القائمة
配置 Microsoft Entra 特权身份管理（PIM）以强制执行即时角色激活（Just-in-Time）、审批工作流和 Azure AD 特权角色的访问审查。
يُحدَّد Prompt الذي يراجع المصدر أولًا بشكل افتراضي. يمكنك التبديل إلى أمر مباشر أو تنزيل نسخة محلية.
اقرأ SKILL.md وأي ملفات مرافقة يعرضها SkillsMP قبل أن تقرر التثبيت.
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
يتجاوز الأمر المباشر Prompt المخصّص للمراجعة. افحص المصدر قبل تشغيله.
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill implementing-azure-ad-privileged-identity-managementيبقى الأمر في سطر واحد. مرّر أفقيًا لمراجعته كاملًا قبل النسخ.
تفضّل نسخة محلية؟ نزّل الملفات المتاحة حاليًا لدى SkillsMP.
عرض SKILL.md
استنادا إلى تصنيف SOC المهني
| name | implementing-azure-ad-privileged-identity-management |
| description | 配置 Microsoft Entra 特权身份管理（PIM）以强制执行即时角色激活（Just-in-Time）、审批工作流和 Azure AD 特权角色的访问审查。 |
| domain | cybersecurity |
| subdomain | identity-access-management |
| tags | ["azure-ad","pim","entra-id","just-in-time","privileged-roles","identity-governance","zero-trust"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
Microsoft Entra 特权身份管理（Privileged Identity Management，PIM）提供基于时间和基于审批的角色激活，以降低对关键资源的过度、不必要或滥用访问的风险。PIM 将永久（常设）权限分配替换为有资格的分配，要求用户在使用前显式激活其角色，并可配置持续时间、MFA 强制执行、审批工作流和理由要求。这是 Microsoft 环境中零信任（Zero Trust）身份治理的核心组件。
| 类型 | 行为 | 使用场景 |
|---|---|---|
| 有资格的 | 用户在使用前必须激活角色；在配置的持续时间后过期 | 日常管理工作 |
| 活跃的 | 角色始终处于激活状态；无需激活 | 服务账户、紧急访问账户 |
| 时限型 | 任一类型，带有明确的开始/结束日期 | 临时项目访问、承包商访问 |
具有有资格分配的用户
│
├── 打开 PIM 门户 → 我的角色
│
├── 点击所需角色上的"激活"
│
├── 提供理由和可选的工单号
│
├── 完成 MFA 挑战（如需要）
│
├── [如需审批] → 向审批者发送通知
│ │
│ ├── 审批者审查并批准/拒绝
│ └── 用户收到决定通知
│
├── 角色激活，持续配置的时间（如 8 小时）
│
└── 持续时间到期后角色自动停用
审计当前的永久角色分配并确定哪些应转换为有资格状态：
| 当前角色 | 永久持有者 | 行动 |
|---|---|---|
| 全局管理员 | 2-3 名管理员 | 转换为有资格，保留 1 个紧急访问账户为活跃 |
| Exchange 管理员 | IT 团队 | 全部转换为有资格 |
| 安全管理员 | SOC 团队 | 转换为有资格 |
| 用户管理员 | 帮助台 | 转换为有资格 |
| 应用程序管理员 | DevOps | 转换为有资格 |
最佳实践：维护不超过 2 个永久的全局管理员（紧急访问账户）。
对每个 Entra 目录角色，配置 PIM 设置：
通过 Microsoft Entra 管理中心：
激活设置：
分配设置：
通知设置：
import requests
# 获取 Microsoft Graph 令牌
def get_graph_token(tenant_id, client_id, client_secret):
url = f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token"
data = {
"grant_type": "client_credentials",
"client_id": client_id,
"client_secret": client_secret,
"scope": "https://graph.microsoft.com/.default"
}
response = requests.post(url, data=data)
return response.json()["access_token"]
# 创建有资格的角色分配
def create_eligible_assignment(token, role_definition_id, principal_id,
directory_scope="/", duration_hours=8):
url = "https://graph.microsoft.com/v1.0/roleManagement/directory/roleEligibilityScheduleRequests"
headers = {
"Authorization": f"Bearer {token}",
"Content-Type": "application/json"
}
body = {
"action": "adminAssign",
"justification": "PIM 有资格分配",
"roleDefinitionId": role_definition_id,
"directoryScopeId": directory_scope,
"principalId": principal_id,
"scheduleInfo": {
"startDateTime": "2025-01-01T00:00:00Z",
"expiration": {
"type": "afterDuration",
"duration":
}
}
}
response = requests.post(url, headers=headers, json=body)
response.json()
():
url =
headers = {
: ,
:
}
body = {
: ,
: principal_id,
: role_definition_id,
: ,
: justification,
: {
: ,
: {
: ,
:
}
}
}
response = requests.post(url, headers=headers, json=body)
response.json()
设置定期访问审查以验证有资格的分配仍然适当：
启用 PIM 安全告警：
| 告警 | 触发条件 | 行动 |
|---|---|---|
| 全局管理员过多 | > 5 个全局管理员 | 审查并减少 |
| 在 PIM 外分配角色 | 直接角色分配 | 调查并转换为 PIM |
| 角色不要求 MFA | 无 MFA 激活 | 启用 MFA 要求 |
| 过时的有资格分配 | 90 天内未激活 | 审查并可能移除 |
| 潜在过时的服务账户 | 未使用的活跃分配 | 调查并停用 |