Як створити звіт про групи ролей Microsoft Purview за допомогою PowerShell

By Mirko Peters · 2026-03-06 · Updated 2026-03-24

Використовуйте PowerShell, щоб створити звіт про дозволи груп ролей у Microsoft Purview. Перевірте відповідність вимогам, eDiscovery та Microsoft 365 за цим посібником.

Automatically translated with AI from the original post. Read the English original

Керування групами ролей у Purview є критично важливим для забезпечення безпеки та відповідності вимогам у вашій організації. Ви можете спростити цей процес, скориставшись PowerShell, який автоматизує завдання та економить час. За допомогою PowerShell ви легко створите звіт зі складом груп ролей у Purview. Цей посібник проведе вас через необхідні кроки для підключення до Purview та ефективного створення звіту.

Головне

Переконайтеся, що маєте адміністративний доступ до Purview, перш ніж створювати звіти. Цей доступ є критично важливим для ефективного керування групами ролей.
Встановіть PowerShell версії 5.1 та необхідні модулі (CAMP і AIPService), щоб без проблем підключитися до Microsoft Purview.
Використовуйте скрипти PowerShell, щоб автоматизувати формування звітів про групи ролей Purview. Це економить час і зменшує кількість ручних помилок.
Плануйте регулярні звіти, щоб підтримувати відповідність вимогам і безпеку. Автоматизація цього процесу допомагає бути в курсі складу груп ролей.
Аналізуйте дані звітів, щоб виявляти тенденції та потенційні ризики безпеки. Регулярні перевірки гарантують, що доступ до чутливої інформації мають лише авторизовані користувачі.

7 несподіваних фактів про звіт групи ролей Microsoft Purview

Групи ролей Purview можна переліковувати й експортувати програмно: ви можете створити комплексний звіт групи ролей Purview за допомогою PowerShell, щоб за один запуск отримати склад учасників, призначені ролі та область дії.
Членство в групах ролей не завжди видно в інтерфейсі Purview: деякі вкладені або успадковані членства з'являються лише під час запитів через PowerShell, тож звіт виявляє приховані шляхи доступу.
Можна виявити прогалини в аудиті: звіт групи ролей Purview, створений за допомогою PowerShell, може показати застарілі або осиротілі дозволи, які інтерфейс не помічає, що допомагає зменшити кількість облікових записів із надмірними правами.
Власні ролі впливають на звітність: групи ролей, які містять власні ролі, можуть мати нестандартні набори дозволів, які лише скриптовий звіт коректно перетворює на конкретні права.
Сценарії з кількома клієнтами можна звітувати: за допомогою автоматизації PowerShell ви можете об'єднати звіти груп ролей з кількох клієнтів у єдине нормалізоване подання для перевірок керування та відповідності вимогам.
Можливе відстеження змін у часі: плануючи періодичне створення звіту групи ролей Purview за допомогою PowerShell і зберігаючи результати, ви можете відстежувати історичні зміни та виявляти неочікуване підвищення привілеїв.
Інтеграція з іншими інструментами відбувається легко: звіт групи ролей Purview, створений PowerShell, можна відформатувати (CSV/JSON) і імпортувати в SIEM, платформи GRC або електронні таблиці для автоматизованих сповіщень і аналізу.

Передумови для PowerShell

Prerequisites for PowerShell

Необхідні дозволи

Перш ніж почати створювати звіти в Purview за допомогою PowerShell, переконайтеся, що маєте необхідні дозволи. Вам потрібен адміністративний доступ до Purview. Цей доступ дає змогу ефективно переглядати та керувати групами ролей. Без цих дозволів під час виконання скриптів або отримання даних можуть виникнути помилки.

Встановлення PowerShell

Щоб запускати скрипти PowerShell, на вашому комп'ютері має бути встановлено PowerShell. Мінімально необхідна версія — 5.1. Якщо її немає, ви можете завантажити її з офіційного сайту Microsoft. Крім того, для підключення до Microsoft Purview знадобляться окремі модулі. Потрібні модулі: CAMP і AIPService.

Ось короткий контрольний список, щоб переконатися, що передумови виконано:

Версія PowerShell: переконайтеся, що маєте щонайменше версію 5.1.
Модулі: встановіть модулі CAMP і AIPService.
Адміністративний доступ: переконайтеся, що маєте адміністративні права в Purview.

Виконавши ці передумови, ви готуєте собі безперешкодний процес створення звіту про групи ролей Purview.

Короткий перелік кроків

Перевірте версію PowerShell.
Установіть необхідні модулі.
Підтвердіть свої адміністративні повноваження в Purview.

Виконавши ці кроки, ви будете готові ефективно використовувати PowerShell для своїх завдань зі звітності.

Підключення до Microsoft Purview

Налаштування підключення

Щоб підключитися до Microsoft Purview через PowerShell, виконайте такі кроки:

Переконайтеся, що у вас є передплата Azure: Потрібна чинна передплата Azure та пов’язаний із нею клієнт Microsoft Entra.
Увійдіть на портал Azure: Використайте облікові дані свого облікового запису Azure, щоб отримати доступ до порталу.
Установіть Azure PowerShell або Azure CLI: Переконайтеся, що на вашому клієнтському комп’ютері встановлено необхідні інструменти.
Створіть групу ресурсів: Якщо її ще немає, виконайте таку команду:
```
New-AzResourceGroup -Name myResourceGroup -Location 'East US'
```
Створіть або розгорніть обліковий запис Microsoft Purview: Використайте цю команду, щоб налаштувати свій обліковий запис Purview:
```
New-AzPurviewAccount
```

Виконавши ці кроки, ви забезпечите безпечне підключення до Microsoft Purview.

Автентифікація облікових даних

Після налаштування підключення потрібно автентифікувати свої облікові дані. Ось як це зробити:

Відкрийте PowerShell: Запустіть PowerShell на своєму комп’ютері.
Виконайте команду входу: Використайте наступну команду, щоб увійти:
```
Connect-AzAccount
```
Ця команда запропонує ввести облікові дані вашого облікового запису Azure.
Перевірте підключення: Після входу переконайтеся, що у вас є доступ до облікового запису Purview, виконавши:
```
Get-AzPurviewAccount
```

Якщо під час підключення виникли проблеми, зверніть увагу на поширені помилки:

Неправильний пароль: Перевірте ім’я користувача та пароль.
Доступ до PowerShell: Переконайтеся, що для вашого облікового запису увімкнено доступ до PowerShell.
Доступ до мережі: Переконайтеся, що порт TCP 80 відкрито для зв’язку з Microsoft 365.
Установлення модулів: Переконайтеся, що встановлено обидва модулі: PowerShellGet і PackageManagement.

Виконавши ці кроки, ви зможете успішно підключитися до Microsoft Purview та автентифікувати свої облікові дані, що відкриє шлях до створення звіту про групи ролей.

Створення звіту про групи ролей Purview

Generate Purview Role Group Report

PowerShell-скрипт для звіту про членство

Щоб створити звіт про групи ролей Purview, можна скористатися наведеним нижче скриптом PowerShell. Цей скрипт підключається до Microsoft Graph і отримує членство в групах ролей. Щоб створити звіт, виконайте такі кроки:

Підключіться до Microsoft Graph: Використайте потрібні області дозволів, щоб отримати доступ до необхідних даних.
Підключіться до Exchange Online: Переконайтеся, що маєте доступ до кінцевої точки безпеки та відповідності.
Отримайте групи ролей: Виконайте командлет Get-RoleGroup, щоб знайти всі групи ролей у вашому клієнті.
Перелічіть членів: Для кожної групи ролей визначте поточних членів. Розрізняйте різні типи об’єктів Entra ID.
Оновіть списки PowerShell: Створіть списки для зберігання відомостей про кожне призначення ролі та членство в групі ролей.
Визначте унікальні ідентифікатори: Знайдіть унікальні ідентифікатори, яким призначено ролі, наприклад користувачів або служdebні примірники.
Зберіть відомості про об’єкти: Для кожного унікального ідентифікатора отримайте додаткові дані, наприклад відділ і країну.
Упорядкуйте інформацію: Систематизуйте дані про призначення користувачам за типом і назвою об’єкта для зручнішої звітності.
Створіть HTML-звіт: Сформуйте HTML-звіт, що містить відомості про кожну активну групу ролей та її членів.

Ось приклад скрипта PowerShell, що реалізує ці кроки:

# Connect to Microsoft Graph
Connect-MgGraph -Scopes "Group.Read.All"

# Get role groups
$roleGroups = Get-RoleGroup

# Initialize lists
$roleGroupMemberships = @()

foreach ($group in $roleGroups) {
    $members = Get-RbacGroupMember -GroupId $group.Id
    foreach ($member in $members) {
        $roleGroupMemberships += [PSCustomObject]@{
            RoleGroupName = $group.DisplayName
            MemberName    = $member.DisplayName
            MemberType    = $member.ObjectType
        }
    }
}

# Generate HTML report
$roleGroupMemberships | ConvertTo-Html -Property RoleGroupName, MemberName, MemberType -Title "Purview Role Group Membership Report" | Out-File "PurviewRoleGroupReport.html"

Цей скрипт допоможе створити повний звіт про членство в групах ролей Purview.

Розуміння вихідних даних

Після запуску PowerShell-скрипта ви отримаєте HTML-звіт зі складом груп ролей. Ось як інтерпретувати дані у звіті:

Role Group Name: У цьому стовпці наведено назву кожної групи ролей.
Member Name: У цьому стовпці наведено імена користувачів або служб-принципалів, які входять до кожної групи ролей.
Member Type: Тут указано, чи є учасник користувачем, службовим принципалом або іншим типом об’єкта Entra ID.

Аналізуючи ці дані, ви можете отримати уявлення про склад груп ролей у вашій організації. Ця інформація важлива для забезпечення коректного контролю доступу на основі ролей (RBAC) і підтримки відповідності вимогам безпеки.

Майте на увазі, що точність складу, який відображається у звіті, залежить від поточного стану вашого середовища Purview. Регулярне оновлення скриптів і звітів допоможе вам своєчасно дізнаватися про зміни в складі груп ролей.

Найкращі практики звітування

Плануйте регулярні звіти

Щоб підтримувати відповідність вимогам і безпеку, варто планувати регулярні звіти щодо груп ролей Purview. Регулярне звітування допомагає відстежувати, хто має ролі відповідності, і гарантує, що ваша організація дотримується політик безпеки. Ось кілька кроків, які допоможуть ефективно спланувати такі звіти:

Використовуйте командлети PowerShell: Скористайтеся командлетами PowerShell, щоб автоматизувати створення звітів. Можна створити скрипт, який запускатиметься з визначеною періодичністю.
Налаштуйте Планувальник завдань: Використовуйте Планувальник завдань Windows, щоб автоматично запускати PowerShell-скрипт. Так ви отримуватимете актуальні звіти без ручних дій.
Обирайте формати звітів: Зберігайте звіти в безпечних форматах, наприклад .PDF. Це захищає конфіденційну інформацію та спрощує передачу звітів уповноваженим користувачам.

Порада: Завжди застосовуйте принцип найменших привілеїв під час надання доступу до звітів. Це мінімізує ризик несанкціонованого доступу.

Аналіз даних звіту

Після створення звітів важливо проаналізувати дані. Розуміння складу груп ролей відповідності допомагає виявити потенційні ризики безпеки. Ось кілька стратегій ефективного аналізу:

Регулярно перевіряйте склад групи: Перегляньте, хто входить до кожної групи ролей. Переконайтеся, що доступ до конфіденційних даних мають лише уповноважені користувачі. Ключові групи ролей включають Purview Administrators та Data Source Administrators.
Визначайте тенденції: Шукайте закономірності у складі груп ролей. Це допоможе помітити незвичайну активність або зміни, які можуть потребувати додаткового розслідування.
Документуйте результати: Ведіть журнал аналізу. Такі записи можуть слугувати доказами під час аудитів відповідності та допомагати відстежувати зміни з часом.

Дотримуючись цих найкращих практик, ви зможете покращити процес звітування та гарантувати, що ваша організація залишається відповідною стандартам відповідності Microsoft 365.

У цьому посібнику ви дізналися, як створити звіт про групи ролей Purview за допомогою PowerShell. Ви підключилися до Microsoft Purview, пройшли автентифікацію та виконали PowerShell-скрипт для отримання складу груп ролей.

Регулярне звітування є важливим для підтримки безпеки та відповідності. Воно допомагає контролювати доступ і виявляти потенційні ризики.

Рекомендую інтегрувати цей процес у ваші робочі процеси. Це посилить безпекові позиції вашої організації та допоможе дотримуватися галузевих стандартів.

Поширені запитання

Що таке Microsoft Purview?

Microsoft Purview — це єдине рішення для управління даними, яке допомагає керувати даними та захищати їх у різних середовищах. Воно надає інструменти для виявлення даних, класифікації та забезпечення відповідності.

Навіщо використовувати PowerShell для звітів Purview?

PowerShell автоматизує створення звітів, економить час і зменшує кількість ручних помилок. Він дозволяє ефективно отримувати та керувати складом груп ролей у Purview.

Як часто слід генерувати звіти про групи ролей Purview?

Звіти про групи ролей Purview варто генерувати регулярно, бажано щомісяця або щокварталу. Така практика допомагає контролювати доступ і підтримувати відповідність політикам безпеки.

Що робити, якщо під час виконання скрипта PowerShell виникають помилки?

Якщо виникають помилки, перевірте свої дозволи, переконайтеся, що встановлено всі необхідні модулі, і перевірте з'єднання з Microsoft Purview. Перегляньте повідомлення про помилки: вони містять конкретні вказівки.

Чи можна змінити формат звіту?

Так, формат звіту можна змінити. Змініть скрипт PowerShell, щоб налаштувати формат виведення, наприклад створювати файли CSV або PDF, залежно від ваших потреб.

портал Purview та compliance Purview

Цей FAQ присвячено створенню звіту про групи ролей Purview за допомогою PowerShell і пояснює пов'язані дозволи, керування ролями та аудит у Microsoft Purview і Microsoft 365.

модуль powershell, дозволи microsoft purview та ролі purview rbac

Ці рекомендації охоплюють використання модуля PowerShell і Microsoft Graph PowerShell SDK для перегляду членів груп ролей, вивчення вбудованих визначень ролей і створення звітів для сценаріїв відповідності та eDiscovery.

Що таке звіт про групи ролей Purview за допомогою PowerShell і навіщо його створювати?

Звіт про групи ролей Purview, створений за допомогою PowerShell, це згенерований список (CSV або JSON) груп ролей, призначень ролей (ролей purview rbac та відповідностей вбудованих ролей) і членів груп ролей у рішеннях Microsoft Purview та службах Microsoft 365. Такий звіт створюють, щоб перевірити дозволи на ролі, дізнатися, хто має привілейований доступ до ролей (роль глобального адміністратора або роль адміністратора), підтримати перевірки відповідності, справи eDiscovery або передати дані до процесів керування змінами та перевірок дозволів у межах управління ризиками інсайдерів.

Який модуль PowerShell використовувати для створення звіту про групи ролей Microsoft Purview?

Використовуйте комбінацію модулів залежно від вашого середовища: Microsoft Graph PowerShell SDK для запитів до призначень ролей на порталі Microsoft Purview та членів груп ролей, а також Exchange Online Management Module або модулі Security & Compliance для деяких груп ролей Microsoft 365 і груп, специфічних для eDiscovery. Microsoft іноді публікує приклади на Microsoft Learn для завдань із даними Purview та порталом відповідності Purview.

Які дозволи потрібні для запуску звіту про групи ролей Purview за допомогою PowerShell?

Зазвичай потрібні підвищені ролі, наприклад роль глобального адміністратора або делегована роль адміністратора з можливостями керування ролями, чи конкретні дозволи Microsoft Purview, як-от адміністративні ролі на порталі Purview (привілейована роль або роль адміністратора). Для деяких запитів може знадобитися членство в групі ролей Organization Management або групі ролей eDiscovery Manager. Під час використання Microsoft Graph PowerShell SDK для читання призначень ролей і записів журналу аудиту переконайтеся, що надано згоду на дозволи Graph.

Як вивести список членів груп ролей та їхніх ролей за допомогою Microsoft Graph PowerShell SDK?

Автентифікуйтеся з делегованими або застосунковими дозволами, що включають roleManagement.read.* і Directory.Read.All, потім виконайте запити до roleDefinitions і roleAssignments, щоб зіставити ролі purview rbac з групами ролей і перелічити їхніх членів. Експортуйте результати в CSV, щоб створити звіт. Для груп, специфічних для Exchange Online, наприклад групи ролей eDiscovery Manager, може знадобитися Exchange Online Management Module, щоб переглянути членів групи ролей і привілеї пошуку вмісту.

Чи можна включити ролі eDiscovery та захисту інформації до одного звіту?

Так. Поєднайте дані з порталу Microsoft Purview (для рішень Microsoft Purview і ролей Purview Data), служб Microsoft 365 (пошук вмісту, справи eDiscovery, роль eDiscovery Manager і групу ролей eDiscovery Manager) та призначень Microsoft Information Protection. Використовуйте кілька модулів PowerShell або запитів Graph, щоб зібрати дозволи на ролі, а потім нормалізуйте їх і експортуйте як один звіт.

Як перевіряти зміни в групах ролей і відстежувати дозволи на ролі з часом?

Використовуйте журнал аудиту та події входу й аудиту Azure AD (Microsoft Entra / Microsoft Entra ID), доступні через Microsoft Graph PowerShell SDK або API аудиту в порталі відповідності Purview. Плануйте періодичні експорти призначень ролей і списків членів груп ролей, щоб виявляти зміни. Збереження історичних знімків дає змогу виявляти відхилення від базового стану та збирати докази відповідності.

Які типові обмеження вбудованих ролей варто враховувати у звітах про групи ролей Purview?

Визначення вбудованих ролей можуть бути надто широкими (наприклад, Global Administrator, Compliance Administrator) і давати доступ до compliance-функцій Purview, операцій очищення чи привілейованих даних. У звіті варто виділити перетини вбудованих ролей, групи ролей за замовчуванням і призначення, які фактично надають підвищений доступ до даних Microsoft Purview, Microsoft Defender XDR або Microsoft 365 Copilot. Зверніть увагу, що деякі вбудовані ролі неможливо змінити, але їх можна враховувати та відстежувати.

Як керувати групами ролей для делегованого адміністрування та зменшувати ризик привілейованих ролей?

Визначте учасників груп ролей, які мають привілейовані ролі, і застосовуйте принцип найменших привілеїв: за можливості створюйте вужчі власні ролі, видаляйте зайве членство в групах ролей і використовуйте механізми break-glass для екстреного доступу. У звіті варто позначати користувачів у групі ролей organization management, власників адміністративних ролей і будь-які service principals з призначеними ролями, щоб мінімізувати ризик привілейованих ролей.

Де знайти приклади та найкращі практики створення таких звітів і їх автоматизації?

Скористайтеся документацією Microsoft Learn, де є приклади PowerShell для Microsoft Graph PowerShell SDK, модуля Exchange Online Management і API порталу відповідності. Найкращі практики включають автоматизацію запланованих експортів, збір записів журналу аудиту, документування дозволів ролей як набору дозволів та інтеграцію результатів із процесами управління для керування ролями, перегляду дозволів ролей і аудитів відповідності.