用途：Microsoft Entra Privileged Identity Management（PIM）通过基于时间和审批的角色激活，降低特权访问被滥用、多余或长期常设带来的风险。它把常设特权分配替换为“合格（Eligible）”分配，用户使用前必须显式激活角色，并受可配置时长、MFA、审批工作流和理由说明约束，是 Microsoft 环境中零信任身份治理的核心组件。
主要能力：支持 Entra 目录角色（如全局管理员、Exchange 管理员、安全管理员）、Azure 资源角色（订阅或资源组上的 Owner、Contributor、User Access Administrator）以及 PIM for Groups 的特权安全组成员管理。分配类型包括 Eligible（需先激活，到期失效）、Active（始终有效，无需激活）和 Time-Bound（带明确起止时间）。激活流程为：在 PIM 门户“我的角色”点击激活、填写理由与可选工单号、完成 MFA、必要时经审批人批准，激活后在配置时长内有效，到期自动停用。
使用方式：先规划角色分配，审计现有常设分配并确定哪些转为合格，建议常设全局管理员不超过 2 个（破窗账号）。在 Microsoft Entra 管理中心进入 Identity Governance > Privileged Identity Management > Microsoft Entra roles，配置激活设置（最大激活时长、激活时 MFA、理由、工单信息、审批）、分配设置（是否允许永久合格分配、合格分配到期时间、是否允许永久活动分配、活动分配时的 MFA 与理由）以及通知设置。也可通过 Microsoft Graph API 创建合格分配（roleEligibilityScheduleRequests）和激活角色（roleAssignmentScheduleRequests）。随后配置访问评审（定期审核合格分配，关键角色按季度）和 PIM 安全警报（全局管理员过多、PIM 之外的角色分配、未要求 MFA、陈旧合格分配、潜在陈旧服务账号）。
适用场景：部署或配置 PIM 能力、建立符合合规要求的安全控制、构建或改进该领域的安全架构，以及需要实施该能力的安评估。
限制：需要 Microsoft Entra ID P2 或 Entra ID Governance 许可；需要全局管理员或特权角色管理员角色；Azure 资源角色管理需要 Azure 订阅；所有特权用户需配置 MFA，管理员账号建议使用 Microsoft Authenticator 或 FIDO2 密钥。具体价格、性能数据与部署效果资料暂未提供。