Privilegované role a oprávnění v Microsoft Entra ID (Preview)

Důležité

Popisek pro privilegované role a oprávnění je aktuálně ve verzi PREVIEW. Právní podmínky, které platí pro funkce Azure, které jsou ve verzi beta, verzi Preview nebo které zatím nejsou veřejně dostupné, najdete v Dodatečných podmínkách použití pro Microsoft Azure verze Preview.

ID Microsoft Entra má role a oprávnění, která jsou identifikována jako privilegovaná. Tyto role a oprávnění se dají použít k delegování správy prostředků adresáře jiným uživatelům, úpravě přihlašovacích údajů, zásadám ověřování nebo autorizaci nebo přístupu k datům s omezeným přístupem. Přiřazení privilegovaných rolí můžou vést ke zvýšení oprávnění, pokud se nepoužívá zabezpečeným a zamýšleným způsobem. Tento článek popisuje privilegované role a oprávnění a osvědčené postupy pro použití.

Které role a oprávnění jsou privilegované?

Seznam privilegovaných rolí a oprávnění najdete v tématu Předdefinované role Microsoft Entra. K identifikaci rolí, oprávnění a přiřazení rolí, které jsou identifikované jako privilegované, můžete použít také Centrum pro správu Microsoft Entra, Microsoft Graph PowerShell nebo rozhraní Microsoft Graph API.

Centrum pro správu

V Centru pro správu Microsoft Entra vyhledejte popisek PRIVILEGED .

Na stránce Role a správci jsou privilegované role identifikovány ve sloupci Privilegované. Sloupec Přiřazení uvádí počet přiřazení rolí. Můžete také filtrovat privilegované role.

Při zobrazení oprávnění pro privilegovanou roli můžete zjistit, která oprávnění jsou privilegovaná. Pokud oprávnění zobrazíte jako výchozí uživatel, neuvidíte, která oprávnění jsou privilegovaná.

Když vytvoříte vlastní roli, uvidíte, která oprávnění jsou privilegovaná, a vlastní role se označí jako privilegovaná.

PowerShell

V Microsoft Graph PowerShellu zkontrolujte, jestli IsPrivileged je vlastnost nastavená na True.

K výpisu privilegovaných rolí použijte příkaz Get-MgBetaRoleManagementDirectoryRoleDefinition .

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can create and manage all aspects of app registrations and enterprise apps.
DisplayName             : Application Administrator
Id                      : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users in this role can
                          add, manage, and configureenterprise applications, app registrations and manage on-premises
                          like app proxy.], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$m
                          etadata#roleManagement/directory/roleDefinitions('9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3')/inhe
                          ritsPermissionsFrom]}


AllowedPrincipalTypes   :
Description             : Can reset passwords for non-administrators and Helpdesk Administrators.
DisplayName             : Helpdesk Administrator
Id                      : 729827e3-9c14-49f7-bb1b-9608f156bbb8
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 729827e3-9c14-49f7-bb1b-9608f156bbb8
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users with this role
                          can change passwords, invalidate refresh tokens, manage service requests, and monitor
                          service health. Invalidating a refresh token forces the user to sign in again. Helpdesk
                          administrators can reset passwords and invalidate refresh tokens of other users who are
                          non-administrators or assigned the following roles only:
                          * Directory Readers
                          * Guest Inviter
                          * Helpdesk Administrator
                          * Message Center Reader
                          * Password Administrator
                          * Reports Reader], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$
                          metadata#roleManagement/directory/roleDefinitions('729827e3-9c14-49f7-bb1b-9608f156bbb8')/inh
                          eritsPermissionsFrom]}

...

K výpisu privilegovaných oprávnění použijte příkaz Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction .

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

K výpisu přiřazení privilegovaných rolí použijte příkaz Get-MgBetaRoleManagementDirectoryRoleAssignment.

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

rozhraní Graph API

V rozhraní Microsoft Graph API zkontrolujte, jestli je vlastnost isPrivileged nastavená na true.

K výpisu privilegovaných rolí použijte rozhraní API List roleDefinitions .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

odpověď

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

K výpisu privilegovaných oprávnění použijte rozhraní API List resourceActions .

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

odpověď

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Chcete-li vypsat přiřazení privilegovaných rolí, použijte API List unifiedRoleAssignments.

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

odpověď

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Osvědčené postupy pro používání privilegovaných rolí

Tady je několik osvědčených postupů pro používání privilegovaných rolí.

• Použití principu nejnižších oprávnění
• Použijte Privileged Identity Management k udělení přístupu v pravý čas
• Zapnutí vícefaktorového ověřování pro všechny účty správce
• Konfigurace opakovaných kontrol přístupu pro odvolání nepotřebných oprávnění v průběhu času
• Omezení počtu globálních správců na méně než 5
• Omezení počtu přiřazení privilegovaných rolí na méně než 10

Další informace naleznete v tématu Osvědčené postupy pro role Microsoft Entra.

Privilegovaná oprávnění versus chráněné akce

Privilegovaná oprávnění a chráněné akce jsou funkce související se zabezpečením, které mají různé účely. Oprávnění s popiskem PRIVILEGED pomáhají identifikovat oprávnění, která můžou vést ke zvýšení oprávnění, pokud nejsou používána zabezpečeným a zamýšleným způsobem. Chráněné akce jsou oprávnění rolí, která mají přiřazené zásady podmíněného přístupu pro přidání zabezpečení, například vyžadování vícefaktorového ověřování. Požadavky podmíněného přístupu se vynucují, když uživatel provede chráněnou akci. Chráněné akce jsou aktuálně ve verzi Preview. Další informace naleznete v tématu Co jsou chráněné akce v Microsoft Entra ID?.

Schopnost	Privilegované oprávnění	Chráněná akce
Identifikace oprávnění, která by se měla používat zabezpečeným způsobem	✅
Vyžadování dalšího zabezpečení k provedení akce		✅

Terminologie

Pokud chcete porozumět privilegovaným rolím a oprávněním v MICROSOFT Entra ID, pomůže vám to znát některé z následujících terminologií.

Pojem	definice
akce	Aktivita, kterou může zabezpečovací subjekt provést na typu objektu. Někdy se označuje jako operace.
oprávnění	Definice, která určuje aktivitu, kterou může objekt zabezpečení provést u typu objektu. Oprávnění zahrnuje jednu nebo více akcí.
privilegované oprávnění	V Microsoft Entra ID, oprávnění, která lze použít k delegování správy adresářových prostředků jiným uživatelům, úpravě přihlašovacích údajů, zásad ověřování nebo autorizace nebo přístup k datům s omezeným přístupem.
privilegovaná role	Předdefinovaná nebo vlastní role, která má jedno nebo více privilegovaných oprávnění.
přiřazení privilegované role	Přiřazení role, které používá privilegovanou roli.
zvýšení oprávnění	Když objekt zabezpečení získá více oprávnění, než je jeho přiřazená role původně poskytnutá zosobněním jiné role.
chráněná akce	Oprávnění s podmíněným přístupem použitá pro přidané zabezpečení

Jak pochopit oprávnění rolí

Schéma pro oprávnění volně se řídí formátem REST v Microsoft Graphu:

<namespace>/<entity>/<propertySet>/<action>

Příklad:

microsoft.directory/applications/credentials/update

Prvok oprávnění	Popis
názvový prostor	Produkt nebo služba, která zpřístupňuje úlohu a je připojena před microsoft. Například všechny úkoly v MICROSOFT Entra ID používají microsoft.directory obor názvů.
entita	Logická funkce nebo komponenta vystavená službou v Microsoft Graphu Například Microsoft Entra ID zveřejňuje uživatele a skupiny, OneNote zveřejňuje poznámky a Exchange zveřejňuje poštovní schránky a kalendáře. Pro zadání všech entit v oboru názvů existuje speciální allEntities klíčové slovo. To se často používá v rolích, které udělují přístup k celému produktu.
propertySet	Konkrétní vlastnosti nebo aspekty entity, pro kterou se uděluje přístup. Například microsoft.directory/applications/authentication/read uděluje možnost číst adresu URL odpovědi, adresu URL pro odhlášení a vlastnost implicitního toku objektu aplikace v Microsoft Entra ID. allProperties určuje všechny vlastnosti entity, včetně privilegovaných vlastností. standard určuje společné vlastnosti, ale vyloučí privilegované vlastnosti související s read akcí. Zahrnuje například možnost číst standardní vlastnosti, microsoft.directory/user/standard/read jako je veřejné telefonní číslo a e-mailová adresa, ale ne soukromé sekundární telefonní číslo nebo e-mailová adresa používaná pro vícefaktorové ověřování. basic určuje společné vlastnosti, ale vyloučí privilegované vlastnosti související s update akcí. Sada vlastností, které můžete číst, se může lišit od toho, co můžete aktualizovat. To je důvod, proč standardbasic to mají odrážet klíčová slova.
akce	Operace udělovaná nejčastěji zahrnuje vytváření, čtení, aktualizaci nebo odstranění (CRUD). Pro zadání všech výše uvedených schopností (vytvoření, čtení, aktualizace a odstranění) existuje speciální allTasks klíčové slovo.

Porovnání rolí ověřování

Následující tabulka porovnává možnosti rolí souvisejících s ověřováním.

Role	Správa metod ověřování uživatele	Správa MFA pro jednotlivé uživatele	Správa nastavení MFA	Správa zásad metod ověřování	Správa zásad ochrany heslem	Aktualizace citlivých vlastností	Odstraňování a obnovování uživatelů
Správce ověřování	Ano pro některé uživatele	Ne	Ne	Ne	Ne	Ano pro některé uživatele	Ano pro některé uživatele
Správce privilegovaného ověřování	Ano pro všechny uživatele	Ne	Ne	Ne	Ne	Ano pro všechny uživatele	Ano pro všechny uživatele
Správce zásad ověřování	Ne	Ano	Ano	Ano	Ano	Ne	Ne
Správce uživatelů	Ne	Ne	Ne	Ne	Ne	Ano pro některé uživatele	Ano pro některé uživatele

Kdo může resetovat hesla

V následující tabulce jsou ve sloupcích uvedeny role, které můžou resetovat hesla a zneplatnit obnovovací tokeny. Řádky uvádějí role, pro které je možné resetovat heslo. Správce hesel může například resetovat heslo pro čtenáře adresářů, iniciátory zvaní hostů, správce hesel a uživatele bez role správce. Pokud má uživatel přiřazenou jinou roli, správce hesel nemůže resetovat heslo.

Následující tabulka je určená pro role přiřazené v oboru tenanta. Pro role přiřazené v oboru jednotky pro správu platí další omezení.

Role, pro kterou lze heslo resetovat	Správce hesel	Správce Helpdesk	Administrátor autentizace	Správce uživatelů	Privilegovaný správce autentizace	Globální správce
Administrátor autentizace			✅		✅	✅
Čtenáři adresářů	✅	✅	✅	✅	✅	✅
Globální správce					✅	✅*
Správce skupin				✅	✅	✅
Hostitel hostů	✅	✅	✅	✅	✅	✅
Správce Helpdesk		✅		✅	✅	✅
Čtečka centra zpráv		✅	✅	✅	✅	✅
Správce hesel	✅	✅	✅	✅	✅	✅
Privilegovaný správce autentizace					✅	✅
Správce privilegovaných rolí					✅	✅
Prohlížeč sestav		✅	✅	✅	✅	✅
Uživatel (žádná role správce)	✅	✅	✅	✅	✅	✅
Uživatel (žádná role správce, ale člen nebo vlastník skupiny s možností přiřazení role)					✅	✅
Uživatel s rolí vymezenou na jednotku správy s omezeným přístupem					✅	✅
Správce uživatelů				✅	✅	✅
Správce úspěchu uživatelského prostředí		✅	✅	✅	✅	✅
Čtení souhrnných zpráv o využití		✅	✅	✅	✅	✅
Všechny ostatní předdefinované a vlastní role					✅	✅

Důležité

Podpora partnerů Tier2 může resetovat hesla a zneplatnit tokeny k obnovení pro všechny nesprávce a správce (včetně globálních správců). Role Partner Tier1 Support může resetovat hesla a zneplatnit obnovovací tokeny pouze pro neadministrátory. Tyto role by se neměly používat, protože jsou zastaralé.

Možnost resetování hesla zahrnuje možnost aktualizovat následující citlivé vlastnosti vyžadované pro samoobslužné resetování hesla:

• podnikové telefony
• mobilní telefon
• ostatní e-maily

Kdo může provádět citlivé akce

Někteří správci můžou některým uživatelům provádět následující citlivé akce. Všichni uživatelé mohou číst citlivé vlastnosti.

Citlivá akce	Název citlivé vlastnosti
Zakázání nebo povolení uživatelů	accountEnabled
Aktualizace telefonu do zaměstnání	businessPhones
Aktualizace mobilního telefonu	mobilePhone
Aktualizace místního neměnného identifikátoru	onPremisesImmutableId
Aktualizace dalších e-mailů	otherMails
Aktualizace profilu hesla	passwordProfile
Aktualizace hlavního názvu uživatele	userPrincipalName
Odstranění nebo obnovení uživatelů	Nelze použít

V následující tabulce jsou ve sloupcích uvedeny role, které můžou provádět citlivé akce. Řádky uvádějí role, pro které lze citlivou akci provést.

Následující tabulka je určená pro role přiřazené v oboru tenanta. Pro role přiřazené v oboru jednotky pro správu platí další omezení.

Roli, na které lze citlivou akci provést	Administrátor autentizace	Správce uživatelů	Privilegovaný správce autentizace	Globální správce
Administrátor autentizace	✅		✅	✅
Čtenáři adresářů	✅	✅	✅	✅
Globální správce			✅	✅
Správce skupin		✅	✅	✅
Hostitel hostů	✅	✅	✅	✅
Správce Helpdesk		✅	✅	✅
Čtečka centra zpráv	✅	✅	✅	✅
Správce hesel	✅	✅	✅	✅
Privilegovaný správce autentizace			✅	✅
Správce privilegovaných rolí			✅	✅
Prohlížeč sestav	✅	✅	✅	✅
Uživatel (žádná role správce)	✅	✅	✅	✅
Uživatel (žádná role správce, ale člen nebo vlastník skupiny s možností přiřazení role)			✅	✅
Uživatel s rolí vymezenou na jednotku správy s omezeným přístupem			✅	✅
Správce uživatelů		✅	✅	✅
Správce úspěchu uživatelského prostředí	✅	✅	✅	✅
Čtení souhrnných zpráv o využití	✅	✅	✅	✅
Všechny ostatní předdefinované a vlastní role			✅	✅

Další kroky

• Osvědčené postupy pro role Microsoft Entra
• Předdefinované role Microsoft Entra