以下文档讨论面向员工的Microsoft Entra ID Governance许可。 它适用于考虑为组织应用 Microsoft Entra ID 治理服务的 IT 决策者、IT 管理员和 IT 专业人员。
有关来宾用户的许可治理，请参阅 Microsoft来宾用户的 Entra ID 治理许可。 有关代理的预览，请参阅代理标识管理（预览）。
许可证类型
以下许可证可用于商业云和政府云中的 Microsoft Entra ID 治理。 你在租户中使用的功能将决定你需要选择哪些许可证。
- 免费 - 包含在 Microsoft 云订阅中（如 Microsoft Azure、Microsoft 365 等）。
- Microsoft Entra ID P1 - Microsoft Entra ID P1 作为独立产品提供，或包含在企业客户的 Microsoft 365 E3 中、中小型企业的 Microsoft 365 商业高级版中。
- Microsoft Entra ID P2 - Microsoft Entra ID P2（即将成为 Microsoft Entra ID P2）作为独立产品提供，或包含在企业客户的 Microsoft 365 E5 中。
- Microsoft Entra ID 治理 - Microsoft Entra ID 是一组高级标识治理功能，适用于 Microsoft Entra ID P1 和 P2 客户。 Microsoft Entra ID 治理以六个产品的方式提供：Microsoft Entra ID 治理、适用于 Microsoft Entra ID P2 的 Microsoft Entra ID 治理设置、Entra ID 治理一线工作人员、适用于 Microsoft Entra ID F2 的 Microsoft Entra ID 治理设置、面向政府的 Microsoft Entra ID 治理以及面向政府的适用于 Microsoft Entra ID P2 的 Microsoft Entra ID 治理加载项。 这六种产品仅在先决条件方面有所不同：它们包含权利管理、特权标识管理和访问评审功能，这些功能位于 Microsoft Entra ID P2 中，以及其他高级标识治理功能。 以下部分更详细地介绍了这些产品的不同先决条件。
- Microsoft Entra 套件 - Microsoft Entra 套件是一个用于劳动力访问的基于云的完整解决方案，适用于 Microsoft Entra ID P1 和 P2 客户。 Microsoft Entra 套件汇集了 Microsoft Entra 专用访问、Microsoft Entra Internet 访问、Microsoft Entra ID 治理、Microsoft Entra ID 保护和 Microsoft Entra 验证 ID。 Microsoft Entra ID Governance 部分提供与 Microsoft Entra ID Governance 产品相同的标识治理功能。 区别在于它们具有不同的先决条件。
注意
可将某些 Microsoft Entra ID 治理方案配置为依赖于 Microsoft Entra ID 治理未涵盖的其他功能。 这些功能可能具有其他许可要求。 有关使用其他功能的治理方案的详细信息，请参阅 “标识治理概述 ”页。
Microsoft Entra ID 治理政府版和 Microsoft Entra ID P2 政府版 Microsoft Entra ID 治理加载项产品可在美国政府社区云 (GCC)、GCC-High 和国防部云环境中使用。
治理产品和先决条件
Microsoft Entra ID 治理功能目前在六款独立产品中提供。 这六种产品提供相同的标识治理功能。 这六种产品之间的差异在于它们具有不同的先决条件。
-
Microsoft Entra ID 治理或面向政府的 Microsoft Entra ID 治理的订阅（在产品条款中列为 Microsoft Entra ID 治理（用户 SL）产品）要求租户还拥有另一个产品的有效订阅，其中包含
AAD_PREMIUM或AAD_PREMIUM_P2服务计划。 满足此先决条件的产品示例包括 Microsoft Entra ID P1、 Microsoft 365 E3/E5/A3/A5/G3/G5 或 企业移动性 + 安全性 E3/E5。 -
适用于 Microsoft Entra ID P2 的 Microsoft Entra ID 治理设置或面向政府的适用于 Microsoft Entra ID P2 的 Microsoft Entra ID 治理加载项的订阅（在产品条款中列为 Microsoft Entra ID 治理 P2 产品）要求租户还拥有另一个产品的有效订阅，其中包含
AAD_PREMIUM_P2服务计划。 满足此先决条件的产品示例包括 Microsoft Entra ID P2、Microsoft 365 E5/A5/G5、企业移动性 + 安全性 E5、Microsoft 365 E5/F5 安全或 Microsoft 365 F5 安全 + 合规性。 -
Entra ID 治理一线员工（用户 SL）的订阅要求租户还拥有另一个产品的有效订阅，其中包含
AAD_PREMIUM或AAD_PREMIUM_P2服务计划。 满足此先决条件的产品示例包括 Microsoft Entra ID P1、Microsoft 365 E3/E5/A3/A5/G3/G5、企业移动性 + 安全性 E3/E5 或 Microsoft 365 F1/F3。 -
适用于 Microsoft Entra ID F2 的 Microsoft Entra ID 治理设置的订阅（在产品条款中列为 Microsoft Entra ID 治理 F2 或面向一线员工的适用于 Microsoft Entra ID F2 的 Microsoft Entra ID 治理设置（用户 SL） 产品）要求租户还拥有另一个产品的有效订阅，其中包含
AAD_PREMIUM_P2服务计划。 满足此先决条件的产品示例包括 Microsoft Entra ID F2。
Microsoft Entra ID 治理功能也包含在 Microsoft Entra Suite 中。 可用的 Microsoft Entra 套件产品包括 Microsoft Entra 套件（用户 SL）、面向 FLW 的适用于 Microsoft Entra ID F2 的 Microsoft Entra 套件加载项（用户 SL）、适用于 Microsoft Entra ID P2 的 Microsoft Entra 套件加载项（用户 SL）、适用于 Microsoft Entra ID P2 EDU 的 Microsoft Entra 套件加载项（用户 SL）/Microsoft Entra 套件 FLW（用户 SL）以及适用于 EDU 的 Microsoft Entra 套件（用户 SL）。
许可的产品名称和服务计划标识符列出了包含先决服务计划的其他产品。
注意
必须在租户中具有有效的 Microsoft Entra ID 治理产品的先决条件订阅。 如果先决条件不存在，或者订阅过期，则Microsoft Entra ID 治理方案可能无法按预期工作。
若要检查租户中是否存在 Microsoft Entra ID 治理产品的先决产品，可以使用 Microsoft Entra 管理中心或 Microsoft 365 管理中心查看产品列表。
以许可证管理员身份登录到 Microsoft Entra 管理中心。
浏览到计费>许可证。
在“管理”菜单中，选择“许可的功能”。 信息栏将指示当前的 Microsoft Entra ID 许可计划。
若要查看租户中的现有产品，请在“管理”菜单中选择“所有产品”。
对来宾用户的管理需要为来宾计费选择一个 Azure 订阅。 有关详细信息，请参阅：适用于来宾用户的 Microsoft Entra ID 治理许可。
开始试用
已购买相应先决产品（如 Microsoft Entra ID P1）且尚未使用或以前试用过 Microsoft Entra ID 治理的商业租户中的全局管理员可以请求在其租户中试用 Microsoft Entra ID 治理。
以全局管理员身份登录 Microsoft 365 管理中心
在“计费”菜单中，选择“购买服务”。
在“搜索所有产品类别”框中，键入
"Microsoft Entra ID Governance"。选择 Microsoft Entra ID 治理下方的“详细信息”，查看产品的试用和购买信息。 如果你的租户有 Microsoft Entra ID P2，请选择“适用于 Microsoft Entra ID P2 的 Microsoft Entra ID 治理升级版”下方的“详细信息”。
在产品详细信息页中，选择“开始免费试用”。
Microsoft Entra ID 治理功能
下表显示了成员用户的 Microsoft Entra ID 治理功能的许可要求。 Microsoft Entra 套件包括 Microsoft Entra ID 治理的所有功能。 下表提供了针对权利管理、访问评审和生命周期工作流的许可信息和示例许可方案。
按许可证列出的功能
下表显示了与标识治理关联的功能可用于每个许可证。 有关其他功能的详细信息，请参阅 Microsoft Entra 计划和定价。 并非所有功能都在所有云中可用；请参阅 Microsoft Entra 功能可用性的“Azure 政府”部分。
| 功能 | 免费 | Microsoft Entra ID P1 | Microsoft Entra ID P2 | Microsoft Entra ID 治理 | Microsoft Entra 套件 |
|---|---|---|---|---|---|
| 访问评审代理 （预览版） | ✅ | ✅ | |||
| API 驱动的预配 | ✅ | ✅ | ✅ | ✅ | |
| HR 驱动的预配 | ✅ | ✅ | ✅ | ✅ | |
| 自动将用户预配到 SaaS 应用 | ✅ | ✅ | ✅ | ✅ | ✅ |
| 自动将组预配到 SaaS 应用程序 | ✅ | ✅ | ✅ | ✅ | |
| 自动预配到本地应用 | ✅ | ✅ | ✅ | ✅ | |
| 条件访问 - 使用条款证明 | ✅ | ✅ | ✅ | ✅ | |
| 权利管理 - 此前已在 Microsoft Entra ID P2 中正式发布的功能 | ✅ | ✅ | ✅ | ||
| 权利管理 - 条件访问范围 | ✅ | ✅ | ✅ | ||
| 权利管理我的访问搜索 | ✅ | ✅ | ✅ | ||
| 权利管理我的访问委派 | ✅ | ✅ | |||
| 使用验证 ID 的权利管理 | ✅ | ✅ | |||
| 权利管理 – 自定义扩展（逻辑应用） | ✅ | ✅ | |||
| 权利管理 – 自动分配策略 | ✅ | ✅ | |||
| 权限管理 - 直接分配任意身份（预览版） | ✅ | ✅ | |||
| 权利管理 - 将来宾标记为受管理 | ✅ | ✅ | |||
| 权利管理 – 管理外部用户的生命周期 | ✅ | ✅ | ✅ | ||
| “我的访问权限”门户 | ✅ | ✅ | ✅ | ||
| 权利管理 - Microsoft Entra 角色（预览版） | ✅ | ✅ | |||
| 权限管理 - 代他人请求访问包 | ✅ | ✅ | |||
| 权利管理 - 赞助人策略 | ✅ | ✅ | |||
| Privileged Identity Management （PIM） | ✅ | ✅ | ✅ | ||
| 组的 PIM | ✅ | ✅ | ✅ | ||
| PIM 条件访问控制 | ✅ | ✅ | ✅ | ||
| 访问评审 - 此前已在 Microsoft Entra ID P2 中正式发布的功能 | ✅ | ✅ | ✅ | ||
| 访问评审 - 适用于组的 PIM（预览版） | ✅ | ✅ | |||
| 访问审查 - 未活跃用户审查 | ✅ | ✅ | |||
| 访问评审 - 非活动用户建议 | ✅ | ✅ | ✅ | ||
| 访问评审 - 机器学习辅助访问认证和评审 | ✅ | ✅ | |||
| 生命周期工作流 (LCW) | ✅ | ✅ | |||
| LCW + 自定义扩展（逻辑应用） | ✅ | ✅ | |||
| 身份治理仪表板 | ✅ | ✅ | ✅ | ✅ | |
| 见解和报告 – 未激活的访客账户 | ✅ | ✅ | |||
| 跨租户用户同步（同一云） | ✅ | ✅ | ✅ | ✅ | |
| 跨云同步 | ✅ | ✅ |
权利管理
使用此功能需要为组织的成员用户订阅 Microsoft Entra ID Governance。 此功能中的某些功能可能需要使用 Microsoft Entra ID P2 订阅进行操作。 此功能中的某些功能需要来宾计费。
许可证场景示例
下面是一些许可证场景示例，可帮助你确定必须拥有的许可证数量。
| 方案 | 计算 | 许可证数量 |
|---|---|---|
| Woodgrove银行的身份治理管理员负责创建初始目录。 其中一个策略指定，所有员工（2000 名员工）都可以请求一组特定的访问包。 150 名员工请求了访问包。 | 可以请求访问包的 2000 名员工 | 二千 |
| Woodgrove银行的身份治理管理员负责创建初始目录。 他们需要创建一个自动分配策略，向销售部门的所有成员（350 名员工）授予对一组特定访问包的访问权限。 系统会自动向 350 名员工分配访问包。 | 350 名员工需要许可证。 | 351 |
访问评审
使用此功能需要贵组织成员用户的 Microsoft Entra ID Governance 订阅，包括审核访问权限的所有员工及其访问权限正在被审核的员工。 此功能中的某些功能可能需要使用 Microsoft Entra ID P2 订阅才能运行。 此功能中的某些功能需要来宾计费。
许可证场景示例
下面是一些许可证场景示例，可帮助你确定必须拥有的许可证数量。
| 方案 | 计算 | 许可证数量 |
|---|---|---|
| 管理员创建包含 75 个成员用户和 1 个组所有者的组 A 的访问评审，并将组所有者分配为审阅者。 | 1 个许可证适用于作为审阅者的组所有者，75 个许可证适用于 75 个用户。 | 76 |
| 管理员创建包含 500 个成员用户和 3 个组所有者的组 B 的访问评审，并将 3 个组所有者分配为审阅者。 | 500 个许可证适用于用户，3 个许可证适用于每个作为审阅者的组所有者。 | 503 |
| 管理员对包含 500 名用户的组 B 进行访问评审。 将其设为自我评审。 | 每个用户作为自我审查者可获得 500 个许可证 | 500 |
| 管理员创建包含 50 个成员用户的组 C 的访问评审。 将其设为自我评审。 | 如果每位用户都是自我评审者，则需要 50 个许可证。 | 50 |
| 管理员创建包含 6 个成员用户的组 D 的访问评审。 将其设为自我评审。 | 每个用户作为自我审阅者可获得 6 个许可证。 不需要其他许可证。 | 6 |
生命周期工作流
使用生命周期工作流的 Microsoft Entra ID 治理许可证可以：
- 创建、管理和删除工作流（最多 50 个工作流）。
- 触发按需的和计划的工作流执行。
- 管理和配置现有任务，以创建特定于你的需求的工作流。
- 创建最多 100 个用在工作流中的自定义任务扩展。
使用此功能需要为组织的成员用户订阅 Microsoft Entra ID Governance。 此功能中的某些功能需要来宾计费。
许可证场景示例
| 方案 | 计算 | 许可证数量 |
|---|---|---|
| 生命周期工作流管理员创建了一个工作流，用于将营销部门中的新员工添加到营销团队组。 通过此工作流，一次性将 250 名新员工成员用户被分配至营销团队组。 其他 150 名新员工成员用户将在同年晚些时候通过此工作流分配给营销团队组。 | 1 个许可证将用于生命周期工作流管理员，400 个许可证将用于用户。 | 401 |
| 生命周期工作流管理员创建了一个工作流，用于在员工在职的最后一天前将一组员工预离职。 一次可执行预离职的用户范围是 40 人。 我们让 40 个许可用户离职。 现在，我们可以重新分配这 40 个许可证，并在今年晚些时候再分配 10 个许可证以预离职另外 50 个用户。 | 50 个许可证用于用户，1 个许可证用于生命周期工作流管理员。 | 51 |
Privileged Identity Management
要使用 Microsoft Entra Privileged Identity Management，租户必须具有有效的许可证。 本文介绍使用 Privileged Identity Management 所要满足的许可证要求。 若要使用 Privileged Identity Management，则必须具有以下许可证之一：
用于 PIM 的有效许可证
需要 Microsoft Entra ID 治理许可证或 Microsoft Entra ID P2 许可证才能使用 PIM 及其所有设置。 目前，可以将访问评审的范围限定为具有 Microsoft Entra ID 访问权限的服务主体、具有 Microsoft Entra ID P2 的资源角色，或者在租户中具有有效 Microsoft Entra ID 治理版本的用户。
你必须拥有 PIM 的许可证
对于以下类别的用户，确保目录具有 Microsoft Entra ID P2 或 Microsoft Entra ID 治理许可证：
- 已分配和/或限时分配到使用 PIM 管理的 Microsoft Entra ID 或 Azure 角色的合格用户
- 已分配和/或限时分配到组 PIM 成员或管理员身份的合格用户
- 能在 PIM 中批准或拒绝激活请求的用户
- 已分配到访问评审的用户
- 执行访问评审的用户
用于 PIM 的许可证方案示例
下面是一些许可证场景示例，可帮助你确定必须拥有的许可证数量。
| 方案 | 计算 | 许可证数量 |
|---|---|---|
| Woodgrove Bank 有用于不同部门的 10 个管理员和用于配置和管理 PIM 的 2 个特权角色管理员。 他们使五个管理员符合条件。 | 五个许可证发放给符合条件的管理员 | 5 |
| Graphic Design Institute 有 25 个管理员，其中 14 个是通过 PIM 管理的。 角色激活需要批准，并且组织中有三个不同的用户可以批准激活。 | 14 个许可证用于符合条件的角色 + 三个审批者 | 十七 |
| Contoso 有 50 个管理员，其中 42 个是通过 PIM 管理的。 角色激活需要批准，并且组织中有五个不同的用户可以批准激活。 Contoso 还每月对分配给管理员角色的用户进行一次审阅，审阅者是用户的经理，其中有六个不在 PIM 管理的管理员角色中。 | 42 个许可证用于符合条件的角色 + 五个审批者 + 六个审阅者 | 53 |
当用于 PIM 的许可证过期时
如果Microsoft Entra ID P2、Microsoft Entra ID Governance 或试用许可证过期，则目录中不再提供 Privileged Identity Management 功能：
- 对 Microsoft Entra 角色的永久角色分配不会受到影响。
- 用户无法再使用 Microsoft Entra 管理中心中的 Privileged Identity Management 服务、图形 API cmdlet 和 Privileged Identity Management 的 PowerShell 接口来激活特权角色、管理特权访问或执行特权角色的访问评审。
- 将删除 Microsoft Entra 角色的符合条件的角色分配，因为用户无法再激活特权角色。
- Microsoft Entra 角色的所有正在进行的访问评审将结束，并且将移除 Privileged Identity Management 配置设置。
- 角色分配更改时，Privileged Identity Management 不再发送电子邮件。
API 驱动的预配
此功能适用于 Microsoft Entra ID P1、P2 和 Microsoft Entra ID 治理订阅。 对于通过 /bulkUpload API 获取并预配到本地 Active Directory 或 Microsoft Entra ID 的每个身份，都需要一个带有足够许可席位的订阅许可证。
许可证方案
| 客户许可证 | 针对 API 驱动的供应，在租户级别强制实施使用限制 |
|---|---|
| Microsoft Entra ID P1 或 P2 | 每日使用配额（在 24 小时内可上传的用户记录数）：10 万条用户记录（ 每次 bulkUpload API 调用可以包含 2000 条，每个请求最多包含 50 条记录）。 每个流的 API 驱动预配作业的最大数目：2 o 最多可以使用 2 个应用向本地 Active Directory 进行 API 驱动的预配。 o 最多可以使用 2 个应用向 Microsoft Entra ID 进行 API 驱动的预配。 |
| Microsoft Entra ID 治理与 Microsoft Entra ID P1 或 P2 搭配使用 | 每日使用配额（在 24 小时内可上传的用户记录数）：30 万条用户记录（ 每次 bulkUpload API 调用可以包含 6000 条，每个请求最多包含 50 条记录）。 每个流的 API 驱动预配作业的最大数目：20 o 最多可以使用 20 个应用向本地 Active Directory 进行 API 驱动的预配。 o 最多可以使用 20 个应用向 Microsoft Entra ID 进行 API 驱动的预配。 |
许可常见问题解答
是否需要向用户分配许可证才能使用 Identity Governance 功能？
用户无需分配 Microsoft Entra ID Governance 许可证，但需要有与所有成员用户一致数量的许可证，以便将这些用户包括在标识治理功能的范围内或让其进行配置。 此外，如果要管理来宾用户，则必须启用来宾计费模型，具体情况将在接下来的回答中进行描述。
如何许可企业来宾使用 Microsoft Entra ID Governance 功能？
Microsoft Entra ID 治理对来宾用户使用与员工不同的月度活跃用户 (MAU) 许可，并且此功能需要 Azure 订阅。
在来宾计费模型中，来宾由 Guest 的 userType 标识，无论用户进行身份验证的位置如何。 Guest 的 userType 是所有 B2B 邀请方法的默认 userType，也可以由身份管理员设置。 每个月的账单包括当月具有一个或多个治理操作的每个来宾用户的记录。 有关定价详细信息，请参阅 Azure 定价页。
有关详细信息，请参阅：适用于来宾用户的 Microsoft Entra ID 治理许可。
如果许可证过期，PIM 会发生什么情况？
如果 Microsoft Entra ID P2 或 Microsoft Entra ID Governance 试用许可证过期，则无法再在目录中使用 Privileged Identity Management 功能： 以下列出的更改适用于 Microsoft Entra 角色的 PIM、Azure 资源的 PIM 和组的 PIM。
- 活动永久分配不受影响。
- 活动时限分配变为活动永久分配，这意味着它们将不再在指定时间过期。
- 符合条件的角色分配会被移除，因为用户不再能够激活特权角色。
- Microsoft Entra 管理中心或 Azure 门户中的 Privileged Identity Management 边栏选项卡，以及 Privileged Identity Management 的 API 和 PowerShell 界面将不再可供用户用来激活角色、管理分配或执行特权角色的访问评审。
- Microsoft Entra 角色的所有正在进行的访问评审将结束，并且将移除 Privileged Identity Management 配置设置。
- 角色分配更改时，Privileged Identity Management 将不再发送电子邮件以及 PIM 警报。
是否会在 Microsoft Entra ID P2 许可证下添加任何 IGA 特性和功能？
Microsoft Entra ID P2 中当前所有正式发布的功能将保持不变，但 Microsoft Entra ID P2 SKU 将不会新增任何 IGA 特性或功能。