Privilegované role a oprávnění v Microsoft Entra ID (Preview)

Důležité

Popisek pro privilegované role a oprávnění je aktuálně ve verzi PREVIEW. Právní podmínky, které platí pro funkce Azure, které jsou ve verzi beta, verzi Preview nebo které zatím nejsou veřejně dostupné, najdete v Dodatečných podmínkách použití pro Microsoft Azure verze Preview.

ID Microsoft Entra má role a oprávnění, která jsou identifikována jako privilegovaná. Tyto role a oprávnění se dají použít k delegování správy prostředků adresáře jiným uživatelům, úpravě přihlašovacích údajů, zásadám ověřování nebo autorizaci nebo přístupu k datům s omezeným přístupem. Přiřazení privilegovaných rolí můžou vést ke zvýšení oprávnění, pokud se nepoužívá zabezpečeným a zamýšleným způsobem. Tento článek popisuje privilegované role a oprávnění a osvědčené postupy pro použití.

Které role a oprávnění jsou privilegované?

Seznam privilegovaných rolí a oprávnění najdete v tématu Předdefinované role Microsoft Entra. K identifikaci rolí, oprávnění a přiřazení rolí, které jsou identifikované jako privilegované, můžete použít také Centrum pro správu Microsoft Entra, Microsoft Graph PowerShell nebo rozhraní Microsoft Graph API.

Centrum pro správu

V Centru pro správu Microsoft Entra vyhledejte popisek PRIVILEGED .

Na stránce Role a správci jsou privilegované role identifikovány ve sloupci Privilegované. Sloupec Přiřazení uvádí počet přiřazení rolí. Můžete také filtrovat privilegované role.

Při zobrazení oprávnění pro privilegovanou roli můžete zjistit, která oprávnění jsou privilegovaná. Pokud oprávnění zobrazíte jako výchozí uživatel, neuvidíte, která oprávnění jsou privilegovaná.

Když vytvoříte vlastní roli, uvidíte, která oprávnění jsou privilegovaná, a vlastní role se označí jako privilegovaná.

PowerShell

V Microsoft Graph PowerShellu zkontrolujte, jestli IsPrivileged je vlastnost nastavená na True.

K výpisu privilegovaných rolí použijte příkaz Get-MgBetaRoleManagementDirectoryRoleDefinition .

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can create and manage all aspects of app registrations and enterprise apps.
DisplayName             : Application Administrator
Id                      : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users in this role can
                          add, manage, and configureenterprise applications, app registrations and manage on-premises
                          like app proxy.], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$m
                          etadata#roleManagement/directory/roleDefinitions('9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3')/inhe
                          ritsPermissionsFrom]}


AllowedPrincipalTypes   :
Description             : Can reset passwords for non-administrators and Helpdesk Administrators.
DisplayName             : Helpdesk Administrator
Id                      : 729827e3-9c14-49f7-bb1b-9608f156bbb8
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 729827e3-9c14-49f7-bb1b-9608f156bbb8
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users with this role
                          can change passwords, invalidate refresh tokens, manage service requests, and monitor
                          service health. Invalidating a refresh token forces the user to sign in again. Helpdesk
                          administrators can reset passwords and invalidate refresh tokens of other users who are
                          non-administrators or assigned the following roles only:
                          * Directory Readers
                          * Guest Inviter
                          * Helpdesk Administrator
                          * Message Center Reader
                          * Password Administrator
                          * Reports Reader], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$
                          metadata#roleManagement/directory/roleDefinitions('729827e3-9c14-49f7-bb1b-9608f156bbb8')/inh
                          eritsPermissionsFrom]}

...

K výpisu privilegovaných oprávnění použijte příkaz Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction .

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

K výpisu přiřazení privilegovaných rolí použijte příkaz Get-MgBetaRoleManagementDirectoryRoleAssignment .

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

Graph API

V rozhraní Microsoft Graph API zkontrolujte, jestli je vlastnost nastavená isPrivileged na truehodnotu .

K výpisu privilegovaných rolí použijte rozhraní API List roleDefinitions .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

K výpisu privilegovaných oprávnění použijte rozhraní API List resourceActions .

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Pokud chcete vypsat přiřazení privilegovaných rolí, použijte rozhraní API List unifiedRoleAssignments .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Osvědčené postupy pro používání privilegovaných rolí

Tady je několik osvědčených postupů pro používání privilegovaných rolí.

• Použití principu nejnižších oprávnění
• Použití Privileged Identity Management k udělení přístupu za běhu
• Zapnutí vícefaktorového ověřování pro všechny účty správce
• Konfigurace opakovaných kontrol přístupu pro odvolání nepotřebných oprávnění v průběhu času
• Omezení počtu globálních správců na méně než 5
• Omezení počtu přiřazení privilegovaných rolí na méně než 10

Další informace naleznete v tématu Osvědčené postupy pro role Microsoft Entra.

Privilegovaná oprávnění versus chráněné akce

Privilegovaná oprávnění a chráněné akce jsou funkce související se zabezpečením, které mají různé účely. Oprávnění s popiskem PRIVILEGED pomáhají identifikovat oprávnění, která můžou vést ke zvýšení oprávnění, pokud nejsou používána zabezpečeným a zamýšleným způsobem. Chráněné akce jsou oprávnění rolí, která mají přiřazené zásady podmíněného přístupu pro přidání zabezpečení, například vyžadování vícefaktorového ověřování. Požadavky podmíněného přístupu se vynucují, když uživatel provede chráněnou akci. Chráněné akce jsou aktuálně ve verzi Preview. Další informace naleznete v tématu Co jsou chráněné akce v Microsoft Entra ID?.

Schopnost	Privilegované oprávnění	Chráněná akce
Identifikace oprávnění, která by se měla používat zabezpečeným způsobem	✅
Vyžadování dalšího zabezpečení k provedení akce		✅

Terminologie

Pokud chcete porozumět privilegovaným rolím a oprávněním v MICROSOFT Entra ID, pomůže vám to znát některé z následujících terminologií.

Pojem	definice
action	Aktivita, kterou může objekt zabezpečení provést u typu objektu. Někdy se označuje jako operace.
povolení	Definice, která určuje aktivitu, kterou může objekt zabezpečení provést u typu objektu. Oprávnění zahrnuje jednu nebo více akcí.
privilegované oprávnění	V Microsoft Entra ID, oprávnění, která lze použít k delegování správy adresářových prostředků jiným uživatelům, úpravě přihlašovacích údajů, zásad ověřování nebo autorizace nebo přístup k datům s omezeným přístupem.
privilegovaná role	Předdefinovaná nebo vlastní role, která má jedno nebo více privilegovaných oprávnění.
přiřazení privilegované role	Přiřazení role, které používá privilegovanou roli.
zvýšení oprávnění	Když objekt zabezpečení získá více oprávnění, než je jeho přiřazená role původně poskytnutá zosobněním jiné role.
chráněná akce	Oprávnění s podmíněným přístupem použitá pro přidané zabezpečení

Principy oprávnění rolí

Schéma pro oprávnění volně se řídí formátem REST v Microsoft Graphu:

<namespace>/<entity>/<propertySet>/<action>

Příklad:

microsoft.directory/applications/credentials/update

Element Permission	Popis
namespace	Produkt nebo služba, která zpřístupňuje úlohu a je předem oddělena microsoft. Například všechny úkoly v MICROSOFT Entra ID používají microsoft.directory obor názvů.
entity	Logická funkce nebo komponenta vystavená službou v Microsoft Graphu Například Microsoft Entra ID zveřejňuje uživatele a skupiny, OneNote zveřejňuje poznámky a Exchange zveřejňuje poštovní schránky a kalendáře. Pro zadání všech entit v oboru názvů existuje speciální allEntities klíčové slovo. To se často používá v rolích, které uděluje přístup k celému produktu.
propertySet	Konkrétní vlastnosti nebo aspekty entity, pro kterou se uděluje přístup. microsoft.directory/applications/authentication/read Například uděluje možnost číst adresu URL odpovědi, odhlásit adresu URL a implicitní vlastnost toku objektu aplikace v Microsoft Entra ID. allProperties určuje všechny vlastnosti entity, včetně privilegovaných vlastností. standard určuje společné vlastnosti, ale vyloučí privilegované vlastnosti související s read akcí. Zahrnuje například možnost číst standardní vlastnosti, microsoft.directory/user/standard/read jako je veřejné telefonní číslo a e-mailová adresa, ale ne soukromé sekundární telefonní číslo nebo e-mailová adresa používaná pro vícefaktorové ověřování. basic určuje společné vlastnosti, ale vyloučí privilegované vlastnosti související s update akcí. Sada vlastností, které můžete číst, se může lišit od toho, co můžete aktualizovat. To je důvod, proč standard basic to mají odrážet klíčová slova.
action	Je udělena operace, která se obvykle vytváří, čte, aktualizuje nebo odstraňuje (CRUD). Pro zadání všech výše uvedených schopností (vytvoření, čtení, aktualizace a odstranění) existuje speciální allTasks klíčové slovo.

Porovnání rolí ověřování

Následující tabulka porovnává možnosti rolí souvisejících s ověřováním.

Role	Správa metod ověřování uživatele	Správa MFA pro jednotlivé uživatele	Správa nastavení MFA	Správa zásad metod ověřování	Správa zásad ochrany heslem	Aktualizace citlivých vlastností	Odstraňování a obnovování uživatelů
Správce ověřování	Ano pro některé uživatele	Ano pro některé uživatele	Yes	No	No	Ano pro některé uživatele	Ano pro některé uživatele
Správce privilegovaného ověřování	Ano pro všechny uživatele	Ano pro všechny uživatele	No	No	No	Ano pro všechny uživatele	Ano pro všechny uživatele
Správce zásad ověřování	No	Ano	Ano	Ano	Ano	No	No
Správce uživatelů	No	No	No	No	No	Ano pro některé uživatele	Ano pro některé uživatele

Kdo může resetovat hesla

V následující tabulce jsou ve sloupcích uvedeny role, které můžou resetovat hesla a zneplatnit obnovovací tokeny. Řádky uvádějí role, pro které je možné resetovat heslo. Správce hesel může například resetovat heslo pro čtenáře adresářů, zvaní hostů, správce hesel a uživatele bez role správce. Pokud má uživatel přiřazenou jinou roli, správce hesel nemůže resetovat heslo.

Následující tabulka je určená pro role přiřazené v oboru tenanta. Pro role přiřazené v oboru jednotky pro správu platí další omezení.

Role, kterou je možné resetovat heslo	Správce hesel	Správce Helpdesk	Správce ověřování	Správce uživatelů	Privileged Auth Admin	Globální správce
Správce ověřování			✅		✅	✅
Čtenáři adresářů	✅	✅	✅	✅	✅	✅
Globální správce					✅	✅*
Správce skupin				✅	✅	✅
Pozvaný host	✅	✅	✅	✅	✅	✅
Správce Helpdesk		✅		✅	✅	✅
Čtečka centra zpráv		✅	✅	✅	✅	✅
Správce hesel	✅	✅	✅	✅	✅	✅
Privileged Auth Admin					✅	✅
Správce privilegovaných rolí					✅	✅
Čtenář sestav		✅	✅	✅	✅	✅
Uživatelská (žádná role správce)	✅	✅	✅	✅	✅	✅
Uživatelská (žádná role správce, ale člen nebo vlastník skupiny s možností přiřazení role)					✅	✅
Uživatel s rolí vymezenou na jednotku správy s omezeným přístupem					✅	✅
Správce uživatelů				✅	✅	✅
Správce úspěchu uživatelského prostředí		✅	✅	✅	✅	✅
Čtenář souhrnných sestav využití		✅	✅	✅	✅	✅
Všechny ostatní předdefinované a vlastní role					✅	✅

Důležité

Role Podpora partnerské vrstvy2 může resetovat hesla a zneplatnit obnovovací tokeny pro všechny správce a správce (včetně globálních správců). Role Podpora partnerské vrstvy 1 může resetovat hesla a zneplatnit obnovovací tokeny pouze pro jiné správce. Tyto role by se neměly používat, protože jsou zastaralé.

Možnost resetování hesla zahrnuje možnost aktualizovat následující citlivé vlastnosti vyžadované pro samoobslužné resetování hesla:

• businessPhones
• mobilePhone
• ostatní e-maily

Kdo může provádět citlivé akce

Někteří správci můžou některým uživatelům provádět následující citlivé akce. Všichni uživatelé mohou číst citlivé vlastnosti.

Citlivá akce	Název citlivé vlastnosti
Zakázání nebo povolení uživatelů	accountEnabled
Aktualizace telefonu do zaměstnání	businessPhones
Aktualizace mobilního telefonu	mobilePhone
Aktualizace místního neměnného ID	onPremisesImmutableId
Aktualizace dalších e-mailů	otherMails
Aktualizace profilu hesla	passwordProfile
Aktualizace hlavního názvu uživatele	userPrincipalName
Odstranění nebo obnovení uživatelů	Nelze použít

V následující tabulce jsou ve sloupcích uvedeny role, které můžou provádět citlivé akce. Řádky uvádějí role, pro které lze citlivou akci provést.

Následující tabulka je určená pro role přiřazené v oboru tenanta. Pro role přiřazené v oboru jednotky pro správu platí další omezení.

Roli, na které lze citlivou akci provést	Správce ověřování	Správce uživatelů	Privileged Auth Admin	Globální správce
Správce ověřování	✅		✅	✅
Čtenáři adresářů	✅	✅	✅	✅
Globální správce			✅	✅
Správce skupin		✅	✅	✅
Pozvaný host	✅	✅	✅	✅
Správce Helpdesk		✅	✅	✅
Čtečka centra zpráv	✅	✅	✅	✅
Správce hesel	✅	✅	✅	✅
Privileged Auth Admin			✅	✅
Správce privilegovaných rolí			✅	✅
Čtenář sestav	✅	✅	✅	✅
Uživatelská (žádná role správce)	✅	✅	✅	✅
Uživatelská (žádná role správce, ale člen nebo vlastník skupiny s možností přiřazení role)			✅	✅
Uživatel s rolí vymezenou na jednotku správy s omezeným přístupem			✅	✅
Správce uživatelů		✅	✅	✅
Správce úspěchu uživatelského prostředí	✅	✅	✅	✅
Čtenář souhrnných sestav využití	✅	✅	✅	✅
Všechny ostatní předdefinované a vlastní role			✅	✅

Další kroky

• Osvědčené postupy pro role Microsoft Entra
• Předdefinované role Microsoft Entra