LAB 12 ~60 phút Chương 3 AZ-500 Entra ID P2

PIM Eligible Assignment cho Azure Role

Cấu hình Privileged Identity Management (PIM) — gán Contributor dạng Eligible thay vì Active thường trực. User kích hoạt tạm thời kèm MFA + justification, quyền tự hết hạn. Không ai có quyền cao 24/7.

🎯 Mục Tiêu Lab

Bật PIM và truy cập Azure resources trong Microsoft Entra Privileged Identity Management

Tạo Eligible Assignment cho role Contributor — user chỉ có quyền khi kích hoạt

Cấu hình activation settings: MFA required, justification required, thời gian tối đa 8 giờ

User đăng nhập, thực hiện kích hoạt role tạm thời qua PIM portal

Kiểm tra role tự hết hạn sau thời gian cấu hình, xem audit history

Phân biệt Eligible vs Active assignment — khi nào dùng mỗi loại

🏗️ Kịch Bản

Công ty có quy định: không ai được có quyền Contributor thường trực trên production subscription. Thay vào đó, dùng PIM để gán dạng Eligible. Khi cần làm việc, user phải kích hoạt — cung cấp lý do, xác thực MFA — và quyền tự hết sau tối đa 8 giờ. Mọi lần kích hoạt đều được ghi vào audit log.

Eligible Assignment

User "có tư cách" được dùng role, nhưng phải kích hoạt mỗi lần cần. Quyền KHÔNG thường trực.

Active Assignment

User có quyền ngay, không cần kích hoạt. Dùng cho role ít nhạy cảm hoặc service account.

Yêu cầu License

PIM cho Azure roles: cần Microsoft Entra ID P2 hoặc Microsoft Entra ID Governance.

📋 Chuẩn Bị

Yêu cầu:
  • Microsoft Entra ID P2 license (hoặc trial 30 ngày)
  • Quyền Privileged Role Administrator hoặc Global Admin
  • User az500-admin01 với MFA đã đăng ký
  • Resource group rg-az500-rbac đã tạo (Lab 10)
Lưu ý PIM 2026:
  • PIM cho Azure resources khác với PIM cho Entra roles — lab này dùng Azure resources
  • Activation có thể mất 2–3 phút để có hiệu lực
  • MFA on activation được khuyến nghị cho tất cả privileged roles
  • Eligible assignment có thể có expiry date (recommend: 180 ngày)

🧪 Các Bước Thực Hiện

1

Truy cập PIM và chọn Azure Resources

Cách 1 — Portal
  1. 1.1Portal → tìm Privileged Identity Management (hoặc entra.microsoft.com → Identity Governance → PIM)
  2. 1.2Menu trái: Azure resources → click Discover resources
  3. 1.3Lọc theo Resource type: Resource group → tìm rg-az500-rbac
  4. 1.4Chọn checkbox → click Manage resource để enable PIM cho RG này
  5. 1.5Xác nhận: RG hiển thị trong danh sách Azure resources của PIM
Cách 2 — Azure CLI
Azure CLI— Kiểm tra PIM eligibility và resource 
# Kiểm tra license Entra ID P2 đang active
az ad sp list --display-name "Microsoft Entra ID" --query "[0].appId" -o tsv

# Xem resource group ID để dùng trong PIM scope
RG_ID=$(az group show \
  --name rg-az500-rbac \
  --query id -o tsv)
echo "Resource Group ID: $RG_ID"

# Lấy Object ID của user sẽ được gán eligible
USER_ID=$(az ad user show \
  --id [email protected] \
  --query id -o tsv)
echo "User ID: $USER_ID"
2

Cấu hình Role Settings (Activation Policy)

Trước khi gán eligible assignment, cấu hình chính sách kích hoạt: yêu cầu MFA, justification và giới hạn thời gian.

Cách 1 — Portal
  1. 2.1PIM → Azure resources → chọn rg-az500-rbac
  2. 2.2Menu trái: Settings → tìm role Contributor → click vào
  3. 2.3Click Edit → Tab Activation
  4. 2.4Activation maximum duration: 8 hours
  5. 2.5Bật: Require Azure MFA on activation ✓
  6. 2.6Bật: Require justification on activation ✓
  7. 2.7Click Update để lưu settings
Lưu ý: Activation settings áp dụng cho TẤT CẢ eligible assignment của role này tại scope này. Bước này làm trước khi gán eligible.
3

Tạo Eligible Assignment cho az500-admin01

Cách 1 — Portal
  1. 3.1PIM → Azure resources → rg-az500-rbac → Assignments
  2. 3.2Click + Add assignments
  3. 3.3Select role: Contributor
  4. 3.4Select member(s): tìm az500-admin01 → Select
  5. 3.5Next → Assignment type: Eligible (không phải Active)
  6. 3.6Assignment starts/ends: đặt expiry 90 ngày từ hôm nay
  7. 3.7Click Assign
Cách 2 — Azure CLI
Azure CLI— Tạo PIM eligible assignment 
# Lấy Role Definition ID của Contributor
CONTRIBUTOR_ID=$(az role definition list \
  --name "Contributor" \
  --query "[0].name" -o tsv)

# Tính ngày hết hạn (90 ngày)
START_DATE=$(date -u +"%Y-%m-%dT%H:%M:%SZ")
END_DATE=$(date -u -d "+90 days" +"%Y-%m-%dT%H:%M:%SZ" 2>/dev/null || \
  date -u -v+90d +"%Y-%m-%dT%H:%M:%SZ")

# Tạo PIM eligible assignment bằng REST API (Azure CLI không có command trực tiếp)
# Dùng az rest để gọi PIM API
az rest \
  --method PUT \
  --url "https://management.azure.com${RG_ID}/providers/Microsoft.Authorization/roleEligibilityScheduleRequests/$(uuidgen)?api-version=2022-04-01-preview" \
  --body "{
    \"properties\": {
      \"principalId\": \"$USER_ID\",
      \"roleDefinitionId\": \"${RG_ID}/providers/Microsoft.Authorization/roleDefinitions/$CONTRIBUTOR_ID\",
      \"requestType\": \"AdminAssign\",
      \"scheduleInfo\": {
        \"startDateTime\": \"$START_DATE\",
        \"expiration\": {
          \"type\": \"AfterDateTime\",
          \"endDateTime\": \"$END_DATE\"
        }
      }
    }
  }"
Verify Portal: PIM → Azure resources → rg-az500-rbac → Assignments → tab Eligible assignments → thấy az500-admin01 với role Contributor, End time = 90 ngày.
4

User Kích Hoạt Role Tạm Thời

Đăng nhập bằng az500-admin01 và thực hiện kích hoạt role qua PIM. Đây là flow người dùng thực tế sẽ thực hiện.

Cách 1 — Portal (dùng tài khoản az500-admin01)
  1. 4.1Incognito browser → đăng nhập az500-admin01
  2. 4.2Tìm Privileged Identity Management → My roles
  3. 4.3Tab Azure resource roles → thấy Contributor với trạng thái Eligible
  4. 4.4Click Activate bên cạnh Contributor
  5. 4.5Duration: chọn 4 hours (tối đa 8h theo policy)
  6. 4.6Reason: nhập "Lab 12: testing PIM eligible activation"
  7. 4.7Click Activate → xác thực MFA khi được yêu cầu
  8. 4.8Chờ 2–3 phút → tab Active assignments → thấy Contributor đã active
Cách 2 — Azure CLI
Azure CLI— Kích hoạt PIM role (dùng tài khoản az500-admin01) 
# Đăng nhập bằng az500-admin01
az login --username [email protected]

# Kích hoạt PIM role qua REST API
az rest \
  --method PUT \
  --url "https://management.azure.com${RG_ID}/providers/Microsoft.Authorization/roleAssignmentScheduleRequests/$(uuidgen)?api-version=2022-04-01-preview" \
  --body "{
    \"properties\": {
      \"principalId\": \"$USER_ID\",
      \"roleDefinitionId\": \"${RG_ID}/providers/Microsoft.Authorization/roleDefinitions/$CONTRIBUTOR_ID\",
      \"requestType\": \"SelfActivate\",
      \"justification\": \"Lab 12: testing PIM eligible activation\",
      \"scheduleInfo\": {
        \"startDateTime\": null,
        \"expiration\": {
          \"type\": \"AfterDuration\",
          \"duration\": \"PT4H\"
        }
      }
    }
  }"

# Kiểm tra active assignment
az role assignment list \
  --scope $RG_ID \
  --assignee [email protected] \
  --output table
5

Xem Audit History và kiểm tra role hết hạn

Cách 1 — Portal
  1. 5.1PIM (với admin account) → Azure resources → rg-az500-rbac → Audit resource
  2. 5.2Xem event: "Member activated role" với requestor = az500-admin01, justification đã nhập
  3. 5.3Kiểm tra Active assignments → thấy Contributor với End time = 4 giờ từ lúc kích hoạt
  4. 5.4(Optional) Deactivate sớm: My roles → Active → Contributor → Deactivate
Cách 2 — Azure CLI
Azure CLI— Xem schedule và expiry của active assignment 
# Xem role assignment schedule (active assignments với expiry)
az rest \
  --method GET \
  --url "https://management.azure.com${RG_ID}/providers/Microsoft.Authorization/roleAssignmentScheduleInstances?api-version=2022-04-01-preview" \
  --query "value[?principalId=='$USER_ID'].{role:roleDefinitionId, startTime:startDateTime, endTime:endDateTime, status:status}" \
  -o table

# Xem eligible schedules
az rest \
  --method GET \
  --url "https://management.azure.com${RG_ID}/providers/Microsoft.Authorization/roleEligibilityScheduleInstances?api-version=2022-04-01-preview" \
  --query "value[].{principal:principalId, role:roleDefinitionId, end:endDateTime}" \
  -o json

🧹 Dọn Dẹp Tài Nguyên

Cách 1 — Portal
  1. 1PIM → Azure resources → rg-az500-rbac → Assignments → Eligible assignments
  2. 2Chọn az500-admin01 / Contributor → click Remove → xác nhận
  3. 3Giữ lại RG nếu dùng tiếp cho Lab 13, xóa nếu không cần

📊 Kết Quả Đầu Ra Lab 12

Eligible Assignment tạo thành công

PIM → Eligible assignments hiển thị az500-admin01 / Contributor với expiry 90 ngày

Activation policy đúng

MFA required, justification required, max 8h — tất cả được lưu trong Settings

Role kích hoạt thành công

Active assignments hiển thị Contributor với end time = T+4h sau khi activate

Audit log ghi nhận đầy đủ

Audit resource hiển thị "Member activated role" với justification và timestamp

❓ Câu Hỏi Ôn Tập

1. Sự khác biệt giữa Eligible assignment và Active assignment trong PIM?

Gợi ý: Eligible = phải kích hoạt mỗi lần dùng, có thời hạn và điều kiện; Active = có quyền ngay, không cần kích hoạt.

2. PIM cho Azure resources yêu cầu license gì? Khác với PIM cho Entra roles không?

Gợi ý: Cả hai đều cần Entra ID P2. PIM cho Azure resources quản lý Azure RBAC roles; PIM cho Entra roles quản lý directory roles như Global Admin.

3. Tại sao nên bật "Require justification" khi activate PIM role?

Gợi ý: Tạo audit trail rõ ràng — ai, khi nào, vì lý do gì sử dụng quyền cao. Hỗ trợ điều tra sự cố và compliance.

4. Điều gì xảy ra khi activation duration hết hạn?

Gợi ý: Role assignment tự động bị thu hồi — user trở về trạng thái chỉ Eligible, không còn Active. Cần kích hoạt lại nếu muốn tiếp tục.

5. Eligible assignment expiry khác activation duration như thế nào?

Gợi ý: Eligible expiry = sau ngày này user không còn eligible nữa (ví dụ 90 ngày). Activation duration = thời gian mỗi lần kích hoạt (ví dụ 4–8 giờ).

Lab 11: Custom Role Thư viện Labs Lab 13: PIM Approval Workflow
Zalo