Подписка Azure содержит пользовательское приложение (Application1), разработанное внешней компанией (Fabrikam, Ltd.). Разработчикам Fabrikam был предоставлен ролевой доступ к компонентам Application1. Предложите решение с минимальной разработкой, которое: (1) ежемесячно отправляет менеджеру разработчиков электронное письмо со списком разрешений доступа к Application1, и (2) автоматически отзывает любые разрешения, которые менеджер не подтверждает. Что следует рекомендовать?

Создание проверки доступа в Azure AD для Application1 является наиболее подходящим решением, поскольку оно напрямую соответствует обоим требованиям. Проверки доступа позволяют регулярно просматривать и подтверждать доступ пользователей к ресурсам, включая приложения. Они могут быть настроены для автоматического отзыва доступа, если он не подтвержден в течение заданного периода, что минимизирует разработку. Вариант с runbook Azure Automation, использующим Get-AzRoleAssignment, может получить список разрешений, но не предоставляет встроенного механизма для автоматического отзыва доступа на основе подтверждения менеджера без значительной дополнительной разработки. Создание пользовательского назначения ролей в Azure AD Privileged Identity Management (PIM) не решает задачу регулярного аудита и автоматического отзыва доступа. PIM в основном предназначен для управления временным и ограниченным по времени доступом. Runbook Azure Automation с Get-AzureADUserAppRoleAssignment также может получить информацию о назначениях ролей, но, как и первый вариант с runbook, не обеспечивает функциональность автоматического отзыва на основе подтверждения менеджера без дополнительной разработки.