Microsoft Entra ID 治理自定义警报

当组织中的人员需要采取操作(例如:批准访问资源的请求)或业务流程无法正常运行(例如:无法预配新员工)时,可以通过 Microsoft Entra ID 治理轻松向他们发出警报。

下表概述了 Microsoft Entra ID 治理提供的一些标准通知、组织中的目标角色、预期会在哪种情况下向他们发出警报,以及他们在多久后会收到警报。

现有标准通知的示例

Persona 警报方法 及时 示例警报
最终用户 Teams 分钟数 你需要批准或拒绝此访问请求;
你请求的访问权限已获批准,可以开始使用新应用。

了解详细信息
最终用户 Teams 你请求的访问权限将于下周过期,请续订。了解详细信息
最终用户 电子邮件 欢迎使用 Woodgrove,这是你的临时访问密码。
技术支持 ServiceNow 分钟数 需要手动将用户预配到旧版应用程序中。
IT 运营 电子邮件 小时 不会从 Workday 导入新雇用的员工。

自定义警报通知

除了 Microsoft Entra ID 治理提供的标准通知之外,组织还可以创建自定义警报来满足其需求。

Microsoft Entra ID 治理服务执行的所有活动都会记录到 Microsoft Entra 审核日志中。 通过将日志推送到 Log Analytics 工作区,组织可以创建自定义警报

以下部分提供了客户可以通过将 Microsoft Entra ID 治理与 Azure Monitor 集成来创建的自定义警报的示例。 通过使用 Azure Monitor,组织可以自定义生成何种警报、接收警报的人员以及接收警报的方式(电子邮件、短信、技术支持票证等)。

功能 示例警报
访问评审 删除访问评审时向 IT 管理员发出警报。
权利管理 在不使用访问包的情况下将用户直接添加到组时,向 IT 管理员发出警报。
权利管理 添加新的连接组织时向 IT 管理员发出警报。
权利管理 当自定义扩展失败时向 IT 管理员发出警报。
权利管理 创建或更新权利管理访问包分配策略而无需批准时,向 IT 管理员发出警报。
多租户协作 启用跨租户同步时向 IT 管理员发出警报
多租户协作 启用跨租户访问策略时向 IT 管理员发出警报
Privileged Identity Management 禁用 PIM 警报时向 IT 管理员发出警报。
Privileged Identity Management 在 PIM 外部授予角色时,会向 IT 管理员发出警报。
预配 当过去一天内预配失败次数激增时向 IT 管理员发出警报。
预配 当有人启动、停止、禁用、重启或删除预配配置时向 IT 管理员发出警报。
预配 预配作业进入隔离区时向 IT 管理员发出警报。

访问评审

删除访问评审时向 IT 管理员发出警报。

查询

AuditLogs
| where ActivityDisplayName == "Delete access review"

权利管理

在不使用访问包的情况下将用户直接添加到组时,向 IT 管理员发出警报。

查询

AuditLogs
| where parse_json(tostring(TargetResources[1].id)) in ("InputGroupID", "InputGroupID")
| where ActivityDisplayName == "Add member to group"
| extend ActorName = tostring(InitiatedBy.app.displayName)
| where ActorName != "Azure AD Identity Governance - User Management"

创建新的连接组织时向 IT 管理员发出警报。 此组织中的用户现在可以请求访问为所有连接组织提供的资源。

查询

AuditLogs
| where ActivityDisplayName == "Create connected organization"
| mv-expand AdditionalDetails
| extend key = AdditionalDetails.key, value = AdditionalDetails.value
| extend tostring(key) == "Description"
| where key == "Description"
| parse value with * "\n" TenantID 
| distinct TenantID

权利管理自定义扩展失败时向 IT 管理员发出警报。

查询

AuditLogs
| where ActivityDisplayName == "Execute custom extension"
| where Result == "success"
| mvexpand TargetResources 
| extend  CustomExtensionName=TargetResources.displayName
| where CustomExtensionName in ('<input custom exteionsion name>', '<input custom extension name>')

创建或更新权利管理访问包分配策略而无需批准时,向 IT 管理员发出警报。

查询

AuditLogs
| where ActivityDisplayName in ("Create access package assignment policy", "Update access package assignment policy")
| extend AdditionalDetailsParsed = parse_json(AdditionalDetails)
| mv-expand AdditionalDetailsParsed
| extend Key = tostring(AdditionalDetailsParsed.key), Value = tostring(AdditionalDetailsParsed.value)
| summarize make_set(Key), make_set(Value) by ActivityDisplayName, CorrelationId
| where set_has_element(set_Key, "IsApprovalRequiredForAdd") and set_has_element(set_Value, "False")
| where set_has_element(set_Key, "SpecificAllowedTargets") and not(set_has_element(set_Value, "None"))

多租户协作

新建跨租户访问策略时向 IT 管理员发出警报。 这样,你的组织便可以检测何时与新组织建立了关系。

查询

AuditLogs
| where OperationName == "Add a partner to cross-tenant access setting"
| where parse_json(tostring(TargetResources[0].modifiedProperties))[0].displayName == "tenantId"
| extend initiating_user=parse_json(tostring(InitiatedBy.user)).userPrincipalName
| extend source_ip=parse_json(tostring(InitiatedBy.user)).ipAddress
| extend target_tenant=parse_json(tostring(TargetResources[0].modifiedProperties))[0].newValue
| project TimeGenerated, OperationName,initiating_user,source_ip, AADTenantId,target_tenant
| project-rename source_tenant= AADTenantId

作为管理员,当入站跨租户同步策略设置为 true 时,我可以收到警报。 这样,你的组织便可以检测何时授权了某个组织将标识同步到你的租户中。

查询

AuditLogs
| where OperationName == "Update a partner cross-tenant identity sync setting"
| extend a = tostring(TargetResources)
| where a contains "true"
| where parse_json(tostring(TargetResources[0].modifiedProperties))[0].newValue contains "true"

警报逻辑

Privileged identity management

禁用特定的 PIM 安全警报时向 IT 管理员发出警报。

查询

AuditLogs
| where ActivityDisplayName == "Disable PIM alert"

将用户添加到 PIM 外部的角色时,会向 IT 管理员发出警报

下面的查询基于 templateId。 可在此处找到模板 ID 的列表。

查询

AuditLogs
| where ActivityDisplayName == "Add member to role"
| where parse_json(tostring(TargetResources[0].modifiedProperties))[2].newValue in ("\"INPUT GUID\"")

预配

当 24 小时内预配失败次数激增时向 IT 管理员发出警报。 在日志分析中配置警报时,将聚合粒度设置为 1 天。

查询

AADProvisioningLogs
| where JobId == "<input JobId>"
| where resultType == "Failure"

警报逻辑

  • 依据:结果数
  • 运算符:大于
  • 阈值:10

当有人启动、停止、禁用、重启或删除预配配置时向 IT 管理员发出警报。

查询

AuditLogs
| where ActivityDisplayName in ('Add provisioning configuration','Delete provisioning configuration','Disable/pause provisioning configuration', 'Enable/restart provisioning configuration', 'Enable/start provisioning configuration')

查询

AuditLogs
| where ActivityDisplayName == "Quarantine"

后续步骤