Esercitazione: Gestire l'accesso alle risorse nella gestione entitlement
La gestione degli accessi a tutte le risorse necessarie per i dipendenti, ad esempio gruppi, applicazioni e siti, è una funzione importante per le organizzazioni. Si vuole concedere ai dipendenti il livello di accesso appropriato che devono essere produttivi e rimuovere l'accesso quando non è più necessario.
In questa esercitazione l'utente lavora come amministratore IT presso Woodgrove Bank. Si è ricevuto l'incarico di creare un pacchetto di risorse per una campagna di marketing che gli utenti interni possono usare per la gestione self-service delle richieste. Le richieste non richiedono l'approvazione e l'accesso dell'utente scade dopo 30 giorni. Per questa esercitazione, le risorse della campagna di marketing sono semplici appartenenze ad un singolo gruppo, ma potrebbe trattarsi di una raccolta di gruppi, applicazioni o siti di SharePoint Online.
In questa esercitazione apprenderai a:
- Creare un pacchetto di accesso con un gruppo come risorsa
- Consentire a un utente nella directory di richiedere l'accesso
- Mostrare come un utente interno può richiedere il pacchetto di accesso
Per una dimostrazione dettagliata del processo di distribuzione della gestione entitlement di Microsoft Entra, inclusa la creazione del primo pacchetto di accesso, vedere il video seguente:
Questo resto di questo articolo usa l'interfaccia di amministrazione di Microsoft Entra per configurare e dimostrare la gestione entitlement.
Prerequisiti
Per usare la gestione entitlement, è necessario avere una delle licenze seguenti:
- Microsoft Entra ID P2 o Microsoft Entra ID Governance
- Licenza di Enterprise Mobility + Security (EMS) E5
Per altre informazioni, vedere Requisiti relativi alle licenze.
Passaggio 1: Configurare utenti e gruppi
Suggerimento
I passaggi descritti in questo articolo possono variare leggermente in base al portale da cui si inizia.
Una directory di risorse contiene una o più risorse da condividere. In questo passaggio verrà creato un gruppo denominato Marketing resources nella directory Woodgrove Bank che rappresenta la risorsa di destinazione per la gestione entitlement. Verrà anche configurato un richiedente interno.
Ruolo prerequisito: amministratore globale o Amministrazione istrator di Identity Governance
Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un Amministrazione istrator di Identity Governance.
Passare a Identity Governance Entitlement management Access Packages (Pacchetti di accesso per la gestione>entitlement di Identity Governance>).
Creare due utenti. Usare i nomi seguenti o nomi diversi.
Nome Ruolo directory Admin1 Amministratore globale o Identity Governance Amministrazione istrator. Questo utente può essere l'utente attualmente connesso. Requestor1 User Creare un gruppo di sicurezza Microsoft Entra denominato Marketing resources con un tipo di appartenenza Assegnato. Questo gruppo è la risorsa di destinazione per la gestione entitlement. Per iniziare, il gruppo non deve contenere membri.
Passaggio 2: Creare un pacchetto di accesso
Un pacchetto di accesso è un bundle di risorse di cui necessita un team o un progetto e che è disciplinato dai criteri. I pacchetti di accesso sono definiti in contenitori denominati cataloghi. In questo passaggio verrà creato un pacchetto di accesso Marketing Campaign nel catalogo Generale.
Ruolo prerequisito: Global Amministrazione istrator, Identity Governance Amministrazione istrator, Catalog owner o Access Package Manager
Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un Amministrazione istrator di Identity Governance.
Passare a Identity Governance Entitlement management Access package (Pacchetto di accesso per la gestione>entitlement di Identity Governance>).
Nella pagina Pacchetti di accesso aprire un pacchetto di accesso.
Quando si apre il pacchetto di accesso se viene visualizzato Accesso negato, assicurarsi che nella directory sia presente una licenza microsoft Entra ID P2 o Microsoft Entra ID Governance.
Selezionare Nuovo pacchetto di accesso.
Nella scheda Informazioni di base digitare il nome Marketing Campaign e la descrizione Access to resources for the campaign per il pacchetto di accesso.
Lasciare il menu a discesa Catalogo impostato su Generale.
Selezionare Avanti per aprire la scheda Ruoli risorsa. In questa scheda selezionare le risorse e il ruolo della risorsa da includere nel pacchetto di accesso. È possibile scegliere di gestire l'accesso a gruppi e team, applicazioni e siti di SharePoint Online. In questo scenario selezionare Gruppi e Teams.
Nel riquadro Seleziona gruppi trovare e selezionare il gruppo Marketing resources creato in precedenza.
Per impostazione predefinita, i gruppi sono visualizzati all'interno del catalogo Generale. Quando si seleziona un gruppo all'esterno del catalogo Generale, che è possibile vedere se si seleziona la casella di controllo Visualizza tutto , viene aggiunta al catalogo Generale.
Scegliere Seleziona per aggiungere il gruppo all'elenco.
Nell'elenco a discesa Ruolo selezionare Membro. Se si seleziona il ruolo Proprietario, consente agli utenti di aggiungere o rimuovere altri membri o proprietari. Per altre informazioni sulla selezione dei ruoli appropriati per una risorsa, vedere Aggiungere i ruoli delle risorse.
Importante
I gruppi assegnabili di ruolo aggiunti a un pacchetto di accesso verranno indicati usando il sottotipo assegnabile ai ruoli. Per altre informazioni, vedere l'articolo Creare un gruppo assegnabile a ruoli. Tenere presente che una volta che un gruppo assegnabile a ruoli è presente in un catalogo dei pacchetti di accesso, gli utenti amministratori che sono in grado di gestire nella gestione entitlement, inclusi gli utenti nel ruolo Global Amministrazione istrator, gli utenti nel ruolo Identity Governance Amministrazione istrator e i proprietari del catalogo, potranno controllare i pacchetti di accesso nel catalogo, consentendo loro di scegliere chi può essere aggiunto a tali gruppi. Se non viene visualizzato un gruppo assegnabile di ruolo che si vuole aggiungere o non è possibile aggiungerlo, assicurarsi di disporre del ruolo Microsoft Entra e del ruolo di gestione entitlement necessari per eseguire questa operazione. Può essere necessario chiedere a un utente con i ruoli necessari di aggiungere la risorsa al catalogo. Per altre informazioni, vedere Ruoli necessari per aggiungere risorse a un catalogo.
Nota
Quando si usano gruppi dinamici non vengono visualizzati altri ruoli disponibili oltre a quello di proprietario. Questo si verifica per motivi strutturali.
Selezionare Avanti per aprire la scheda Richieste . Nella scheda Richieste viene creato un criterio di richiesta. Un criterio definisce le regole o i vincoli per accedere a un pacchetto di accesso. Verrà creato un criterio che consente a un utente specifico nella directory della risorsa di richiedere questo pacchetto di accesso.
Nella sezione Utenti che possono richiedere l'accesso selezionare Per gli utenti nella directory e quindi selezionare Utenti e gruppi specifici.
Selezionare Aggiungi utenti e gruppi.
Nel riquadro Seleziona utenti e gruppi selezionare l'utente Requestor1 creato in precedenza.
Scegliere Seleziona per aggiungere l'utente all'elenco.
Scorrere verso il basso fino alle sezioni Approvazione e Abilita le richieste.
Lasciare l'opzione Richiedi approvazione impostata su No.
Per Abilita richieste selezionare Sì per abilitare la richiesta di questo pacchetto di accesso non appena viene creato.
Se l'organizzazione è configurata per ricevere ID verificati, è disponibile un'opzione per configurare un pacchetto di accesso per richiedere ai richiedenti di fornire un ID verificato. Per altre informazioni, vedere Configurare le impostazioni ID verificate per un pacchetto di accesso nella gestione entitlement (anteprima)
Selezionare Avanti per aprire la scheda Informazioni del richiedente.
Nella scheda Informazioni del richiedente è possibile porre domande per raccogliere altre informazioni dal richiedente. Le domande vengono visualizzate nel modulo di richiesta e possono essere obbligatorie o facoltative. In questo scenario non è stato richiesto di includere le informazioni del richiedente per il pacchetto di accesso, quindi è possibile lasciare vuote queste caselle. Selezionare Avanti per aprire la scheda Ciclo di vita .
Nella scheda Ciclo di vita specificare quando scade l'assegnazione di un utente al pacchetto di accesso. È anche possibile specificare se gli utenti possono estendere le assegnazioni. Nella sezione Scadenza :
- Impostare la scadenza delle assegnazioni dei pacchetti di Access su Numero di giorni.
- Impostare la scadenza delle assegnazioni dopo 30 giorni.
- Lasciare il valore predefinito della sequenza temporale specifico, Sì.
- Impostare Richiedi verifiche di accesso su No.
Ignorare il passaggio Estensioni personalizzate.
Selezionare Avanti per aprire la scheda Rivedi e crea .
Nella scheda Rivedi e crea selezionare Crea. Dopo alcuni istanti, verrà visualizzata una notifica che indica che il pacchetto di accesso è stato creato.
Nel menu a sinistra del pacchetto di accesso alla campagna di marketing selezionare Panoramica.
Copiare il collegamento del portale di Accesso personale.
Questo collegamento verrà usato nel passaggio successivo.
Passaggio 3: Richiedere l'accesso
In questo passaggio le procedure verranno eseguite come richiedente interno e verrà richiesto l'accesso al pacchetto di accesso. I richiedenti inviano le richieste tramite un sito chiamato portale di Accesso personale. Il portale di Accesso personale consente ai richiedenti di inviare le richieste per i pacchetti di accesso, visualizzare i pacchetti di accesso ai quali sono già autorizzati ad accedere e visualizzare la cronologia delle richieste. Quando un nuovo guest richiede un pacchetto di accesso in MyAccess, la lingua preferita viene contrassegnata in base alla lingua del browser MyAccess in fase di richiesta. Ciò consente ai nuovi guest di ricevere comunicazioni tramite posta elettronica in una lingua che comprendono.
Ruolo prerequisito: richiedente interno
Disconnettersi dall'interfaccia di amministrazione di Microsoft Entra.
In una nuova finestra del browser passare al collegamento del portale di Accesso personale copiato nel passaggio precedente.
Eseguire l'accesso al portale di Accesso personale come Requestor1.
Dovrebbe essere visibile il pacchetto di accesso Marketing Campaign.
Nella casella Motivazione aziendale digitare la giustificazione che sto lavorando alla nuova campagna di marketing.
Seleziona Invia.
Nel menu a sinistra selezionare Cronologia richieste per verificare che la richiesta sia stata recapitata. Per altri dettagli, selezionare Visualizza.
Passaggio 4: Verificare che l'accesso sia stato assegnato
In questo passaggio si verifica che al richiedente interno sia stato assegnato il pacchetto di accesso e che sia ora membro del gruppo Risorse marketing .
Ruolo prerequisito: Global Amministrazione istrator, Identity Governance Amministrazione istrator, Catalog owner o Access Package Manager
Disconnettersi dal portale di Accesso personale.
Accedere all'interfaccia di amministrazione di Microsoft Entra come Amministrazione 1.
Passare a Identity Governance Entitlement management Access Packages (Pacchetti di accesso per la gestione>entitlement di Identity Governance>).
Trovare e selezionare Pacchetto di accesso campagna marketing.
Nel menu a sinistra selezionare Richieste.
Si dovrebbero vedere Requestor1 e il criterio iniziale con stato Recapitati.
Selezionare la richiesta per visualizzare i dettagli della richiesta.
Nel riquadro di spostamento a sinistra selezionare Identità.
Selezionare Gruppi e aprire il gruppo Risorse marketing .
Selezionare Membri.
Nell'elenco dei membri verrà visualizzato anche Requestor1.
Passaggio 5: Pulire le risorse
In questo passaggio verranno rimosse le modifiche apportate e verrà eliminato il pacchetto di accesso Marketing Campaign.
Ruolo prerequisito: global Amministrazione istrator o Identity Governance Amministrazione istrator
Nell'interfaccia di amministrazione di Microsoft Entra Identity Governance.
Aprire il pacchetto di accesso Marketing Campaign.
Selezionare Assegnazioni.
Per Requestor1 selezionare i puntini di sospensione (...) e quindi selezionare Rimuovi accesso. Nel messaggio visualizzato selezionare Sì.
Dopo qualche istante lo stato passerà da Recapitato a Scaduto.
Selezionare Ruoli risorsa.
In Risorse di marketing selezionare i puntini di sospensione (...) e quindi selezionare Rimuovi ruolo risorsa. Nel messaggio visualizzato selezionare Sì.
Aprire l'elenco dei pacchetti di accesso.
Per Campagna di marketing selezionare i puntini di sospensione (...) e quindi selezionare Elimina. Nel messaggio visualizzato selezionare Sì.
In Identità eliminare tutti gli utenti creati, ad esempio Requestor1 e Amministrazione 1.
Eliminare il gruppo Marketing resources.
Passaggi successivi
Passare all'articolo successivo per informazioni sulle procedure degli scenari comuni in Gestione entitlement.