Обнаружение, исправление и мониторинг разрешений в многооблачных инфраструктурах с помощью API управления разрешениями (предварительная версия)

Примечание.

С 1 апреля 2025 г. Управление разрешениями Microsoft Entra больше не будет доступен для покупки, а 1 октября 2025 г. мы прекратим поддержку этого продукта. Более подробную информацию можно найти здесь.

Управление разрешениями Microsoft Entra обеспечивает полную видимость разрешений, назначенных всем удостоверениям в нескольких облачных инфраструктурах, таких как Microsoft Azure, Amazon Web Services (AWS) и Google Cloud Platform (GCP). API управления разрешениями в Microsoft Graph предоставляют программный способ обнаружения, администрирования и мониторинга этих разрешений в вашей многооблачной инфраструктуре.

В этой статье описываются возможности управления разрешениями, которыми можно управлять программным способом с помощью Microsoft Graph.

Для получения дополнительной информации об управлении разрешениями см. Что такое управление разрешениями Microsoft Entra.

Основные варианты использования API управления разрешениями

API-интерфейсы управления разрешениями, предоставляющие комплексную видимость разрешений, назначенных всем удостоверениям в нескольких облаках, позволяют решать три ключевых сценария использования управления разрешениями Microsoft Entra: обнаружение, устранение и мониторинг.

Системы авторизации

Система авторизации — это платформа, которая содержит удостоверения и ресурсы. Он предоставляет разрешения, которые определяют, к каким ресурсам у удостоверения есть доступ и какие действия он может выполнять.

Используйте тип ресурса AuthorizationSystem и связанные с ним методы для обнаружения систем авторизации, подключенных к Управлению разрешениями, и их сведений. В настоящее время служба управления разрешениями поддерживает Microsoft Azure, AWS и GCP.

Следующие ключевые сценарии API позволяют получать сведения о системах авторизации.

Описание Интерфейсы API
Получение систем авторизации Вывод списка authorizationSystems
Подробные сведения о системе авторизации AWS Вывод списка awsAuthorizationSystems
Получение сведений о системе авторизации Azure List azureAuthorizationSystems
Получение сведений о системе авторизации GCP Вывод списка gcpAuthorizationSystems

Краткий справочник по операциям API для систем авторизации AWS, систем авторизации Azure и систем авторизации GCP.

Инвентаризация систем авторизации

Каждая система авторизации имеет определенный набор объектов, которые формируют возможности системы авторизации. Например, такие удостоверения, как учетные записи пользователей и служб или действия и ресурсы.

Следующие ключевые сценарии API позволяют получать инвентаризацию для систем авторизации.

Описание Интерфейсы API
Вывод списка всех удостоверений в системе авторизации
Перечисление типов удостоверений в специальных системах авторизации
Другие товары

Запросы разрешений

Удостоверения могут запрашивать разрешения на действия и ресурсы в системе авторизации. Благодаря возможностям запросов разрешений вызывающие стороны могут запрашивать разрешения от своего имени или от имени другого удостоверения, а другим удостоверениям — утверждать, отклонять или отменять запросы.

Следующие ключевые сценарии API позволяют реализовать возможности разрешений по требованию.

Сценарии API
Запрашивать разрешения; Удовлетворить или отклонить запрос Create scheduledPermissionsRequest
Отмена запроса на разрешения scheduledPermissionsRequest: cancelAll
Отслеживание запросов на разрешения и их состояние Перечисление разрешенийRequestChanges

Аналитика разрешений

С помощью API аналитики разрешений Управление разрешениями помогает обнаруживать риски разрешений в удостоверениях и ресурсах для систем авторизации. Эти результаты можно использовать для автоматизации сценариев использования, например:

  • Создание информационных панелей
  • Запуск анализа рисков
  • Приоритизация исправлений
  • Создание тикетов

Следующие примеры результатов доступны через API:

Поиск API примеров сценариев
Неактивные удостоверения: удостоверения, которые не использовали предоставленные им разрешения за последние 90 дней.
Неактивные группы: ни одно удостоверение не использовало разрешения, назначенные через группу за последние 90 дней.
Суперудостоверения: разрешения уровня администратора в системе авторизации. Эти удостоверения могут управлять всеми ресурсами в системе авторизации.

Другие выводы включают:

  • Результаты на основе ресурсов: например, контейнеры BLOB-объектов Azure, сегменты S3 и сегменты хранилища, которые доступны для всех; открытые группы безопасности сети; и удостоверения, которые могут получать доступ к секретной информации или использовать инструменты безопасности
  • Избыточная подготовка пользователей, ролей, ресурсов, субъектов служб и учетных записей служб
  • Пользователи с непринудительной многофакторной аутентификацией в AWS
  • Возможности для повышения привилегий
  • Возраст и использование ключа доступа AWS

"Никому не доверяй"

Эта функция помогает организациям привести своих клиентов в соответствие с тремя руководящими принципами архитектуры "Никому не доверяй":

  • Выполняйте проверку явным образом.
  • Использование минимальных привилегий
  • Предполагайте наличие бреши в системе безопасности

Чтобы узнать больше о модели "Никому не доверяй" и других способах привести вашу организацию в соответствие с руководящими принципами, см. Центр руководства по этой модели.

Разрешения и привилегии

Для вызова API управления разрешениями вызывающему не нужны разрешения Microsoft Graph. Однако у них должны быть соответствующие привилегии в клиенте Microsoft Entra и во внешней системе.

Дополнительные сведения см. в разделе Роли и уровни разрешений в разделе Управление разрешениями

Связанные материалы

  • Последнее обновление: