Bagikan melalui

Menetapkan peran Microsoft Entra pada cakupan yang berbeda

  • Artikel

Di ID Microsoft Entra, Anda biasanya menetapkan peran Microsoft Entra sehingga berlaku untuk seluruh penyewa. Namun, Anda juga dapat menetapkan peran Microsoft Entra untuk sumber daya yang berbeda, seperti unit administratif atau pendaftaran aplikasi. Misalnya, Anda dapat menetapkan peran Administrator Helpdesk sehingga itu hanya berlaku untuk unit administrasi tertentu dan bukan seluruh penyewa. Sumber daya yang diterapkan penetapan peran juga disebut cakupan. Artikel ini menjelaskan cara menetapkan peran Microsoft Entra di penyewa, unit administratif, dan cakupan pendaftaran aplikasi. Untuk informasi selengkapnya tentang cakupan, lihat Gambaran Umum kontrol akses berbasis peran (RBAC) di MICROSOFT Entra ID.

Prasyarat

  • Administrator Peran Istimewa.
  • Microsoft Graph PowerShell SDK terinstal saat menggunakan PowerShell.
  • Persetujuan admin saat menggunakan Graph Explorer untuk Microsoft Graph API.

Untuk informasi selengkapnya, lihat Prasyarat untuk menggunakan PowerShell atau Graph Explorer.

Menetapkan peran yang tercakup ke penyewa

Bagian ini menjelaskan cara menugaskan peran di cakupan penyewa.

Pusat admin Microsoft Entra

Tip

Langkah-langkah dalam artikel ini mungkin sedikit berbeda berdasarkan portal tempat Anda memulai.

  1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Peran Istimewa.

  2. Telusuri Peran Identitas>& Peran admin>& admin.

    Halaman Peran dan administrator di ID Microsoft Entra.

  3. Pilih peran untuk melihat tugasnya. Untuk membantu Anda menemukan peran yang Anda perlukan, gunakan Tambahkan filter untuk memfilter peran.

  4. Pilih Tambahkan penugasan lalu pilih pengguna yang ingin Anda tetapkan ke peran tersebut.

    Tambahkan panel tugas untuk peran yang dipilih.

  5. Pilih Tambahkan untuk menetapkan peran.

PowerShell

Ikuti langkah-langkah ini untuk menetapkan peran Microsoft Entra menggunakan PowerShell.

  1. Buka jendela PowerShell. Jika perlu, gunakan Install-Module untuk menginstal Microsoft Graph PowerShell. Untuk informasi selengkapnya, lihat Prasyarat untuk menggunakan PowerShell atau Graph Explorer.

    Install-Module Microsoft.Graph -Scope CurrentUser

  2. Di jendela PowerShell, gunakan Koneksi-MgGraph untuk masuk ke penyewa Anda.

    Connect-MgGraph -Scopes "RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"

  3. Gunakan Get-MgUser untuk mendapatkan pengguna.

    $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"

  4. Gunakan Get-MgRoleManagementDirectoryRoleDefinition untuk mendapatkan peran yang ingin Anda tetapkan.

    $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "displayName eq 'Billing Administrator'"

  5. Tetapkan penyewa sebagai cakupan penugasan peran.

    $directoryScope = '/'

  6. Gunakan New-MgRoleManagementDirectoryRoleAssignment untuk menetapkan peran.

    $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
   -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
   -RoleDefinitionId $roleDefinition.Id

API Microsoft Graph

Ikuti instruksi ini untuk menetapkan peran menggunakan API Microsoft Graph di Graph Explorer.

  1. Masuk ke Penjelajah Graph.

  2. Gunakan API Cantumkan pengguna untuk mendapatkan pengguna.

    GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'

  3. Gunakan API List unifiedRoleDefinitions untuk mendapatkan peran yang ingin Anda tetapkan.

    GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'Billing Administrator'

  4. Gunakan API Create unifiedRoleAssignment untuk menetapkan peran.

    POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "principalId": "<provide objectId of the user obtained above>",
    "roleDefinitionId": "<provide templateId of the role obtained above>",
    "directoryScopeId": "/"
}

Menugaskan peran yang tercakup ke unit administrasi

Bagian ini menjelaskan cara menetapkan peran pada cakupan unit administratif.

Pusat admin Microsoft Entra

  1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Peran Istimewa.

  2. Telusuri ke Peran Identitas>&>admin Unit admin.

  3. Memilih unit administrasi.

    Unit Administratif di ID Microsoft Entra.

  4. Pilih Peran dan administrator dari menu nav kiri untuk melihat daftar semua peran yang tersedia untuk ditugaskan ke unit administrasi.

    Menu peran dan administrator di bawah Unit administratif di ID Microsoft Entra.

  5. Pilih peran yang diinginkan.

  6. Pilih Tambahkan tugas lalu pilih pengguna atau grup yang ingin Anda tugaskan ke peran tersebut.

  7. Pilih Tambah untuk menugaskan peran yang tercakup dalam unit administrasi.

Catatan

Anda tidak akan melihat seluruh daftar peran bawaan atau kustom Microsoft Entra di sini. Sesuai harapan. Kami menunjukkan peran yang memiliki izin terkait dengan objek yang didukung dalam unit administrasi. Untuk melihat daftar objek yang didukung dalam unit administratif, lihat Unit administratif di ID Microsoft Entra.

PowerShell

Ikuti langkah-langkah ini untuk menetapkan peran Microsoft Entra di cakupan unit administratif menggunakan PowerShell.

  1. Buka jendela PowerShell. Jika perlu, gunakan Install-Module untuk menginstal Microsoft Graph PowerShell. Untuk informasi selengkapnya, lihat Prasyarat untuk menggunakan PowerShell atau Graph Explorer.

    Install-Module Microsoft.Graph -Scope CurrentUser

  2. Di jendela PowerShell, gunakan Koneksi-MgGraph untuk masuk ke penyewa Anda.

    Connect-MgGraph -Scopes "Directory.Read.All","RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"

  3. Gunakan Get-MgUser untuk mendapatkan pengguna.

    $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"

  4. Gunakan Get-MgRoleManagementDirectoryRoleDefinition untuk mendapatkan peran yang ingin Anda tetapkan.

    $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition `
   -Filter "displayName eq 'User Administrator'"

  5. Gunakan Get-MgDirectoryAdministrativeUnit untuk mendapatkan unit administratif yang Anda inginkan agar penetapan peran dicakup.

    $adminUnit = Get-MgDirectoryAdministrativeUnit -Filter "displayName eq 'Seattle Admin Unit'"
$directoryScope = '/administrativeUnits/' + $adminUnit.Id

  6. Gunakan New-MgRoleManagementDirectoryRoleAssignment untuk menetapkan peran.

    $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
   -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
   -RoleDefinitionId $roleDefinition.Id

API Microsoft Graph

Ikuti instruksi ini untuk menugaskan peran pada unit administrasi menggunakan API Microsoft Graph di Graph Explorer.

  1. Masuk ke Penjelajah Graph.

  2. Gunakan API Cantumkan pengguna untuk mendapatkan pengguna.

    GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'

  3. Gunakan API List unifiedRoleDefinitions untuk mendapatkan peran yang ingin Anda tetapkan.

    GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'User Administrator'

  4. Gunakan API Daftar administrativeUnits untuk mendapatkan unit administrasi yang tugas perannya ingin Anda cakup.

    GET https://graph.microsoft.com/v1.0/directory/administrativeUnits?$filter=displayName eq 'Seattle Admin Unit'

  5. Gunakan API Create unifiedRoleAssignment untuk menetapkan peran.

    POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "principalId": "<provide objectId of the user obtained above>",
    "roleDefinitionId": "<provide templateId of the role obtained above>",
    "directoryScopeId": "/administrativeUnits/<provide objectId of the admin unit obtained above>"
}

Catatan

Di sini directoryScopeId ditetapkan sebagai /administrativeUnits/foo, bukan /foo. Ini memang disengaja. Ruang lingkup /administrativeUnits/foo berarti prinsipal dapat mengelola anggota unit administrasi (berdasarkan peran yang ditugaskan kepadanya), bukan unit administrasi itu sendiri. Cakupan /foo berarti prinsipal dapat mengelola objek Microsoft Entra itu sendiri. Di bagian selanjutnya, Anda akan melihat bahwa ruang lingkup adalah /foo karena peran yang tercakup dalam pendaftaran aplikasi memberikan hak istimewa untuk mengelola objek itu sendiri.

Menetapkan peran yang tercakup ke pendaftaran aplikasi

Bagian ini menjelaskan cara menetapkan peran pada cakupan pendaftaran aplikasi.

Pusat admin Microsoft Entra

  1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Peran Istimewa.

  2. Telusuri Aplikasi >Identitas>Pendaftaran aplikasi.

  3. Pilih aplikasi. Anda dapat menggunakan kotak pencarian untuk menemukan aplikasi yang diinginkan.

    Pendaftaran aplikasi di ID Microsoft Entra.

  4. Pilih Peran dan administrator dari menu nav kiri untuk melihat daftar semua peran yang tersedia untuk ditugaskan selama pendaftaran administrasi.

    Peran untuk pendaftaran aplikasi di MICROSOFT Entra ID.

  5. Pilih peran yang diinginkan.

  6. Pilih Tambahkan tugas lalu pilih pengguna atau grup yang ingin Anda tugaskan ke peran tersebut.

    Tambahkan penetapan peran yang dilingkup ke pendaftaran aplikasi di ID Microsoft Entra.

  7. Pilih Tambah untuk menugaskan peran yang tercakup dalam pendaftaran aplikasi.

    Berhasil menambahkan penetapan peran yang dilingkup ke pendaftaran aplikasi di ID Microsoft Entra.

    Peran yang ditetapkan untuk pengguna yang dilingkup ke pendaftaran aplikasi di ID Microsoft Entra.

Catatan

Anda tidak akan melihat seluruh daftar peran bawaan atau kustom Microsoft Entra di sini. Sesuai harapan. Kami menunjukkan peran yang memiliki izin terkait dengan mengelola pendaftaran aplikasi saja.

PowerShell

Ikuti langkah-langkah ini untuk menetapkan peran Microsoft Entra di cakupan aplikasi menggunakan PowerShell.

  1. Buka jendela PowerShell. Jika perlu, gunakan Install-Module untuk menginstal Microsoft Graph PowerShell. Untuk informasi selengkapnya, lihat Prasyarat untuk menggunakan PowerShell atau Graph Explorer.

    Install-Module Microsoft.Graph -Scope CurrentUser

  2. Di jendela PowerShell, gunakan Koneksi-MgGraph untuk masuk ke penyewa Anda.

    Connect-MgGraph -Scopes "Application.Read.All","RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"

  3. Gunakan Get-MgUser untuk mendapatkan pengguna.

    $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"

  4. Gunakan Get-MgRoleManagementDirectoryRoleDefinition untuk mendapatkan peran yang ingin Anda tetapkan.

    $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition `
   -Filter "displayName eq 'Application Administrator'"

  5. Gunakan Get-MgApplication untuk mendapatkan pendaftaran aplikasi yang Anda inginkan agar penetapan peran dilingkupkan.

    $appRegistration = Get-MgApplication -Filter "displayName eq 'f/128 Filter Photos'"
$directoryScope = '/' + $appRegistration.Id

  6. Gunakan New-MgRoleManagementDirectoryRoleAssignment untuk menetapkan peran.

    $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
   -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
   -RoleDefinitionId $roleDefinition.Id

API Microsoft Graph

Ikuti instruksi ini untuk menugaskan peran pada ruang lingkup aplikasi menggunakan API Microsoft Graph di Graph Explorer.

  1. Masuk ke Penjelajah Graph.

  2. Gunakan API Cantumkan pengguna untuk mendapatkan pengguna.

    GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'

  3. Gunakan API List unifiedRoleDefinitions untuk mendapatkan peran yang ingin Anda tetapkan.

    GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'Application Administrator'

  4. Gunakan API Cantumkan aplikasi untuk mendapatkan unit administrasi yang tugas perannya ingin Anda cakup.

    GET https://graph.microsoft.com/v1.0/applications?$filter=displayName eq 'f/128 Filter Photos'

  5. Gunakan API Create unifiedRoleAssignment untuk menetapkan peran.

    POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments

{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "principalId": "<provide objectId of the user obtained above>",
    "roleDefinitionId": "<provide templateId of the role obtained above>",
    "directoryScopeId": "/<provide objectId of the app registration obtained above>"
}

Catatan

Di sini directoryScopeId ditetapkan sebagai /foo, tidak seperti bagian di atas. Ini memang disengaja. Cakupan /foo berarti prinsipal dapat mengelola objek Microsoft Entra tersebut. Ruang lingkup /administrativeUnits/foo berarti prinsipal dapat mengelola anggota unit administrasi (berdasarkan peran yang ditugaskan kepadanya), bukan unit administrasi itu sendiri.

Langkah berikutnya