Microsoft Entra ID-kezelés egyéni riasztások

Microsoft Entra ID-kezelés megkönnyíti a szervezeten belüli személyek értesítését, amikor műveleteket kell végezniük (például jóváhagyják az erőforráshoz való hozzáférésre vonatkozó kérést), vagy ha egy üzleti folyamat nem működik megfelelően (például az új alkalmazottak nem kapnak kiépítést).

Az alábbi táblázat a Microsoft Entra ID Governance által biztosított szabványos értesítések némelyikét ismerteti. Ez magában foglalja a szervezet célszemélye, hogyan és mikor kapnak értesítést.

Meglévő szabványos értesítések mintája

Egyéni riasztási értesítések

A Microsoft Entra ID-kezelés által biztosított szabványos értesítések mellett a szervezetek egyéni riasztásokat is létrehozhatnak az igényeiknek megfelelően.

A Microsoft Entra ID-kezelés szolgáltatások által végzett összes tevékenység a Microsoft Entra auditnaplóiban lesz naplózva. A naplók Azure Monitor Log Analytics-munkaterületrevaló leküldésével a szervezetek egyéni riasztásokat hozhatnak létre.

Az alábbi szakasz példákat mutat be az ügyfelek által létrehozható egyéni riasztásokra az Microsoft Entra ID-kezelés az Azure Monitorral való integrálásával. Az Azure Monitor használatával a szervezetek testre szabhatják, hogy milyen riasztások jönnek létre, ki kapja meg a riasztásokat, és hogyan kapják meg a riasztást (e-mail, SMS, ügyfélszolgálati jegy stb.).

Hozzáférési felülvizsgálatok

Értesítés egy rendszergazda számára a hozzáférési felülvizsgálat törlésekor.

Lekérdezés

AuditLogs
| where ActivityDisplayName == "Delete access review"

Jogosultságkezelés

Értesítse a rendszergazdát, ha egy felhasználót közvetlenül hozzáadnak egy csoporthoz, hozzáférési csomag használata nélkül.

Lekérdezés

AuditLogs
| where parse_json(tostring(TargetResources[1].id)) in ("InputGroupID", "InputGroupID")
| where ActivityDisplayName == "Add member to group"
| extend ActorName = tostring(InitiatedBy.app.displayName)
| where ActorName != "Azure AD Identity Governance - User Management"

Egy informatikai rendszergazda értesítése új csatlakoztatott szervezet létrehozásakor. A szervezet felhasználói mostantól hozzáférést kérhetnek az összes csatlakoztatott szervezet számára elérhetővé tett erőforrásokhoz.

Lekérdezés

AuditLogs
| where ActivityDisplayName == "Create connected organization"
| mv-expand AdditionalDetails
| extend key = AdditionalDetails.key, value = AdditionalDetails.value
| extend tostring(key) == "Description"
| where key == "Description"
| parse value with * "\n" TenantID 
| distinct TenantID

Riasztást küld egy rendszergazdának, ha egy jogosultságkezelési egyéni bővítmény meghiúsul.

Lekérdezés

AuditLogs
| where ActivityDisplayName == "Execute custom extension"
| where Result == "success"
| mvexpand TargetResources 
| extend  CustomExtensionName=TargetResources.displayName
| where CustomExtensionName in ('<input custom extension name>', '<input custom extension name>')

Riasztást küld a rendszergazdának, ha jóváhagyás nélkül hoz létre vagy frissít egy jogosultságkezelési hozzáférési csomag-hozzárendelési szabályzatot.

Lekérdezés

AuditLogs
| where ActivityDisplayName in ("Create access package assignment policy", "Update access package assignment policy")
| extend AdditionalDetailsParsed = parse_json(AdditionalDetails)
| mv-expand AdditionalDetailsParsed
| extend Key = tostring(AdditionalDetailsParsed.key), Value = tostring(AdditionalDetailsParsed.value)
| summarize make_set(Key), make_set(Value) by ActivityDisplayName, CorrelationId
| where set_has_element(set_Key, "IsApprovalRequiredForAdd") and set_has_element(set_Value, "False")
| where set_has_element(set_Key, "SpecificAllowedTargets") and not(set_has_element(set_Value, "None"))

Életciklus-munkafolyamatok

Riasztást küld egy rendszergazdának, ha egy adott életciklus-munkafolyamat meghiúsul.

Lekérdezés

AuditLogs
| where Category == "WorkflowManagement"
| where ActivityDisplayName in ('On-demand workflow execution completed', 'Scheduled workflow execution completed')
| where Result != "success"
| mvexpand TargetResources 
| extend  WorkflowName=TargetResources.displayName
| where WorkflowName in ('input workflow name', 'input workflow name')
| extend WorkflowType = AdditionalDetails[0].value 
| extend DisplayName = AdditionalDetails[1].value 
| extend ObjectId = AdditionalDetails[2].value 
| extend UserCount = AdditionalDetails[3].value 
| extend Users = AdditionalDetails[4].value 
| extend RequestId = AdditionalDetails[5].value 
| extend InitiatedBy = InitiatedBy.app.displayName 
| extend Result = Result 
| project WorkflowType, DisplayName, ObjectId, UserCount, Users, RequestId, Id, Result,ActivityDisplayName

Riasztási logika

• Az eredmények száma alapján
• Operátor: Egyenlő
• Küszöbérték: 0

Több-bérlős kollaboráció

Egy rendszergazda értesítése új bérlők közötti hozzáférési szabályzat létrehozásakor. Ez lehetővé teszi a szervezet számára, hogy észlelje, mikor jött létre kapcsolat egy új szervezettel.

Lekérdezés

AuditLogs
| where OperationName == "Add a partner to cross-tenant access setting"
| where parse_json(tostring(TargetResources[0].modifiedProperties))[0].displayName == "tenantId"
| extend initiating_user=parse_json(tostring(InitiatedBy.user)).userPrincipalName
| extend source_ip=parse_json(tostring(InitiatedBy.user)).ipAddress
| extend target_tenant=parse_json(tostring(TargetResources[0].modifiedProperties))[0].newValue
| project TimeGenerated, OperationName,initiating_user,source_ip, AADTenantId,target_tenant
| project-rename source_tenant= AADTenantId

Rendszergazdaként riasztást kaphatok, ha a bejövő bérlők közötti szinkronizációs szabályzat igazra van állítva. Ez lehetővé teszi a szervezet számára, hogy észlelje, hogy egy szervezet jogosult-e az identitások bérlőbe való szinkronizálására.

Lekérdezés

AuditLogs
| where OperationName == "Update a partner cross-tenant identity sync setting"
| extend a = tostring(TargetResources)
| where a contains "true"
| where parse_json(tostring(TargetResources[0].modifiedProperties))[0].newValue contains "true"

Riasztási logika

Kiváltságos identitáskezelés

Riasztást küld egy rendszergazdának, ha bizonyos PIM-biztonsági riasztások le vannak tiltva.

Lekérdezés

AuditLogs
| where ActivityDisplayName == "Disable PIM alert"

Rendszergazda értesítése, ha egy felhasználó a PIM-en kívüli szerepkörhöz van hozzáadva

A következő lekérdezés egy sablonazonosítón alapul. A sablonazonosítók listáját itt találja.

Lekérdezés

AuditLogs
| where ActivityDisplayName == "Add member to role"
| where parse_json(tostring(TargetResources[0].modifiedProperties))[2].newValue in ("\"INPUT GUID\"")

A szolgáltatás biztosítása

Értesítsen egy informatikai rendszergazdát, ha az elmúlt nap során megnövekedett a kiépítési hibák száma. Amikor a riasztást log analyticsben konfigurálja, állítsa az összesítés részletességét 1 naposra.

Lekérdezés

AADProvisioningLogs
| where JobId == "<input JobId>"
| where resultType == "Failure"

Alert Logic

• Az eredmények száma alapján
• Operátor: Nagyobb, mint
• Küszöbérték: 10

Riasztást küld a rendszergazdának, ha valaki elindít, leáll, letilt, újraindít vagy töröl egy kiépítési konfigurációt.

Lekérdezés

AuditLogs
| where ActivityDisplayName in ('Add provisioning configuration','Delete provisioning configuration','Disable/pause provisioning configuration', 'Enable/restart provisioning configuration', 'Enable/start provisioning configuration')

Rendszergazda értesítése, ha egy kiépítési feladat karanténba kerül

Lekérdezés

AuditLogs
| where ActivityDisplayName == "Quarantine"

Következő lépések

• A Microsoft Entra tevékenységnaplóinak elemzése az Azure Monitor naplóanalitikával
• Lekérdezések használatának első lépései az Azure Monitor-naplókban
• Riasztási csoportok létrehozása és kezelése az Azure Portalon
• A Microsoft Entra ID naplóelemzési nézeteinek telepítése és használata
• Naplók és jelentések archiválása a jogosultságkezelésről az Azure Monitorban