Csoportokhoz rendelt Microsoft Entra-szerepkörök hibaelhárítása

Csak a kiemelt szerepkörök Rendszergazda istratorok vagy a globális Rendszergazda istratorok hozhatnak létre olyan csoportot, amely jogosult a szerepkör-hozzárendelésre. Ezt a vezérlőt csak az ezekben a szerepkörökben lévő felhasználók látják.

Alapértelmezés szerint csak a Privileged Role Rendszergazda istrator és a Global Rendszergazda istrator kezeli a szerepkör-hozzárendelhető csoportok tagságát, de a szerepkör-hozzárendelhető csoportok kezelését csoporttulajdonosok hozzáadásával delegálhatja.

Előfordulhat, hogy a felhasználó egy szerepkörhöz hozzárendelhető csoporttal szerezte be a címtárolvasót. A szerepkörhöz hozzárendelhető csoportok minden tagja és tulajdonosa védett. Csak a Privileged Authentication Rendszergazda istrator vagy globális Rendszergazda istrator szerepkörrel rendelkező felhasználók állíthatják alaphelyzetbe a védett felhasználók hitelesítő adatait.

A felhasználó lehet egy szerepkörhöz hozzárendelhető csoport tulajdonosa. A szerepkörhöz hozzárendelhető csoportok tulajdonosait a jogosultságok emelésének elkerülése érdekében védjük. Ilyen lehet például, ha egy csoport Contoso_Security_Rendszergazda biztonsági Rendszergazda istrator szerepkörhöz van rendelve, ahol Bob a csoport tulajdonosa, Alice pedig a jelszó Rendszergazda istrator a szervezetben. Ha ez a védelem nem jelenik meg, Alice visszaállíthatja Bob hitelesítő adatait, és átveheti a személyazonosságát. Ezt követően Alice hozzáadhatja magát vagy bárkit a csoporthoz Contoso_Security_Rendszergazda csoporthoz, hogy biztonsági Rendszergazda istrator legyen a szervezetben. Ha meg szeretné tudni, hogy egy felhasználó csoporttulajdonos-e, kérje le a felhasználó tulajdonában lévő objektumok listáját, és ellenőrizze, hogy a csoportok valamelyikében az IsAssignableToRole értéke igaz-e. Ha igen, akkor a felhasználó védelem alatt áll, és a viselkedés tervezéssel történik. A saját objektumok lekéréséhez tekintse meg ezeket a dokumentációkat:

• Get-MgUserOwnedObject
• Saját tulajdonú objektumok listázása

Igen, válthat. A globális Rendszergazda istratorok és a kiemelt szerepkörök Rendszergazda istratorok hozzáférési felülvizsgálatokat hozhatnak létre a szerepkörhöz hozzárendelhető csoportokon.

Igen, válthat. A globális Rendszergazda istrator és a felhasználói Rendszergazda istrator bármilyen csoportot egy hozzáférési csomagba helyezhet. A globális Rendszergazda istrator esetében semmi sem változik, de a felhasználói Rendszergazda istrator szerepkör-engedélyei kismértékben módosulnak. Ha egy szerepkör-hozzárendelhető csoportot egy hozzáférési csomagba szeretne helyezni, felhasználónak Rendszergazda istratornak kell lennie, és a szerepkör-hozzárendelhető csoport tulajdonosának is kell lennie. Az alábbi teljes táblázat azt mutatja be, hogy ki hozhat létre hozzáférési csomagot az Enterprise License Managementben:

*A csoport nem rendelhető hozzá szerepkörhöz; azaz isAssignableToRole = false. Ha egy csoport szerepkör-hozzárendelhető, akkor a hozzáférési csomagot létrehozó személynek is a szerepkör-hozzárendelhető csoport tulajdonosának kell lennie.

Ez a válasz csak a Microsoft Entra ID P1-szervezetekre vonatkozik.

1. Jelentkezzen be a Microsoft Entra felügyeleti központba legalább emelt szintű szerepkörként Rendszergazda istratorként.
2. Keresse meg az Identitás>Felhasználók>Minden felhasználó elemet.
3. Válasszon ki egy felhasználót.
4. Válassza ki a hozzárendelt szerepköröket.
5. Jelölje ki az eltávolítani kívánt szerepkör-hozzárendelést.
6. Válassza a Hozzárendelések eltávolítása lehetőséget a közvetlen szerepkör-hozzárendelések eltávolításához.

A közvetett szerepkör-hozzárendelések eltávolításához távolítsa el a felhasználót a szerepkörhöz rendelt csoportból.

Tegye a következők egyikét:

1. Jelentkezzen be a Microsoft Entra felügyeleti központjába.
2. Tallózással keresse meg a Minden csoport identitáscsoportot>>.
3. Válassza a Szűrők hozzáadása lehetőséget.
4. Szűrés hozzárendelhető szerepkörre.

Tegye a következők egyikét:

1. Jelentkezzen be a Microsoft Entra felügyeleti központjába.
2. Keresse meg az Identitás>Felhasználók>Minden felhasználó elemet.
3. Válasszon ki egy felhasználót.
4. Válassza ki a hozzárendelt szerepköröket.
5. Ha Microsoft Entra ID P1 licenccel rendelkezik, tekintse meg a Hozzárendelési útvonal oszlopot .
6. Ha Microsoft Entra ID P2-licenccel rendelkezik, tekintse meg a Tagság oszlopot.

Ha egy meglévő csoportot rendel egy szerepkörhöz, a meglévő csoport tulajdonosa felvehet más tagokat ebbe a csoportba anélkül, hogy az új tagok észrevennék, hogy ők lesznek a szerepkörük. Mivel a szerepkör-hozzárendeléssel rendelkező csoportok hatékonyak, számos korlátozást alkalmazunk a védelemre. Nem szeretne olyan módosításokat végrehajtani a csoporton, amelyek meglepőek lennének a csoportot kezelő személy számára.

Következő lépések

• Microsoft Entra-csoportok használata a szerepkörök kiosztásának kezeléséhez
• Szerepkörhöz hozzárendelhető csoport létrehozása