用途：指导治理 Entra 角色、Azure RBAC 角色与特权组的特权访问，把永久分配改为“符合条件”分配，配置激活控制并执行周期性访问评审。不适用于资源访问包（entra-id-governance）和风险检测（entra-id-protection）。需 Entra ID P2。
主要能力与做法：按角色层级选择激活控制。Tier 0 控制平面（全局管理员、特权角色管理员、特权身份验证管理员）需 2 名审批者、防钓鱼 MFA、最长 1 小时；Tier 0 Azure（管理组/根订阅 Owner）需审批、防钓鱼 MFA、2 小时；Tier 1 工作负载管理员需 1 名审批者、防钓鱼 MFA、4 小时；Tier 1 Azure（生产订阅 Owner/Contributor）需理由加工单、MFA、4 小时；Tier 2 运维角色仅需理由、MFA、8 小时。全局管理员的双审批者要求被视为价值最高的单项控制。
实施步骤：先用 Get-MgRoleManagementDirectoryRoleAssignment 和 Azure 门户 Assignments 视图盘点永久分配并按层级分类，目标为除应急账号外零常驻分配；分波次转为符合条件（先 Tier 2，再 Tier 1，最后 Tier 0），提前 7 天通知并提供演示；按层级配置激活设置，防钓鱼 MFA 需指定身份验证强度而非普通 MFA；对非 Entra 角色的特权组使用 PIM for Groups，激活组而非逐个角色；为 Azure 资源接入订阅与管理组，将 Owner 和用户访问管理员转为符合条件，尽量把限时分配范围收窄到资源组；Tier 0 每季度、Tier 1 每半年做访问评审，评审人为被分配者的经理，无响应默认移除并提前 24 小时通知；启用“全局管理员过多”“角色在 PIM 外激活”“激活无需审批”等警报，并把 PIM 审计（AuditLogs 表）流式传输到 Sentinel。
护栏与限制：保留两个永久全局管理员应急账号并排除在 PIM 外，每次登录都监控；全局管理员激活必须两名审批者，避免自审批；Tier 0 激活使用防钓鱼 MFA；Azure RBAC 限时且范围尽量窄（资源组优于订阅优于管理组）；理由必须真实可审计；评审至少每季度一次。常见反模式包括 IT 团队常驻全局管理员、审批可选、仅一名审批者、只覆盖 Entra 角色而 Azure RBAC 保持常驻、每年才评审一次、理由字段可选、对共享服务账号使用 PIM（应改用托管标识加 RBAC）。
参考文档：PIM 概述 https://learn.microsoft.com/entra/id-governance/privileged-identity-management/pim-configure ；分配符合条件角色 https://learn.microsoft.com/entra/id-governance/privileged-identity-management/pim-how-to-add-role-to-user ；激活设置 https://learn.microsoft.com/entra/id-governance/privileged-identity-management/pim-how-to-change-default-settings ；PIM for Groups https://learn.microsoft.com/entra/id-governance/privileged-identity-management/concept-pim-for-groups ；PIM for Azure 资源 https://learn.microsoft.com/entra/id-governance/privileged-identity-management/pim-resource-roles-configure-role-settings ；访问评审 https://learn.microsoft.com/entra/id-governance/privileged-identity-management/pim-create-roles-and-resource-roles-review ；PIM 警报 https://learn.microsoft.com/entra/id-governance/privileged-identity-management/pim-how-to-configure-security-alerts ；应急访问账号 https://learn.microsoft.com/entra/identity/role-based-access-control/security-emergency-access 。