Condividi tramite


Assegnare i ruoli di Microsoft Entra ai gruppi

Per semplificare la gestione dei ruoli, è possibile assegnare ruoli di Microsoft Entra a un gruppo anziché a utenti singoli. Questo articolo descrive come assegnare ruoli di Microsoft Entra a gruppi assegnabili a ruoli usando l'interfaccia di amministrazione di Microsoft Entra, PowerShell o l'API Microsoft Graph.

Prerequisiti

Per altre informazioni, vedere Prerequisiti per l'uso di PowerShell o Graph Explorer.

Interfaccia di amministrazione di Microsoft Entra

Suggerimento

I passaggi descritti in questo articolo possono variare leggermente in base al portale da cui si inizia.

L'assegnazione di un ruolo Microsoft Entra a un gruppo è simile all'assegnazione di utenti ed entità servizio, ad eccezione del fatto che è possibile usare solo i gruppi assegnabili a ruoli.

Suggerimento

Questi passaggi si applicano ai clienti che dispongono di una licenza Microsoft Entra ID P1. Se si dispone di una licenza Microsoft Entra ID P2 nel tenant, è consigliabile seguire invece i passaggi descritti in Assegnare i ruoli di Microsoft Entra in Privileged Identity Management.

  1. Accedere all'interfaccia di amministrazione di Microsoft Entra almeno con il ruolo Amministratore del ruolo con privilegi .

  2. Passare a Ruoli di identità>e ruoli amministratori e amministratori.>

    Screenshot della pagina Ruoli e amministratori in Microsoft Entra ID.

  3. Selezionare il nome del ruolo per aprire il ruolo. Non aggiungere un segno di spunta accanto al ruolo.

    Screenshot che mostra la selezione di un ruolo.

  4. Selezionare Aggiungi assegnazioni.

    Se viene visualizzato qualcosa di diverso dallo screenshot seguente, potrebbe essere presente Microsoft Entra ID P2. Per altre informazioni, vedere Assegnare i ruoli di Microsoft Entra in Privileged Identity Management.

    Screenshot del riquadro Aggiungi assegnazioni per assegnare il ruolo a utenti o gruppi.

  5. Selezionare il gruppo da assegnare a questo ruolo. Vengono visualizzati solo i gruppi assegnabili a ruoli.

    Se il gruppo non è elencato, sarà necessario creare un gruppo assegnabile a ruoli. Per altre informazioni, vedere Creare un gruppo assegnabile di ruoli in Microsoft Entra ID.

  6. Selezionare Aggiungi per assegnare il ruolo al gruppo.

PowerShell

Creare un gruppo assegnabile a un ruolo

Usare il comando New-MgGroup per creare un gruppo assegnabile a ruoli.

Connect-MgGraph -Scopes "Group.ReadWrite.All","RoleManagement.ReadWrite.Directory"
$group = New-MgGroup -DisplayName "Contoso_Helpdesk_Administrators" -Description "This group has Helpdesk Administrator built-in role assigned to it in Azure AD." -MailEnabled:$false -SecurityEnabled -MailNickName "contosohelpdeskadministrators" -IsAssignableToRole:$true

Ottenere la definizione del ruolo da assegnare

Usare il comando Get-MgRoleManagementDirectoryRoleDefinition per ottenere una definizione di ruolo.

$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "displayName eq 'Helpdesk Administrator'"

Creare un'assegnazione di ruolo

Usare il comando New-MgRoleManagementDirectoryRoleAssignment per assegnare il ruolo.

$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id

API di Microsoft Graph

Creare un gruppo assegnabile a un ruolo

Usare l'API Crea gruppo per creare un gruppo assegnabile a ruoli.

Richiedi

POST https://graph.microsoft.com/v1.0/groups

{
    "description": "This group is assigned to Helpdesk Administrator built-in role of Azure AD.",
    "displayName": "Contoso_Helpdesk_Administrators",
    "groupTypes": [
        "Unified"
    ],
    "isAssignableToRole": true,
    "mailEnabled": true,
    "mailNickname": "contosohelpdeskadministrators",
    "securityEnabled": true
}

Response

HTTP/1.1 201 Created

Ottenere la definizione del ruolo da assegnare

Usare l'API List unifiedRoleDefinitions per ottenere una definizione di ruolo.

Richiedi

GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleDefinitions?$filter = displayName eq 'Helpdesk Administrator'

Response

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "729827e3-9c14-49f7-bb1b-9608f156bbb8",
            "description": "Can reset passwords for non-administrators and Helpdesk Administrators.",
            "displayName": "Helpdesk Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "resourceScopes": [
                "/"
            ],

    ...

Creare l'assegnazione di ruolo

Usare l'API Create unifiedRoleAssignment per assegnare il ruolo.

Richiedi

POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments

{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "principalId": "<Object ID of Group>",
    "roleDefinitionId": "<ID of role definition>",
    "directoryScopeId": "/"
}

Response

HTTP/1.1 201 Created
Content-type: application/json
{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#roleManagement/directory/roleAssignments/$entity",
    "id": "<Role assignment ID>",
    "roleDefinitionId": "<ID of role definition>",
    "principalId": "<Object ID of Group>",
    "directoryScopeId": "/"
}

Passaggi successivi