Concedere ai partner l'accesso a Microsoft Security Copilot

Se si lavora con un provider di soluzioni di sicurezza gestita microsoft (MSSP), assicurarsi che accedono alle funzionalità di Security Copilot solo quando si concede loro l'accesso.

Esistono diversi modi per consentire a un partner di gestire il Security Copilot.

1. Azure Lighthouse
   Approvare il provider di servizi condivisi per ottenere Security Copilot autorizzazioni per le aree di lavoro Microsoft Sentinel e altre risorse di Azure supportate. Il piano di capacità usato è il piano di capacità del tenant partner.

2. GDAP (scelta consigliata)
   Approvare il provider di servizi condivisi per ottenere le autorizzazioni di Security Copilot per il tenant. Assegnano a un gruppo di sicurezza le autorizzazioni necessarie usando I privilegi di Amministrazione delegati granulari (GDAP). Il piano di capacità usato è il piano di capacità del cliente.

3. Collaborazione B2B
   Configurare gli account guest per consentire agli utenti del partner di accedere al tenant. Il piano di capacità usato è il piano di capacità del tenant del cliente.

Esistono compromessi per entrambi i metodi. Usare la tabella seguente per decidere quale metodo è più adatto all'organizzazione. È possibile combinare entrambi i metodi per una strategia globale dei partner.

Azure Lighthouse

Azure Lighthouse consente a un provider del servizio gestito di configurare l'accesso con privilegi minimi e associato a tempo concesso in modo esplicito dal cliente Security Copilot per l'accesso delegato alle risorse di Azure. Quando si eseguono richieste di Security Copilot all'interno del tenant del partner rispetto alle aree di lavoro Microsoft Sentinel del cliente, vengono usate le SKU del piano di capacità del partner anziché le SKU del piano di capacità del cliente.

Per altre informazioni, vedere Introduzione ad Azure Lighthouse.

Ecco la matrice corrente dei plug-in Security Copilot che supportano Azure Lighthouse:

Eseguire l'onboarding di un cliente in Azure Lighthouse

1. Raccogliere i dettagli del tenant e della sottoscrizione

   • Per eseguire l'onboarding del tenant di un cliente, è necessario disporre di una sottoscrizione di Azure attiva e sono necessarie le informazioni seguenti per creare un modello di Azure Resource Manager.
     • ID tenant di MSSP
     • ID tenant del cliente
     • ID sottoscrizione di Azure per ogni sottoscrizione specifica nel tenant del cliente che verrà gestita da MSSP, inclusi i dettagli dell'offerta.
     • Per altre informazioni, vedere Onboarding di un cliente in Azure Lighthouse.
     • Per altre informazioni Se è necessario pubblicare un'offerta di servizio gestito pubblico o privato per Azure Marketplace, vedere Pubblicare un'offerta di servizio gestito in Azure Marketplace.

2. Definire ruoli e autorizzazioni

   • In qualità di provider di servizi, è possibile eseguire più attività per un singolo cliente, richiedendo un accesso diverso per ambiti diversi. È possibile definire il numero di autorizzazioni necessario per assegnare i ruoli predefiniti di Azure appropriati. Per definire le autorizzazioni nel modello, è necessario includere i valori ID per ogni utente, gruppo di utenti o entità servizio nel tenant di gestione a cui si vuole concedere l'accesso. È anche necessario includere l'ID definizione del ruolo per ogni ruolo predefinito che si vuole assegnare. Per altre informazioni, vedere Onboarding di un cliente in Azure Lighthouse - Azure Lighthouse.

   • Per sfruttare Microsoft Entra Privileged Identity Management (PIM) per l'accesso ji-in-time, è necessario creare autorizzazioni idonee. Per altre informazioni, vedere Creare autorizzazioni idonee.

3. Creare un modello di Azure Resource Manager

   • Per eseguire l'onboarding del cliente, è necessario creare un modello di Azure Resource Manager per l'offerta con le informazioni seguenti. I valori mspOfferName e mspOfferDescription saranno visibili al cliente nella pagina Provider di servizi del portale di Azure dopo la distribuzione del modello nel tenant del cliente. È possibile creare questo modello nel portale di Azure o modificando manualmente i modelli forniti nel repository di esempi. Per altre informazioni, vedere Onboarding di un cliente in Azure Lighthouse.

4. Distribuire il modello di Azure Resource Manager

   • Dopo aver creato il modello, un utente nel tenant del cliente deve distribuirlo all'interno del tenant. È necessaria una distribuzione separata per ogni sottoscrizione di cui si vuole eseguire l'onboarding (o per ogni sottoscrizione che contiene gruppi di risorse di cui si vuole eseguire l'onboarding). La distribuzione può essere eseguita tramite PowerShell, usando l'interfaccia della riga di comando di Azure o nel portale di Azure. Per altre informazioni, vedere Onboarding di un cliente in Azure Lighthouse.

5. Verificare che l'onboarding sia riuscito

   • Dopo aver eseguito correttamente l'onboarding di una sottoscrizione del cliente in Azure Lighthouse, gli utenti nel tenant del provider di servizi potranno visualizzare la sottoscrizione e le relative risorse. È possibile confermarlo all'interno del portale di Azure, usando PowerShell o l'interfaccia della riga di comando di Azure. Per altre informazioni, vedere Onboarding di un cliente in Azure Lighthouse.

GDAP

GDAP consente a un provider del servizio gestito di configurare l'accesso con privilegi minimi e associato a tempo concesso in modo esplicito dal cliente Security Copilot. Solo i provider di servizi condivisi registrati come Cloud Solution Partner (CSP) possono gestire Security Copilot. L'accesso viene assegnato a un gruppo di sicurezza MSSP che riduce il carico amministrativo sia per il cliente che per il partner. A un utente MSSP vengono assegnati il ruolo e il gruppo di sicurezza appropriati per gestire il cliente.

Per ulteriori informazioni, vedere Introduzione ai privilegi amministrativi con delega granulari.

Ecco la matrice corrente dei plug-in Copilot di sicurezza che supportano GDAP:

Per altre informazioni, vedere Carichi di lavoro supportati da GDAP.

Relazione GDAP

1. Mssp invia una richiesta GDAP al cliente. Seguire le istruzioni in questo articolo, Ottenere le autorizzazioni per gestire il cliente. Per ottenere risultati ottimali, mssp deve richiedere ai ruoli lettore di sicurezza e operatore di sicurezza di accedere a Security Copilot piattaforma e plug-in. Per altre informazioni, vedere Informazioni sull'autenticazione.

2. Il cliente approva la richiesta GDAP del partner. Per altre informazioni, vedere Approvazione del cliente.

Autorizzazioni del gruppo di sicurezza

1. Mssp crea un gruppo di sicurezza e le assegna le autorizzazioni approvate. Per altre informazioni, vedere Assegnare ruoli Microsoft Entra.

2. Il cliente aggiunge i ruoli richiesti dal provider del servizio gestito al ruolo di Security Copilot appropriato (proprietario copilot o collaboratore copilot). Ad esempio, se mssp ha richiesto le autorizzazioni dell'operatore di sicurezza, il cliente aggiunge tale ruolo al ruolo di collaboratore Copilot all'interno di Security Copilot. Per altre informazioni, vedere Assegnazione di ruoli Security Copilot.

Accesso Security Copilot MSSP

1. L'account utente MSSP deve essere membro del gruppo di sicurezza del partner assegnato e un ruolo approvato per accedere all'area di lavoro Microsoft Sentinel delegata del cliente nel tenant del partner.

2. Mssp può accedere Security Copilot portale autonomo e usare i prompt di esempio seguenti:

   • "Elenca tutte le aree di lavoro Sentinel" per visualizzare tutte le aree di lavoro Sentinel disponibili all'interno del tenant partner e le aree di lavoro Sentinel del cliente delegato.

   • "Riepilogare l'ID evento imprevisto <dall'area di lavoro <del nome dell'area di lavoro> Sentinel del cliente" per visualizzare un riepilogo dell'evento imprevisto Sentinel dall'area di lavoro Sentinel del cliente.>

3. Mssp può accedere al dashboard di monitoraggio dell'utilizzo del Security Copilot nell'esperienza autonoma per visualizzare il costo SCU associato alla richiesta eseguita nell'area di lavoro Sentinel del cliente. Questa operazione può essere convalidata visualizzando l'ID sessione nel dashboard di monitoraggio dell'utilizzo e l'ID sessione nell'URL del browser quando si visualizza la sessione Security Copilot.

Collaborazione B2B

Questo metodo di accesso invita i singoli account partner come guest del tenant del cliente per utilizzare Copilot per la sicurezza.

Configurare un account guest per il partner

1. Passare all’Interfaccia di amministrazione di Microsoft Entra ed eseguire l’accesso.

2. Andare a Identità>Utenti>Tutti gli utenti.

3. Selezionare Nuovo utente>Invita utente esterno e quindi specificare le impostazioni per l'account guest.

   1. Nella scheda Informazioni di base immettere l'indirizzo di posta elettronica dell'utente, il nome visualizzato e un messaggio se si desidera includerne uno. A scelta, è possibile aggiungere un destinatario Cc per ricevere una copia dell'invito tramite posta elettronica.

   2. Nella sezione Identità della scheda Proprietà immettere il nome e il cognome dell'utente. A scelta, è possibile compilare tutti gli altri campi che si desidera usare.

   3. Nella scheda Assegnazioni selezionare + Aggiungi ruolo. Scorrere verso il basso e selezionare Operatore di sicurezza o Amministratore che legge i dati di sicurezza.

   4. Nella scheda Rivedi e invita rivedere le impostazioni. Quando si è pronti, selezionare Invita.

      Il partner riceve un messaggio di posta elettronica con un collegamento per accettare l'invito a partecipare al tenant come guest.

Accesso Security Copilot B2B

Dopo aver configurato un account guest per il partner, è possibile notificare loro che ora possono usare le funzionalità di Security Copilot.

1. Indicare al partner di cercare una notifica tramite posta elettronica da Microsoft. Il messaggio di posta elettronica contiene i dettagli relativi all'account utente e include un collegamento che deve selezionare per accettare l'invito.

2. Il partner accede Security Copilot visitando securitycopilot.microsoft.com e accedendo usando il proprio account di posta elettronica.

3. Il partner usa la funzionalità di commutazione tenant per assicurarsi che accinga al cliente appropriato. Ad esempio, l'immagine seguente mostra un partner di Fabrikam che usa le credenziali per lavorare in Security Copilot per il cliente Contoso.

   
   In alternativa, impostare l'ID tenant direttamente nell'URL, ad esempio
   https://securitycopilot.microsoft.com/?tenantId=aaaabbbb-0000-cccc-1111-dddd2222eeee.

4. Per iniziare a usare Security Copilot, condividere gli articoli seguenti:

   • Esplorare Microsoft Security Copilot
   • Introduzione a Microsoft Security Copilot
   • Analizzare lo script dannoso di un evento imprevisto

Supporto tecnico

Attualmente, se il provider del servizio gestito o il partner ha domande e necessita di supporto tecnico per Security Copilot al di fuori del centro per i partner, l'organizzazione del cliente deve contattare il supporto tecnico per conto del provider di servizi microsoft.