Een catalogus met resources maken en beheren in rechtenbeheer
In dit artikel leest u hoe u een catalogus met resources en toegangspakketten maakt en beheert in rechtenbeheer.
Een catalogus maken
Een catalogus is een container met resources en toegangspakketten. U maakt een catalogus wanneer u gerelateerde resources en toegangspakketten wilt groeperen. Een beheerder kan een catalogus maken. Bovendien kan een gebruiker die is gedelegeerd de rol catalogusmaker een catalogus maken voor resources die ze eigenaar zijn. Een niet-beheerder die de catalogus maakt, wordt de eerste cataloguseigenaar. Een cataloguseigenaar kan meer gebruikers, groepen gebruikers of toepassingsservice-principals toevoegen als cataloguseigenaren.
Vereiste rollen: globale Beheer istrator, identiteitsbeheer Beheer istrator of catalogusmaker
Notitie
Gebruikers aan wie de rol Gebruiker Beheer istrator is toegewezen, kunnen geen catalogi meer maken of toegangspakketten beheren in een catalogus die ze niet bezitten. Als aan gebruikers in uw organisatie de rol Gebruiker Beheer istrator is toegewezen voor het configureren van catalogi, toegangspakketten of beleidsregels in rechtenbeheer, moet u in plaats daarvan deze gebruikers de rol Identity Governance-beheerder toewijzen.
Een catalogus maken:
Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een identity governance-Beheer istrator.
Blader naar catalogussen voor rechtenbeheer voor identiteitsbeheer>>.
Selecteer Nieuwe catalogus.
Voer een unieke naam in voor de catalogus en geef een beschrijving op.
Gebruikers zien deze informatie in de details van een toegangspakket.
Als u wilt dat de toegangspakketten in deze catalogus beschikbaar zijn om gebruikers te vragen zodra ze zijn gemaakt, stelt u Ingeschakeld in op Ja.
Als u wilt toestaan dat gebruikers in externe mappen van verbonden organisaties toegangspakketten in deze catalogus kunnen aanvragen, stelt u Ingeschakeld in opJa. De toegangspakketten moeten ook een beleid hebben waarmee gebruikers van verbonden organisaties aanvragen kunnen aanvragen. Als de toegangspakketten in deze catalogus alleen bedoeld zijn voor gebruikers die al in de map staan, stelt u Ingeschakeld in opNee.
Selecteer Maken om de catalogus te maken.
Programmatisch een catalogus maken
Er zijn twee manieren om programmatisch een catalogus te maken.
Een catalogus maken met Microsoft Graph
U kunt een catalogus maken met behulp van Microsoft Graph. Een gebruiker in een geschikte rol met een toepassing met de gedelegeerde EntitlementManagement.ReadWrite.All machtiging, of een toepassing met de EntitlementManagement.ReadWrite.All toepassingsmachtiging, kan de API aanroepen om een catalogus te maken.
Een catalogus maken met PowerShell
U kunt ook een catalogus maken in PowerShell met de New-MgEntitlementManagementCatalog cmdlet van de Microsoft Graph PowerShell-cmdlets voor de module Identity Governance versie 2.2.0 of hoger.
Connect-MgGraph -Scopes "EntitlementManagement.ReadWrite.All"
$catalog = New-MgEntitlementManagementCatalog -DisplayName "Marketing"
Resources toevoegen aan een catalogus
Als u resources in een toegangspakket wilt opnemen, moeten de resources in een catalogus aanwezig zijn. De typen resources die u aan een catalogus kunt toevoegen, zijn groepen, toepassingen en SharePoint Online-sites.
Groepen kunnen in de cloud worden gemaakt Microsoft 365 Groepen of door de cloud gemaakte Microsoft Entra-beveiligingsgroepen.
Groepen die afkomstig zijn uit een on-premises Active Directory, kunnen niet worden toegewezen als resources omdat hun eigenaar- of lidkenmerken niet kunnen worden gewijzigd in Microsoft Entra-id. Als u een gebruiker toegang wilt geven tot een toepassing die gebruikmaakt van ad-beveiligingsgroepslidmaatschappen, maakt u een nieuwe beveiligingsgroep in Microsoft Entra-id, configureert u write-back van groepen naar AD en stelt u in dat deze groep naar AD kan worden geschreven, zodat de in de cloud gemaakte groep kan worden gebruikt door een AD-toepassing.
Groepen die afkomstig zijn uit Exchange Online als distributiegroepen kunnen ook niet worden gewijzigd in Microsoft Entra ID, dus kunnen niet worden toegevoegd aan catalogi.
Toepassingen kunnen Microsoft Entra-bedrijfstoepassingen zijn, waaronder SaaS-toepassingen (Software as a Service), on-premises toepassingen en uw eigen toepassingen die zijn geïntegreerd met Microsoft Entra ID.
Als uw toepassing nog niet is geïntegreerd met Microsoft Entra ID, raadpleegt u de toegang voor toepassingen in uw omgeving en integreert u een toepassing met Microsoft Entra-id en voegt u de toepassing toe aan uw directory voordat u deze toevoegt aan de catalogus.
Zie voor meer informatie over het selecteren van de juiste resources voor toepassingen met meerdere rollen hoe u bepaalt welke resourcerollen moeten worden opgenomen in een toegangspakket.
Sites kunnen SharePoint Online-sites of SharePoint Online-siteverzamelingen zijn.
Notitie
Zoek sharePoint-site op sitenaam of een exacte URL omdat het zoekvak hoofdlettergevoelig is.
Vereiste rollen: Zie Vereiste rollen om resources toe te voegen aan een catalogus.
Resources toevoegen aan een catalogus:
Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een identity governance-Beheer istrator.
Blader naar catalogussen voor rechtenbeheer voor identiteitsbeheer>>.
Open op de pagina Catalogi de catalogus waaraan u resources wilt toevoegen.
Selecteer Resources in het linkermenu.
Selecteer Resources toevoegen.
Selecteer het resourcetype Groepen en Teams, Toepassingen of SharePoint-sites.
Als u geen resource ziet die u wilt toevoegen of als u geen resource kunt toevoegen, controleert u of u over de vereiste Directory- en rechtenbeheerrol van Microsoft Entra beschikt. Mogelijk moet iemand met de vereiste rollen de resource aan uw catalogus toevoegen. Bekijk Vereiste rollen om bronnen aan een catalogus toe te voegen voor meer informatie.
Selecteer een of meer resources van het type dat u wilt toevoegen aan de catalogus.
Wanneer u klaar bent, selecteert u Toevoegen.
Deze resources kunnen nu worden opgenomen in toegangspakketten in de catalogus.
Resourcekenmerken toevoegen in de catalogus
Kenmerken zijn vereiste velden die aanvragers moeten beantwoorden voordat ze hun toegangsaanvraag indienen. Hun antwoorden voor deze kenmerken worden weergegeven voor goedkeurders en worden ook gestempeld op het gebruikersobject in Microsoft Entra ID.
Notitie
Voor alle kenmerken die voor een resource zijn ingesteld, is een antwoord vereist voordat een aanvraag voor een toegangspakket met die resource kan worden ingediend. Als aanvragers geen antwoord geven, worden hun aanvraag niet verwerkt.
Kenmerken voor toegangsaanvragen vereisen:
Selecteer Resources in het linkermenu en er wordt een lijst met resources in de catalogus weergegeven.
Selecteer het beletselteken naast de resource waaraan u kenmerken wilt toevoegen en selecteer vervolgens Kenmerken vereisen.
Selecteer het kenmerktype:
- Ingebouwde kenmerken van microsoft Entra-gebruikersprofielen.
- De extensie directoryschema biedt een manier om meer gegevens op te slaan in Microsoft Entra-gebruikers. U kunt het schema uitbreiden door een extensiekenmerk te maken. Deze extensiekenmerken op gebruikersobjecten kunnen worden gebruikt om claims naar toepassingen te verzenden tijdens het inrichten of eenmalige aanmelding.
Als u Ingebouwd hebt gekozen, selecteert u een kenmerk in de vervolgkeuzelijst. Als u directoryschema-extensie hebt gekozen, voert u de kenmerknaam in het tekstvak in.
Notitie
Het kenmerk User.mobile Telefoon is een gevoelige eigenschap die alleen door sommige beheerders kan worden bijgewerkt. Meer informatie op Wie kunt u gevoelige gebruikerskenmerken bijwerken?.
Selecteer de antwoordindeling die u wilt gebruiken voor het antwoord van aanvragers. Antwoordindelingen zijn korte tekst, meerdere keuzen en lange tekst.
Als u meerdere opties selecteert, selecteert u Bewerken en lokaliseren om de antwoordopties te configureren.
- Voer in het deelvenster Vraag weergeven/bewerken dat wordt weergegeven de antwoordopties in die u de aanvrager wilt geven wanneer ze de vraag beantwoorden in de vakken Antwoordwaarden .
- Selecteer de taal voor de antwoordoptie. U kunt antwoordopties lokaliseren als u meer talen kiest.
- Voer zoveel antwoorden in als u nodig hebt en selecteer Opslaan.
Als u wilt dat de kenmerkwaarde kan worden bewerkt tijdens directe toewijzingen en selfserviceaanvragen, selecteert u Ja.
Notitie
- Als u Nee selecteert in het vak Kenmerkwaarde kan worden bewerkt en de kenmerkwaarde leeg is, kunnen gebruikers de waarde van dat kenmerk invoeren. Na het opslaan kan de waarde niet worden bewerkt.
- Als u Nee selecteert in het vak Kenmerkwaarde kan worden bewerkt en de kenmerkwaarde niet leeg is, kunnen gebruikers de vooraf bestaande waarde niet bewerken tijdens directe toewijzingen en selfserviceaanvragen.
Als u lokalisatie wilt toevoegen, selecteert u Lokalisatie toevoegen.
Selecteer in het deelvenster Lokalisaties voor vraag toevoegen de taalcode voor de taal waarin u de vraag met betrekking tot het geselecteerde kenmerk wilt lokaliseren.
Voer in de taal die u hebt geconfigureerd de vraag in het vak Gelokaliseerd tekstvak in.
Nadat u alle gewenste lokalisaties hebt toegevoegd, selecteert u Opslaan.
Nadat alle kenmerkgegevens zijn voltooid op de pagina Kenmerken vereisen, selecteert u Opslaan.
Een Multi-Geo SharePoint-site toevoegen
Als Multi-Geo is ingeschakeld voor SharePoint, selecteert u de omgeving waaruit u sites wilt selecteren.
Selecteer vervolgens de sites die u wilt toevoegen aan de catalogus.
Een resource programmatisch toevoegen aan een catalogus
U kunt ook een resource toevoegen aan een catalogus met behulp van Microsoft Graph. Een gebruiker met de juiste rol, of een catalogus en resource-eigenaar, met een toepassing met de gedelegeerde EntitlementManagement.ReadWrite.All machtiging kan de API aanroepen om een resourceRequest te maken. Een toepassing met de toepassingsmachtigingen EntitlementManagement.ReadWrite.All en machtigingen voor het wijzigen van resources, zoals Group.ReadWrite.All, kan ook resources toevoegen aan de catalogus.
Een resource toevoegen aan een catalogus met PowerShell
U kunt ook een resource toevoegen aan een catalogus in PowerShell met de New-MgEntitlementManagementResourceRequest cmdlet uit de Microsoft Graph PowerShell-cmdlets voor identity governance-module versie 2.1.x of nieuwere moduleversie. In het volgende voorbeeld ziet u hoe u een groep als resource toevoegt aan een catalogus met behulp van de module module versie 2.4.0 van Microsoft Graph PowerShell.
Connect-MgGraph -Scopes "EntitlementManagement.ReadWrite.All,Group.ReadWrite.All"
$g = Get-MgGroup -Filter "displayName eq 'Marketing'"
if ($null -eq $g) {throw "no group" }
$catalog = Get-MgEntitlementManagementCatalog -Filter "displayName eq 'Marketing'"
if ($null -eq $catalog) { throw "no catalog" }
$params = @{
requestType = "adminAdd"
resource = @{
originId = $g.Id
originSystem = "AadGroup"
}
catalog = @{ id = $catalog.id }
}
New-MgEntitlementManagementResourceRequest -BodyParameter $params
sleep 5
$ar = Get-MgEntitlementManagementCatalog -AccessPackageCatalogId $catalog.Id -ExpandProperty resources
$ar.resources
Resources uit een catalogus verwijderen
U kunt resources uit een catalogus verwijderen. Een resource kan alleen uit een catalogus worden verwijderd als deze niet wordt gebruikt in een van de toegangspakketten van de catalogus.
Vereiste rollen: Zie Vereiste rollen om resources toe te voegen aan een catalogus.
Resources uit een catalogus verwijderen:
Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een identity governance-Beheer istrator.
Blader naar catalogussen voor rechtenbeheer voor identiteitsbeheer>>.
Open op de pagina Catalogi de catalogus waaruit u resources wilt verwijderen.
Selecteer Resources in het linkermenu.
Selecteer de resources die u wilt verwijderen.
Selecteer Verwijderen. Selecteer eventueel het beletselteken (...) en selecteer vervolgens Resource verwijderen.
Meer cataloguseigenaren toevoegen
Tip
Stappen in dit artikel kunnen enigszins variëren op basis van de portal waaruit u begint.
De gebruiker die een catalogus heeft gemaakt, wordt de eerste cataloguseigenaar. Als u het beheer van een catalogus wilt delegeren, voegt u gebruikers toe aan de rol van cataloguseigenaar. Het toevoegen van meer cataloguseigenaren helpt bij het delen van de verantwoordelijkheden voor catalogusbeheer.
Vereiste rollen: globale Beheer istrator, identiteitsbeheer Beheer istrator of cataloguseigenaar
Een gebruiker toewijzen aan de rol van cataloguseigenaar:
Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een identity governance-Beheer istrator.
Blader naar catalogussen voor rechtenbeheer voor identiteitsbeheer>>.
Open op de pagina Catalogi de catalogus waaraan u beheerders wilt toevoegen.
Selecteer rollen en beheerders in het linkermenu.
Selecteer Eigenaren toevoegen om de leden voor deze rollen te selecteren.
Selecteer Selecteren om deze leden toe te voegen.
Een catalogus bewerken
U kunt de naam en beschrijving voor een catalogus bewerken. Gebruikers zien deze informatie in de details van een toegangspakket.
Vereiste rollen: globale Beheer istrator, identiteitsbeheer Beheer istrator of cataloguseigenaar
Een catalogus bewerken:
Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een identity governance-Beheer istrator.
Blader naar catalogussen voor rechtenbeheer voor identiteitsbeheer>>.
Open op de pagina Catalogi de catalogus die u wilt bewerken.
Selecteer Bewerken op de pagina Overzicht van de catalogus.
Bewerk de naam, beschrijving of ingeschakelde instellingen van de catalogus.
Selecteer Opslaan.
Een catalogus verwijderen
U kunt een catalogus verwijderen, maar alleen als deze geen toegangspakketten heeft.
Vereiste rollen: globale Beheer istrator, identiteitsbeheer Beheer istrator of cataloguseigenaar
Een catalogus verwijderen:
Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een identity governance-Beheer istrator.
Blader naar catalogussen voor rechtenbeheer voor identiteitsbeheer>>.
Open op de pagina Catalogi de catalogus die u wilt verwijderen.
Selecteer Verwijderen op de pagina Overzicht van de catalogus.
Selecteer Ja in het berichtvak dat wordt weergegeven.
Een catalogus programmatisch verwijderen
U kunt ook een catalogus verwijderen met behulp van Microsoft Graph. Een gebruiker in een geschikte rol met een toepassing met de gedelegeerde EntitlementManagement.ReadWrite.All machtiging kan de API aanroepen om een accessPackageCatalog te verwijderen.