Implementando Privileged Identity Management (PIM) com o Portal RealmJoin

Visão Geral

Este guia orienta você na implementação do Microsoft Entra ID Privileged Identity Management (PIM) para Grupos com acesso administrativo ao Portal RealmJoin. O PIM fornece acesso administrativo just-in-time, reduzindo riscos de segurança ao exigir que os usuários ativem suas funções privilegiadas quando necessário.

Ao implementar o PIM com o RealmJoin, os administradores devem ativar explicitamente seus privilégios de administrador por um período de tempo definido, criando um registro de auditoria e reduzindo a superfície de ataque do acesso administrativo persistente.

Pré-requisitos

• Licenciamento Microsoft Entra ID P2 para usuários que necessitam de acesso ao PIM

• Permissões de Administrador Global ou Administrador de Funções Privilegiadas

• Acesso à configuração do Portal RealmJoin

• Conhecimento de Grupos do Microsoft Entra ID e atribuições de função

Etapas de Implementação

Etapa 1: Criar Grupos Atribuíveis a Função

Crie dois grupos de segurança no Microsoft Entra ID. Embora o atributo "atribuível a função" não seja mais um pré-requisito estrito, continua sendo recomendado para funcionalidade ideal do PIM.

Grupo 1: Grupo de Elegibilidade

• Nome: sec - PIM-Eligibility - RealmJoin Portal - Admins

• Propósito: Contém usuários elegíveis para acesso administrativo ao RealmJoin

• Tipo: Grupo de Segurança

• Atribuível a função: Recomendado (Sim)

Grupo 2: Grupo Ativo de Administradores

• Nome: sec - PIM-Enabled - RealmJoin Portal - Admins

• Propósito: O grupo alvo que fornece as permissões administrativas efetivas do RealmJoin

• Tipo: Grupo de Segurança

• Atribuível a função: Recomendado (Sim)

Etapa 2: Configurar o PIM para Grupos

Ativar PIM para Grupos

1. Navegue até Microsoft Entra ID > Privileged Identity Management

2. Selecione Grupos a partir do painel de navegação à esquerda

3. Escolha Descobrir grupos para identificar grupos elegíveis para gerenciamento pelo PIM

4. Selecione seus grupos recém-criados para colocá-los sob controle do PIM

Para etapas detalhadas de configuração, consulte a documentação oficial da Microsoft:

• Visão geral do Privileged Identity Management (PIM) para Grupos

• Trazer grupos para o Privileged Identity Management

Configurar as Configurações do Grupo

1. Definir duração de ativação (recomendado: 1-8 horas)

2. Configurar requisitos de aprovação, se necessário

3. Definir requisitos de ativação (MFA, justificativa comercial)

4. Definir políticas de duração máxima de ativação

Etapa 3: Atribuir Elegibilidade

Configurar a elegibilidade de usuários para o grupo habilitado para PIM:

1. No PIM, navegue até Grupos > Atribuições

2. Selecione a sec - PIM-Enabled - RealmJoin Portal - Admins grupo

3. Escolha Adicionar atribuições

4. Selecione Elegível tipo de atribuição

5. Escolha usuários ou o grupo de elegibilidade (sec - PIM-Eligibility - RealmJoin Portal - Admins)

6. Defina a duração e o cronograma da atribuição conforme necessário

Para orientações completas sobre atribuições, veja: Atribuir elegibilidade para um grupo no Privileged Identity Management

Lógica de Configuração

Fluxo de Trabalho de Gerenciamento de Usuários

1. Adicionar Usuários ao Grupo de Elegibilidade: Adicione contas de usuário a sec - PIM-Eligibility - RealmJoin Portal - Admins

   • Este grupo serve como fonte de usuários que podem solicitar acesso administrativo

   • Usuários neste grupo podem ativar a associação no grupo habilitado para PIM

2. Configurar o Portal RealmJoin: Defina sec - PIM-Enabled - RealmJoin Portal - Admins como o grupo administrativo nas configurações do Portal RealmJoin

   • Apenas membros ativos deste grupo terão permissões de administrador

   • Os usuários devem ativar sua associação através do PIM para obter acesso

Processo de Ativação de Acesso

Quando os usuários precisarem de acesso administrativo ao RealmJoin:

1. O usuário navega até Meu Acesso portal ou interface do PIM

2. Solicita ativação da associação em sec - PIM-Enabled - RealmJoin Portal - Admins

3. Fornece justificativa comercial (se exigido)

4. Conclui o desafio de MFA (se configurado)

5. Recebe acesso administrativo com tempo limitado ao Portal RealmJoin

6. O acesso expira automaticamente após a duração definida

Benefícios de Segurança

• Acesso Just-in-Time: Privilégios de administrador são concedidos apenas quando necessários

• Registro de Auditoria: Todas as solicitações de ativação e aprovações são registradas

• Superfície de Ataque Reduzida: Menos contas administrativas persistentes

• Conformidade: Suporta requisitos regulatórios para gerenciamento de acesso privilegiado

• Duração Controlada: O acesso de administrador expira automaticamente

• Fluxos de Trabalho de Aprovação: Processos de aprovação opcionais para funções sensíveis

Melhores Práticas

• Revisões Regulares de Acesso: Revise periodicamente as associações de grupo e as atribuições do PIM

• Duração Adequada: Defina períodos de ativação com base na duração típica das tarefas administrativas

• Aplicação de MFA: Exigir sempre autenticação multifator para ativação

• Justificativa Comercial: Exigir que os usuários forneçam motivos para solicitações de acesso

• Monitoramento: Revise regularmente os registros de auditoria do PIM em busca de padrões incomuns de ativação

• Documentação: Mantenha procedimentos claros para cenários de acesso de emergência

Solução de Problemas

Problemas Comuns

• Usuários não conseguem ver a opção de ativação: Verifique o licenciamento do PIM e as atribuições de grupo

• Falha na ativação: Verifique a configuração do MFA e do fluxo de aprovação

• Acesso ao RealmJoin negado: Confirme se o grupo correto está configurado nas configurações do Portal RealmJoin

Etapas de Verificação

1. Teste o processo de ativação com um usuário piloto

2. Verifique se o Portal RealmJoin reconhece o grupo habilitado para PIM

3. Confirme se o registro de auditoria está funcionando corretamente

4. Teste os procedimentos de acesso de emergência

Recursos Adicionais

• Documentação de Governança do Microsoft Entra ID

• Melhores Práticas do PIM

• Documentação do Portal RealmJoin