Creare e gestire un catalogo di risorse nella gestione entitlement

Questo articolo illustra come creare e gestire un catalogo di risorse e pacchetti di accesso nella gestione entitlement.

Creazione di un catalogo

Un catalogo è un contenitore di risorse e pacchetti di accesso. È necessario creare un catalogo quando si vogliono raggruppare risorse e pacchetti di accesso correlati. Un amministratore può creare un catalogo. Inoltre, un utente delegato al ruolo creatore del catalogo può creare un catalogo per le risorse di cui sono proprietari. Un non amministratore che crea il catalogo diventa il primo proprietario del catalogo. Un proprietario del catalogo può aggiungere altri utenti, gruppi di utenti o entità servizio dell'applicazione come proprietari del catalogo.

Per creare un catalogo:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra almeno con il ruolo Amministratore di Identity Governance.

   Suggerimento

   Altri ruoli con privilegi minimi che possono completare questa attività includono l’Autore di cataloghi. Gli utenti a cui è stato assegnato il ruolo Amministratore utenti non potranno più creare cataloghi o gestire pacchetti di accesso in un catalogo di cui non sono proprietari. Se agli utenti dell'organizzazione è stato assegnato il ruolo Amministratore utenti per configurare cataloghi, pacchetti di accesso o criteri nella gestione entitlement, è invece necessario assegnare questi utenti al ruolo Di amministratore di Identity Governance.

2. Passare a Identity governance>Gestione entitlement>Cataloghi.

   

3. Selezionare Nuovo catalogo.

4. Immettere un nome univoco per il catalogo e specificare una descrizione.

   Gli utenti visualizzeranno queste informazioni nei dettagli di un pacchetto di accesso.

5. Se si vuole che i pacchetti di accesso in questo catalogo siano disponibili alle richieste degli utenti non appena vengono creati, impostare Abilitato su Sì.

6. Se si vuole consentire agli utenti di directory esterne di organizzazioni connesse di richiedere pacchetti di accesso in questo catalogo, impostare Abilitato per gli utenti esterni su Sì. I pacchetti di accesso devono avere anche criteri che consentono agli utenti delle organizzazioni connesse di effettuare richieste. Se i pacchetti di accesso in questo catalogo sono destinati solo agli utenti già presenti nella directory, impostare Abilitato per gli utenti esterni su No.

   

7. Selezionare Crea per creare il catalogo.

Creare un catalogo a livello di codice

Esistono due modi per creare un catalogo a livello di codice.

Creare un catalogo con Microsoft Graph

È possibile creare un catalogo usando Microsoft Graph. Un utente in un ruolo appropriato con un'applicazione con l'autorizzazione delegata EntitlementManagement.ReadWrite.All o un'applicazione con l'autorizzazione EntitlementManagement.ReadWrite.All dell'applicazione può chiamare l'API per creare un catalogo.

Creare un catalogo con PowerShell

È anche possibile creare un catalogo in PowerShell con i New-MgEntitlementManagementCatalog cmdlet disponibili nei cmdlet di Microsoft Graph PowerShell per il modulo Identity Governance versione 2.2.0 o successive.

Connect-MgGraph -Scopes "EntitlementManagement.ReadWrite.All"
$catalog = New-MgEntitlementManagementCatalog -DisplayName "Marketing"

Aggiungi risorse al catalogo

Per includere risorse in un pacchetto di accesso, le risorse devono essere presenti in un catalogo. I tipi di risorsa che è possibile aggiungere a un catalogo sono gruppi, applicazioni e siti di SharePoint Online.

• I gruppi possono essere gruppi di Microsoft 365 creati dal cloud o gruppi di sicurezza Microsoft Entra creati dal cloud.

  • I gruppi che hanno origine in un'istanza Active Directory locale non possono essere assegnati come risorse perché i loro attributi di proprietario o membro non possono essere modificati in Microsoft Entra ID. Per concedere agli utenti l'accesso a un'applicazione che usa le appartenenze ai gruppi di sicurezza di Active Directory, creare un nuovo gruppo di sicurezza in Microsoft Entra ID, configurare il writeback dei gruppi in Active Directory e consentire la scrittura di tale gruppo in Active Directory, in modo che il gruppo creato dal cloud possa essere usato da un’applicazione basata su AD.

  • I gruppi che hanno origine in Exchange Online come gruppi di distribuzione non possono essere modificati nell'ID Microsoft Entra, quindi non possono essere aggiunti ai cataloghi.

• Le applicazioni possono essere applicazioni aziendali Microsoft Entra, che includono applicazioni SaaS (Software as a Service), applicazioni locali e applicazioni di proprietà integrate con Microsoft Entra ID.

  • Se l'applicazione non è ancora stata integrata con Microsoft Entra ID, vedere Gestire l'accesso per le applicazioni nell'ambiente e integrare un'applicazione con Microsoft Entra ID e aggiungere l'applicazione alla directory prima di aggiungerla al catalogo.

  • Per altre informazioni su come selezionare le risorse appropriate per le applicazioni con ruoli multipli, vedere Come determinare i ruoli delle risorse da includere in un pacchetto di accesso.

• I siti possono essere siti di SharePoint Online o raccolte di siti di SharePoint Online.

Ruoli prerequisiti: Vedere Ruoli necessari per aggiungere risorse a un catalogo.

Per aggiungere risorse a un catalogo:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra almeno con il ruolo Amministratore di Identity Governance.

2. Passare a Identity governance>Gestione entitlement>Cataloghi.

3. Nella pagina Cataloghi aprire il catalogo a cui si desidera aggiungere risorse.

4. Nel menu a sinistra selezionare Risorse.

5. Selezionare Aggiungi risorse.

6. Selezionare il tipo di risorsa Gruppi e team, Applicazioni o Siti di SharePoint.

   Se non viene visualizzata una risorsa che si vuole aggiungere o non è possibile aggiungere una risorsa, assicurarsi di avere il ruolo di gestione della directory Microsoft Entra e il ruolo di gestione entitlement necessari. Potrebbe essere necessario avere un utente con i ruoli adatti per aggiungere la risorsa al catalogo. Per altre informazioni, vedere Ruoli necessari per aggiungere risorse a un catalogo.

7. Selezionare una o più risorse del tipo da aggiungere al catalogo.

   

8. Al termine, selezionare Aggiungi.

   Queste risorse possono ora essere incluse in pacchetti di accesso all'interno del catalogo.

Aggiungere attributi di risorsa nel catalogo

Gli attributi sono campi obbligatori a cui viene chiesto ai richiedenti di rispondere prima di inviare la richiesta di accesso. Le risposte per questi attributi vengono visualizzate agli responsabili approvazione e contrassegnate anche sull'oggetto utente in Microsoft Entra ID.

Per richiedere attributi per le richieste di accesso:

1. Selezionare Risorse nel menu a sinistra e viene visualizzato un elenco di risorse nel catalogo.

2. Selezionare i puntini di sospensione accanto alla risorsa in cui si desidera aggiungere attributi e quindi selezionare Richiedi attributi.

   

3. Selezionare il tipo di attributo:

   1. Predefinito include gli attributi del profilo utente di Microsoft Entra.
   2. Estensione dello schema della directory consente di archiviare più dati negli utenti di Microsoft Entra. È possibile estendere lo schema creando un attributo di estensione. Questi attributi di estensione negli oggetti utente possono essere usati per inviare attestazioni alle applicazioni durante il provisioning o l'accesso Single Sign-On.

4. Se si sceglie Predefinito, selezionare un attributo dall'elenco a discesa. Se si sceglie Estensione dello schema della directory, immettere il nome dell'attributo nella casella di testo.

   Nota

   L'attributo User.mobilePhone è una proprietà sensibile che può essere aggiornata solo da alcuni amministratori. Per altre informazioni, vedere Chi può aggiornare gli attributi utente sensibili?.

5. Selezionare il formato di risposta che si desidera che i richiedenti utilizzino per la loro risposta. I formati di risposta includono: Testo breve, Scelta multipla e Testo lungo.

6. Se si seleziona Scelta multipla, selezionare Modifica e localizza per configurare le opzioni di risposta.

   1. Nel riquadro Visualizza/modifica domanda visualizzato, immettere le opzioni di risposta che si desidera assegnare al richiedente quando rispondono alla domanda nelle caselle Valori di risposta.
   2. Selezionare la lingua per l'opzione di risposta. È possibile localizzare le opzioni di risposta se si scelgono lingue aggiuntive.
   3. Immettere tutte le risposte necessarie e quindi selezionare Salva.

7. Se si vuole che il valore dell'attributo sia modificabile durante le assegnazioni dirette e le richieste self-service, selezionare Sì.

   Nota

   

   • Se si seleziona No nella casella Il valore attributo è modificabile e il valore dell'attributo è vuoto, gli utenti possono immettere il valore di tale attributo. Dopo il salvataggio, il valore non può essere modificato.
   • Se si seleziona No nella casella Il valore attributo è modificabile e il valore dell'attributo non è vuoto, gli utenti non possono modificare il valore preesistente durante le assegnazioni dirette e le richieste self-service.

   

8. Per aggiungere la localizzazione, selezionare Aggiungi localizzazione.

   1. Nel riquadro Aggiungi localizzazioni per la domanda selezionare il codice della lingua per la lingua in cui si vuole localizzare la domanda correlata all'attributo selezionato.

   2. Nella lingua configurata, immettere la domanda nella casella Testo localizzato.

   3. Dopo aver aggiunto tutte le localizzazioni necessarie, selezionare Salva.

      

9. Al termine di tutte le informazioni sull'attributo nella pagina Richiedi attributi selezionare Salva.

Aggiungere un sito di SharePoint Multi-Geo

1. Se Multi-Geo è abilitato per SharePoint, selezionare l'ambiente da cui selezionare i siti.

   

2. Selezionare quindi i siti da aggiungere al catalogo.

Aggiungere una risorsa a un catalogo a livello di codice

È anche possibile aggiungere una risorsa a un catalogo usando Microsoft Graph. Un utente in un ruolo appropriato o in un catalogo e un proprietario di risorse, con un'applicazione con l'autorizzazione EntitlementManagement.ReadWrite.All delegata può chiamare l'API per creare una resourceRequest. Un'applicazione con l'autorizzazione dell'applicazione EntitlementManagement.ReadWrite.All e le autorizzazioni per modificare le risorse, ad esempio Group.ReadWrite.All, possono anche aggiungere risorse al catalogo.

Aggiungere una risorsa a un catalogo con PowerShell

È possibile aggiungere una risorsa a un catalogo in PowerShell con il cmdlet New-MgEntitlementManagementResourceRequest dal modulo dei cmdlet di PowerShell di Microsoft Graph per Identity Governance versione del modulo 2.1.x o successiva. L'esempio seguente illustra come aggiungere un gruppo a un catalogo come risorsa usando il modulo cmdlet di PowerShell di Microsoft Graph versione 2.4.0.

Connect-MgGraph -Scopes "EntitlementManagement.ReadWrite.All,Group.ReadWrite.All"

$g = Get-MgGroup -Filter "displayName eq 'Marketing'"
if ($null -eq $g) {throw "no group" }

$catalog = Get-MgEntitlementManagementCatalog -Filter "displayName eq 'Marketing'"
if ($null -eq $catalog) { throw "no catalog" }
$params = @{
  requestType = "adminAdd"
  resource = @{
    originId = $g.Id
    originSystem = "AadGroup"
  }
  catalog = @{ id = $catalog.id }
}

New-MgEntitlementManagementResourceRequest -BodyParameter $params
sleep 5
$ar = Get-MgEntitlementManagementCatalog -AccessPackageCatalogId $catalog.Id -ExpandProperty resources
$ar.resources

Rimuovere le risorse da un catalogo

È possibile rimuovere le risorse da un catalogo. Una risorsa può essere rimossa da un catalogo solo se non viene usata in uno dei pacchetti di accesso del catalogo.

Ruoli prerequisiti: Vedere Ruoli necessari per aggiungere risorse a un catalogo.

Rimuovere le risorse da un catalogo:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra almeno con il ruolo Amministratore di Identity Governance.

2. Passare a Identity governance>Gestione entitlement>Cataloghi.

3. Nella pagina Cataloghi aprire il catalogo da cui si desidera rimuovere le risorse.

4. Nel menu a sinistra selezionare Risorse.

5. Selezionare le risorse da rimuovere.

6. Selezionare Rimuovi. Facoltativamente, selezionare i puntini di sospensione (...) e quindi selezionare Rimuovi risorsa.

Aggiungere altri proprietari di catalogo

L'utente che ha creato un catalogo diventa il primo proprietario del catalogo. Per delegare la gestione di un catalogo, aggiungere utenti al ruolo proprietario del catalogo. L'aggiunta di altri proprietari del catalogo consente di condividere le responsabilità di gestione del catalogo.

Per assegnare un utente al ruolo proprietario del catalogo:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra almeno con il ruolo Amministratore di Identity Governance.

   Suggerimento

   Altri ruoli con privilegi minimi che possono completare questa attività includono il Proprietario di cataloghi.

2. Passare a Identity governance>Gestione entitlement>Cataloghi.

3. Nella pagina Cataloghi aprire il catalogo a cui si desidera aggiungere amministratori.

4. Nel menu a sinistra selezionare Ruoli e amministratori.

   

5. Selezionare Aggiungi proprietari per selezionare i membri per questi ruoli.

6. Selezionare Seleziona per aggiungere questi membri.

Modificare un catalogo

È possibile modificare il nome e la descrizione di un catalogo. Gli utenti visualizzeranno queste informazioni nei dettagli di un pacchetto di accesso.

Per modificare un catalogo:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra almeno con il ruolo Amministratore di Identity Governance.

   Suggerimento

   Altri ruoli con privilegi minimi che possono completare questa attività includono l’Autore di cataloghi.

2. Passare a Identity governance>Gestione entitlement>Cataloghi.

3. Nella pagina Cataloghi aprire il catalogo da modificare.

4. Nella pagina Panoramica del catalogo selezionare Modifica.

5. Modificare il nome, la descrizione o le impostazioni abilitate del catalogo.

   

6. Seleziona Salva.

Eliminare un catalogo

È possibile eliminare un catalogo, ma solo se non include alcun pacchetto di accesso.

Per eliminare un catalogo:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra almeno con il ruolo Amministratore di Identity Governance.

   Suggerimento

   Altri ruoli con privilegi minimi che possono completare questa attività includono l’Autore di cataloghi.

2. Passare a Identity governance>Gestione entitlement>Cataloghi.

3. Nella pagina Cataloghi aprire il catalogo da eliminare.

4. Nella pagina Panoramica del catalogo selezionare Elimina.

5. Nella finestra di messaggio visualizzata selezionare Sì.

Eliminare un catalogo a livello di codice

È possibile eliminare un catalogo usando Microsoft Graph. Un utente in un ruolo appropriato con un'applicazione con l'autorizzazione EntitlementManagement.ReadWrite.All o delegata può chiamare l'API per eliminare un accessPackageCatalog.

Passaggi successivi

Delegare la governance dell'accesso ai responsabili dei pacchetti di accesso