如何查看Azure PIM中授予角色激活权限的机制及相关疑问

一、查看授予角色激活权限的机制 #

1. 登录Azure门户，进入Azure AD Privileged Identity Management
2. 左侧菜单选「我的角色」，切换到你要查看的角色类型（比如Azure AD角色、Azure资源角色）
3. 找到目标角色，点击「成员身份」列的内容（哪怕显示“Direct”），进入详情页后查看分配来源字段，这里会明确标注权限来自直接分配、Entra角色可分配组、访问包还是其他方式
4. 也可以通过另一条路径查看：Azure AD > 用户 > 你的账号 > 角色和权限 > 特权角色，在这里能看到每个角色的完整分配详情，包括具体的授予机制

二、除Entra可分配组、PIM组、访问包外的权限授予机制 #

• 直接分配：管理员直接将PIM可激活角色分配给你个人，这是最基础的授予方式
• 嵌套特权访问组：如果你是某个嵌套在特权访问组（PAG）里的安全组成员，会继承该PAG的角色激活权限
• Azure AD自定义角色策略：通过自定义的角色分配策略，基于用户属性（比如部门、位置）批量授予可激活角色权限
• B2B协作分配：如果你是外部用户，通过Azure AD B2B协作被加入有权限的组，或直接分配角色，也能获得角色激活权限
• 注：条件访问策略是控制你能否激活角色的规则，不算直接授予权限的机制，但会影响权限的实际使用

三、关于「成员身份」列显示“Direct”的疑问 #

这是PIM的界面设计逻辑：当你通过Entra角色可分配组获得角色权限时，「我的角色」视图会简化显示为“Direct”，但点击链接后会跳转到对应的组详情页，说明你的权限实际是通过组继承的，而非直接分配给你个人。这种显示是为了简化界面，但实际权限来源是组，PIM通过链接引导你查看真正的分配路径。

内容的提问来源于stack exchange，提问作者Shuzheng