entra-id-governance

Microsoft Entra ID 治理

Entra ID 治理确保正确的身份在正确的时间拥有对正确资源的正确访问权限。它为员工、合作伙伴和来宾自动化身份生命周期（JML）和访问治理。需要 Entra ID Governance SKU（P2 + Governance 附加组件，或 M365 E5 + Governance）。

适用场景

自动化访问请求和审批、定期访问认证，以及入职、转岗、离职配置。使用此技能选择访问包还是直接分配组，安全配置访问评审，并运行生命周期工作流。

请勿将此技能用于风险检测（entra-id-protection）、条件访问（conditional-access-mfa）或 PIM 激活（azure-pim）。

选择合适的治理机制

目标……	使用	说明
自助式访问请求并进行审批	权利管理 - 访问包	包含来宾；由赞助人或经理审批
项目所需的限时访问权限	带过期时间的访问包	自动撤销；比组更安全
治理现有特权组	组的 PIM（单独的技能）	即时授予，不负责生命周期
重新认证敏感组的成员资格	对组进行访问评审	由经理评审或用户自我认证
重新认证应用的访问权限	对应用分配进行访问评审	发现过期的 SaaS 访问权限
自动配置新入职员工	生命周期工作流 - 入职	入职前设置、欢迎邮件
自动撤销离职员工的访问权限	生命周期工作流 - 离职	禁用账号、移除组成员资格、移除许可证
转至新部门时自动调整访问权限	生命周期工作流 - 转岗 + 动态组	由属性驱动
发现有害的角色组合（例如 AP + AR）	对访问包设置职责分离	硬性阻止不兼容的访问包

**经验法则：**如果访问权限由员工提出申请，请使用访问包。如果系统根据 HR 属性授予访问权限，请使用生命周期工作流 + 动态组。直接分配组是过时的默认做法，在 2026 年很少是正确的选择。

方法

1. 定义目录 — 访问包存放在目录中。目录对应业务负责人（HR、Finance、Engineering 平台团队）。目录所有者承担责任；IT 提供支持。 验证：每个目录都有明确指定的非 IT 所有者。

2. 创建带策略的访问包 — 每个包包含资源（组、应用、SharePoint 站点）、符合申请条件的申请人（内部用户、特定的已连接组织、所有外部用户），以及分配策略（审批、过期时间、属性要求）。 验证：每个包都设置了过期时间；不允许永久访问。

3. 安全配置访问评审 — 设置评审者（经理 > 用户本人 > 指定用户）和频率（Tier 0 每季度一次、Tier 1 每半年一次、Tier 2 每年一次）。**重要：**谨慎选择“无响应”时的操作——对于低风险资源，无响应时自动移除更安全；但如果评审者正在休假，则可能造成问题。 验证：已启用评审者升级机制；已记录每项评审在“无响应”时的默认操作。

4. 使用生命周期工作流实现 JML — 创建三个核心流程：入职前（入职前 7 天）、入职（开始日期）、离职（最后工作日）。使用 HR 属性作为触发条件（employeeType、employeeHireDate、accountEnabled）。 验证：HR 属性变更后 1 小时内，离职流程会禁用账号、将其从所有组中移除并撤销会话。

5. 对访问包设置职责分离 — 标记不兼容的访问包（例如“应付账款” +“供应商主数据编辑器”）。系统会阻止第二项申请并记录审计日志。

6. 来宾治理 — 所有 B2B 来宾都通过带过期时间的访问包管理。每季度评审近期没有活动的来宾（使用 signInActivity 筛选器）。自动移除非活动来宾。 验证：月度报告中，在访问包之外创建的来宾数为 0。

防护措施

• 优先实现离职人员/取消配置自动化——孤立访问权限是常见的安全漏洞根源。 HR 信息变更后 1 小时内完成离职人员工作流，这是硬性要求，不容协商。
• 谨慎设置审核人员和后备操作，避免“未响应”自动批准。 默认设置为“未响应 = 移除”，并升级给审核人员处理。
• 访客始终通过访问包管理。 在访问包之外发出的 B2B 邀请会绕过到期和审核机制。
• 只有在两个访问包都受管控时，职责分离才有效。 如果某个角色是直接分配的（而非通过访问包分配），职责分离机制就无法检测到。
• 生命周期工作流由属性触发。 如果 HR 没有推送可靠的属性数据，工作流就不会触发。依赖自动化之前，请先验证 HR 同步。
• 不要将 PIM 符合条件的角色放入访问包。 对组使用 PIM，这样激活就与分配分开。

常见反模式

• “通过 Active Directory 组进行配置，通过工单取消配置”——两边不对称，会导致访问权限泄漏。两边都需要自动化。
• “每年进行一次访问审核”——权限会持续 12 个月逐渐偏离。敏感资源应每季度审核一次。
• “审核人员 = 资源所有者”——所有者倾向于批准。由用户的经理审核更好；仅对低风险情况采用自我审核。
• “允许任何用户邀请访客”——未跟踪的访客会不断增加。将邀请限制为访问包请求，以及一个小型邀请团队。
• “生命周期工作流在第 1 天运行”——新员工需要在第 1 天之前准备好访问权限。应在入职前 7 天启动流程。
• “直接分配组比构建访问包更快”——只快一次，之后却会一直更慢（没有审核、没有到期时间、没有审计）。

示例提示词

• Build an access package for guest contractors with sponsor approval and 90-day expiration.
• Set up lifecycle workflows for pre-hire, joiner, and leaver using HR attributes.
• Configure quarterly access reviews on our privileged group with manager review.
• Enforce separation of duties between "Accounts Payable" and "Vendor Master" access packages.
• Audit and remove inactive guests with no sign-in in 90 days.
• Move from direct group assignment to access packages for self-service.

Microsoft Learn

• ID 治理概述：https://learn.microsoft.com/entra/id-governance/identity-governance-overview
• 权利管理：https://learn.microsoft.com/entra/id-governance/entitlement-management-overview
• 访问审核：https://learn.microsoft.com/entra/id-governance/access-reviews-overview
• 生命周期工作流：https://learn.microsoft.com/entra/id-governance/what-are-lifecycle-workflows
• 职责分离：https://learn.microsoft.com/entra/id-governance/entitlement-management-access-package-incompatible
• 访客访问治理：https://learn.microsoft.com/entra/id-governance/entitlement-management-external-users
• 使用 PIM 进行访问审核：https://learn.microsoft.com/entra/id-governance/privileged-identity-management/pim-create-roles-and-resource-roles-review