Как создать отчёт о группах ролей Microsoft Purview с помощью PowerShell

By Mirko Peters · 2026-03-06 · Updated 2026-03-24

Используйте PowerShell, чтобы создать отчёт о разрешениях групп ролей Microsoft Purview. Проверяйте соответствие требованиям, eDiscovery и Microsoft 365 с помощью этого руководства.

Automatically translated with AI from the original post. Read the English original

Управление группами ролей в Purview имеет решающее значение для поддержания безопасности и соответствия требованиям в вашей организации. Вы можете упростить этот процесс, используя PowerShell, который автоматизирует задачи и экономит время. С помощью PowerShell вы легко сформируете отчёт, в котором отображается состав групп ролей в Purview. В этом руководстве описаны необходимые шаги для подключения к Purview и эффективного создания отчёта.

Главное

• Перед созданием отчётов убедитесь, что у вас есть административный доступ к Purview. Этот доступ необходим для эффективного управления группами ролей.
• Установите PowerShell версии 5.1 и необходимые модули (CAMP и AIPService), чтобы без проблем подключиться к Microsoft Purview.
• Используйте скрипты PowerShell, чтобы автоматизировать создание отчётов о группах ролей Purview. Это экономит время и снижает количество ручных ошибок.
• Настройте регулярное формирование отчётов, чтобы поддерживать соответствие требованиям и безопасность. Автоматизация этого процесса помогает быть в курсе состава групп ролей.
• Анализируйте данные отчётов, чтобы выявлять тенденции и потенциальные риски безопасности. Регулярные проверки гарантируют, что доступ к конфиденциальной информации имеют только авторизованные пользователи.

• Группы ролей Purview можно перечислять и экспортировать программно: с помощью PowerShell можно создать полный отчёт о группах ролей Purview, который за один запуск покажет участников, назначенные роли и область действия.
• Членство в группах ролей не всегда видно в интерфейсе Purview: некоторые вложенные или унаследованные участия отображаются только при запросе через PowerShell, поэтому отчёт выявляет скрытые пути доступа.
• Можно обнаружить пробелы в аудите: отчёт о группах ролей Purview, созданный с помощью PowerShell, покажет устаревшие или «осиротевшие» разрешения, которые пропускает интерфейс, что помогает сократить количество учётных записей с избыточными правами.
• Пользовательские роли влияют на отчётность: группы ролей, включающие пользовательские роли, могут иметь нестандартные наборы разрешений, которые только скриптовый отчёт корректно преобразует в понятные права.
• Сценарии с несколькими клиентами можно отчитывать: с помощью автоматизации PowerShell вы можете объединить отчёты о группах ролей из нескольких клиентов в единое нормализованное представление для проверок управления и соответствия требованиям.
• Возможно отслеживание изменений во времени: регулярно формируя отчёт о группах ролей Purview с помощью PowerShell и сохраняя результаты, вы можете отслеживать исторические изменения и выявлять неожиданное повышение привилегий.
• Интеграция с другими инструментами несложна: отчёт о группах ролей Purview, сформированный PowerShell, можно выгрузить в удобном формате (CSV/JSON) и передать в SIEM, платформы GRC или электронные таблицы для автоматических оповещений и анализа.

Предварительные требования для PowerShell

Необходимые разрешения

Прежде чем начать использовать PowerShell для создания отчётов в Purview, убедитесь, что у вас есть необходимые разрешения. Вам нужен административный доступ к Purview. Этот доступ позволяет эффективно просматривать и управлять группами ролей. Без этих разрешений при выполнении скриптов или получении данных могут возникнуть ошибки.

Установка PowerShell

Для запуска скриптов PowerShell на вашем компьютере должен быть установлен PowerShell. Минимально необходимая версия — 5.1. Если его нет, его можно скачать на официальном сайте Microsoft. Кроме того, для подключения к Microsoft Purview понадобятся специальные модули: CAMP и AIPService.

Краткий контрольный список для проверки предварительных требований:

• Версия PowerShell: убедитесь, что установлена версия не ниже 5.1.
• Модули: установите модули CAMP и AIPService.
• Административный доступ: убедитесь, что у вас есть административные права в Purview.

Выполнив эти предварительные требования, вы подготовитесь к плавной работе при создании отчёта по группам ролей Purview.

Краткое описание шагов

1. Проверьте версию PowerShell.
2. Установите необходимые модули.
3. Подтвердите свои административные права в Purview.

Выполнив эти шаги, вы подготовитесь к эффективному использованию PowerShell для своих задач отчётности.

Подключение к Microsoft Purview

Настройка подключения

Чтобы подключиться к Microsoft Purview с помощью PowerShell, выполните следующие действия:

1. Убедитесь, что у вас есть подписка Azure: Нужна действующая подписка Azure и связанный с ней клиент Microsoft Entra.
2. Войдите на портал Azure: Используйте учётные данные своей учётной записи Azure для доступа к порталу.
3. Установите Azure PowerShell или Azure CLI: Убедитесь, что на вашем клиентском компьютере установлены необходимые инструменты.
4. Создайте группу ресурсов: Если у вас её нет, выполните следующую команду:

   New-AzResourceGroup -Name myResourceGroup -Location 'East US'
   

5. Создайте или разверните учётную запись Microsoft Purview: Используйте эту команду для настройки вашей учётной записи Purview:

   New-AzPurviewAccount
   

Выполнив эти шаги, вы настроите безопасное подключение к Microsoft Purview.

Проверка учётных данных

После настройки подключения необходимо пройти проверку учётных данных. Вот как это сделать:

1. Откройте PowerShell: Запустите PowerShell на своём компьютере.
2. Выполните команду входа: Используйте следующую команду для входа:

   Connect-AzAccount
   

   Эта команда запросит учётные данные вашей учётной записи Azure.
3. Проверьте подключение: После входа убедитесь, что у вас есть доступ к учётной записи Purview, выполнив команду:

   Get-AzPurviewAccount
   

Если в процессе подключения возникли проблемы, обратите внимание на типичные ошибки:

• Неверный пароль: Перепроверьте имя пользователя и пароль.
• Доступ к PowerShell: Убедитесь, что для вашей учётной записи включён доступ к PowerShell.
• Сетевой доступ: Убедитесь, что для взаимодействия с Microsoft 365 открыт TCP-порт 80.
• Установка модулей: Убедитесь, что установлены модули PowerShellGet и PackageManagement.

Выполнив эти шаги, вы сможете успешно подключиться к Microsoft Purview и пройти проверку учётных данных, что позволит перейти к созданию отчёта по группам ролей.

Создание отчёта по группам ролей Purview

Скрипт PowerShell для отчёта о членстве

Чтобы создать отчёт по группам ролей Purview, можно использовать следующий скрипт PowerShell. Он подключается к Microsoft Graph и получает состав групп ролей. Чтобы создать отчёт, выполните следующие шаги:

1. Подключитесь к Microsoft Graph: Укажите необходимые области доступа, чтобы получить нужные данные.
2. Подключитесь к Exchange Online: Убедитесь, что у вас есть доступ к конечной точке безопасности и соответствия требованиям.
3. Получите группы ролей: Выполните командлет Get-RoleGroup, чтобы найти все группы ролей в вашем клиенте.
4. Определите состав групп: Для каждой группы ролей определите текущий состав. Различайте разные типы объектов Entra ID.
5. Обновите списки PowerShell: Создайте списки для хранения сведений о каждом назначении роли и членстве в группе ролей.
6. Определите уникальные идентификаторы: Найдите уникальные идентификаторы, которым назначены роли, например пользователей или субъекты-службы.
7. Соберите сведения об объектах: Для каждого уникального идентификатора получите дополнительные данные, например отдел и страну.
8. Отсортируйте сведения: Упорядочите информацию о назначениях пользователей по типу объекта и имени для удобства отчётности.
9. Создайте HTML-отчёт: Сформируйте HTML-отчёт, который включает сведения о каждой активной группе ролей и её членстве.

Ниже приведён пример скрипта PowerShell, реализующего эти шаги:

# Connect to Microsoft Graph
Connect-MgGraph -Scopes "Group.Read.All"

# Get role groups
$roleGroups = Get-RoleGroup

# Initialize lists
$roleGroupMemberships = @()

foreach ($group in $roleGroups) {
    $members = Get-RbacGroupMember -GroupId $group.Id
    foreach ($member in $members) {
        $roleGroupMemberships += [PSCustomObject]@{
            RoleGroupName = $group.DisplayName
            MemberName    = $member.DisplayName
            MemberType    = $member.ObjectType
        }
    }
}

# Generate HTML report
$roleGroupMemberships | ConvertTo-Html -Property RoleGroupName, MemberName, MemberType -Title "Purview Role Group Membership Report" | Out-File "PurviewRoleGroupReport.html"

Этот скрипт поможет создать подробный отчёт о членстве в группах ролей Purview.

Разбор выходных данных

После запуска PowerShell-скрипта вы получите HTML-отчёт с подробной информацией о членстве в группах ролей. Вот как интерпретировать данные в отчёте:

• Role Group Name: в этом столбце показано имя каждой группы ролей.
• Member Name: в этом столбце перечислены имена пользователей или субъектов-служб, входящих в каждую группу ролей.
• Member Type: показывает, является ли участник пользователем, субъектом-службой или объектом Entra ID другого типа.

Анализируя эти данные, вы получаете представление о составе групп ролей в вашей организации. Эта информация важна для обеспечения корректного управления доступом на основе ролей (RBAC) и поддержания соответствия требованиям безопасности.

Имейте в виду, что точность членства, отображаемого в отчёте, зависит от текущего состояния вашей среды Purview. Регулярное обновление скриптов и отчётов поможет вам отслеживать любые изменения в членстве в группах ролей.

Лучшие практики формирования отчётов

Настройте регулярные отчёты

Чтобы поддерживать соответствие требованиям и безопасность, формируйте регулярные отчёты о группах ролей Purview. Регулярная отчётность помогает понимать, кто имеет роли, связанные с соответствием требованиям, и гарантирует, что организация следует политикам безопасности. Вот несколько шагов, которые помогут эффективно настроить эти отчёты:

1. Используйте командлеты PowerShell: применяйте командлеты PowerShell для автоматизации формирования отчётов. Вы можете создать скрипт, который будет запускаться с заданным интервалом.
2. Настройте Планировщик заданий: используйте Планировщик заданий Windows, чтобы автоматически запускать PowerShell-скрипт. Так вы будете получать актуальные отчёты без ручных действий.
3. Выбирайте форматы отчётов: сохраняйте отчёты в защищённых форматах, например .PDF. Это защищает конфиденциальную информацию и упрощает передачу отчётов авторизованным пользователям.

Совет: всегда применяйте принцип наименьших привилегий при предоставлении доступа к отчётам. Это снижает риск несанкционированного доступа.

Анализ данных отчёта

После формирования отчётов анализ данных становится критически важным. Понимание состава групп ролей соответствия требованиям помогает выявлять потенциальные риски безопасности. Вот несколько стратегий эффективного анализа:

• Регулярно проверяйте членство: смотрите, кто входит в каждую группу ролей. Убедитесь, что доступ к конфиденциальным данным имеют только авторизованные пользователи. Ключевые группы ролей включают Purview Administrators и Data Source Administrators.
• Выявляйте тенденции: ищите закономерности в членстве в группах ролей. Это поможет заметить необычную активность или изменения, которые требуют дополнительного расследования.
• Документируйте результаты: ведите журнал анализа. Эта документация может служить доказательством при аудитах соответствия требованиям и помогает отслеживать изменения во времени.

Следуя этим лучшим практикам, вы усилите процесс отчётности и гарантируете, что организация остаётся в соответствии со стандартами соответствия Microsoft 365.

В этом руководстве вы узнали, как сформировать отчёт о группах ролей Purview с помощью PowerShell. Вы подключились к Microsoft Purview, прошли аутентификацию и выполнили PowerShell-скрипт для получения членства в группах ролей.

Регулярная отчётность очень важна для поддержания безопасности и соответствия требованиям. Она помогает контролировать доступ и выявлять потенциальные риски.

Рекомендую встроить этот процесс в ваши рабочие процессы. Это усилит защищённость вашей организации и поможет соответствовать отраслевым стандартам.

Часто задаваемые вопросы

Что такое Microsoft Purview?

Microsoft Purview — это единое решение для управления данными, которое помогает управлять и защищать данные в различных средах. Оно предоставляет инструменты для обнаружения, классификации и обеспечения соответствия требованиям.

Зачем использовать PowerShell для отчётов Purview?

Использование PowerShell автоматизирует формирование отчётов, экономит время и снижает количество ручных ошибок. Это позволяет эффективно получать и управлять членством в группах ролей в Purview.

Как часто нужно создавать отчёты по группам ролей Purview?

Отчёты по группам ролей Purview стоит создавать регулярно, в идеале ежемесячно или ежеквартально. Такая практика помогает контролировать доступ и поддерживать соответствие требованиям безопасности.

Что делать, если при запуске скрипта PowerShell возникают ошибки?

Если появляются ошибки, проверьте свои разрешения, убедитесь, что все необходимые модули установлены, и проверьте подключение к Microsoft Purview. Сообщения об ошибках подскажут, что именно нужно исправить.

Можно ли настроить формат отчёта?

Да, формат отчёта можно настроить. Измените скрипт PowerShell, чтобы выводить данные в нужном формате, например в CSV или PDF.

портал purview и соответствие purview

Этот раздел часто задаваемых вопросов посвящён созданию отчёта по группам ролей Purview с помощью PowerShell, а также связанным с ним разрешениям, управлению ролями и аудиту в Microsoft Purview и Microsoft 365.

модуль powershell, разрешения microsoft purview и роли purview rbac

В руководстве описано, как с помощью модуля PowerShell и Microsoft Graph PowerShell SDK получить список участников групп ролей, изучить встроенные определения ролей и создать отчёты для сценариев соответствия требованиям и eDiscovery.

Что такое отчёт по группам ролей Purview с PowerShell и зачем его создавать?

Отчёт по группам ролей Purview с PowerShell — это сформированный список (CSV или JSON) групп ролей, назначений ролей (ролей purview rbac и сопоставлений со встроенными ролями) и участников групп ролей в решениях Microsoft Purview и службах Microsoft 365. Его создают, чтобы проверить разрешения на роли, понять, кто имеет привилегированный доступ (роль глобального администратора или роль администратора), подготовить проверки соответствия требованиям, дела eDiscovery, а также передать данные в процессы управления изменениями и проверки разрешений для управления рисками инсайдеров.

Какой модуль PowerShell использовать для создания отчёта по группам ролей Microsoft Purview?

Используйте комбинацию модулей в зависимости от среды: Microsoft Graph PowerShell SDK для запроса назначений ролей в портале Microsoft Purview и участников групп ролей, а также модуль Exchange Online Management или модули Security & Compliance для некоторых групп ролей Microsoft 365 и групп, специфичных для eDiscovery. Microsoft иногда публикует примеры в Microsoft Learn для задач с данными Purview и в портале соответствия Purview.

Какие разрешения нужны для запуска отчёта по группам ролей Purview с PowerShell?

Обычно требуются повышенные роли, например роль глобального администратора или делегированного администратора с возможностью управления ролями, либо отдельные разрешения Microsoft Purview, такие как административные роли в портале Purview (привилегированная роль или роль администратора). Для некоторых запросов может понадобиться членство в группе ролей Organization Management или в группе ролей eDiscovery Manager. При использовании Microsoft Graph PowerShell SDK для чтения назначений ролей и записей журнала аудита убедитесь, что предоставлены необходимые разрешения Graph.

Как вывести участников групп ролей и их роли с помощью Microsoft Graph PowerShell SDK?

Выполните аутентификацию с делегированными или приложенческими разрешениями, включающими roleManagement.read.* и Directory.Read.All, затем запросите roleDefinitions и roleAssignments, чтобы сопоставить роли purview rbac с группами ролей и получить список участников. Экспортируйте результаты в CSV для создания отчёта. Для групп, специфичных для Exchange Online, например группы ролей eDiscovery Manager, может понадобиться модуль Exchange Online Management, чтобы получить участников группы ролей и привилегии поиска содержимого.

Можно ли включить роли eDiscovery и защиты информации в один отчёт?

Да. Объедините данные из портала Microsoft Purview (для решений Microsoft Purview и ролей Microsoft Purview Data), служб Microsoft 365 (поиск содержимого, дела eDiscovery, роль eDiscovery Manager и группа ролей eDiscovery Manager) и назначений Microsoft Information Protection. Используйте несколько модулей PowerShell или запросы Graph, чтобы собрать разрешения на роли, затем приведите их к единому виду и экспортируйте как один отчёт.

Как проводить аудит изменений групп ролей и отслеживать разрешения на роли во времени?

Используйте журнал аудита и события входа и аудита Azure AD (Microsoft Entra / Microsoft Entra ID), доступные через Microsoft Graph PowerShell SDK или API аудита портала соответствия Purview. Настройте периодический экспорт назначений ролей и списков участников групп ролей, чтобы выявлять изменения. Хранение исторических снимков позволяет обнаруживать отклонения и собирать доказательства соответствия требованиям.

Какие ограничения встроенных ролей стоит учитывать при формировании отчётов по группам ролей Purview?

Определения встроенных ролей могут быть очень широкими (например, Global Administrator, Compliance Administrator) и открывать доступ сразу к нескольким областям: соответствие требованиям Purview, операции очистки или привилегированные данные. В отчёте стоит выделить пересечения встроенных ролей, группы ролей по умолчанию и назначения, которые фактически дают повышенный доступ к данным Microsoft Purview, Microsoft Defender XDR или Microsoft 365 Copilot. Учтите, что некоторые встроенные роли нельзя изменить, но их можно учитывать и отслеживать.

Как управлять группами ролей для делегированного администрирования и снизить риски, связанные с привилегированными ролями?

Определите участников групп ролей, которым назначены привилегированные роли, и применяйте принцип наименьших привилегий: по возможности создавайте более узкие пользовательские роли, удаляйте лишние членства в группах ролей и используйте механизмы «аварийного доступа» (break-glass) для экстренных случаев. В отчёте стоит отметить пользователей в группе ролей Organization Management, владельцев административных ролей и все служебные субъекты (service principals) с назначенными ролями, чтобы снизить риски, связанные с привилегированными ролями.

Где найти примеры и рекомендации по созданию таких отчётов и их автоматизации?

Обратитесь к документации Microsoft Learn: там есть примеры PowerShell для Microsoft Graph PowerShell SDK, модуля Exchange Online Management и API портала соответствия требованиям. К рекомендациям относятся автоматизация плановых выгрузок, сохранение записей журнала аудита, документирование разрешений ролей в виде набора разрешений и интеграция результатов в процессы управления: проверку назначения ролей, пересмотр разрешений ролей и аудиты соответствия требованиям.