Jak wygenerować raport grup ról Microsoft Purview za pomocą PowerShell

By Mirko Peters · 2026-03-06 · Updated 2026-03-24

Użyj PowerShell, aby utworzyć raport uprawnień grup ról Microsoft Purview. Audytuj zgodność, eDiscovery i Microsoft 365 dzięki temu przewodnikowi.

Automatically translated with AI from the original post. Read the English original

Zarządzanie grupami ról w Purview ma kluczowe znaczenie dla utrzymania bezpieczeństwa i zgodności w organizacji. Ten proces możesz usprawnić, korzystając z PowerShell, który automatyzuje zadania i oszczędza czas. Dzięki PowerShell łatwo wygenerujesz raport przedstawiający członkostwa w grupach ról w Purview. Ten przewodnik krok po kroku pokaże, jak połączyć się z Purview i skutecznie utworzyć raport.

Najważniejsze wnioski

Przed wygenerowaniem raportów upewnij się, że masz dostęp administracyjny do Purview. Dostęp ten jest kluczowy dla skutecznego zarządzania grupami ról.
Zainstaluj PowerShell w wersji 5.1 oraz niezbędne moduły (CAMP i AIPService), aby bez problemów połączyć się z Microsoft Purview.
Użyj skryptów PowerShell, aby zautomatyzować generowanie raportów grup ról Purview. Oszczędza to czas i ogranicza błędy wynikające z ręcznej pracy.
Planuj regularne raporty, aby utrzymać zgodność i bezpieczeństwo. Automatyzacja tego procesu pomaga na bieżąco śledzić członkostwa w grupach ról.
Analizuj dane z raportów, aby wykrywać trendy i potencjalne zagrożenia dla bezpieczeństwa. Regularne przeglądy gwarantują, że dostęp do wrażliwych informacji mają wyłącznie upoważnieni użytkownicy.

7 zaskakujących faktów o raporcie grup ról Microsoft Purview

Grupy ról w Purview można programowo wyliczać i eksportować: możesz wygenerować kompleksowy raport grup ról Purview za pomocą PowerShell, który w jednym przebiegu przechwyci członkostwa, przypisane role i zakres.
Członkostwo w grupach ról nie zawsze jest widoczne w interfejsie Purview: niektóre zagnieżdżone lub dziedziczone członkostwa pojawiają się dopiero po zapytaniu przez PowerShell, dzięki czemu raport ujawnia ukryte ścieżki dostępu.
Można wykryć luki w audycie: raport grup ról Purview wygenerowany za pomocą PowerShell może pokazać nieaktualne lub osierocone uprawnienia, których interfejs nie uwzględnia, co pomaga ograniczyć nadmierne uprawnienia kont.
Role niestandardowe wpływają na raportowanie: grupy ról zawierające role niestandardowe mogą mieć niestandardowe zestawy uprawnień, które tylko raport wygenerowany skryptowo poprawnie przekłada na konkretne uprawnienia.
Scenariusze międzydzierżawcze można raportować: dzięki automatyzacji PowerShell możesz scalić raporty grup ról z wielu dzierżaw w jednolity widok na potrzeby przeglądów pod kątem zarządzania i zgodności.
Możliwe jest śledzenie zmian w czasie: planując okresowe generowanie raportu grup ról Purview za pomocą PowerShell i przechowując wyniki, możesz śledzić historyczne zmiany i wykrywać nieoczekiwane podwyższenia uprawnień.
Integracja z innymi narzędziami jest prosta: raport grup ról Purview wygenerowany przez PowerShell można sformatować (CSV/JSON) i zaimportować do systemów SIEM, platform GRC lub arkuszy kalkulacyjnych w celu automatycznych alertów i analiz.

Wymagania wstępne dla PowerShell

Prerequisites for PowerShell

Wymagane uprawnienia

Zanim zaczniesz używać PowerShell do generowania raportów w Purview, upewnij się, że masz niezbędne uprawnienia. Musisz mieć dostęp administracyjny do Purview. Dostęp ten pozwala skutecznie przeglądać i zarządzać grupami ról. Bez tych uprawnień podczas wykonywania skryptów lub pobierania danych możesz napotkać błędy.

Instalacja PowerShell

Aby uruchamiać skrypty PowerShell, musisz mieć zainstalowany PowerShell na swoim komputerze. Minimalna wymagana wersja to 5.1. Jeśli jej nie masz, możesz ją pobrać z oficjalnej strony Microsoft. Ponadto potrzebujesz określonych modułów do połączenia z Microsoft Purview. Wymagane moduły to CAMP i AIPService.

Oto krótka lista kontrolna, która pomoże sprawdzić spełnienie wymagań wstępnych:

Wersja PowerShell: upewnij się, że masz co najmniej wersję 5.1.
Moduły: zainstaluj moduły CAMP i AIPService.
Dostęp administratora: potwierdź, że masz uprawnienia administracyjne w Purview.

Spełniając te wymagania wstępne, przygotowujesz się do płynnego generowania raportu grup ról w usłudze Purview.

Podsumowanie kroków

Sprawdź wersję programu PowerShell.
Zainstaluj niezbędne moduły.
Potwierdź swoje uprawnienia administracyjne w usłudze Purview.

Wykonanie tych kroków pozwoli efektywnie korzystać z programu PowerShell na potrzeby raportowania.

Połącz się z Microsoft Purview

Konfiguracja połączenia

Aby połączyć się z usługą Microsoft Purview za pomocą programu PowerShell, wykonaj następujące kroki:

Upewnij się, że masz subskrypcję platformy Azure: Potrzebujesz ważnej subskrypcji platformy Azure i połączonej z nią dzierżawy Microsoft Entra.
Zaloguj się do portalu Azure: Użyj poświadczeń swojego konta Azure, aby uzyskać dostęp do portalu.
Zainstaluj Azure PowerShell lub Azure CLI: Upewnij się, że na komputerze klienckim zainstalowane są niezbędne narzędzia.
Utwórz grupę zasobów: Jeśli jeszcze jej nie masz, uruchom następujące polecenie:
```
New-AzResourceGroup -Name myResourceGroup -Location 'East US'
```
Utwórz lub wdróż konto Microsoft Purview: Użyj tego polecenia, aby skonfigurować konto Purview:
```
New-AzPurviewAccount
```

Wykonanie tych kroków pomoże w nawiązaniu bezpiecznego połączenia z usługą Microsoft Purview.

Uwierzytelnianie poświadczeń

Po skonfigurowaniu połączenia należy uwierzytelnić poświadczenia. Oto jak to zrobić:

Otwórz program PowerShell: Uruchom program PowerShell na swoim komputerze.
Uruchom polecenie logowania: Użyj poniższego polecenia, aby się zalogować:
```
Connect-AzAccount
```
To polecenie wyświetli monit o podanie poświadczeń konta Azure.
Sprawdź połączenie: Po zalogowaniu sprawdź, czy masz dostęp do konta Purview, uruchamiając polecenie:
```
Get-AzPurviewAccount
```

Jeśli podczas łączenia wystąpią problemy, warto sprawdzić następujące typowe błędy:

Nieprawidłowe hasło: Sprawdź dokładnie nazwę użytkownika i hasło.
Dostęp do programu PowerShell: Upewnij się, że konto ma włączony dostęp do programu PowerShell.
Dostęp sieciowy: Upewnij się, że port TCP 80 jest otwarty na potrzeby komunikacji z usługą Microsoft 365.
Instalacja modułów: Potwierdź, że zainstalowane są moduły PowerShellGet i PackageManagement.

Wykonując te kroki, możesz skutecznie połączyć się z usługą Microsoft Purview i uwierzytelnić swoje poświadczenia, co przygotuje grunt pod generowanie raportu ról grup ról.

Generowanie raportu ról grup ról w usłudze Purview

Generate Purview Role Group Report

Skrypt PowerShell do raportowania członkostwa

Aby wygenerować raport grup ról w usłudze Purview, możesz użyć poniższego skryptu PowerShell. Skrypt łączy się z Microsoft Graph i pobiera członkostwo w grupach ról. Wykonaj następujące kroki, aby utworzyć raport:

Połącz się z Microsoft Graph: Użyj wymaganych zakresów, aby uzyskać dostęp do niezbędnych danych.
Połącz się z Exchange Online: Upewnij się, że masz dostęp do punktu końcowego zabezpieczeń i zgodności.
Pobierz grupy ról: Uruchom polecendlet Get-RoleGroup, aby znaleźć wszystkie grupy ról w swojej dzierżawie.
Wylicz członkostwo: Dla każdej grupy ról ustal bieżące członkostwo. Rozróżniaj różne typy obiektów Entra ID.
Zaktualizuj listy w PowerShell: Utwórz listy przechowujące szczegóły każdego przypisania roli i członkostwa w grupie ról.
Zidentyfikuj unikalne identyfikatory: Znajdź unikalne identyfikatory, które posiadają przypisania ról, na przykład użytkowników lub główne jednostki usługi.
Zbierz szczegóły obiektów: Dla każdego unikalnego identyfikatora pobierz dodatkowe dane, takie jak dział i kraj.
Posortuj informacje: Uporządkuj informacje o przypisaniach użytkowników według typu obiektu i nazwy, aby ułatwić raportowanie.
Wygeneruj raport HTML: Utwórz raport HTML zawierający szczegóły każdej aktywnej grupy ról i jej członkostwa.

Oto przykładowy skrypt PowerShell, który realizuje te kroki:

# Connect to Microsoft Graph
Connect-MgGraph -Scopes "Group.Read.All"

# Get role groups
$roleGroups = Get-RoleGroup

# Initialize lists
$roleGroupMemberships = @()

foreach ($group in $roleGroups) {
    $members = Get-RbacGroupMember -GroupId $group.Id
    foreach ($member in $members) {
        $roleGroupMemberships += [PSCustomObject]@{
            RoleGroupName = $group.DisplayName
            MemberName    = $member.DisplayName
            MemberType    = $member.ObjectType
        }
    }
}

# Generate HTML report
$roleGroupMemberships | ConvertTo-Html -Property RoleGroupName, MemberName, MemberType -Title "Purview Role Group Membership Report" | Out-File "PurviewRoleGroupReport.html"

Ten skrypt pomoże wygenerować kompleksowy raport dotyczący członkostwa w grupach ról w usłudze Purview.

Omówienie danych wyjściowych

Po uruchomieniu skryptu PowerShell otrzymasz raport HTML ze szczegółowymi informacjami o członkostwie w grupach ról. Oto jak interpretować dane wyjściowe:

Role Group Name: ta kolumna pokazuje nazwę każdej grupy ról.
Member Name: ta kolumna zawiera nazwy użytkowników lub entów usługi należących do każdej grupy ról.
Member Type: ta kolumna wskazuje, czy członek jest użytkownikiem, jednostką usługi lub innym typem obiektu w usłudze Entra ID.

Analizując te dane, zyskasz wgląd w członkostwo w grupach ról w Twojej organizacji. Informacje te są kluczowe dla zapewnienia prawidłowej kontroli dostępu opartej na rolach (RBAC) oraz utrzymania zgodności z wymogami bezpieczeństwa.

Pamiętaj, że dokładność członkostwa wyświetlanego w raporcie zależy od bieżącego stanu Twojego środowiska Microsoft Purview. Regularne aktualizowanie skryptów i raportów pomoże Ci na bieżąco śledzić zmiany w członkostwie w grupach ról.

Najlepsze praktyki raportowania

Planowanie regularnych raportów

Aby utrzymać zgodność i bezpieczeństwo, warto planować regularne raporty o grupach ról w Purview. Regularne raportowanie pomaga być na bieżąco z informacjami o tym, kto posiada role związane ze zgodnością, i zapewnia, że organizacja przestrzega zasad bezpieczeństwa. Oto kilka kroków, które pomogą Ci skutecznie zaplanować te raporty:

Użyj poleceń cmdlet PowerShell: wykorzystaj polecenia cmdlet PowerShell do automatyzacji generowania raportów. Możesz utworzyć skrypt uruchamiany w określonych odstępach czasu.
Skonfiguruj Harmonogram zadań: użyj Harmonogramu zadań systemu Windows, aby automatycznie uruchamiać skrypt PowerShell. Dzięki temu otrzymasz zaktualizowane raporty bez ręcznej interwencji.
Wybierz formaty raportów: zapisuj raporty w bezpiecznych formatach, takich jak .PDF. Chroni to poufne informacje i ułatwia udostępnianie ich uprawnionym użytkownikom.

Wskazówka: zawsze stosuj zasadę najmniejszych uprawnień przy nadawaniu dostępu do raportów. Minimalizuje to ryzyko nieautoryzowanego dostępu.

Analiza danych raportu

Gdy wygenerujesz raporty, analiza danych staje się kluczowa. Zrozumienie członkostwa w grupach ról zgodności pomaga wykryć potencjalne zagrożenia bezpieczeństwa. Oto kilka strategii skutecznej analizy:

Regularnie przeglądaj członkostwo: sprawdź, kto należy do każdej grupy ról. Upewnij się, że dostęp do wrażliwych danych mają wyłącznie autoryzowani użytkownicy. Do kluczowych grup ról należą Purview Administrators oraz Data Source Administrators.
Identyfikuj trendy: szukaj wzorców w członkostwie w grupach ról. Pomoże to wychwycić nietypową aktywność lub zmiany, które mogą wymagać dalszego zbadania.
Dokumentuj wnioski: prowadź zapis swojej analizy. Ta dokumentacja może służyć jako dowód podczas audytów zgodności i pomagać śledzić zmiany w czasie.

Stosując te najlepsze praktyki, usprawnisz proces raportowania i zapewnisz, że organizacja pozostaje zgodna ze standardami zgodności Microsoft 365.

W tym przewodniku dowiedziałeś się, jak wygenerować raport grup ról Purview za pomocą PowerShell. Połączyłeś się z Microsoft Purview, uwierzytelniłeś swoje dane logowania i uruchomiłeś skrypt PowerShell, aby pobrać członkostwo w grupach ról.

Regularne raportowanie jest kluczowe dla utrzymania bezpieczeństwa i zgodności. Pomaga monitorować dostęp i wykrywać potencjalne zagrożenia.

Zachęcam do włączenia tego procesu do Twoich przepływów pracy. Pozwoli to wzmocnić bezpieczeństwo organizacji i zapewnić zgodność z branżowymi standardami.

Często zadawane pytania

Czym jest Microsoft Purview?

Microsoft Purview to ujednolicone rozwiązanie do zarządzania danymi, które pomaga zarządzać danymi i chronić je w różnych środowiskach. Udostępnia narzędzia do wykrywania, klasyfikacji i zapewniania zgodności danych.

Dlaczego warto używać PowerShell do raportów Purview?

Korzystanie z PowerShell automatyzuje proces generowania raportów, oszczędza czas i ogranicza błędy ręczne. Pozwala efektywnie pobierać i zarządzać członkostwem w grupach ról w Purview.

Jak często powinienem generować raporty grup ról Purview?

Raporty grup ról Purview powinieneś generować regularnie, najlepiej co miesiąc lub co kwartał. Ta praktyka pomaga monitorować dostęp i utrzymywać zgodność z zasadami bezpieczeństwa.

Co zrobić, jeśli podczas uruchamiania skryptu PowerShell pojawią się błędy?

Jeśli pojawią się błędy, sprawdź swoje uprawnienia, upewnij się, że zainstalowano wszystkie wymagane moduły, i zweryfikuj połączenie z usługą Microsoft Purview. Przejrzyj komunikaty o błędach, które zawierają konkretne wskazówki.

Czy mogę dostosować format raportu?

Tak, możesz dostosować format raportu. Zmodyfikuj skrypt PowerShell, aby zmienić format wyjściowy, na przykład generować pliki CSV lub PDF, zależnie od potrzeb.

portal Purview i portal zgodności Purview

Ten FAQ koncentruje się na generowaniu raportu grupy ról Purview za pomocą PowerShell i wyjaśnia powiązane uprawnienia, zarządzanie rolami oraz audytowanie w Microsoft Purview i Microsoft 365.

moduł PowerShell, uprawnienia Microsoft Purview i role RBAC Purview

Wskazówki obejmują korzystanie z modułu PowerShell i zestawu Microsoft Graph PowerShell SDK do wyświetlania członków grup ról, sprawdzania wbudowanych definicji ról oraz tworzenia raportów na potrzeby zgodności i scenariuszy eDiscovery.

Czym jest raport grup ról Purview z PowerShell i po co go tworzyć?

Raport grup ról Purview z PowerShell to wygenerowana lista (CSV lub JSON) grup ról, przypisań ról (ról RBAC Purview oraz mapowań wbudowanych ról) i członków grup ról w rozwiązaniach Microsoft Purview i usługach Microsoft 365. Tworzysz go, aby audytować uprawnienia do ról, sprawdzić, kto ma dostęp do ról uprzywilejowanych (rola administratora globalnego lub rola administratora), wspierać przeglądy zgodności, sprawy eDiscovery albo przekazywać dane do kontroli zmian i przeglądów uprawnień w zakresie zarządzania ryzykiem wewnętrznym.

Którego modułu PowerShell użyć do wygenerowania raportu grup ról Microsoft Purview?

Użyj kombinacji modułów w zależności od środowiska: Microsoft Graph PowerShell SDK do odpytywania przypisań ról w portalu Microsoft Purview i członków grup ról oraz moduł Exchange Online Management lub moduły Security & Compliance dla niektórych grup ról specyficznych dla Microsoft 365 i eDiscovery. Microsoft czasem publikuje przykłady w Microsoft Learn dla zadań związanych z danymi Purview i portalem zgodności Purview.

Jakie uprawnienia są potrzebne do uruchomienia raportu grup ról Purview z PowerShell?

Zazwyczaj potrzebujesz podwyższonych ról, takich jak rola administratora globalnego lub rola administratora delegowanego z możliwością zarządzania rolami, albo określonych uprawnień Microsoft Purview, na przykład ról administracyjnych w portalu Purview (rola uprzywilejowana lub rola administratora). W przypadku niektórych zapytań może być wymagane przypisanie do grupy ról Organization Management lub grupy ról eDiscovery Manager. Jeśli korzystasz z Microsoft Graph PowerShell SDK do odczytu przypisań ról i wpisów dziennika audytu, upewnij się, że udzielono zgody na uprawnienia Graph.

Jak wyświetlić członków grup ról i ich role za pomocą Microsoft Graph PowerShell SDK?

Uwierzytelnij się uprawnieniami delegowanymi lub aplikacji, które obejmują roleManagement.read.* oraz Directory.Read.All, a następnie wykonaj zapytania do roleDefinitions i roleAssignments, aby zmapować role RBAC Purview na grupy ról i wyliczyć członków grup ról. Wyniki wyeksportuj do CSV, aby utworzyć raport. Dla grup specyficznych dla Exchange Online, takich jak grupa ról eDiscovery Manager, może być potrzebny moduł Exchange Online Management, aby wyświetlić członków grup ról i uprawnienia do wyszukiwania treści.

Czy mogę uwzględnić role eDiscovery i ochrony informacji w tym samym raporcie?

Tak. Połącz dane z portalu Microsoft Purview (dla rozwiązań Microsoft Purview i ról danych Microsoft Purview), usług Microsoft 365 (wyszukiwanie treści, sprawy eDiscovery, rola eDiscovery Manager i grupa ról eDiscovery Manager) oraz przypisań Microsoft Information Protection. Użyj wielu modułów PowerShell lub zapytań Graph, aby zagregować uprawnienia do ról, a następnie znormalizuj je i wyeksportuj jako jeden raport.

Jak audytować zmiany w grupach ról i śledzić uprawnienia do ról w czasie?

Korzystaj z dziennika audytu oraz zdarzeń logowania i audytu Azure AD (Microsoft Entra / Microsoft Entra ID), dostępnych przez Microsoft Graph PowerShell SDK lub interfejsy API audytu w portalu zgodności Purview. Zaplanuj okresowe eksporty przypisań ról i list członków grup ról, aby wykrywać zmiany. Przechowywanie historycznych migawek umożliwia wykrywanie odchyleń i wspiera gromadzenie dowodów zgodności.

Jakie typowe ograniczenia wbudowanych ról warto uwzględnić w raportach grup ról w usłudze Purview?

Wbudowane definicje ról mogą być bardzo szerokie (np. Global Administrator, Compliance Administrator) i mogą przyznawać dostęp do zgodności z przepisami w usłudze Purview, operacji czyszczenia lub uprzywilejowanych danych. Raport powinien wskazywać nakładanie się wbudowanych ról, domyślne grupy ról oraz przypisania, które faktycznie przyznają podwyższony dostęp do danych w usługach Microsoft Purview Data, Microsoft Defender XDR lub Microsoft 365 Copilot. Pamiętaj, że niektórych wbudowanych ról nie można zmienić, ale można je policzyć i monitorować.

Jak zarządzać grupami ról w ramach delegowanej administracji i ograniczać ekspozycję na uprzywilejowane role?

Zidentyfikuj członków grup ról, którym przypisano uprzywilejowane role, i stosuj zasadę najmniejszych uprawnień: jeśli to możliwe, twórz węższe role niestandardowe, usuwaj zbędne członkostwa w grupach ról i stosuj mechanizmy dostępu awaryjnego (break-glass) na potrzeby sytuacji kryzysowych. Raport powinien oznaczać użytkowników w grupie ról Organization Management, posiadaczy ról administracyjnych oraz wszystkie jednostki usługowe z przypisanymi rolami, aby ograniczyć ryzyko związane z uprzywilejowanymi rolami.

Gdzie znajdę przykłady i najlepsze praktyki tworzenia takich raportów oraz ich automatyzacji?

Skorzystaj z dokumentacji Microsoft Learn, która zawiera przykłady skryptów PowerShell z wykorzystaniem Microsoft Graph PowerShell SDK, modułu Exchange Online Management oraz interfejsów API portalu zgodności. Do najlepszych praktyk należą: automatyzacja cyklicznych eksportów, zapisywanie wpisów dziennika audytu, dokumentowanie uprawnień ról jako zestawu uprawnień oraz integrowanie wyników z procesami zarządzania: przeglądami ról i ich uprawnień oraz audytami zgodności.