Tworzenie przeglądu dostępu dla grup i aplikacji w usłudze Microsoft Entra ID.

Dostęp do grup i aplikacji dla pracowników i gości zmienia się w miarę upływu czasu. Aby zmniejszyć ryzyko związane z nieaktualnymi przypisaniami dostępu, administratorzy mogą używać identyfikatora Entra firmy Microsoft do tworzenia przeglądów dostępu dla członków grupy lub dostępu do aplikacji.

Właściciele grup Microsoft 365 i grupy zabezpieczeń mogą również używać Microsoft Entra ID do tworzenia przeglądów dostępu dla członków grupy, o ile użytkownik z co najmniej rolą Administratora Zarządzania Identyfikacją włącza ustawienie za pośrednictwem okienka Ustawienia przeglądów dostępu. Aby uzyskać więcej informacji na temat tych scenariuszy, zobacz Zarządzanie przeglądami dostępu.

Obejrzyj krótki film wideo z omówieniem włączania przeglądów dostępu.

W tym artykule opisano sposób tworzenia co najmniej jednego przeglądu dostępu dla członków grupy lub dostępu do aplikacji.

• Aby przejrzeć przypisania pakietów dostępu, zobacz konfigurowanie przeglądu dostępu w zarządzaniu upoważnieniami.
• Aby przejrzeć role zasobów platformy Azure lub usługi Microsoft Entra, zobacz Tworzenie przeglądu dostępu dla zasobów platformy Azure i ról usługi Microsoft Entra w usłudze Privileged Identity Management.
• Aby przeglądać PIM dla grup, zobacz tworzenie przeglądu dostępu PIM dla grup.

Wymagania wstępne

Korzystanie z tej funkcji wymaga licencji microsoft Entra ID Governance lub Microsoft Entra Suite. Aby znaleźć odpowiednią licencję dla swoich potrzeb, zobacz Podstawy licencjonowania zarządzania w usłudze Microsoft Entra ID.

Jeśli przeglądasz dostęp do aplikacji, przed utworzeniem przeglądu zapoznaj się z artykułem dotyczącym przygotowania do przeglądu dostępu użytkowników do aplikacji, aby upewnić się, że aplikacja jest zintegrowana z Microsoft Entra ID w Twojej dzierżawie.

Tworzenie przeglądu dostępu jednoetapowego

Scope

1. Zaloguj się do centrum administracyjnego Microsoft Entra jako co najmniej Administrator zarządzania tożsamością.

2. Przejdź do zarządzania tożsamością>przeglądów dostępu.

3. Wybierz pozycję Nowy przegląd dostępu, aby utworzyć nowy przegląd dostępu.

   

4. W polu Wybierz, co chcesz przejrzeć, wybierz zasób, który chcesz przejrzeć.

   

5. W przypadku wybrania pozycji Teams + Grupy masz dwie opcje:

   • Wszystkie grupy platformy Microsoft 365 z użytkownikami-gośćmi: wybierz tę opcję, jeśli chcesz utworzyć cykliczne przeglądy dla wszystkich użytkowników-gości we wszystkich grupach usługi Microsoft Teams i platformy Microsoft 365 w organizacji. Grupy dynamiczne i grupy z możliwością przypisywania ról nie są uwzględniane. Możesz również wykluczyć poszczególne grupy, wybierając pozycję Wybierz grupy do wykluczenia.

   • Wybierz pozycję Teams + groups (Zespoły i grupy): wybierz tę opcję, jeśli chcesz określić skończony zestaw zespołów lub grup do przejrzenia. Po prawej stronie zostanie wyświetlona lista grup do wyboru.

     

6. W przypadku wybrania pozycji Aplikacje wybierz co najmniej jedną aplikację.

   

7. Teraz możesz wybrać zakres przeglądu. Możliwe opcje to:

   • Tylko użytkownicy-goście: ta opcja ogranicza przegląd dostępu wyłącznie do użytkowników gości Microsoft Entra B2B w katalogu.
   • Wszyscy: ta opcja określa zakres przeglądu dostępu do wszystkich obiektów użytkownika skojarzonych z zasobem.

   Uwaga

   Jeśli wybrano opcję Wszystkie grupy platformy Microsoft 365 z użytkownikami-gośćmi, jedyną opcją jest przejrzenie tylko użytkowników-gości.

8. Jeśli przeprowadzasz przegląd członkostwa w grupie, możesz utworzyć przeglądy dostępu tylko dla nieaktywnych użytkowników w grupie. W sekcji Zakres użytkowników zaznacz pole wyboru obok pozycji Nieaktywni użytkownicy (na poziomie dzierżawy). Jeśli zaznaczysz to pole wyboru, zakres przeglądu koncentruje się wyłącznie na nieaktywnych użytkownikach, czyli tych, którzy nie zalogowali się ani interaktywnie, ani nieinterakcyjnie do dzierżawcy. Następnie określ dni nieaktywne z wieloma dniami nieaktywnymi do 730 dni (dwa lata). Użytkownicy w grupie nieaktywni przez określoną liczbę dni są jedynymi użytkownikami w przeglądzie.

   Uwaga

   Nie ma to wpływu na ostatnio utworzonych użytkowników podczas konfigurowania czasu braku aktywności. Przegląd dostępu sprawdzi, czy użytkownik został utworzony w skonfigurowanym przedziale czasu i zlekceważy użytkowników, którzy nie istnieli przez co najmniej ten czas. Jeśli na przykład ustawisz czas braku aktywności na 90 dni, a użytkownik-gość został utworzony lub zaproszony mniej niż 90 dni temu, użytkownik-gość nie będzie w zakresie przeglądu dostępu. Dzięki temu użytkownik może zalogować się co najmniej raz przed usunięciem.

9. Wybierz pozycję Dalej: Recenzje.

Dalej: Przeglądy

1. Możesz utworzyć przegląd jednoetapowy lub wieloetapowy. Aby zapoznać się z przeglądem pojedynczego etapu, przejdź tutaj. Aby utworzyć przegląd dostępu wieloetapowego, wykonaj kroki opisane w artykule Tworzenie przeglądu dostępu wieloetapowego

2. W sekcji Określanie recenzentów w polu Wybierz recenzentów wybierz jedną lub więcej osób do podejmowania decyzji w przeglądach dostępu. Dostępne są następujące opcje:

   • Właściciel(ka)/Właściciele grupy: ta opcja jest dostępna tylko w przypadku przeglądu w zespole lub grupie.
   • Wybrani użytkownicy lub grupy
   • Użytkownicy przeglądają własny dostęp
   • Menedżerowie użytkowników

   Jeśli wybierzesz pozycję Menedżerowie użytkowników lub właścicieli grupy, możesz również określić rezerwowego recenzenta. Recenzenci zapasowi są proszeni o dokonanie przeglądu, gdy użytkownik nie ma menedżera określonego w katalogu organizacyjnym lub jeśli grupa nie ma właściciela.

   Uwaga

   W przeglądzie dostępu do zespołu lub grupy tylko właściciele grup (w momencie rozpoczęcia przeglądu) są traktowani jako recenzenci. W trakcie przeglądu, jeśli lista właścicieli grup zostanie zaktualizowana, nowi właściciele grup nie będą traktowani jako recenzenci, a także starzy właściciele grup będą nadal traktowani jako recenzenci. Jednak w przypadku cyklicznej oceny wszelkie zmiany na liście właścicieli grup zostaną uwzględnione w następnym przebiegu tej oceny.

   Ważne

   W przypadku przeglądów dostępu usługi PIM dla grup (wersja zapoznawcza) podczas wybierania właściciela grupy jako recenzenta należy przypisać co najmniej jednego rezerwowego recenzenta. Przegląd przypisze jako recenzentów tylko aktywnych właścicieli. Uprawnieni właściciele nie są uwzględniani. Jeśli nie ma aktywnych właścicieli po rozpoczęciu przeglądu, recenzenci rezerwowi zostaną przypisani do przeglądu.

   

3. W sekcji Określanie cyklu przeglądu określ następujące opcje:

   • Czas trwania (w dniach): jak długo recenzja jest otwarta dla danych wejściowych od recenzentów.

   • Data rozpoczęcia: kiedy rozpoczyna się seria przeglądów.

   • Data zakończenia: po zakończeniu serii przeglądów. Można określić, że nigdy się nie kończy. Możesz też wybrać Zakończ w określonej dacie lub Zakończ po określonej liczbie wystąpień.

     

4. Wybierz pozycję Dalej: Ustawienia.

Możesz określić datę rozpoczęcia, ale czas rozpoczęcia może się różnić w zależności od przetwarzania systemu.

Dalej: Ustawienia

1. W sekcji Ustawienia po zakończeniu możesz określić, co się stanie po zakończeniu przeglądu.

   

   • Automatycznie zastosuj wyniki do zasobu: zaznacz to pole wyboru, jeśli chcesz, aby dostęp użytkowników, którym go odmówiono, został automatycznie usunięty po zakończeniu przeglądu. Jeśli opcja jest wyłączona, należy ręcznie zastosować wyniki po zakończeniu przeglądu. Aby dowiedzieć się więcej o stosowaniu wyników przeglądu, zobacz Zarządzanie przeglądami dostępu.

   • Jeśli recenzenci nie odpowiadają: użyj tej opcji, aby określić, co się stanie dla użytkowników, którzy nie przejdą przez żadnego recenzenta w okresie przeglądu. To ustawienie nie ma wpływu na użytkowników, którzy zostali przejrzeni przez recenzenta. Lista rozwijana zawiera następujące opcje:

     • Brak zmian: pozostawia dostęp użytkownika bez zmian.
     • Usuwanie dostępu: usuwa dostęp użytkownika.
     • Zatwierdzanie dostępu: zatwierdza dostęp użytkownika.
     • Przyjmowanie rekomendacji: akceptuje zalecenie systemu, aby odmówić lub zatwierdzić kontynuację dostępu użytkownika.

     Ostrzeżenie

     Jeśli ustawienie Jeśli recenzenci nie odpowiadają jest ustawione na Usuń dostęp lub Zastosuj zalecenia oraz Automatycznie zastosuj wyniki do zasobu jest włączone, cały dostęp do tego zasobu może zostać odwołany, jeśli recenzenci nie będą odpowiadać.

   • Akcja stosowana dla odrzuconych użytkowników-gości: ta opcja jest dostępna tylko, gdy przegląd dostępu obejmuje wyłącznie użytkowników-gości, aby określić, co się stanie z nimi, jeśli zostaną odrzuceni przez recenzenta lub przez ustawienie jeśli recenzenci nie odpowiadają.

     • Usuń członkostwo użytkownika z zasobu: ta opcja usuwa odrzucony dostęp użytkownika-gościa do przeglądanej grupy lub aplikacji. Nadal mogą zalogować się do konta dzierżawcy i nie utracą żadnego innego dostępu.
     • Zablokuj użytkownikowi możliwość logowania przez 30 dni, a następnie usuń użytkownika z dzierżawy: ta opcja uniemożliwia zalogowanie się użytkownikowi-gościowi, który otrzymał odmowę, do dzierżawy, niezależnie od tego, czy mają dostęp do innych zasobów. Jeśli ta akcja została podjęta w błędzie, administratorzy mogą przywrócić dostęp użytkownika-gościa w ciągu 30 dni od wyłączenia użytkownika-gościa. Jeśli po 30 dniach nie zostanie podjęta żadna akcja w stosunku do wyłączonego użytkownika-gościa, zostanie on usunięty z dzierżawy.

   Aby dowiedzieć się więcej na temat najlepszych praktyk dotyczących usuwania użytkowników gościnnych, którzy nie mają już dostępu do zasobów w Twojej organizacji, zobacz Używaj Zarządzania tożsamością Microsoft Entra do przeglądania i usuwania użytkowników zewnętrznych, którzy nie mają już dostępu do zasobów.

   Uwaga

   Akcja stosowana dla odrzuconych kont gości nie jest konfigurowalna, jeśli przeglądy obejmują więcej niż konta gości. Nie można również konfigurować przeglądów wszystkich grup platformy Microsoft 365 z użytkownikami-gośćmi. Jeśli nie można skonfigurować, domyślna opcja usunięcia członkostwa użytkownika z zasobu jest używana dla odrzuconych użytkowników.

2. Użyj opcji Wyślij powiadomienie na koniec przeglądu, aby wysyłać powiadomienia do innych użytkowników lub grup z aktualizacjami ukończenia. Ta funkcja umożliwia osobom biorącym udział w projekcie innym niż twórca przeglądu zaktualizowanie postępu przeglądu. Aby użyć tej funkcji, wybierz pozycję Wybierz użytkowników lub grupy , a następnie dodaj innego użytkownika lub grupę, dla której chcesz otrzymać stan ukończenia.

3. W sekcji Włączanie pomocników podejmowania decyzji dotyczących przeglądu wybierz, czy recenzent ma otrzymywać zalecenia podczas procesu przeglądu:

   1. Jeśli wybierzesz pozycję Nie zalogujesz się w ciągu 30 dni, zaleca się zatwierdzenie użytkowników, którzy zalogowali się w ciągu ostatnich 30 dni. Użytkownikom, którzy nie zalogowali się w ciągu ostatnich 30 dni, zaleca się odrzucenie dostępu. Ten 30-dniowy interwał jest niezależnie od tego, czy logowania były interaktywne, czy nie. Ostatnia data logowania dla określonego użytkownika będzie również wyświetlana wraz z zaleceniem.
   2. W przypadku wybrania Przynależność użytkownika do grupy, recenzenci otrzymają zalecenie zatwierdzenia lub odmowy dostępu dla użytkowników na podstawie średniej odległości użytkownika od struktury raportowania organizacji. Użytkownicy, którzy są daleko od wszystkich innych użytkowników w grupie, są uważani za mających "niską przynależność" i otrzymają rekomendację odmowy dostępu w przeglądach dostępu grupy.

   Uwaga

   Jeśli tworzysz przegląd dostępu do aplikacji, rekomendacje są oparte na 30-dniowym okresie w zależności od tego, kiedy użytkownik ostatnio zalogował się do aplikacji, a nie dzierżawy.

   

4. W sekcji Ustawienia zaawansowane możesz wybrać następujące opcje:

   • Wymagane uzasadnienie: zaznacz to pole wyboru, aby wymagać od recenzenta podania przyczyny zatwierdzenia lub odmowy.

   • Powiadomienia e-mail: zaznacz to pole wyboru, aby identyfikator entra firmy Microsoft wysyłał powiadomienia e-mail do recenzentów po rozpoczęciu przeglądu dostępu i administratorom po zakończeniu przeglądu.

   • Przypomnienia: zaznacz to pole wyboru, aby identyfikator Entra firmy Microsoft wysyłał przypomnienia o przeglądach dostępu w toku do wszystkich recenzentów. Recenzenci otrzymują przypomnienia w połowie przeglądu, niezależnie od tego, czy zakończyli przegląd, czy nie.

   • Dodatkowa zawartość wiadomości e-mail recenzenta: zawartość wiadomości e-mail wysyłanej do recenzentów jest automatycznie generowana na podstawie szczegółów przeglądu, takich jak nazwa przeglądu, nazwa zasobu i data ukończenia. Jeśli chcesz przekazać więcej informacji, możesz określić szczegóły, takie jak instrukcje lub informacje kontaktowe w polu. Wprowadzone informacje są uwzględniane w zaproszeniu, a wiadomości e-mail z przypomnieniami są wysyłane do przypisanych recenzentów. Sekcja wyróżniona na poniższej ilustracji pokazuje, gdzie są wyświetlane te informacje.

     

5. Wybierz opcję Dalej: przejrzyj + utwórz.

   

Dalej: Przejrzyj i utwórz

1. Nadaj nazwę przeglądowi dostępu. Opcjonalnie nadaj przeglądowi opis. Nazwa i opis są wyświetlane recenzentom.

2. Przejrzyj informacje i wybierz pozycję Utwórz.

Tworzenie przeglądu dostępu wieloetapowego

Przegląd wieloetapowy umożliwia administratorowi zdefiniowanie dwóch lub trzech zestawów recenzentów w celu ukończenia przeglądu po drugim. W jednym etapie przeglądu wszyscy recenzenci podejmują decyzję w tym samym czasie, a decyzja ostatniego recenzenta, który ją podejmie, jest stosowana. W wieloetapowym przeglądzie dwa lub trzy niezależne zestawy recenzentów podejmują decyzję na swoim etapie. Etapy są sekwencyjne, a następny etap nie nastąpi, dopóki decyzja nie zostanie zarejestrowana na poprzednim etapie. Przeglądy wieloetapowe mogą służyć do zmniejszenia obciążenia dla recenzentów późniejszych etapów, umożliwienia eskalacji recenzentów lub umożliwienia niezależnej grupy recenzentów uzgadniania decyzji.

1. Po wybraniu zasobu i zakresu przeglądu przejdź do karty Przeglądy .

2. Zaznacz pole wyboru obok Przegląd wieloetapowy.

3. W obszarze Przegląd pierwszego etapu wybierz recenzentów z menu rozwijanego obok pozycji Wybierz recenzentów.

4. Jeśli wybierzesz pozycję Właściciele grupy lub Menedżerowie użytkowników, możesz dodać recenzenta rezerwowego. Aby dodać rezerwowy element, wybierz pozycję Wybierz recenzentów rezerwowych i dodaj użytkowników, którzy mają być recenzentami rezerwowymi.

   

5. Dodaj czas trwania pierwszego etapu. Aby dodać czas trwania, wprowadź liczbę w polu obok pozycji Czas trwania etapu (w dniach). Jest to liczba dni, w których pierwszy etap ma być otwarty dla recenzentów pierwszego etapu w celu podejmowania decyzji.

6. W obszarze Przegląd drugiego etapu wybierz recenzentów z menu rozwijanego obok pozycji Wybierz recenzentów. Ci recenzenci zostaną poproszeni o recenzję po zakończeniu pierwszego etapu recenzji.

7. W razie potrzeby dodaj jakichkolwiek recenzentów rezerwowych.

8. Dodaj czas trwania drugiego etapu.

9. Domyślnie podczas tworzenia przeglądu wieloetapowego widać dwa etapy. Można jednak dodać maksymalnie trzy etapy. Jeśli chcesz dodać trzeci etap, wybierz pozycję + Dodaj etap i wypełnij wymagane pola.

10. Możesz zezwolić recenzentom drugiego i drugiego etapu na wyświetlanie decyzji podjętych w poprzednich etapach. Jeśli chcesz zezwolić im na wyświetlanie decyzji podjętych wcześniej, zaznacz pole obok Pokaż decyzje z poprzednich etapów późniejszym recenzentom w sekcji Ujawnij wyniki przeglądu. Pozostaw pole niezaznaczone, aby wyłączyć to ustawienie, jeśli chcesz, aby recenzenci dokonali przeglądu niezależnie.

    

11. Czas trwania każdego cyklu jest ustawiony na sumę dni trwania, które określiłeś na każdym etapie.

12. Określ cykl przeglądu, datę rozpoczęcia i datę zakończenia przeglądu. Typ cyklu musi być co najmniej tak długi, jak całkowity czas trwania cyklu (czyli maksymalny czas trwania cotygodniowego cyklu przeglądu wynosi 7 dni).

13. Aby określić, które przeglądy będą kontynuowane od etapu do etapu, wybierz jedną lub wiele z następujących opcji obok pozycji Określ recenzje, aby przejść do następnego etapu :

    1. Zatwierdzeni recenzenci — tylko zatwierdzeni recenzenci przechodzą do następnych etapów.
    2. Odrzuceni recenzowani — tylko recenzowani, którym odmówiono, przechodzą do następnego etapu.
    3. Nie przeglądane recenzje — tylko recenzje, które nie zostały poddane przeglądowi, zostaną przeniesione do następnego etapu.
    4. Recenzje oznaczone jako "Don't Know" — tylko recenzje oznaczone jako "Nie wiem" przechodzą do następnego etapu.
    5. Wszystko: wszyscy przechodzą do następnego etapu, jeśli chcesz, aby recenzenci na wszystkich etapach podjęli decyzję.

14. Przejdź do karty ustawień i zakończ pozostałe ustawienia, a następnie utwórz recenzję. Postępuj zgodnie z instrukcjami w sekcji Dalej: Ustawienia.

Uwzględnij użytkowników i zespoły korzystające z bezpośredniego połączenia B2B oraz uzyskujące dostęp do kanałów udostępnionych usługi Teams w przeglądach dostępu.

Możesz tworzyć przeglądy dostępu dla użytkowników B2B direct connect za pośrednictwem kanałów udostępnionych w usłudze Microsoft Teams. Podczas współpracy zewnętrznej możesz użyć przeglądów dostępu firmy Microsoft Entra, aby upewnić się, że dostęp zewnętrzny do udostępnionych kanałów pozostaje aktualny. Użytkownicy zewnętrzni w kanałach udostępnionych są nazywani bezpośrednimi użytkownikami połączenia B2B. Aby dowiedzieć się więcej o udostępnionych kanałach usługi Teams i użytkownikach bezpośredniego połączenia B2B, przeczytaj artykuł B2B direct connect.

Podczas tworzenia przeglądu dostępu w zespole z udostępnionymi kanałami recenzenci mogą przeglądać, czy istnieje dalsza potrzeba dostępu dla tych zewnętrznych użytkowników i zespołów w udostępnionych kanałach. Możesz przejrzeć dostęp użytkowników B2B connect i innych obsługiwanych użytkowników współpracy B2B i użytkowników wewnętrznych innych niż B2B w tej samej recenzji.

Użytkownicy i zespoły B2B połączone bezpośrednio są uwzględniani w przeglądach dostępu grup Microsoft 365 z włączoną funkcją Teams, w których znajdują się udostępnione kanały. Aby utworzyć recenzję, musisz mieć co najmniej rolę Administratora Użytkowników lub Administratora Zarządzania Tożsamościami.

Skorzystaj z poniższych instrukcji, aby utworzyć przegląd dostępu w zespole z udostępnionymi kanałami:

1. Zaloguj się do centrum administracyjnego Microsoft Entra co najmniej jako Administrator zarządzania tożsamością.

2. Przejdź do Zarządzanie tożsamościami>Przeglądy dostępu.

3. Wybierz + Nowy przegląd dostępu.

4. Wybierz pozycję Zespoły i grupy, a następnie wybierz pozycję Wybierz zespoły i grupy, aby ustawić zakres Przeglądu. Bezpośrednie łączenie użytkowników i zespołów B2B nie jest uwzględniane w recenzjach wszystkich grup platformy Microsoft 365 z użytkownikami-gośćmi.

5. Wybierz zespół, który wspólnie korzysta z kanałów z jednym lub większą liczbą bezpośrednich użytkowników B2B lub zespołów w Teams.

6. Ustaw zakres.

   

   • Wybierz pozycję Wszyscy użytkownicy , aby uwzględnić:
     • Wszyscy użytkownicy wewnętrzni
     • Użytkownicy współpracy B2B, którzy są członkami zespołu
     • Użytkownicy bezpośredniego połączenia B2B
     • Zespoły, które uzyskują dostęp do kanałów udostępnionych
   • Możesz też wybrać opcję Użytkownicy-goście tylko , aby uwzględnić tylko użytkowników korzystających z połączeń bezpośrednich B2B oraz użytkowników usługi Teams i współpracy B2B.

7. Przejdź do karty Recenzje. Wybierz recenzenta, aby ukończyć przegląd, a następnie określ Czas trwania i Częstotliwość przeglądu.

   Uwaga

   • Jeśli ustawisz Wybierz recenzentów na Użytkownicy przeglądają własny dostęp lub Menedżerowie użytkowników, użytkownicy B2B direct connect i Teams nie będą mogli przeglądać własnego dostępu w twojej dzierżawie. Właściciel zespołu będącego w przeglądzie otrzyma wiadomość e-mail z prośbą o przegląd użytkownika połączenia bezpośredniego B2B oraz zespołów w aplikacji Teams.
   • Jeśli wybierzesz pozycję Menedżerowie użytkowników, wybrany recenzent rezerwowy będzie przeglądać dowolnego użytkownika bez menedżera w dzierżawie macierzystej. Obejmuje to użytkowników z bezpośrednim połączeniem B2B i zespoły bez menedżera.

8. Przejdź do karty Ustawienia i skonfiguruj dodatkowe ustawienia. Następnie przejdź na kartę Przeglądanie i Tworzenie, aby rozpocząć przegląd dostępu. Aby uzyskać bardziej szczegółowe informacje na temat tworzenia przeglądu i ustawień konfiguracji, zobacz artykuł Create a single-stage access review (Tworzenie dostępu jednoetapowego).

Zezwalaj właścicielom grup na tworzenie przeglądów dostępu grup i zarządzanie nimi

1. Zaloguj się do centrum administracyjnego Microsoft Entra jako co najmniej Administrator zarządzania tożsamością.

2. Przejdź do Zarządzania tożsamością>Przeglądy dostępu>Ustawienia.

3. Na stronie Delegowanie, które mogą tworzyć i zarządzać przeglądami dostępu, ustaw opcję Właściciele grup mogą tworzyć i zarządzać przeglądami dostępu dla grup, które posiadają na Tak.

   

   Uwaga

   Domyślnie ustawienie ma wartość Nie. Aby zezwolić właścicielom grup na tworzenie przeglądów dostępu i zarządzanie nimi, zmień ustawienie na Tak.

Tworzenie przeglądu dostępu za pomocą programowania

Możesz również utworzyć przegląd dostępu przy użyciu programu Microsoft Graph lub programu PowerShell.

Aby utworzyć przegląd dostępu przy użyciu programu Graph, wywołaj interfejs API programu Graph, aby utworzyć definicję harmonogramu przeglądu dostępu. Obiekt wywołujący musi być użytkownikiem, który spełnia odpowiednią rolę i używa aplikacji posiadającej delegowane uprawnienie AccessReview.ReadWrite.All lub aplikacją posiadającą uprawnienie aplikacji AccessReview.ReadWrite.All. Aby uzyskać więcej informacji, zobacz Omówienie interfejsów API przeglądów dostępu oraz samouczki dotyczące sposobu przeglądania członków grupy zabezpieczeń lub przeglądania gości w grupach Microsoft 365.

Możesz również utworzyć przegląd dostępu w programie PowerShell za pomocą New-MgIdentityGovernanceAccessReviewDefinition polecenia cmdlet programu Microsoft Graph PowerShell dla modułu Identity Governance . Aby uzyskać więcej informacji, zobacz przykłady.

Kiedy zaczyna się przegląd dostępu

Po określeniu ustawień przeglądu dostępu i jego utworzeniu przegląd dostępu zostanie wyświetlony na liście ze wskaźnikiem jego stanu.

Domyślnie, Microsoft Entra ID wysyła wiadomość e-mail do recenzentów niedługo po rozpoczęciu jednorazowego przeglądu lub po rozpoczęciu okresowego przeglądu. Jeśli nie chcesz, aby identyfikator Entra firmy Microsoft wysłał wiadomość e-mail, pamiętaj, aby poinformować recenzentów, że przegląd dostępu czeka na ukończenie. Możesz wyświetlić instrukcje dotyczące przeglądania dostępu do grup lub aplikacji. Jeśli twój przegląd dotyczy gości, aby zrecenzowali swój własny dostęp, pokaż im instrukcje, jak przejrzeć swój dostęp do grup lub aplikacji.

Jeśli przypisali gości jako recenzentów i nie zaakceptowali oni zaproszenia do najemcy, nie otrzymają wiadomości e-mail z przeglądów uprawnień. Muszą najpierw zaakceptować zaproszenie, zanim będą mogli rozpocząć przeglądanie.

Aktualizowanie przeglądu dostępu

Po rozpoczęciu co najmniej jednego przeglądu dostępu możesz zmodyfikować lub zaktualizować ustawienia istniejących przeglądów dostępu. Poniżej przedstawiono kilka typowych scenariuszy, które należy wziąć pod uwagę:

• Ustawienia aktualizacji lub recenzenci: jeśli przegląd dostępu jest cykliczny, istnieją oddzielne ustawienia w obszarze Bieżące i w obszarze Seria. Aktualizowanie ustawień lub recenzentów w obszarze Bieżące dotyczy tylko zmian w bieżącym przeglądzie dostępu. Aktualizowanie ustawień w obszarze Seria aktualizuje ustawienia dla wszystkich przyszłych cykli.

  

• Dodawanie i usuwanie recenzentów: podczas aktualizowania przeglądów dostępu można dodać rezerwowego recenzenta oprócz podstawowego recenzenta. Recenzenci podstawowi mogą zostać usunięci podczas aktualizowania przeglądu dostępu. Recenzenci rezerwowi nie są usuwalni zgodnie z zamysłem.

  Uwaga

  Recenzentów rezerwowych można dodawać tylko wtedy, gdy typ recenzenta jest menedżerem lub właścicielem grupy. Recenzentów podstawowych można dodawać, gdy typ recenzenta jest wybranym użytkownikiem.

• Przypomnij recenzentom: podczas aktualizowania przeglądów dostępu możesz włączyć opcję Przypomnienia w obszarze Ustawienia zaawansowane. Użytkownicy otrzymują następnie powiadomienie e-mail w połowie okresu przeglądu, niezależnie od tego, czy zakończyli przegląd, czy nie.

  

Następne kroki

• Ukończ przegląd dostępu grup lub aplikacji
• Tworzenie przeglądu dostępu usługi PIM dla grup (wersja zapoznawcza)
• Przeglądanie dostępu do grup lub aplikacji
• Przejrzyj dostęp do grup lub aplikacji dla siebie
• Utwórz przegląd dostępu zasobów Azure i ról Microsoft Entra w PIM