为 Privileged Identity Management 中的 Microsoft Entra 角色配置安全警报
当属于 Microsoft Entra ID 的组织中存在可疑或不安全活动时，Privileged Identity Management (PIM) 会生成警报。 触发警报时，它显示在 Privileged Identity Management 仪表板上。 选择警报以查看列出了已触发该警报的用户或角色的报告。
注意
Privileged Identity Management 中的一个事件可以生成发往多个收件人（被分派人、审批者或管理员）的电子邮件通知。 每个事件发送的最大通知数为 1000。 如果收件人数超过 1000，则只有前 1000 个收件人会收到电子邮件通知。 这不会阻止其他被分派人、管理员或审批者在 Microsoft Entra ID 和 Privileged Identity Management 中使用其权限。
许可要求
使用 Privileged Identity Management 需要许可证。 有关许可的详细信息，请参阅 Microsoft Entra ID 治理许可基础知识。
安全警报
本部分列出 Microsoft Entra 角色的所有安全警报，以及如何修复和防止这些警报。 严重性的含义如下：
- 高：因策略冲突需要立即采取措施。
- 中：不需要立即采取措施，但有潜在的策略冲突。
- 低：不需要立即采取措施，但建议考虑可取的策略更改。
注意
只有以下角色能够读取 Microsoft Entra 角色的 PIM 安全警报：全局管理员、特权角色管理员、全局读取者、安全管理员以及安全读取者。
管理员不使用其特权角色
严重级别：低
| 说明 | |
|---|---|
| 为何收到此警报？ | 为用户分配他们不需要的特权角色会增大受攻击的可能性。 在不经常使用的帐户中，攻击者也更容易隐藏。 |
| 如何修复？ | 查看列表中的用户，将其从不需要的特权角色中移除。 |
| 防护 | 特权角色只分配给有业务需要的用户。 安排定期的访问评审，以确认用户是否仍需要访问权限。 |
| 门户中的缓解措施 | 从用户的特权角色中删除其帐户。 |
| 触发器 | 如果用户在指定天数过后未激活角色，将触发此警报。 |
| 天数 | 此设置指定用户可以不激活角色的最大天数（0 到 100）。 |
角色无需多重身份验证进行激活
严重级别：低
| 说明 | |
|---|---|
| 为何收到此警报？ | 如果不执行多重身份验证，则遭到入侵的用户可以激活特权角色。 |
| 如何修复？ | 查看角色列表，要求执行多重身份验证（针对每个角色）。 |
| 防护 | 针对每个角色要求执行 MFA。 |
| 门户中的缓解措施 | 要求在激活特权角色时执行多重身份验证。 |
组织没有 Microsoft Entra ID P2 或 Microsoft Entra ID 治理
严重级别：低
| 说明 | |
|---|---|
| 为何收到此警报？ | 当前 Microsoft Entra 组织没有 Microsoft Entra ID P2 或 Microsoft Entra ID 治理。 |
| 如何修复？ | 请参阅与 Microsoft Entra 版本有关的信息。 升级到 Microsoft Entra ID P2 或 Microsoft Entra ID 治理。 |
可能有过时的帐户充当特权角色
严重级别：中
| 说明 | |
|---|---|
| 为何收到此警报？ | 此警报不再基于帐户的上一次密码更改日期触发。 此警报适用于在过去 n 天内未登录的特权角色中的帐户，其中 n 是天数，可以在 1-365 天的范围内进行配置。 这些帐户可能是未维护且易受攻击者攻击的服务帐户或共享帐户。 |
| 如何修复？ | 请检查列表中的帐户。 如果它们不再需要访问权限，请将其从特权角色中删除。 |
| 防护 | 确保当知道密码的用户有变化时，共享的帐户会轮换使用强密码。 使用访问评审定期审查具有特权角色的帐户，并删除不再需要的角色分配。 |
| 门户中的缓解措施 | 从用户的特权角色中删除其帐户。 |
| 最佳实践 | 使用密码进行身份验证并分配给高特权管理角色（如全局管理员或安全管理员）的共享帐户、服务帐户和紧急访问帐户应针对以下情况轮换其密码：
|
在 Privileged Identity Management 之外分配角色
严重级别：高
| 说明 | |
|---|---|
| 为何收到此警报？ | 在 Privileged Identity Management 外部进行的特权角色分配未受到正确的监视，可能表示正遭到攻击。 |
| 如何修复？ | 查看列表中的用户，将其从 Privileged Identity Management 外部分配的特权角色中删除。 你还可以在警报设置中启用或禁用警报及其附带的电子邮件通知。 |
| 防护 | 调查在 Privileged Identity Management 外部的哪个位置为用户分配了特权角色，禁止将来在该位置进行分配。 |
| 门户中的缓解措施 | 从用户的特权角色中删除用户。 |
注意
从警报设置启用警报时，PIM 会针对“在 PIM 外部分配角色”警报发送电子邮件通知。对于 PIM 中的 Microsoft Entra 角色，电子邮件将发送至已启用 Privileged Identity Management 的特权角色管理员、安全管理员和全局管理员。 对于 PIM 中的 Azure 资源，电子邮件将发送至所有者和用户访问管理员。
全局管理员过多
严重级别：低
| 说明 | |
|---|---|
| 为何收到此警报？ | 全局管理员是特权最高的角色。 如果全局管理员遭到入侵，则攻击者可以获取其所有访问权限，使整个系统面临风险。 |
| 如何修复？ | 检查列表中的用户，并删除不是绝对需要全局管理员角色的所有用户。 改为这些用户分配特权更低的角色。 |
| 防护 | 为用户分配他们所需的最低特权角色。 |
| 门户中的缓解措施 | 从用户的特权角色中删除其帐户。 |
| 触发器 | 如果满足两个不同的条件并且可以同时配置这两个条件，将触发此警报。 首先，需要达到全局管理员角色分配的某个特定阈值。 其次，总角色分配的特定百分比必须是全局管理员。 如果只满足其中一个度量，不会显示该警报。 |
| 全局管理员的最少数目 | 此设置指定的全局管理员角色分配数量（2 到 100）你认为对你的 Microsoft Entra 组织来说太少。 |
| 全局管理员百分比 | 此设置指定属于全局管理员的管理员的最小百分比（0% 到 100%），你不希望你的 Microsoft Entra 组织降到该值之下。 |
角色激活过于频繁
严重级别：低
| 说明 | |
|---|---|
| 为何收到此警报？ | 同一用户多次激活同一特权角色是受到攻击的迹象。 |
| 如何修复？ | 检查列表中的用户，并确保用户特权角色的激活持续时间设置得足够长，使他们能够执行任务。 |
| 防护 | 确保特权角色的激活持续时间设置得足够长，使用户能够执行其任务。 对于帐户由多个管理员共享的特权角色，要求执行多重身份验证。 |
| 门户中的缓解措施 | 不适用 |
| 触发器 | 如果用户在指定期限内多次激活同一特权角色，将触发此警报。 可以同时配置时间段和激活次数。 |
| 激活续订时间范围 | 此设置以天、小时、分钟和秒为单位指定要用于跟踪可疑续订的时间段。 |
| 激活续订次数 | 此设置指定你希望在所选时间范围内获得通知的激活次数（2 到 100）。 可通过移动滑块或在文本框中键入数字更改此设置。 |
自定义安全警报设置
按照以下步骤，在 Privileged Identity Management 中为 Microsoft Entra 角色配置安全警报：
至少以特权角色管理员身份登录到 Microsoft Entra 管理中心。
浏览到“标识治理”>“Privileged Identity Management”>“Microsoft Entra 角色”>“警报”>“设置”。 有关如何将 Privileged Identity Management 磁贴添加到仪表板的信息，请参阅开始使用 Privileged Identity Management。
在各个警报上自定义设置以适应你的环境和安全目标。
