implementing-privileged-identity-management-with-azure

name	implementing-privileged-identity-management-with-azure
description	使用 Microsoft Graph API 配置 Azure AD 特权身份管理（PIM），管理符合条件的角色分配、即时激活、访问审查，以及用于零信任特权访问的角色管理策略。
domain	cybersecurity
subdomain	identity-access-management
tags	["Azure-AD","PIM","privileged-access","just-in-time","eligible-roles","Microsoft-Graph","zero-trust","access-reviews","Entra-ID"]
version	1.0
author	mahipal
license	Apache-2.0

使用 Azure 实施特权身份管理

概述

Azure AD 特权身份管理（PIM）通过将永久角色分配转换为需要激活的符合条件分配，来强制执行即时特权访问。本技能使用 Microsoft Graph API 枚举活跃和符合条件的角色分配、创建资格计划请求、配置角色管理策略（MFA 要求、审批工作流、最大激活时长）、审计 PIM 激活日志，以及识别应转换为符合条件分配的过度授权永久分配。

前提条件

• Python 3.9+ 并安装 msal、requests
• 具有 RoleManagement.ReadWrite.Directory、RoleEligibilitySchedule.ReadWrite.Directory 权限的 Azure AD 应用注册
• Microsoft Entra ID P2 或 Microsoft Entra ID Governance 许可证

关键操作

1. 列出符合条件的分配 — GET /roleManagement/directory/roleEligibilityScheduleInstances
2. 创建资格请求 — POST /roleManagement/directory/roleEligibilityScheduleRequests
3. 激活符合条件的角色 — POST /roleManagement/directory/roleAssignmentScheduleRequests（action=selfActivate）
4. 审计角色激活 — GET /auditLogs/directoryAudits（按 PIM 活动过滤）
5. 审查角色策略 — GET /policies/roleManagementPolicies（检查 MFA/审批要求）

输出

包含永久与符合条件分配数量、过度授权账户、策略合规状态和最近激活历史的 JSON 审计报告。