Menetapkan peran Microsoft Entra pada cakupan yang berbeda

  • Artikel

Di ID Microsoft Entra, Anda biasanya menetapkan peran Microsoft Entra sehingga berlaku untuk seluruh penyewa. Namun, Anda juga dapat menetapkan peran Microsoft Entra untuk sumber daya yang berbeda, seperti unit administratif atau pendaftaran aplikasi. Misalnya, Anda dapat menetapkan peran Administrator Helpdesk sehingga itu hanya berlaku untuk unit administrasi tertentu dan bukan seluruh penyewa. Sumber daya yang diterapkan penetapan peran juga disebut cakupan. Artikel ini menjelaskan cara menetapkan peran Microsoft Entra di penyewa, unit administratif, dan cakupan pendaftaran aplikasi. Untuk informasi selengkapnya tentang cakupan, lihat Gambaran Umum kontrol akses berbasis peran (RBAC) di MICROSOFT Entra ID.

Prasyarat

  • Administrator dengan Peran Istimewa atau Administrator Global.
  • Microsoft Graph PowerShell SDK terinstal saat menggunakan PowerShell.
  • Persetujuan admin saat menggunakan Graph Explorer untuk Microsoft Graph API.

Untuk informasi selengkapnya, lihat Prasyarat untuk menggunakan PowerShell atau Graph Explorer.

Menetapkan peran yang tercakup ke penyewa

Bagian ini menjelaskan cara menugaskan peran di cakupan penyewa.

Pusat admin Microsoft Entra

Tip

Langkah-langkah dalam artikel ini mungkin sedikit berbeda berdasarkan portal tempat Anda memulai.

  1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Peran Istimewa.

  2. Telusuri Peran Identitas>& Peran admin>& admin.

    Roles and administrators page in Microsoft Entra ID.

  3. Pilih peran untuk melihat tugasnya. Untuk membantu Anda menemukan peran yang Anda perlukan, gunakan Tambahkan filter untuk memfilter peran.

  4. Pilih Tambahkan penugasan lalu pilih pengguna yang ingin Anda tetapkan ke peran tersebut.

    Add assignments pane for selected role.

  5. Pilih Tambahkan untuk menetapkan peran.

PowerShell

Ikuti langkah-langkah ini untuk menetapkan peran Microsoft Entra menggunakan PowerShell.

  1. Buka jendela PowerShell. Jika perlu, gunakan Install-Module untuk menginstal Microsoft Graph PowerShell. Untuk informasi selengkapnya, lihat Prasyarat untuk menggunakan PowerShell atau Graph Explorer.

    Install-Module Microsoft.Graph -Scope CurrentUser

  2. Di jendela PowerShell, gunakan Koneksi-MgGraph untuk masuk ke penyewa Anda.

    Connect-MgGraph -Scopes "RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"

  3. Gunakan Get-MgUser untuk mendapatkan pengguna.

    $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"

  4. Gunakan Get-MgRoleManagementDirectoryRoleDefinition untuk mendapatkan peran yang ingin Anda tetapkan.

    $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "displayName eq 'Billing Administrator'"

  5. Tetapkan penyewa sebagai cakupan penugasan peran.

    $directoryScope = '/'

  6. Gunakan New-MgRoleManagementDirectoryRoleAssignment untuk menetapkan peran.

    $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
   -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
   -RoleDefinitionId $roleDefinition.Id

API Microsoft Graph

Ikuti instruksi ini untuk menetapkan peran menggunakan API Microsoft Graph di Graph Explorer.

  1. Masuk ke Penjelajah Graph.

  2. Gunakan API Cantumkan pengguna untuk mendapatkan pengguna.

    GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'

  3. Gunakan API List unifiedRoleDefinitions untuk mendapatkan peran yang ingin Anda tetapkan.

    GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'Billing Administrator'

  4. Gunakan API Create unifiedRoleAssignment untuk menetapkan peran.

    POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "principalId": "<provide objectId of the user obtained above>",
    "roleDefinitionId": "<provide templateId of the role obtained above>",
    "directoryScopeId": "/"
}

Menugaskan peran yang tercakup ke unit administrasi

Bagian ini menjelaskan cara menetapkan peran pada cakupan unit administratif.

Pusat admin Microsoft Entra

  1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Peran Istimewa.

  2. Telusuri ke Peran Identitas>&>admin Unit admin.

  3. Memilih unit administrasi.

    Administrative Units in Microsoft Entra ID.

  4. Pilih Peran dan administrator dari menu nav kiri untuk melihat daftar semua peran yang tersedia untuk ditugaskan ke unit administrasi.

    Roles and administrators menu under administrative Units in Microsoft Entra ID.

  5. Pilih peran yang diinginkan.

  6. Pilih Tambahkan tugas lalu pilih pengguna atau grup yang ingin Anda tugaskan ke peran tersebut.

  7. Pilih Tambah untuk menugaskan peran yang tercakup dalam unit administrasi.

Catatan

Anda tidak akan melihat seluruh daftar peran bawaan atau kustom Microsoft Entra di sini. Sesuai harapan. Kami menunjukkan peran yang memiliki izin terkait dengan objek yang didukung dalam unit administrasi. Untuk melihat daftar objek yang didukung dalam unit administratif, lihat Unit administratif di ID Microsoft Entra.

PowerShell

Ikuti langkah-langkah ini untuk menetapkan peran Microsoft Entra di cakupan unit administratif menggunakan PowerShell.

  1. Buka jendela PowerShell. Jika perlu, gunakan Install-Module untuk menginstal Microsoft Graph PowerShell. Untuk informasi selengkapnya, lihat Prasyarat untuk menggunakan PowerShell atau Graph Explorer.

    Install-Module Microsoft.Graph -Scope CurrentUser

  2. Di jendela PowerShell, gunakan Koneksi-MgGraph untuk masuk ke penyewa Anda.

    Connect-MgGraph -Scopes "Directory.Read.All","RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"

  3. Gunakan Get-MgUser untuk mendapatkan pengguna.

    $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"

  4. Gunakan Get-MgRoleManagementDirectoryRoleDefinition untuk mendapatkan peran yang ingin Anda tetapkan.

    $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition `
   -Filter "displayName eq 'User Administrator'"

  5. Gunakan Get-MgDirectoryAdministrativeUnit untuk mendapatkan unit administratif yang Anda inginkan agar penetapan peran dicakup.

    $adminUnit = Get-MgDirectoryAdministrativeUnit -Filter "displayName eq 'Seattle Admin Unit'"
$directoryScope = '/administrativeUnits/' + $adminUnit.Id

  6. Gunakan New-MgRoleManagementDirectoryRoleAssignment untuk menetapkan peran.

    $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
   -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
   -RoleDefinitionId $roleDefinition.Id

API Microsoft Graph

Ikuti instruksi ini untuk menugaskan peran pada unit administrasi menggunakan API Microsoft Graph di Graph Explorer.

  1. Masuk ke Penjelajah Graph.

  2. Gunakan API Cantumkan pengguna untuk mendapatkan pengguna.

    GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'

  3. Gunakan API List unifiedRoleDefinitions untuk mendapatkan peran yang ingin Anda tetapkan.

    GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'User Administrator'

  4. Gunakan API Daftar administrativeUnits untuk mendapatkan unit administrasi yang tugas perannya ingin Anda cakup.

    GET https://graph.microsoft.com/v1.0/directory/administrativeUnits?$filter=displayName eq 'Seattle Admin Unit'

  5. Gunakan API Create unifiedRoleAssignment untuk menetapkan peran.

    POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "principalId": "<provide objectId of the user obtained above>",
    "roleDefinitionId": "<provide templateId of the role obtained above>",
    "directoryScopeId": "/administrativeUnits/<provide objectId of the admin unit obtained above>"
}

Catatan

Di sini directoryScopeId ditetapkan sebagai /administrativeUnits/foo, bukan /foo. Ini memang disengaja. Ruang lingkup /administrativeUnits/foo berarti prinsipal dapat mengelola anggota unit administrasi (berdasarkan peran yang ditugaskan kepadanya), bukan unit administrasi itu sendiri. Cakupan /foo berarti prinsipal dapat mengelola objek Microsoft Entra itu sendiri. Di bagian selanjutnya, Anda akan melihat bahwa ruang lingkup adalah /foo karena peran yang tercakup dalam pendaftaran aplikasi memberikan hak istimewa untuk mengelola objek itu sendiri.

Menetapkan peran yang tercakup ke pendaftaran aplikasi

Bagian ini menjelaskan cara menetapkan peran pada cakupan pendaftaran aplikasi.

Pusat admin Microsoft Entra

  1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Peran Istimewa.

  2. Telusuri Aplikasi >Identitas>Pendaftaran aplikasi.

  3. Pilih aplikasi. Anda dapat menggunakan kotak pencarian untuk menemukan aplikasi yang diinginkan.

    App registrations in Microsoft Entra ID.

  4. Pilih Peran dan administrator dari menu nav kiri untuk melihat daftar semua peran yang tersedia untuk ditugaskan selama pendaftaran administrasi.

    Roles for an app registrations in Microsoft Entra ID.

  5. Pilih peran yang diinginkan.

  6. Pilih Tambahkan tugas lalu pilih pengguna atau grup yang ingin Anda tugaskan ke peran tersebut.

    Add role assignment scoped to an app registrations in Microsoft Entra ID.

  7. Pilih Tambah untuk menugaskan peran yang tercakup dalam pendaftaran aplikasi.

    Successfully added role assignment scoped to an app registrations in Microsoft Entra ID.

    Role assigned to the user scoped to an app registrations in Microsoft Entra ID.

Catatan

Anda tidak akan melihat seluruh daftar peran bawaan atau kustom Microsoft Entra di sini. Sesuai harapan. Kami menunjukkan peran yang memiliki izin terkait dengan mengelola pendaftaran aplikasi saja.

PowerShell

Ikuti langkah-langkah ini untuk menetapkan peran Microsoft Entra di cakupan aplikasi menggunakan PowerShell.

  1. Buka jendela PowerShell. Jika perlu, gunakan Install-Module untuk menginstal Microsoft Graph PowerShell. Untuk informasi selengkapnya, lihat Prasyarat untuk menggunakan PowerShell atau Graph Explorer.

    Install-Module Microsoft.Graph -Scope CurrentUser

  2. Di jendela PowerShell, gunakan Koneksi-MgGraph untuk masuk ke penyewa Anda.

    Connect-MgGraph -Scopes "Application.Read.All","RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"

  3. Gunakan Get-MgUser untuk mendapatkan pengguna.

    $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"

  4. Gunakan Get-MgRoleManagementDirectoryRoleDefinition untuk mendapatkan peran yang ingin Anda tetapkan.

    $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition `
   -Filter "displayName eq 'Application Administrator'"

  5. Gunakan Get-MgApplication untuk mendapatkan pendaftaran aplikasi yang Anda inginkan agar penetapan peran dilingkupkan.

    $appRegistration = Get-MgApplication -Filter "displayName eq 'f/128 Filter Photos'"
$directoryScope = '/' + $appRegistration.Id

  6. Gunakan New-MgRoleManagementDirectoryRoleAssignment untuk menetapkan peran.

    $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
   -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
   -RoleDefinitionId $roleDefinition.Id

API Microsoft Graph

Ikuti instruksi ini untuk menugaskan peran pada ruang lingkup aplikasi menggunakan API Microsoft Graph di Graph Explorer.

  1. Masuk ke Penjelajah Graph.

  2. Gunakan API Cantumkan pengguna untuk mendapatkan pengguna.

    GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'

  3. Gunakan API List unifiedRoleDefinitions untuk mendapatkan peran yang ingin Anda tetapkan.

    GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'Application Administrator'

  4. Gunakan API Cantumkan aplikasi untuk mendapatkan unit administrasi yang tugas perannya ingin Anda cakup.

    GET https://graph.microsoft.com/v1.0/applications?$filter=displayName eq 'f/128 Filter Photos'

  5. Gunakan API Create unifiedRoleAssignment untuk menetapkan peran.

    POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments

{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "principalId": "<provide objectId of the user obtained above>",
    "roleDefinitionId": "<provide templateId of the role obtained above>",
    "directoryScopeId": "/<provide objectId of the app registration obtained above>"
}

Catatan

Di sini directoryScopeId ditetapkan sebagai /foo, tidak seperti bagian di atas. Ini memang disengaja. Cakupan /foo berarti prinsipal dapat mengelola objek Microsoft Entra tersebut. Ruang lingkup /administrativeUnits/foo berarti prinsipal dapat mengelola anggota unit administrasi (berdasarkan peran yang ditugaskan kepadanya), bukan unit administrasi itu sendiri.

Langkah berikutnya