Peran dan izin istimewa dalam Microsoft Entra ID (pratinjau)

Penting

Label untuk peran dan izin istimewa saat ini sedang dalam PRATINJAU. Lihat Ketentuan Penggunaan Tambahan untuk Pratinjau Microsoft Azure untuk persyaratan hukum yang berlaku pada fitur Azure dalam versi beta, pratinjau, atau belum dirilis secara umum.

ID Microsoft Entra memiliki peran dan izin yang diidentifikasi sebagai istimewa. Peran dan izin ini dapat digunakan untuk mendelegasikan manajemen sumber daya direktori kepada pengguna lain, memodifikasi kredensial, kebijakan autentikasi atau otorisasi, atau mengakses data terbatas. Penetapan peran istimewa dapat menyebabkan peningkatan hak istimewa jika tidak digunakan dengan cara yang aman dan dimaksudkan. Artikel ini menjelaskan peran dan izin istimewa serta praktik terbaik tentang cara menggunakannya.

Peran dan izin mana yang diistimewakan?

Untuk daftar peran dan izin istimewa, lihat Peran bawaan Microsoft Entra. Anda juga dapat menggunakan pusat admin Microsoft Entra, Microsoft Graph PowerShell, atau Microsoft Graph API untuk mengidentifikasi peran, izin, dan penetapan peran yang diidentifikasi sebagai hak istimewa.

Pusat admin

Di pusat admin Microsoft Entra, cari label PRIVILEGED .

Pada halaman Peran dan administrator , peran istimewa diidentifikasi di kolom Istimewa . Kolom Penugasan mencantumkan jumlah penetapan peran. Anda juga dapat memfilter peran istimewa.

Saat Anda melihat izin untuk peran istimewa, Anda dapat melihat izin mana yang diistimewakan. Jika Anda melihat izin sebagai pengguna default, Anda tidak akan dapat melihat izin mana yang diistimewakan.

Saat membuat peran kustom, Anda dapat melihat izin mana yang diistimewakan dan peran kustom akan diberi label sebagai hak istimewa.

PowerShell

Di Microsoft Graph PowerShell, periksa apakah IsPrivileged properti diatur ke True.

Untuk mencantumkan peran istimewa, gunakan perintah Get-MgBetaRoleManagementDirectoryRoleDefinition .

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can create and manage all aspects of app registrations and enterprise apps.
DisplayName             : Application Administrator
Id                      : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users in this role can
                          add, manage, and configureenterprise applications, app registrations and manage on-premises
                          like app proxy.], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$m
                          etadata#roleManagement/directory/roleDefinitions('9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3')/inhe
                          ritsPermissionsFrom]}


AllowedPrincipalTypes   :
Description             : Can reset passwords for non-administrators and Helpdesk Administrators.
DisplayName             : Helpdesk Administrator
Id                      : 729827e3-9c14-49f7-bb1b-9608f156bbb8
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 729827e3-9c14-49f7-bb1b-9608f156bbb8
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users with this role
                          can change passwords, invalidate refresh tokens, manage service requests, and monitor
                          service health. Invalidating a refresh token forces the user to sign in again. Helpdesk
                          administrators can reset passwords and invalidate refresh tokens of other users who are
                          non-administrators or assigned the following roles only:
                          * Directory Readers
                          * Guest Inviter
                          * Helpdesk Administrator
                          * Message Center Reader
                          * Password Administrator
                          * Reports Reader], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$
                          metadata#roleManagement/directory/roleDefinitions('729827e3-9c14-49f7-bb1b-9608f156bbb8')/inh
                          eritsPermissionsFrom]}

...

Untuk mencantumkan izin istimewa, gunakan perintah Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction .

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

Untuk mencantumkan penetapan peran istimewa, gunakan perintah Get-MgBetaRoleManagementDirectoryRoleAssignment.

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

Graph API

Di Microsoft Graph API, periksa apakah isPrivileged properti diatur ke true.

Untuk mencantumkan peran istimewa, gunakan API List roleDefinitions.

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Respons

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

Untuk mencantumkan izin istimewa, gunakan API List resourceActions.

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Respons

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Untuk mencantumkan penetapan peran istimewa, gunakan API UnifiedRoleAssignments.

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Respons

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Praktik terbaik untuk menggunakan peran istimewa

Berikut adalah beberapa praktik terbaik untuk menggunakan peran istimewa.

• Menerapkan prinsip hak istimewa paling rendah
• Gunakan Pengelolaan Identitas Berhak untuk memberikan akses tepat waktu
• Mengaktifkan autentikasi multifaktor untuk semua akun administrator Anda
• Konfigurasikan tinjauan akses berulang untuk mencabut izin yang tidak diperlukan dari waktu ke waktu
• Batasi jumlah Administrator Global hingga kurang dari 5
• Batasi jumlah penetapan peran istimewa hingga kurang dari 10

Untuk informasi selengkapnya, lihat Praktik Terbaik untuk Peran Microsoft Entra.

Izin istimewa versus tindakan yang dilindungi

Izin istimewa dan tindakan yang dilindungi adalah kemampuan terkait keamanan yang memiliki tujuan berbeda. Izin yang memiliki label PRIVILEGED membantu Anda mengidentifikasi izin yang dapat menyebabkan peningkatan hak istimewa jika tidak digunakan dengan cara yang aman dan dimaksudkan. Tindakan yang dilindungi adalah izin peran yang telah ditetapkan kebijakan Akses Bersyarat untuk keamanan tambahan, seperti memerlukan autentikasi multifaktor. Persyaratan Akses Bersyarkat diberlakukan saat pengguna melakukan tindakan yang dilindungi. Tindakan yang dilindungi saat ini sedang dalam tahap Pratinjau. Untuk informasi selengkapnya, lihat Apa itu tindakan yang dilindungi di MICROSOFT Entra ID?.

Kemampuan	Izin istimewa	Tindakan terproteksi
Mengidentifikasi izin yang harus digunakan dengan cara yang aman	✅
Memerlukan keamanan tambahan untuk melakukan tindakan		✅

Terminologi

Untuk memahami peran dan izin istimewa di ID Microsoft Entra, ini membantu mengetahui beberapa terminologi berikut.

Istilah	Definisi
tindakan	Tindakan yang dapat dilakukan entitas keamanan pada jenis objek. Terkadang disebut sebagai operasi.
izin	Definisi yang menentukan aktivitas yang dapat dilakukan prinsip keamanan pada jenis objek. Izin mencakup satu atau beberapa tindakan.
izin istimewa	Di ID Microsoft Entra, izin yang dapat digunakan untuk mendelegasikan manajemen sumber daya direktori kepada pengguna lain, memodifikasi kredensial, kebijakan autentikasi atau otorisasi, atau mengakses data terbatas.
peran istimewa	Peran bawaan atau kustom yang memiliki satu atau beberapa izin istimewa.
penetapan peran istimewa	Penugasan peran yang menggunakan peran istimewa.
peningkatan hak akses	Ketika prinsipal keamanan memperoleh lebih banyak izin daripada peran yang awalnya ditetapkan dengan cara meniru peran lain.
tindakan yang dilindungi	Izin dengan Akses Bersyarat diterapkan untuk keamanan tambahan.

Cara memahami izin peran

Skema untuk izin secara longgar mengikuti format REST Microsoft Graph:

<namespace>/<entity>/<propertySet>/<action>

Contohnya:

microsoft.directory/applications/credentials/update

Elemen Izin	Deskripsi
ruang nama	Produk atau layanan yang memaparkan tugas dan ditambahkan dengan microsoft. Misalnya, semua tugas di Microsoft Entra ID menggunakan microsoft.directory namespace.
entitas	Fitur logika atau komponen yang diekspos oleh layanan di Microsoft Graph. Misalnya, MICROSOFT Entra ID mengekspos Pengguna dan Grup, OneNote mengekspos Catatan, dan Exchange mengekspos Kotak Surat dan Kalender. Ada kata kunci khusus allEntities untuk menentukan semua entitas dalam sebuah namespace. Ini sering digunakan dalam peran yang memberikan akses ke seluruh produk.
kumpulanProperti	Properti atau aspek spesifik entitas tempat akses diberikan. Misalnya, microsoft.directory/applications/authentication/read memberikan kemampuan untuk membaca URL balasan, URL keluar, dan properti alur implisit pada objek aplikasi di ID Microsoft Entra. allProperties menunjuk semua properti entitas, termasuk properti istimewa. standard menunjuk properti umum, tetapi tidak termasuk yang istimewa yang terkait dengan tindakan read. Misalnya, microsoft.directory/user/standard/read menyertakan kemampuan untuk membaca properti standar seperti nomor telepon publik dan alamat email, tetapi bukan nomor telepon sekunder pribadi atau alamat email yang digunakan untuk autentikasi multifaktor. basic menunjuk properti umum, tetapi tidak termasuk yang istimewa yang terkait dengan tindakan update. Kumpulan properti yang bisa Anda baca mungkin berbeda dari yang bisa Anda perbarui. Itu sebabnya ada kata kunci standard dan basic untuk mencerminkannya.
tindakan	Operasi yang biasanya diberikan, yaitu membuat, membaca, memperbarui, atau menghapus (CRUD). Ada kata kunci spesial yaitu allTasks untuk menentukan semua kemampuan di atas (membuat, membaca, memperbarui, dan menghapus).

Membandingkan peran autentikasi

Tabel berikut membandingkan kemampuan peran terkait autentikasi.

Peran	Mengelola metode autentikasi pengguna	Mengelola autentikasi multifaktor per pengguna	Mengelola pengaturan autentikasi multifaktor	Mengelola kebijakan metode autentikasi	Mengelola kebijakan perlindungan kata sandi	Memperbarui properti sensitif	Menghapus dan memulihkan pengguna
Administrator Autentikasi	Ya untuk beberapa pengguna	Tidak	Tidak	Tidak	Tidak	Ya untuk beberapa pengguna	Ya untuk beberapa pengguna
Administrator Autentikasi Hak Istimewa	Ya untuk semua pengguna	Tidak	Tidak	Tidak	Tidak	Ya untuk semua pengguna	Ya untuk semua pengguna
Admin Kebijakan Autentikasi	Tidak	Ya	Ya	Ya	Ya	Tidak	Tidak
Admin Pengguna	Tidak	Tidak	Tidak	Tidak	Tidak	Ya untuk beberapa pengguna	Ya untuk beberapa pengguna

Siapa yang dapat mengatur ulang kata sandi

Dalam tabel berikut, kolom mencantumkan peran yang dapat mengatur ulang kata sandi dan membatalkan token refresh. Barisnya berisi peran yang dapat diatur ulang kata sandinya. Misalnya, Administrator Kata Sandi dapat mengatur ulang kata sandi untuk Pembaca Direktori, Pengundang Tamu, Administrator Kata Sandi, dan pengguna tanpa peran administrator. Jika pengguna diberi peran lain, Administrator Kata Sandi tidak dapat mengatur ulang kata sandi mereka.

Tabel berikut adalah untuk peran yang ditugaskan dalam ruang lingkup penyewa. Untuk peran yang ditugaskan pada cakupan unit administrasi, pembatasan lebih lanjut berlaku.

Peran di mana kata sandi dapat diatur ulang	Kata Sandi Admin	Admin meja bantuan	Admin Autentikasi	Pengelola Pengguna	Admin Otorisasi Hak Istimewa	Administrator Global
Admin Autentikasi			✅		✅	✅
Pembaca Direktori	✅	✅	✅	✅	✅	✅
Administrator Global					✅	✅*
Admin Grup				✅	✅	✅
Pengundang Tamu	✅	✅	✅	✅	✅	✅
Admin meja bantuan		✅		✅	✅	✅
Pembaca Pusat Pesan		✅	✅	✅	✅	✅
Kata Sandi Admin	✅	✅	✅	✅	✅	✅
Admin Otorisasi Hak Istimewa					✅	✅
Admin Peran Istimewa					✅	✅
Pembaca Laporan		✅	✅	✅	✅	✅
Pengguna (tidak ada peran admin)	✅	✅	✅	✅	✅	✅
Pengguna (tidak ada peran admin, tetapi anggota atau pemilik grup yang dapat ditetapkan peran)					✅	✅
Pengguna dengan peran yang dibatasi ke unit administratif terbatas					✅	✅
Pengelola Pengguna				✅	✅	✅
Manajer Keberhasilan Pengalaman Pengguna		✅	✅	✅	✅	✅
Laporan Ringkasan Penggunaan Pembaca		✅	✅	✅	✅	✅
Semua peran bawaan dan kustom lainnya					✅	✅

Penting

Peran Dukungan Mitra Tingkat 2 dapat mengatur ulang kata sandi dan membatalkan token refresh untuk semua non-administrator dan administrator (termasuk Administrator Global). Peran Dukungan Mitra Tingkat 1 dapat mengatur ulang kata sandi dan membatalkan token refresh hanya untuk yang bukan administrator. Peran ini tidak boleh digunakan karena tidak digunakan lagi.

Kemampuan untuk mengatur ulang kata sandi mencakup kemampuan untuk memperbarui properti sensitif berikut yang diperlukan untuk pengaturan ulang kata sandi mandiri:

• telepon bisnis
• ponsel
• suratLainnya

Siapa yang dapat melakukan tindakan sensitif

Beberapa administrator dapat melakukan tindakan sensitif berikut untuk beberapa pengguna. Semua pengguna dapat membaca properti sensitif.

Tindakan sensitif	Nama properti sensitif
Menonaktifkan atau mengaktifkan pengguna	accountEnabled
Memperbarui telepon bisnis	businessPhones
Memperbarui ponsel	mobilePhone
Memperbarui ID lokal yang tidak dapat diubah	onPremisesImmutableId
Memperbarui email lain	otherMails
Memperbarui profil kata sandi	passwordProfile
Memperbarui nama prinsipal pengguna	userPrincipalName
Menghapus atau memulihkan pengguna	Tidak berlaku

Dalam tabel berikut, kolom mencantumkan peran yang bisa melakukan tindakan sensitif. Baris mencantumkan peran tempat tindakan sensitif dapat dilakukan.

Tabel berikut adalah untuk peran yang ditugaskan dalam ruang lingkup penyewa. Untuk peran yang ditugaskan pada cakupan unit administrasi, pembatasan lebih lanjut berlaku.

Peran di mana tindakan sensitif dapat dilakukan	Admin Autentikasi	Pengelola Pengguna	Admin Otorisasi Hak Istimewa	Administrator Global
Admin Autentikasi	✅		✅	✅
Pembaca Direktori	✅	✅	✅	✅
Administrator Global			✅	✅
Admin Grup		✅	✅	✅
Pengundang Tamu	✅	✅	✅	✅
Admin meja bantuan		✅	✅	✅
Pembaca Pusat Pesan	✅	✅	✅	✅
Kata Sandi Admin	✅	✅	✅	✅
Admin Otorisasi Hak Istimewa			✅	✅
Admin Peran Istimewa			✅	✅
Pembaca Laporan	✅	✅	✅	✅
Pengguna (tidak ada peran admin)	✅	✅	✅	✅
Pengguna (tidak ada peran admin, tetapi anggota atau pemilik grup yang dapat ditetapkan peran)			✅	✅
Pengguna dengan peran yang dibatasi ke unit administratif terbatas			✅	✅
Pengelola Pengguna		✅	✅	✅
Manajer Keberhasilan Pengalaman Pengguna	✅	✅	✅	✅
Laporan Ringkasan Penggunaan Pembaca	✅	✅	✅	✅
Semua peran bawaan dan kustom lainnya			✅	✅

Langkah berikutnya

• Praktik terbaik untuk peran Microsoft Entra
• Peran bawaan Microsoft Entra