Rollen mit den geringsten Berechtigungen nach Aufgabe in Microsoft Entra ID
In diesem Artikel finden Sie die erforderlichen Informationen, um Administratorrechte eines Benutzers einzuschränken, indem Sie die am wenigsten privilegierten Rollen in Microsoft Entra ID zuweisen. Sie werden Aufgaben finden, die nach Funktionsbereichen und der Rolle mit den geringsten Berechtigungen geordnet sind, die zum Ausführen jeder Aufgabe erforderlich sind, zusammen mit zusätzlichen nicht-globalen Administratorrollen, die die Aufgabe ausführen können.
Sie können Berechtigungen weiter einschränken, indem Sie Rollen in kleineren Bereichen zuweisen oder eigene benutzerdefinierte Rollen erstellen. Weitere Informationen finden Sie unter Zuweisen von Microsoft Entra Rollen in verschiedenen Bereichen oder Erstellen und Zuweisen einer benutzerdefinierten Rolle in Microsoft Entra ID.
Anwendungsproxy
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Konfigurieren einer Anwendungsproxy-App | Anwendungsadministrator | |
| Konfigurieren von Connector-Gruppeneigenschaften | Anwendungsadministrator | |
| Erstellen einer Anwendungsregistrierung, wenn die Funktion für alle Benutzer deaktiviert ist | Anwendungsentwickler | Cloudanwendungsadministrator Anwendungsadministrator |
| Erstellen einer Connectorgruppe | Anwendungsadministrator | |
| Löschen einer Connectorgruppe | Anwendungsadministrator | |
| Anwendungsproxy deaktivieren | Anwendungsadministrator | |
| Herunterladen eines Connector-Dienstes | Anwendungsadministrator | |
| Lesen aller Konfigurationen | Anwendungsadministrator |
External Identities/B2C
Hinweis
Globale Azure AD B2C-Administratoren haben nicht die gleichen Berechtigungen wie Globale Microsoft Entra-Administratoren. Wenn Sie über globale Azure AD B2C-Administratorrechte verfügen, stellen Sie sicher, dass Sie sich in einem Azure AD B2C-Verzeichnis und nicht in einem Microsoft Entra-Verzeichnis befinden.
Unternehmensbranding
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Konfigurieren des Unternehmensbrandings | Organisations-Brandingadministrator | |
| Lesen aller Konfigurationen | Verzeichnisleseberechtigte | Standardbenutzer-Rolle |
Verbinden
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Pass-Through-Authentifizierung | Hybrid-Identitätsadministrator | |
| Lesen aller Konfigurationen | Globaler Leser | Hybrid-Identitätsadministrator |
| Nahtloses Single Sign-On | Hybrid-Identitätsadministrator |
Connect Sync
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Verwalten der lokalen Verzeichnissynchronisierung | Hybrid-Identitätsadministrator |
Cloudbereitstellung
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Pass-Through-Authentifizierung | Hybrid-Identitätsadministrator | |
| Lesen aller Konfigurationen | Globaler Leser | Hybrid-Identitätsadministrator |
| Nahtloses Single Sign-On | Hybrid-Identitätsadministrator |
Connect Health
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Hinzufügen oder Löschen von Diensten | Besitzer | |
| Fehlerbehebungen für Synchronisierungsfehler anwenden | Mitwirkender | Besitzer |
| Konfigurieren von Benachrichtigungen | Mitwirkender | Besitzer |
| Konfigurieren von Einstellungen | Besitzer | |
| Konfigurieren von Synchronisierungs-Benachrichtigungen | Mitwirkender | Besitzer |
| Lesen von ADFS-Sicherheitsberichten | Sicherheitsleseberechtigter | Mitwirkender Besitzer |
| Lesen aller Konfigurationen | Leser | Mitwirkender Besitzer |
| Lesen von Synchronisierungsfehlern | Leser | Mitwirkender Besitzer |
| Lesen von Synchronisierungsdiensten | Leser | Mitwirkender Besitzer |
| Anzeigen von Metriken und Warnungen | Leser | Mitwirkender Besitzer |
| Anzeigen von Metriken und Warnungen | Leser | Mitwirkender Besitzer |
| Anzeigen von Metriken und Warnungen zum Synchronisierungsdienst | Leser | Mitwirkender Besitzer |
Benutzerdefinierte Domänennamen
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Verwalten von Domänen | Domänennamen-Administrator | |
| Lesen aller Konfigurationen | Verzeichnisleseberechtigte | Standardbenutzer-Rolle |
Domänendienste
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Erstellen von Microsoft Entra Domain Services-Instanzen | Anwendungsadministrator Gruppenadministrator Mitwirkender für Domänendienste |
|
| Ausführen aller Microsoft Entra Domain Services-Aufgaben | AAD-DC-Administratorengruppe | |
| Lesen aller Konfigurationen | Leser für Azure-Abonnements, die den AD DS-Dienst umfassen |
Geräte
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Gerät löschen | Cloudgeräteadministrator | Intune-Administrator |
| Deaktivieren eines Geräts | Cloudgeräteadministrator | Intune-Administrator |
| Aktivieren eines Geräts | Cloudgeräteadministrator | Intune-Administrator |
| Lesen einer Standardkonfiguration | Standardbenutzer-Rolle | |
| Lesen von BitLocker-Schlüsseln | Cloudgeräteadministrator | Helpdeskadministrator Intune-Administrator Sicherheitsadministrator Sicherheitsleseberechtigter |
Unternehmensanwendungen
Berechtigungsverwaltung
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Hinzufügen von Ressourcen zu einem Katalog | Identitätsverwaltung-Administrator | Mit der Berechtigungsverwaltung können Sie diese Aufgabe an den Katalogbesitzer delegieren |
| Hinzufügen von SharePoint Online-Websites zum Katalog | SharePoint-Administrator |
Gruppen
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Lizenz zuweisen | Benutzeradministrator | |
| Gruppe erstellen | Gruppenadministrator | Benutzeradministrator |
| Erstellen, Aktualisieren oder Löschen der Zugriffsüberprüfung einer Gruppe oder einer App | Benutzeradministrator | |
| Gültigkeitsdauer der Gruppe verwalten | Benutzeradministrator | |
| Verwalten von Gruppeneinstellungen | Gruppenadministrator | Benutzeradministrator |
| Lesen der gesamten Konfiguration (mit Ausnahme der ausgeblendeten Mitgliedschaft) | Verzeichnisleseberechtigte | Standardbenutzer-Rolle |
| Lesen der ausgeblendeten Mitgliedschaft | Gruppenmitglied | Gruppenbesitzer Kennwortadministrator Exchange-Administrator SharePoint-Administrator Teams-Administrator Benutzeradministrator |
| Lesen der Mitgliedschaft von Gruppen mit ausgeblendeter Mitgliedschaft | Helpdeskadministrator | Benutzeradministrator Teams-Administrator |
| Widerrufen von Lizenzen | Lizenzadministrator | Benutzeradministrator |
| Aktualisierung dynamischer Mitgliedschaftsgruppen | Gruppenbesitzer | Benutzeradministrator |
| Aktualisieren von Gruppenbesitzern | Gruppenbesitzer | Benutzeradministrator |
| Aktualisieren von Gruppeneigenschaften | Gruppenbesitzer | Benutzeradministrator |
| Gruppe löschen | Gruppenadministrator | Benutzeradministrator |
Lizenzen
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Lizenz zuweisen | Lizenzadministrator | Benutzeradministrator |
| Lesen aller Konfigurationen | Verzeichnisleseberechtigte | Standardbenutzer-Rolle |
| Widerrufen von Lizenzen | Lizenzadministrator | Benutzeradministrator |
| Testen oder Erwerben von Abonnements | Abrechnungsadministrator |
Microsoft Entra Health
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Anzeigen von Szenarioüberwachungssignalen | Berichtleseberechtigter | Sicherheitsleseberechtigter Sicherheitsoperator Sicherheitsadministrator Helpdeskadministrator Globaler Leser |
Microsoft Entra ID Protection
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Konfigurieren von Alert Notifications | Sicherheitsadministrator | |
| Konfigurieren und Aktivieren oder Deaktivieren einer MFA-Richtlinie | Sicherheitsadministrator | |
| Konfigurieren und Aktivieren oder Deaktivieren einer Richtlinie zum Anmelderisiko | Sicherheitsadministrator | |
| Konfigurieren und Aktivieren oder Deaktivieren einer Richtlinie zum Benutzerrisiko | Sicherheitsadministrator | |
| Konfiguration wöchentlicher Digest | Sicherheitsadministrator | |
| Alle Risikoerkennungen schließen | Sicherheitsadministrator | |
| Beheben oder Ausschließen von Sicherheitsrisiken | Sicherheitsadministrator | |
| Lesen aller Konfigurationen | Sicherheitsleseberechtigter | |
| Lesen aller Risikoerkennungen | Sicherheitsleseberechtigter | |
| Lesen von Sicherheitsrisiken | Sicherheitsleseberechtigter |
Überwachung und Integrität – Überwachungsprotokolle
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Lesen von Überwachungsprotokollen | Berichtleseberechtigter | Sicherheitsleseberechtigter Sicherheitsadministrator |
Überwachung und Integrität – Anmeldeprotokolle
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Lesen von Anmeldeprotokollen | Berichtleseberechtigter | Sicherheitsleseberechtigter Sicherheitsadministrator Globaler Leser |
Überwachung und Integrität – Bereitstellungsprotokolle
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Lesen von Anmeldeprotokollen | Berichtleseberechtigter | Sicherheitsleseberechtigter Sicherheitsadministrator Globaler Leser Sicherheitsadministrator Sicherheitsoperator Anwendungsadministrator Cloudanwendungsadministrator |
Überwachung und Integrität – Empfehlungen
Mehrstufige Authentifizierung
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Löschen aller vorhandenen App-Passwörter, die von den ausgewählten Benutzern erstellt wurden | Authentifizierungsadministrator Richtlinien | Authentifizierungsadministrator |
| Deaktivieren der benutzerbasierten MFA | Authentifizierungsadministrator | Privilegierter Authentifizierungsadministrator |
| Aktivieren der MFA pro Benutzer | Authentifizierungsadministrator | Privilegierter Authentifizierungsadministrator |
| Verwalten von MFA-Diensteinstellungen | Authentifizierungsadministrator Richtlinien | |
| Ausgewählte Benutzer müssen ihre Kontaktinformationen erneut angeben | Authentifizierungsadministrator | |
| Wiederherstellen der Multi-Faktor-Authentifizierung für alle gespeicherten Geräte | Authentifizierungsadministrator |
MFA-Server
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Benutzer sperren/zulassen | Authentifizierungsadministrator Richtlinien | |
| Konfigurieren der Kontosperrung | Authentifizierungsadministrator Richtlinien | |
| Konfigurieren von Cacheregeln | Authentifizierungsadministrator Richtlinien | |
| Konfigurieren der Betrugswarnung | Authentifizierungsadministrator Richtlinien | |
| Konfigurieren von Benachrichtigungen | Authentifizierungsadministrator Richtlinien | |
| Konfigurieren einer Einmalumgehung | Authentifizierungsadministrator Richtlinien | |
| Konfigurieren von Einstellungen für Telefonanrufe | Authentifizierungsadministrator Richtlinien | |
| Konfigurieren von Anbietern | Authentifizierungsadministrator Richtlinien | |
| Konfigurieren der Servereinstellungen | Authentifizierungsadministrator Richtlinien | |
| Lesen eines Aktivitätsberichts | Globaler Leser | |
| Lesen aller Konfigurationen | Globaler Leser | |
| Lesen eines Serverstatus | Globaler Leser |
Organisationsbeziehungen
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Verwalten von Identitätsanbietern | Externer Identitätsanbieteradministrator | |
| Lesen aller Konfigurationen | Globaler Leser |
Kennwortzurücksetzung
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Konfigurieren von Authentifizierungsmethoden | Authentifizierungsadministrator Richtlinien | |
| Konfigurieren der Anpassung | Authentifizierungsadministrator Richtlinien | |
| Konfigurieren einer Benachrichtigung | Authentifizierungsadministrator Richtlinien | |
| Konfigurieren einer lokalen Integration | Authentifizierungsadministrator Richtlinien | |
| Konfigurieren der Eigenschaften der Kennwortzurücksetzung | Benutzeradministrator | Authentifizierungsadministrator Richtlinien |
| Konfigurieren der Registrierung | Authentifizierungsadministrator Richtlinien | |
| Lesen aller Konfigurationen | Sicherheitsadministrator | Benutzeradministrator |
Verwaltung von Berechtigungen
Was ist Microsoft Entra Permissions Management
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Onboarding von Mandanten | Berechtigungsverwaltungsadministrator | |
| Onboarding von Cloudumgebungen | Berechtigungsverwaltungsadministrator | |
| Zuweisen von Berechtigungen im Microsoft Entra Permissions Management | Berechtigungsverwaltungsadministrator | |
| Testversion starten und Microsoft Entra Permissions Management-Lizenzen kaufen | Abrechnungsadministrator |
Privileged Identity Management
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Zuweisen von Benutzern zu Rollen | Administrator für privilegierte Rollen | |
| Konfigurieren von Rolleneinstellungen | Administrator für privilegierte Rollen | |
| Prüfungsaktivität anzeigen | Sicherheitsleseberechtigter | |
| Anzeigen von Rollenmitgliedschaften | Sicherheitsleseberechtigter |
Rollen und Administratoren
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Verwalten von Rollenzuweisungen | Administrator für privilegierte Rollen | |
| Überprüfen des Lesezugriffs einer Microsoft Entra Rolle | Sicherheitsleseberechtigter | Sicherheitsadministrator Administrator für privilegierte Rollen |
| Lesen aller Konfigurationen | Standardbenutzer-Rolle |
Sicherheit – Authentifizierungsmethoden
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Aktivieren oder Deaktivieren von Authentifizierungsmethoden | Authentifizierungsadministrator Richtlinien | |
| Anzeigen, Bereitstellen im Auftrag und Verwalten einzelner Benutzerauthentifizierungsmethoden | Authentifizierungsadministrator | Privilegierter Authentifizierungsadministrator |
| Konfigurieren des Kennwortschutzes | Sicherheitsadministrator | |
| Konfigurieren von Smart Lockout | Sicherheitsadministrator | |
| Lesen aller Konfigurationen | Globaler Leser |
Sicherheit – bedingter Zugriff
Sicherheit – Identitätssicherheitsbewertung
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Lesen aller Konfigurationen | Sicherheitsleseberechtigter | Sicherheitsadministrator |
| Lesen der Sicherheitsbewertung | Sicherheitsleseberechtigter | Sicherheitsadministrator |
| Aktualisieren des Ereignisstatus | Sicherheitsadministrator |
Sicherheit – Risikoanmeldungen
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Lesen aller Konfigurationen | Sicherheitsleseberechtigter | |
| Lesen von Risikoanmeldungen | Sicherheitsleseberechtigter |
Sicherheit – Benutzer mit Risikokennzeichnung
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Verwerfen aller Ereignisse | Sicherheitsadministrator | |
| Lesen aller Konfigurationen | Sicherheitsleseberechtigter | |
| Lesen von Benutzern mit Risikokennzeichnung | Sicherheitsleseberechtigter |
Befristeter Zugriffspass
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Erstellen, Löschen oder Anzeigen eines befristeten Zugriffspasses für Administratoren oder Mitglieder (außer für sich selbst) | Privilegierter Authentifizierungsadministrator | |
| Erstellen, Löschen oder Anzeigen eines befristeten Zugriffspasses für Mitglieder (außer für sich selbst) | Authentifizierungsadministrator | |
| Anzeigen der Details eines befristeten Zugriffspasses für einen Benutzer (ohne den Code selbst zu lesen) | Globaler Leser | |
| Konfigurieren oder Aktualisieren der Richtlinie für die Authentifizierungsmethode des befristeten Zugriffspasses | Authentifizierungsadministrator Richtlinien |
Mandant
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Erstellen eines Microsoft Entra ID- oder Azure AD B2C-Mandanten | Mandantenersteller | |
| Aktualisieren von Microsoft Entra-Mandanteneigenschaften | Abrechnungsadministrator | |
| Verwalten von Datenschutzbestimmungen und Kontakten | Abrechnungsadministrator |
Benutzer
| Aufgabe | Am wenigsten privilegierte Rolle | Zusätzliche Rollen |
|---|---|---|
| Hinzufügen von Benutzern zur Verzeichnisrolle | Administrator für privilegierte Rollen | |
| Hinzufügen von Benutzern zur Gruppe | Benutzeradministrator | |
| Lizenz zuweisen | Lizenzadministrator | Benutzeradministrator |
| Erstellen eines Gastbenutzers | Gasteinladender | Benutzeradministrator |
| Zurücksetzen der Gastbenutzer-Einladung | Helpdeskadministrator | Benutzeradministrator |
| Benutzer erstellen | Benutzeradministrator | |
| Löschen von Benutzern | Benutzeradministrator | |
| Ungültige Aktualisierungstoken von Administratoren mit eingeschränkten Berechtigungen | Benutzeradministrator | |
| Ungültige Aktualisierungstoken von Nicht-Administratoren | Helpdeskadministrator | Benutzeradministrator |
| Ungültige Aktualisierungstoken von privilegierten Administratoren | Privilegierter Authentifizierungsadministrator | |
| Lesen einer Standardkonfiguration | Standardbenutzer-Rolle | |
| Zurücksetzen des Kennworts für eingeschränkte Administratoren | Benutzeradministrator | |
| Zurücksetzen des Kennworts von Nicht-Administratoren | Kennwortadministrator | Benutzeradministrator |
| Zurücksetzen des Kennworts von privilegierten Administratoren | Privilegierter Authentifizierungsadministrator | |
| Widerrufen von Lizenzen | Lizenzadministrator | Benutzeradministrator |
| Verwalten aller Eigenschaften mit Ausnahme des Benutzerprinzipalnamens | Benutzeradministrator | |
| Aktualisieren der Eigenschaft „Lokale Synchronisierung aktiviert“ | Hybrid-Identitätsadministrator | |
| Aktualisieren des Benutzerprinzipalnamens für eingeschränkte Administratoren | Benutzeradministrator | |
| Aktualisieren der Benutzerprinzipalnamens-Eigenschaft für eingeschränkte Administratoren | Privilegierter Authentifizierungsadministrator | |
| Aktualisieren von Benutzereinstellungen – Berechtigungen der Standardbenutzer-Rolle | Administrator für privilegierte Rollen | |
| Aktualisieren von Benutzereinstellungen – Gastbenutzerzugriff | Administrator für privilegierte Rollen | |
| Aktualisieren von Benutzereinstellungen – Verwaltungscenter | Globaler Administrator | |
| Aktualisieren von Benutzereinstellungen – LinkedIn-Kontoverbindungen | Globaler Administrator | |
| Aktualisieren von Benutzereinstellungen – Anzeigen, dass der Benutzer angemeldet bleibt | Globaler Administrator | |
| Aktualisieren von Authentifizierungsmethoden | Authentifizierungsadministrator | Privilegierter Authentifizierungsadministrator |