Partilhar via


Descrição geral da API de privilégios de administrador delegados granulares (GDAP)

Namespace: microsoft.graph

Importante

As APIs na versão /beta no Microsoft Graph estão sujeitas a alterações. Não há suporte para o uso dessas APIs em aplicativos de produção. Para determinar se uma API está disponível na v1.0, use o seletor Versão.

Como parte do ecossistema do Centro de Parceiros da Microsoft, os parceiros da Microsoft nos programas Fornecedor de Soluções Cloud, Revendedor de Valor Acrescentado ou Assistente podem realizar operações administrativas nos inquilinos dos clientes para ajudar a gerir os serviços do cliente, por exemplo, o Microsoft Entra ID e o Microsoft 365. Esta capacidade permitia anteriormente que os parceiros assumissem uma função de Administrador Global no inquilino do cliente indefinidamente, criando potenciais exposições de segurança e limitando o potencial de mercado.

Os privilégios de administrador delegados granulares (GDAP) fornecem aos parceiros acesso com menos privilégios aos inquilinos dos clientes, seguindo o modelo de cibersegurança Confiança Zero. Através do GDAP, os parceiros configuram e pedem acesso granular e vinculado ao tempo aos ambientes dos clientes e os clientes têm de conceder explicitamente este acesso menos privilegiado aos parceiros. Além disso, os parceiros têm de pedir funções específicas para a administração de inquilinos do cliente durante um período de tempo definido. Este controlo elimina a necessidade de os parceiros terem a função de Administrador Global no inquilino do cliente, mas, em vez disso, têm agora permissões com privilégios menores de que precisam absolutamente para tarefas administrativas delegadas.

Para obter mais informações sobre o GDAP, consulte:

Fluxo de trabalho GDAP

Ciclo de vida de uma relação GDAP

O diagrama seguinte mostra o estado das transições de relações de Administrador Delegado.

Diagrama de transição de estado de relação de Administrador Delegado

  1. Criar delegatedAdminRelationship
  2. Atualizar delegatedAdminRelationship
  3. Criar delegatedAdminRelationshipRequest (ação: lockForApproval)
  4. Criar delegatedAdminRelationshipRequest (ação: terminar)

Depois de executar a API Create delegatedAdminRelationshipRequest com a ação lockForApproval , crie a ligação de convite do cliente com o seguinte modelo de URI, em que {adminRelationshipID} é o ID do pedido de relação de administrador.

https://admin.microsoft.com/AdminPortal/Home#/partners/invitation/granularAdminRelationships/{adminRelationshipID}

Envie a ligação de convite ao cliente para que este aprove o pedido GDAP. Por exemplo, https://admin.microsoft.com/AdminPortal/Home#/partners/invitation/granularAdminRelationships/5d027261-d21f-4aa9-b7db-7fa1f56fb163-8777b240-c6f0-4469-9e98-a3205431b836 é uma ligação de convite, onde 5d027261-d21f-4aa9-b7db-7fa1f56fb163-8777b240-c6f0-4469-9e98-a3205431b836 está o ID do pedido de relação de administrador. Depois de o cliente aprovar o pedido GDAP, a relação GDAP passará para um estado ativo.

Para finalizar o fluxo de trabalho para ativar o administrador em nome da gestão (AOBO) do inquilino do cliente, crie uma nova atribuição de acesso para a relação de administrador delegado com a API Create accessAssignments .

Ciclo de vida de uma atribuição de acesso a relações GDAP

A atribuição de acesso de administrador delegado passa pelas transições de estado apresentadas no diagrama seguinte.

Diagrama de transição de estado de atribuição de acesso de administrador delegado

  1. Criar delegatedAdminAccessAssignment
  2. Eliminar delegatedAdminAccessAssignment

Casos de utilização para APIs GDAP

Esta secção descreve as formas como os parceiros da Microsoft podem utilizar as APIs GDAP para gerir programaticamente relações de administrador delegado para os seus clientes.

Relação de administrador delegado

Casos de uso APIs
Criar uma nova relação de administrador delegado para aprovação por qualquer cliente
Criar uma nova relação de administrador delegado para aprovação por um cliente específico
Criar delegatedAdminRelationship
Listar todas as relações de administrador delegadas de um parceiro
Listar todas as relações de administrador delegadas para um cliente específico
Listar delegatedAdminRelationships
Obter uma relação de administrador delegado por ID Obter delegatedAdminRelationship
Eliminar a relação de administrador delegado Eliminar delegatedAdminRelationship

Pedido de relação de administrador delegado

Casos de uso APIs
Crie um pedido de relação de administrador delegado para bloquear uma relação para aprovação do cliente ou terminar uma relação existente. Criar solicitações
Obter um pedido de relação de administrador delegado por ID Obter delegatedAdminRelationshipRequest
Listar todos os pedidos de relação de administrador delegados para uma determinada relação Listar pedidos

Atribuições de função

Casos de uso APIs
Criar nova atribuição de acesso de administrador delegado para uma relação de administrador delegado Criar accessAssignments
Listar atribuições de acesso para uma relação de administrador delegado Listar accessAssignments
Obter uma atribuição de acesso de relação de administrador delegada por ID Obter delegatedAdminAccessAssignment
Eliminar uma atribuição de acesso de uma relação de administrador delegado Eliminar delegatedAdminAccessAssignment
Atualizar atribuições de funções para uma atribuição de acesso de relação de administrador delegada Atualizar delegatedAdminAccessAssignment

Operações de execução prolongada

Casos de uso APIs
Listar todas as operações de execução prolongada de uma relação de administrador delegado Listar operações
Obter uma operação de execução prolongada de uma relação de administrador delegado Obter delegatedAdminRelationshipOperation

Clientes administradores delegados

Casos de uso APIs
Listar todos os clientes administradores delegados Lista delegatedAdminCustomers
Obter um único cliente de administrador delegado por ID Obter delegatedAdminCustomer
Obter detalhes de gestão de serviços para um cliente administrador delegado Listar serviceManagementDetails

Permissões

Para gerir relações de administrador delegado, o principal de chamada tem de estar no inquilino do parceiro e ser-lhe-ão concedidas as permissões de privilégios de administrador delegado granulares adequados.

Confiança Zero

Esta funcionalidade ajuda as organizações a alinhar as respetivas identidades com os três princípios de orientação de uma arquitetura de Confiança Zero:

  • Verificar explicitamente
  • Utilizar menos privilégios
  • Assumir violação

Para saber mais sobre a Confiança Zero e outras formas de alinhar a sua organização com os princípios de orientação, consulte o Centro de Orientação de Confiança Zero.