Tetapkan izin dasar untuk akses portal Microsoft Defender untuk Titik Akhir

  • Berlaku untuk: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Manajemen izin dasar memberikan dua tingkat akses portal kepada pelanggan Microsoft Defender untuk Titik Akhir yang ada: akses penuh atau akses hanya-baca. Gunakan Microsoft Graph PowerShell untuk menetapkan peran Security Administrator untuk akses penuh atau peran Security Reader untuk akses hanya-baca. Untuk izin yang lebih rinci, gunakan kontrol akses berbasis peran.

Important

Mulai 16 Februari 2025, pelanggan Defender for Endpoint baru hanya dapat menggunakan kontrol akses berbasis peran terpadu (RBAC) terpadu Microsoft Defender. Pelanggan yang sudah ada dapat terus menggunakan model izin mereka saat ini. Untuk informasi selengkapnya, lihat Microsoft Defender RBAC terpadu.

Prasyarat

Lengkapi prasyarat berikut sebelum Anda menetapkan akses pengguna:

  • Pastikan organisasi Anda masih menggunakan manajemen izin dasar. Jika organisasi Anda beralih ke RBAC, Anda tidak bisa kembali ke izin dasar.
  • Instal Microsoft Graph PowerShell.
  • Gunakan akun yang ditetapkan sebagai peran Administrator Peran Istimewa atau peran khusus dengan izin manajemen peran yang diperlukan. Privileged Role Administrator adalah peran bawaan Microsoft Entra dengan hak istimewa paling rendah yang didukung untuk operasi ini.
  • Hubungkan ke Microsoft Graph dengan menggunakan Connect-MgGraph dengan izin terdelegasi RoleManagement.ReadWrite.Directory dan User.ReadBasic.All. Untuk opsi autentikasi, lihat perintah autentikasi Microsoft Graph PowerShell.

Anda tidak perlu menjalankan PowerShell sebagai administrator Windows lokal untuk menetapkan peran Microsoft Entra melalui Microsoft Graph.

Pahami tingkat akses dasar

Manajemen izin dasar menyediakan tingkat akses berikut:

  • Akses penuh: Pengguna dapat masuk, melihat informasi sistem, menyelesaikan peringatan, mengirimkan file untuk analisis mendalam, dan mengunduh paket onboarding. Tetapkan peran Administrator Keamanan Microsoft Entra untuk memberikan akses penuh.
  • Akses hanya-baca: Pengguna dapat masuk dan melihat peringatan serta informasi terkait. Mereka tidak dapat mengubah status peringatan, mengirimkan file untuk analisis mendalam, atau melakukan operasi perubahan status lainnya. Tetapkan peran Microsoft Entra Security Reader untuk memberikan akses baca-saja.

Menetapkan akses pengguna menggunakan Microsoft Graph PowerShell

Tetapkan peran Microsoft Entra yang sesuai untuk setiap pengguna yang membutuhkan akses ke Defender for Endpoint.

Note

Contoh berikut menggunakan API keanggotaan directoryRole . Microsoft merekomendasikan API penugasan peran terpadu untuk otomatisasi baru. Get-MgDirectoryRole hanya mengembalikan peran direktori yang diaktifkan. Jika perintah tidak mengembalikan peran yang diminta, tetapkan peran Microsoft Entra di pusat admin atau gunakan API penugasan peran terpadu.

Tetapkan akses penuh

Ganti secadmin@contoso.onmicrosoft.com dengan nama user principal akun yang membutuhkan akses penuh, lalu jalankan perintah berikut:

New-MgDirectoryRoleMemberByRef -DirectoryRoleId (Get-MgDirectoryRole -Filter "DisplayName eq 'Security Administrator'").Id -OdataId "https://graph.microsoft.com/v1.0/directoryObjects/$((Get-MgUser -UserId 'secadmin@contoso.onmicrosoft.com').Id)"

Tetapkan akses baca saja

Ganti reader@contoso.onmicrosoft.com dengan nama pengguna utama akun yang membutuhkan akses hanya-baca, lalu jalankan perintah berikut:

New-MgDirectoryRoleMemberByRef -DirectoryRoleId (Get-MgDirectoryRole -Filter "DisplayName eq 'Security Reader'").Id -OdataId "https://graph.microsoft.com/v1.0/directoryObjects/$((Get-MgUser -UserId 'reader@contoso.onmicrosoft.com').Id)"

Konten terkait

  • Terakhir diperbarui pada