Attribuer les autorisations de base pour accéder au portail Microsoft Defender for Endpoint

  • S’applique à: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

La gestion basique des autorisations offre aux clients existants de Microsoft Defender for Endpoint deux niveaux d’accès au portail : accès complet ou accès en lecture seule. Utilisez Microsoft Graph PowerShell pour attribuer le rôle d’administrateur de sécurité pour un accès complet ou le rôle de lecteur de sécurité pour l’accès en lecture seule. Pour des permissions plus granulaires, utilisez le contrôle d’accès basé sur les rôles.

Important

À partir du 16 février 2025, les nouveaux clients de Defender for Endpoint ne pourront utiliser que le contrôle d’accès unifié basé sur les rôles (RBAC) de Microsoft Defender. Les clients existants peuvent continuer à utiliser leur modèle d’autorisation actuel. Pour plus d’informations, consultez Microsoft Defender RBAC unifié.

Prerequisites

Remplissez ces prérequis avant d’attribuer l’accès à l’utilisateur :

  • Confirmez que votre organisation utilise toujours une gestion basique des permissions. Si votre organisation est passée au RBAC, vous ne pouvez pas revenir aux permissions de base.
  • Installez Microsoft Graph PowerShell.
  • Utilisez un compte attribué au rôle d’administrateur de rôle privilégié ou un rôle personnalisé avec les autorisations de gestion des rôles requises. L’administrateur de rôle privilégié est le rôle intégré Microsoft Entra le moins privilégié pris en charge pour cette opération.
  • Connectez-vous à Microsoft Graph en utilisant Connect-MgGraph avec les permissions RoleManagement.ReadWrite.Directory déléguées et User.ReadBasic.All autorisées. Pour les options d’authentification, voir les commandes d’authentification PowerShell Microsoft Graph.

Vous n'avez pas besoin d'exécuter PowerShell en tant qu'administrateur Windows local pour attribuer des rôles Microsoft Entra via Microsoft Graph.

Comprendre les niveaux d’accès de base

La gestion des permissions de base fournit les niveaux d’accès suivants :

  • Accès complet : Les utilisateurs peuvent se connecter, consulter les informations système, résoudre des alertes, soumettre des fichiers pour une analyse approfondie et télécharger le paquet d’intégration. Attribuez le rôle d’administrateur de la sécurité Microsoft Entra afin d’accorder un accès complet.
  • Accès en lecture seule : Les utilisateurs peuvent se connecter et consulter les alertes et les informations associées. Ils ne peuvent pas modifier les états d’alerte, soumettre les fichiers pour une analyse approfondie, ni effectuer d’autres opérations de changement d’état. Attribuer le rôle Microsoft Entra Security Reader pour accorder l’accès en lecture seule.

Attribuer l’accès utilisateur à l’aide de Microsoft Graph PowerShell

Attribuez le rôle Microsoft Entra approprié à chaque utilisateur ayant besoin d’accéder à Defender for Endpoint.

Remarque

Les exemples suivants utilisent l’API d’adhésion directoryRole . Microsoft recommande l’API unifiée d’attribution de rôles pour la nouvelle automatisation. Get-MgDirectoryRole renvoie uniquement les rôles de répertoire activés. Si la commande ne renvoie pas le rôle demandé, assignez le rôle Microsoft Entra dans le centre d'administration ou utilisez l'API unifiée d'attribution des rôles.

Attribuer un accès complet

Remplacez secadmin@contoso.onmicrosoft.com par le nom principal utilisateur du compte nécessitant un accès complet, puis exécutez la commande suivante :

New-MgDirectoryRoleMemberByRef -DirectoryRoleId (Get-MgDirectoryRole -Filter "DisplayName eq 'Security Administrator'").Id -OdataId "https://graph.microsoft.com/v1.0/directoryObjects/$((Get-MgUser -UserId 'secadmin@contoso.onmicrosoft.com').Id)"

Attribuer l’accès en lecture seule

Remplacez reader@contoso.onmicrosoft.com par le nom principal utilisateur du compte nécessitant un accès en lecture seule, puis exécutez la commande suivante :

New-MgDirectoryRoleMemberByRef -DirectoryRoleId (Get-MgDirectoryRole -Filter "DisplayName eq 'Security Reader'").Id -OdataId "https://graph.microsoft.com/v1.0/directoryObjects/$((Get-MgUser -UserId 'reader@contoso.onmicrosoft.com').Id)"

Contenu connexe

  • Dernière mise à jour :