки доступа"
В разделе "Указание рецензентов" в поле "Выбор рецензентов" выберите одного или нескольких пользователей для принятия решений в проверках доступа. Вы можете выбрать один из вариантов:
- Владельцы групп: этот параметр доступен только при выполнении проверки в команде или группе.
- Выбранные пользователи или группы
- Пользователи просматривают собственный доступ
- Руководители пользователей
При выборе менеджеров пользователей или владельцев групп можно также указать резервный рецензент. Резервные рецензенты просят выполнить проверку, если у пользователя нет диспетчера, указанного в каталоге, или если у группы нет владельца.
Заметка
При проверке доступа к группе или группе только владельцы групп (во время начала проверки) считаются рецензентами. В ходе проверки, если список владельцев групп обновлен, новые владельцы групп не будут считаться рецензентами, а старые владельцы групп по-прежнему будут считаться рецензентами. Однако в случае повторяющейся проверки все изменения списка владельцев групп будут рассматриваться в следующем экземпляре этой проверки.
Важный
Для проверки доступа PIM для групп (предварительная версия) при выборе владельца группы в качестве рецензента обязательно назначить по крайней мере один резервный рецензент. Проверка будет назначать только активных владельцев в качестве рецензентов. Допустимые владельцы не включены. Если при начале проверки нет активных владельцев, резервные рецензенты будут назначены проверке.
В разделе "Указание повторения проверки" укажите следующие выборы:
Длительность (в днях): как долго проверка открыта для ввода от рецензентов.
Дата начала: когда начинается ряд отзывов.
Дата окончания: когда заканчивается ряд проверок. Вы можете указать, что он никогда не заканчивается. Кроме того, можно выбрать "Конец" в определенной дате или конце после количества вхождения.
Нажмите кнопку "Далее": "Параметры".
Заметка
При создании проверки доступа можно указать дату начала, но время начала может отличаться в течение нескольких часов в зависимости от системной обработки. Например, если вы создадите проверку доступа в 03:00 UTC 09/09, которая выполняется 09/12, то проверка будет запланирована на 03:00 UTC на начальной дате, но может быть отложена из-за системной обработки.
Вы можете указать дату начала, но время начала может отличаться в течение нескольких часов в зависимости от системной обработки.
Далее: параметры
В разделе параметров завершения можно указать, что происходит после завершения проверки.
Автоматическое применение результатов к ресурсу. Установите этот флажок, если вы хотите, чтобы доступ отказано в удалении пользователей автоматически после окончания длительности проверки. Если параметр отключен, необходимо вручную применить результаты после завершения проверки. Дополнительные сведения о применении результатов проверки см. в статье "Управление проверками доступа".
Если рецензенты не отвечают: используйте этот параметр, чтобы указать, что происходит для пользователей, не проверяющих в течение периода проверки. Этот параметр не влияет на пользователей, которые были проверены рецензентом. В раскрывающемся списке показаны следующие параметры:
- Нет изменений: оставляет доступ пользователя без изменений.
- Удаление доступа. Удаляет доступ пользователя.
- Утверждение доступа: утверждает доступ пользователя.
- Примите рекомендации. Принимает рекомендацию системы, чтобы запретить или утвердить постоянный доступ пользователя.
Предупреждение
Если параметры, если рецензенты не отвечают , задано значение Remove access or Take recommendations and Take recommendations and Auto apply results to resource enabled, all access to this resource потенциально может быть отменен, если рецензенты не смогут отвечать.
Действие для применения к запрещенным гостевым пользователям: этот параметр доступен только в том случае, если проверка доступа ограничена, чтобы включить только гостевых пользователей, чтобы указать, что происходит с гостевыми пользователями, если они отклонены рецензентом или параметром "Если рецензенты не отвечают ".
- Удаление членства пользователя из ресурса: этот параметр удаляет доступ гостевого пользователя к группе или приложению, который проверяется. Они по-прежнему могут войти в клиент и не теряют никакого другого доступа.
- Заблокировать вход пользователя в течение 30 дней, а затем удалить пользователя из клиента. Этот параметр блокирует вход в клиент отказано в входе гостевого пользователя независимо от наличия доступа к другим ресурсам. Если это действие было принято в ошибке, администраторы могут повторно задействовать доступ гостевого пользователя в течение 30 дней после отключения гостевого пользователя. Если действие не выполняется для отключенного гостевого пользователя через 30 дней, они удаляются из клиента.
Дополнительные сведения о рекомендациях по удалению гостевых пользователей, которые больше не имеют доступа к ресурсам в организации, см. в статье "Использование Управление идентификацией Microsoft Entra для проверки и удаления внешних пользователей, у которых больше нет доступа к ресурсам".
Заметка
Действие, которое применяется к запрещенным гостевым пользователям , не настраивается для проверок, ограниченных более, чем гостевых пользователей. Он также не настраивается для проверок всех групп Microsoft 365 с гостевыми пользователями. Если это невозможно настроить, параметр по умолчанию для удаления членства пользователя из ресурса используется для запрещенных пользователей.
В конце проверки отправьте уведомление для отправки уведомлений другим пользователям или группам с обновлениями завершения. Эта функция позволяет заинтересованным лицам, отличным от создателя проверки, обновлять ход выполнения проверки. Чтобы использовать эту функцию, выберите " Выбрать пользователей" или "Группы" и добавьте другого пользователя или группу, для которой требуется получить состояние завершения.
В разделе "Включение вспомогательных решений проверки" выберите, хотите ли рецензент получать рекомендации во время процесса проверки:
- Если вы выберете "Нет входа" в течение 30 дней, пользователи, выполнившие вход за предыдущий 30-дневный период, рекомендуется утвердить. Пользователи, которые не вошли в систему за последние 30 дней, рекомендуются для отказа. Этот 30-дневный интервал независимо от того, были ли входы интерактивными или нет. Дата последнего входа для указанного пользователя также будет отображаться вместе с рекомендацией.
- Если выбрана принадлежность пользователей к группе, рецензенты получают рекомендацию утвердить или запретить доступ для пользователей на основе среднего расстояния пользователя в структуре отчетов организации. Пользователи, которые находятся далеко от всех остальных пользователей в группе, считаются "низкой принадлежностью" и получат рекомендацию об отказе в проверках доступа к группе.
Заметка
Если вы создаете проверку доступа на основе приложений, рекомендации основаны на периоде 30-дневного интервала в зависимости от того, когда пользователь последний вошел в приложение, а не клиент.
В разделе "Дополнительные параметры" можно выбрать следующее:
Требуется обоснование. Установите этот флажок, чтобы рецензент указал причину утверждения или отказа.
Уведомления по электронной почте. Установите этот флажок, чтобы идентификатор Microsoft Entra ID отправлял Уведомления по электронной почте рецензентам при запуске проверки доступа и администраторам при завершении проверки.
Напоминания. Установите этот флажок, чтобы идентификатор Microsoft Entra ID отправлял напоминания о проверках доступа во всех рецензентах. Рецензенты получают напоминания на полпути проверки, независимо от того, закончили ли они их рецензирование или нет.
Дополнительное содержимое для электронной почты рецензента: содержимое электронной почты, отправленное рецензентам, автоматически создается на основе сведений о проверке, таких как имя проверки, имя ресурса и дата выполнения. Если вам нужно сообщить больше информации, можно указать такие сведения, как инструкции или контактные данные в поле. Сведения, которые вы вводите, включены в приглашение, и сообщения электронной почты напоминания отправляются назначенным рецензентам. В разделе, выделенном на следующем рисунке, показано, где отображаются эти сведения.
Нажмите кнопку "Далее": проверка и создание.
Далее: Проверка и создание
Назовите проверку доступа. При необходимости присвойте обзору описание. Имя и описание отображаются рецензентам.
Просмотрите сведения и нажмите кнопку "Создать".
Создание многоэтапной проверки доступа
Многоэтапная проверка позволяет администратору определить два или три набора рецензентов, чтобы завершить проверку друг за другом. В одноэтапном обзоре все рецензенты выполняют решение в течение одного периода, а последний рецензент принять решение, применяет свое решение. В многоэтапном обзоре два или три независимых набора рецензентов каждый из них принимает решение в рамках собственного этапа. Этапы являются последовательными, и следующий этап не происходит до тех пор, пока решение не будет записано на предыдущем этапе. Многоэтапные проверки можно использовать для снижения нагрузки на рецензентов более поздних этапов, разрешать эскалацию рецензентов или иметь независимые группы рецензентов согласуются с решениями.
Заметка
Данные пользователей, включенных в многоэтапные проверки доступа, являются частью записи аудита в начале проверки. Администраторы могут удалять данные в любое время, удалив многоэтапную серию проверок доступа. Общие сведения о GDPR и защите данных пользователей см . в разделе GDPR Центра управления безопасностью Майкрософт и раздела GDPR на портале управления безопасностью служб.
Выбрав ресурс и область проверки, перейдите на вкладку "Отзывы ".
Установите флажок рядом с многоэтапной проверкой.
В разделе "Первый этап проверки" выберите рецензентов в раскрывающемся меню рядом с пунктом "Выбор рецензентов".
Если выбрать владельцев групп или руководителей пользователей, вы можете добавить рецензента резервного восстановления. Чтобы добавить резервный вариант, выберите " Выбрать резервных рецензентов " и добавьте пользователей, которые вы хотите использовать резервные рецензенты.
Добавьте длительность первого этапа. Чтобы добавить длительность, введите число в поле рядом с длительностью этапа (в днях). Это количество дней, которые вы хотите открыть первому этапу для рецензентов первого этапа, чтобы принять решения.
В разделе " Второй этап проверки" выберите рецензентов в раскрывающемся меню рядом с пунктом "Выбор рецензентов". Эти рецензенты будут предложено проверить после окончания первой стадии проверки.
При необходимости добавьте всех резервных рецензентов.
Добавьте длительность второго этапа.
По умолчанию при создании многоэтапной проверки отображается два этапа. Однако можно добавить до трех этапов. Если вы хотите добавить третий этап, нажмите кнопку +Добавить этап и заполните необходимые поля.
Вы можете разрешить 2-му и 3-му рецензентам этапа видеть решения, принятые на предыдущем этапе. Если вы хотите разрешить им видеть принятые ранее решения, выберите поле рядом с отображением предыдущих решений этапов для последующих рецензентов этапа в разделе "Показать результаты проверки". Оставьте флажок без флажка, чтобы отключить этот параметр, если вы хотите, чтобы рецензенты проверяли независимо.
Длительность каждого повторения определяется суммой дней длительности, указанных на каждом этапе.
Укажите повторение проверки, дату начала и дату окончания проверки. Тип повторения должен быть по крайней мере до тех пор, пока общая длительность повторения (т. е. максимальная продолжительность еженедельного повторения составляет 7 дней).
Чтобы указать, какие проверяющие будут продолжаться с этапа до этапа, выберите один или несколько из следующих параметров рядом с параметром "Указать проверяющие", чтобы перейти к следующему этапу :
- Утвержденные проверяющие - только проверяющие, которые были утверждены переход к следующему этапу.
- Отклоненные проверяющие - Только проверяющие, которые были отклонены переход к следующему этапу.
- Не проверены проверяющие - только проверяющие, которые не были проверены, переходят к следующему этапу.
- Рецензирование, помеченное как "Не знаю", — только рецензирование, помеченное как "Не знаю", переходите к следующему этапу.
- Все: все переходят к следующему этапу, если вы хотите, чтобы все этапы рецензентов принять решение.
Перейдите на вкладку параметров и завершите остальные параметры и создайте проверку. Следуйте инструкциям в разделе "Далее: параметры".
Включение прямого подключения пользователей и команд B2B к общим каналам Teams в проверках доступа
Вы можете создавать проверки доступа для пользователей прямого подключения B2B через общие каналы в Microsoft Teams. При внешней совместной работе можно использовать проверки доступа Microsoft Entra, чтобы убедиться, что внешний доступ к общим каналам остается текущим. Внешние пользователи в общих каналах называются пользователями прямого подключения B2B. Дополнительные сведения о общих каналах Teams и пользователях прямого подключения B2B см. в статье о прямом подключении B2B.
При создании проверки доступа в команде с общими каналами рецензенты могут проверить постоянную потребность в доступе этих внешних пользователей и Teams в общих каналах. Вы можете просмотреть доступ пользователей подключения B2B и других поддерживаемых пользователей совместной работы B2B и внутренних пользователей, отличных от B2B, в той же проверке.
Заметка
В настоящее время пользователи и команды прямого подключения B2B включены только в одноэтапные проверки. Если включены многоэтапные проверки, пользователи и команды прямого подключения B2B не будут включены в проверку доступа.
Пользователи и команды прямого подключения B2B включены в проверки доступа группы Microsoft 365 с поддержкой Teams, в которую входят общие каналы. Чтобы создать проверку, необходимо иметь по крайней мере роль администратора пользователей или администратора управления удостоверениями.
Используйте следующие инструкции, чтобы создать проверку доступа в команде с общими каналами:
Войдите в Центр администрирования Microsoft Entra как минимум администратор управления удостоверениями.
Перейдите к проверкам доступа к управлению удостоверениями>.
Выберите +Создать проверку доступа.
Выберите Teams + Группы , а затем выберите команды + группы , чтобы задать область проверки. Пользователи и команды прямого подключения B2B не включены в обзоры всех групп Microsoft 365 с гостевыми пользователями.
Выберите команду с общими каналами, которыми предоставлен общий доступ к 1 или нескольким пользователям B2B direct connect или Teams.
Задайте область.
- Выберите всех пользователей , которые нужно включить:
- Все внутренние пользователи
- Пользователи совместной работы B2B, которые являются членами команды
- Пользователи прямого подключения B2B
- Команды, обращаюющиеся к общим каналам
- Кроме того, выберите гостевых пользователей только для включения пользователей прямого подключения B2B и пользователей Teams и B2B для совместной работы.
- Выберите всех пользователей , которые нужно включить:
Перейдите на вкладку "Отзывы ". Выберите рецензента, чтобы завершить проверку, а затем укажите длительность и повторение проверки.
Заметка
- Если выбрать рецензентов для пользователей, просмотрите собственный доступ или менеджеры пользователей, B2B direct connect users and Teams не сможет просматривать собственный доступ в клиенте. Владелец группы под проверкой получит сообщение электронной почты, которое просит владельца просмотреть пользователя прямого подключения B2B и Teams.
- Если выбрать диспетчеров пользователей, выбранный резервный рецензент будет проверять любого пользователя без руководителя в домашнем клиенте. К ним относятся прямые подключения пользователей B2B и Teams без руководителя.
Перейдите на вкладку "Параметры" и настройте дополнительные параметры. Затем перейдите на вкладку "Проверка и создание ", чтобы начать проверку доступа. Дополнительные сведения о создании параметров проверки и конфигурации см. в статье "Создание одноэтапной проверки доступа".
Разрешить владельцам групп создавать проверки доступа и управлять ими в группах
Кончик
Действия, описанные в этой статье, могут немного отличаться на портале, с который вы начинаете работу.
Войдите в Центр администрирования Microsoft Entra как минимум администратор управления удостоверениями.
Перейдите к параметрам проверки>доступа к управлению>удостоверениями.
На странице "Делегат", который может создавать проверки доступа и управлять ими, владельцы групп могут создавать проверки доступа и управлять ими для групп, принадлежащих им в "Да".
Заметка
По умолчанию для параметра задано значение No. Чтобы разрешить владельцам групп создавать проверки доступа и управлять ими, измените значение " Да".
Создание проверки доступа программным способом
Вы также можете создать проверку доступа с помощью Microsoft Graph или PowerShell.
Чтобы создать проверку доступа с помощью Graph, вызовите API Graph для создания определения расписания проверки доступа. Вызывающий объект должен быть пользователем в соответствующей роли с приложением с делегированным AccessReview.ReadWrite.All разрешением или приложением с разрешением AccessReview.ReadWrite.All приложения. Дополнительные сведения см. в статье "Обзор api проверки доступа" и учебники по просмотру участников группы безопасности или просмотр гостей в группах Microsoft 365.
Вы также можете создать проверку доступа в PowerShell с New-MgIdentityGovernanceAccessReviewDefinition помощью командлета Microsoft Graph PowerShell для модуля управления удостоверениями . Дополнительные сведения см. в примерах.
При запуске проверки доступа
После указания параметров проверки доступа и его создания в списке появится проверка доступа с индикатором его состояния.
По умолчанию идентификатор Microsoft Entra отправляет сообщение электронной почты рецензентам вскоре после однократной проверки или повторения повторяющейся проверки. Если у вас нет идентификатора Microsoft Entra, отправьте сообщение электронной почты, обязательно сообщите рецензентам, что проверка доступа ожидает их завершения. Вы можете показать им инструкции по просмотру доступа к группам или приложениям. Если ваш обзор предназначен для гостей для просмотра собственного доступа, покажите им инструкции по просмотру доступа к группам или приложениям.
Если вы назначили гостей в качестве рецензентов, и они не приняли приглашение клиенту, они не получат электронное письмо от проверок доступа. Прежде чем начать проверку, они должны сначала принять приглашение.
Обновление проверки доступа
После начала одной или нескольких проверок доступа может потребоваться изменить или обновить параметры существующих проверок доступа. Ниже приведены некоторые распространенные сценарии, которые следует учитывать:
Параметры обновления или рецензенты: если проверка доступа повторяется, существуют отдельные параметры в разделе Current и under Series. Обновление параметров или рецензентов в разделе Current применяет изменения только к текущей проверке доступа. Обновление параметров в разделе "Серия" обновляет параметры для всех будущих повторений.
Добавление и удаление рецензентов. При обновлении проверок доступа вы можете добавить резервный рецензент в дополнение к основному рецензенту. При обновлении проверки доступа могут быть удалены основные рецензенты. Резервные рецензенты не являются съемными по дизайну.
Заметка
Резервные рецензенты можно добавлять только в том случае, если тип рецензента является руководителем или владельцем группы. Первичные рецензенты можно добавить, когда тип рецензента является выбранным пользователем.
Напомните рецензентам: при обновлении проверок доступа можно включить параметр "Напоминания " в разделе "Дополнительные параметры". Затем пользователи получают уведомление по электронной почте в середине периода проверки, независимо от того, завершили ли они проверку.
Заметка
После инициирования проверки доступа можно использовать вызов API contactedReviewers , чтобы просмотреть список всех рецензентов, уведомляемых или которые будут отключены, через электронную почту для проверки доступа. Метки времени для уведомления этих пользователей также предоставляются.