Privileged Identity Management pozwala przyznawać uprawnienia administracyjne tylko na czas ich rzeczywistej potrzeby, zamiast na stałe.

Na czym polega ta usługa

Usługa obejmuje skonfigurowanie Privileged Identity Management w Microsoft Entra ID oraz ustawienie zasad przyznawania czasowych uprawnień.

Dla kogo ma sens

Usługa jest przydatna dla firm korzystających z Microsoft 365, którym zależy na ograniczeniu stałego dostępu do uprawnień administracyjnych.

Ile to trwa

Konfiguracja PIM mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Jak działa mechanizm czasowych uprawnień

Privileged Identity Management (PIM) zmienia sposób przypisywania ról administracyjnych z modelu stałego (permanentnego) na model kwalifikowalny (eligible). Osoba oznaczona jako kwalifikowalna do danej roli, na przykład administratora globalnego (Global Administrator) czy administratora użytkowników (User Administrator), nie ma tej roli aktywnej na co dzień. Uprawnienie trzeba samodzielnie aktywować w momencie, gdy jest faktycznie potrzebne, podając uzasadnienie (justification) i przechodząc dodatkowe uwierzytelnienie wieloskładnikowe (MFA). Aktywacja jest ograniczona w czasie — po jego upływie rola wraca do stanu nieaktywnego automatycznie, bez konieczności ręcznego odbierania dostępu przez administratora.

Taki model ogranicza tak zwaną powierzchnię ataku (attack surface) — konto z rolą uprzywilejowaną, które w danym momencie nie jest aktywowane, jest znacznie mniej atrakcyjnym celem, ponieważ przejęcie samego hasła nie daje od razu pełnych uprawnień administracyjnych.

PIM dla ról a PIM dla grup

Warto rozróżnić dwa warianty tej samej mechaniki. Pierwszy to PIM dla ról wbudowanych Entra ID (role-based PIM) — dotyczy bezpośrednio ról takich jak administrator globalny, administrator uprawnień (Privileged Role Administrator), administrator Exchange czy administrator SharePoint. Drugi wariant to PIM dla grup (PIM for Groups) — w tym przypadku czasowej aktywacji podlega nie sama rola, tylko członkostwo w grupie zabezpieczeń (security group), której z kolei przypisane są uprawnienia w Entra ID, w Azure albo w aplikacjach firmowych. Ten drugi wariant sprawdza się przy bardziej złożonych strukturach uprawnień, gdzie jedna grupa odpowiada za dostęp do wielu zasobów jednocześnie, a zarządzanie pojedynczymi rolami byłoby rozdrobnione i trudne do utrzymania.

Przepływy zatwierdzania i powiadomienia

Konfiguracja PIM obejmuje ustawienie tak zwanych przepływów zatwierdzania (approval workflows). Dla ról o wysokim ryzyku można wymusić, aby aktywacja wymagała zgody wskazanej osoby zatwierdzającej (approver), a nie następowała automatycznie po podaniu uzasadnienia. Ustawia się też maksymalny czas trwania aktywacji, wymóg dodatkowego uwierzytelnienia oraz listę odbiorców powiadomień — zarówno o samej aktywacji, jak i o zbliżającym się wygaśnięciu przypisania kwalifikowalnego. Dzięki temu dział IT ma bieżący wgląd w to, kto i kiedy korzystał z podwyższonych uprawnień, bez konieczności ręcznego przeglądania dzienników zdarzeń (logów) po fakcie.

Przeglądy dostępu jako element wdrożenia

Elementem pełnej konfiguracji są przeglądy dostępu (access reviews) — cykliczne procesy, w których wskazana osoba (na przykład przełożony lub administrator bezpieczeństwa) potwierdza, że dane przypisanie roli w dalszym ciągu jest zasadne. Bez takiego mechanizmu lista osób kwalifikowalnych do ról uprzywilejowanych ma tendencję do rozrastania się w czasie — ktoś zmienia stanowisko, kończy projekt wymagający wcześniej dostępu administracyjnego, a jego uprawnienie formalnie pozostaje aktywne, bo nikt go nie usunął. Przeglądy dostępu porządkują ten proces i pozwalają wycofywać nieaktualne przypisania w sposób kontrolowany.

Warianty wdrożenia w zależności od struktury firmy

Zakres konfiguracji różni się w zależności od wielkości i struktury organizacji. W mniejszej firmie z jednym lub dwoma administratorami IT konfiguracja PIM sprowadza się zwykle do objęcia nim ról globalnych i ustawienia prostego wymogu MFA przy aktywacji. W organizacji z rozdzielonymi zespołami — na przykład osobnym zespołem do spraw tożsamości, osobnym do Exchange Online, osobnym do zabezpieczeń — konfiguracja obejmuje odrębne zasady dla każdej roli, różne maksymalne czasy aktywacji oraz różnych zatwierdzających w zależności od tego, jakiego zasobu dotyczy uprawnienie. Osobny wariant dotyczy firm korzystających z uprawnień uprzywilejowanych także w samym Azure (nie tylko w Entra ID) — tam konfiguruje się analogiczny mechanizm na poziomie subskrypcji i grup zasobów, co wymaga dodatkowego uzgodnienia z osobą odpowiedzialną za infrastrukturę chmurową.

Błędy przy próbie samodzielnej konfiguracji

Część firm próbuje wdrożyć PIM we własnym zakresie, opierając się na dokumentacji producenta lub materiałach znalezionych w sieci, i najczęściej napotyka kilka powtarzających się problemów. Pierwszy to pozostawienie części kont z rolami przypisanymi na stałe (permanentnie), bo proces migracji z przypisań stałych na kwalifikowalne został przeprowadzony tylko częściowo — w efekcie PIM działa dla nowych kont, ale konta administracyjne założone wcześniej nadal mają pełny, stały dostęp, co w praktyce podważa sens całego wdrożenia. Drugi typowy błąd to zbyt długi maksymalny czas aktywacji, ustawiony „na wszelki wypadek” na kilkanaście lub więcej godzin — wydłuża to okno, w którym konto pozostaje uprzywilejowane, praktycznie tak samo jak przy stałym przypisaniu. Trzeci problem to brak skonfigurowanych powiadomień, przez co dział IT nie wie, kiedy i przez kogo dane uprawnienie zostało aktywowane, a przeglądy dostępu wykonuje się nieregularnie albo wcale. Zdarza się też pomylenie licencjonowania — funkcja PIM wymaga licencji Microsoft Entra ID P2 (lub odpowiednika w pakiecie Microsoft 365 E5), a jej włączenie bez sprawdzenia, czy wszystkie konta objęte planowaną konfiguracją mają odpowiednią licencję, kończy się częściowym wdrożeniem i błędami przy próbie aktywacji roli.

Kiedy PIM nie jest właściwym rozwiązaniem problemu

Warto odróżnić PIM od innych, pokrewnych mechanizmów zabezpieczeń Entra ID, bo bywają one mylone. Jeśli problemem jest wymuszenie logowania z konkretnej lokalizacji, urządzenia lub sieci firmowej, właściwym narzędziem są zasady dostępu warunkowego (Conditional Access), nie PIM — PIM reguluje czas trwania uprawnienia, a nie warunki logowania. Jeśli celem jest wyłącznie samo wprowadzenie uwierzytelniania wieloskładnikowego dla wszystkich pracowników, niezależnie od tego, czy mają role administracyjne, wystarczającym rozwiązaniem są zasady MFA lub Conditional Access, a wdrażanie w tym celu całego PIM byłoby nieproporcjonalnym rozwiązaniem. PIM koncentruje się konkretnie na kontach z uprawnieniami uprzywilejowanymi (administracyjnymi) i na ograniczaniu czasu, przez jaki te uprawnienia są aktywne — nie zastępuje zarządzania dostępem zwykłych użytkowników do plików, aplikacji czy skrzynek pocztowych, które regulują inne mechanizmy Entra ID i Microsoft 365.

Najczęstsze pytania klientów

Czy po wdrożeniu PIM administrator straci możliwość szybkiego reagowania w sytuacji awaryjnej?

Nie — aktywacja kwalifikowalnej roli trwa krótko, zwykle to kilka kliknięć i potwierdzenie uwierzytelnienia wieloskładnikowego. W konfiguracji można też wskazać tak zwane konto awaryjne (break glass account) z dostępem poza standardowym procesem PIM, przeznaczone wyłącznie na wypadek, gdyby sam mechanizm PIM lub uwierzytelnianie wieloskładnikowe były z jakiegoś powodu niedostępne.

Czy PIM działa też dla kont serwisowych i integracji, a nie tylko dla ludzi?

Mechanizm PIM dla ról jest zaprojektowany przede wszystkim pod kątem kont użytkowników. Dla kont serwisowych i tożsamości aplikacji (service principals, managed identities) stosuje się inne podejście do ograniczania uprawnień, które omawiane jest osobno, w zależności od tego, jak dane konto serwisowe jest wykorzystywane.

Czy trzeba mieć wykupioną najdroższą licencję Microsoft 365, żeby korzystać z PIM?

PIM wymaga licencji Microsoft Entra ID P2 — może to być samodzielna licencja P2 albo pakiet, w którym P2 jest już zawarte, na przykład Microsoft 365 E5. Bez tej licencji funkcja PIM w ogóle nie jest dostępna w panelu administracyjnym.

Co się dzieje, jeśli ktoś zapomni dezaktywować uprawnienie po zakończeniu pracy?

Nic — na tym polega główna korzyść tego mechanizmu. Aktywacja jest ograniczona czasowo i wygasa samoczynnie po upływie ustawionego okresu, niezależnie od tego, czy ktoś pamięta o ręcznym wyłączeniu roli, czy nie.

Czy konfiguracja PIM obejmuje też przeszkolenie zespołu IT z jej obsługi?

Tak, zakres usługi obejmuje pokazanie, jak aktywować rolę, jak działa proces zatwierdzania i jak odczytywać historię aktywacji, tak aby zespół po stronie klienta mógł samodzielnie zarządzać uprawnieniami na co dzień.

Zakres wdrożenia i opieka po konfiguracji

Pełne wdrożenie obejmuje audyt obecnych przypisań ról administracyjnych, migrację kont z przypisań stałych na kwalifikowalne tam, gdzie jest to zasadne, skonfigurowanie maksymalnych czasów aktywacji i wymogów uwierzytelnienia dla poszczególnych ról, ustawienie przepływów zatwierdzania oraz uruchomienie cyklicznych przeglądów dostępu. Po zakończeniu konfiguracji zapewniane jest wsparcie do 30 dni na wypadek pytań lub potrzeby drobnej korekty ustawień, na przykład zmiany maksymalnego czasu aktywacji dla wybranej roli po pierwszych tygodniach użytkowania w praktyce.

Dlaczego samo włączenie PIM to nie koniec pracy

Uruchomienie funkcji PIM w panelu Entra ID zajmuje dosłownie chwilę, ale samo włączenie mechanizmu bez dopasowania go do struktury organizacyjnej firmy nie daje realnej ochrony. Kluczowe jest właściwe dobranie ról objętych PIM, sensownych czasów aktywacji i osób zatwierdzających — to ta część pracy, która wymaga zrozumienia, jak w danej firmie faktycznie wygląda podział obowiązków administracyjnych, a nie tylko znajomości samego panelu konfiguracyjnego Entra ID.

22 378 48 09

Microsoft Entra ID — konfiguracja Privileged Identity Management (PIM)