Uprzywilejowane role i uprawnienia w usłudze Microsoft Entra ID (wersja zapoznawcza)

Ważne

Etykieta dla ról uprzywilejowanych i uprawnień jest obecnie dostępna w wersji zapoznawczej. Zobacz Dodatkowe warunki użytkowania wersji zapoznawczych platformy Microsoft Azure, aby zapoznać się z postanowieniami prawnymi dotyczącymi funkcji platformy Azure, które są w wersji beta lub wersji zapoznawczej albo w inny sposób nie zostały jeszcze wydane jako ogólnie dostępne.

Identyfikator Entra firmy Microsoft ma role i uprawnienia, które są identyfikowane jako uprzywilejowane. Te role i uprawnienia mogą służyć do delegowania zarządzania zasobami katalogu do innych użytkowników, modyfikowania poświadczeń, zasad uwierzytelniania lub autoryzacji lub uzyskiwania dostępu do ograniczonych danych. Przypisania ról uprzywilejowanych mogą prowadzić do podniesienia uprawnień, jeśli nie są używane w bezpieczny i zamierzony sposób. W tym artykule opisano uprzywilejowane role i uprawnienia oraz najlepsze rozwiązania dotyczące sposobu używania.

Które role i uprawnienia są uprzywilejowane?

Aby uzyskać listę ról i uprawnień uprzywilejowanych, zobacz Wbudowane role firmy Microsoft Entra. Możesz również użyć centrum administracyjnego microsoft Entra, programu Microsoft Graph PowerShell lub interfejsu API programu Microsoft Graph do identyfikowania ról, uprawnień i przypisań ról, które są identyfikowane jako uprzywilejowane.

Centrum administracyjne

W centrum administracyjnym firmy Microsoft Entra wyszukaj etykietę PRIVILEGED .

Na stronie Role i administratorzy role uprzywilejowane są identyfikowane w kolumnie Privileged. W kolumnie Przypisania jest wyświetlana liczba przypisań ról. Możesz również filtrować role uprzywilejowane.

Podczas wyświetlania uprawnień dla roli uprzywilejowanej można zobaczyć, które uprawnienia są uprzywilejowane. Jeśli wyświetlisz uprawnienia jako użytkownik domyślny, nie będzie można zobaczyć, które uprawnienia są uprzywilejowane.

Podczas tworzenia roli niestandardowej można zobaczyć, które uprawnienia są uprzywilejowane, a rola niestandardowa zostanie oznaczona jako uprzywilejowana.

Program PowerShell

W programie Microsoft Graph PowerShell sprawdź, czy właściwość jest ustawiona IsPrivileged na True.

Aby wyświetlić listę ról uprzywilejowanych, użyj polecenia Get-MgBetaRoleManagementDirectoryRoleDefinition .

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can manage all aspects of Azure AD and Microsoft services that use Azure AD identities.
DisplayName             : Global Administrator
Id                      : 62e90394-69f5-4237-9190-012177145e10
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 62e90394-69f5-4237-9190-012177145e10
Version                 : 1
AdditionalProperties    : {[inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$metadata#roleManag
                          ement/directory/roleDefinitions('62e90394-69f5-4237-9190-012177145e10')/inheritsPermissionsFr
                          om]}

AllowedPrincipalTypes   :
Description             : Can manage all aspects of users and groups, including resetting passwords for limited admins.
DisplayName             : User Administrator
Id                      : fe930be7-5e62-47db-91af-98c3a49a38b1
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : fe930be7-5e62-47db-91af-98c3a49a38b1
Version                 : 1
AdditionalProperties    : {[inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$metadata#roleManag
                          ement/directory/roleDefinitions('fe930be7-5e62-47db-91af-98c3a49a38b1')/inheritsPermissionsFr
                          om]}

...

Aby wyświetlić listę uprawnień uprzywilejowanych, użyj polecenia Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction .

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

Aby wyświetlić listę przypisań ról uprzywilejowanych, użyj polecenia Get-MgBetaRoleManagementDirectoryRoleAssignment .

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

Interfejs API programu Graph

W interfejsie API programu Microsoft Graph sprawdź, czy właściwość jest ustawiona isPrivileged na truewartość .

Aby wyświetlić listę ról uprzywilejowanych, użyj interfejsu API list roleDefinitions .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

Aby wyświetlić listę uprawnień uprzywilejowanych, użyj interfejsu API List resourceActions .

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Aby wyświetlić listę przypisań ról uprzywilejowanych, użyj interfejsu API List unifiedRoleAssignments .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Najlepsze rozwiązania dotyczące używania ról uprzywilejowanych

Poniżej przedstawiono kilka najlepszych rozwiązań dotyczących używania ról uprzywilejowanych.

• Stosowanie zasady najniższych uprawnień
• Udzielanie dostępu just in time za pomocą usługi Privileged Identity Management
• Włączanie uwierzytelniania wieloskładnikowego dla wszystkich kont administratorów
• Konfigurowanie cyklicznych przeglądów dostępu w celu odwołania niepotrzebnych uprawnień w czasie
• Ogranicz liczbę globalnych Administracja istratorów do mniejszej niż 5
• Ogranicz liczbę przypisań ról uprzywilejowanych do mniejszej niż 10

Aby uzyskać więcej informacji, zobacz Najlepsze rozwiązania dotyczące ról firmy Microsoft Entra.

Uprawnienia uprzywilejowane a akcje chronione

Uprawnienia uprzywilejowane i akcje chronione to funkcje związane z zabezpieczeniami, które mają różne cele. Uprawnienia z etykietą PRIVILEGED ułatwiają identyfikowanie uprawnień, które mogą prowadzić do podniesienia uprawnień, jeśli nie są używane w bezpieczny i zamierzony sposób. Chronione akcje to uprawnienia roli, które zostały przypisane zasady dostępu warunkowego dla dodanych zabezpieczeń, takich jak wymaganie uwierzytelniania wieloskładnikowego. Wymagania dostępu warunkowego są wymuszane, gdy użytkownik wykonuje chronioną akcję. Akcje chronione są obecnie w wersji zapoznawczej. Aby uzyskać więcej informacji, zobacz Co to są akcje chronione w usłudze Microsoft Entra ID?.

Możliwość	Uprawnienie uprzywilejowane	Akcja chroniona
Identyfikowanie uprawnień, które powinny być używane w bezpieczny sposób	✅
Wymaganie dodatkowych zabezpieczeń w celu wykonania akcji		✅

Terminologia

Aby zrozumieć uprzywilejowane role i uprawnienia w identyfikatorze Entra firmy Microsoft, warto poznać niektóre z poniższych terminów.

Termin	Definicja
action	Działanie podmiotu zabezpieczeń może wykonywać na typie obiektu. Czasami określane jako operacja.
Uprawnienia	Definicja określająca działanie, które podmiot zabezpieczeń może wykonywać na typie obiektu. Uprawnienie obejmuje co najmniej jedną akcję.
uprawnienie uprzywilejowane	W usłudze Microsoft Entra ID uprawnienia, które mogą służyć do delegowania zarządzania zasobami katalogu do innych użytkowników, modyfikowania poświadczeń, zasad uwierzytelniania lub autoryzacji lub uzyskiwania dostępu do ograniczonych danych.
rola uprzywilejowana	Wbudowana lub niestandardowa rola, która ma co najmniej jedno uprawnienie uprzywilejowane.
przypisanie ról uprzywilejowanych	Przypisanie roli, które używa roli uprzywilejowanej.
podniesienie uprawnień	Gdy podmiot zabezpieczeń uzyskuje więcej uprawnień niż przypisana rola początkowo zapewniana przez personifikację innej roli.
akcja chroniona	Uprawnienia z dostępem warunkowym zastosowane do dodanych zabezpieczeń.

Jak zrozumieć uprawnienia roli

Schemat uprawnień luźno jest zgodny z formatem REST programu Microsoft Graph:

<namespace>/<entity>/<propertySet>/<action>

Na przykład:

microsoft.directory/applications/credentials/update

Element uprawnienia	opis
namespace	Produkt lub usługa, która uwidacznia zadanie i jest poprzedzana elementem microsoft. Na przykład wszystkie zadania w identyfikatorze Entra firmy Microsoft używają microsoft.directory przestrzeni nazw.
podmiot	Funkcja logiczna lub składnik uwidoczniony przez usługę w programie Microsoft Graph. Na przykład identyfikator Entra firmy Microsoft uwidacznia użytkowników i grupy, program OneNote uwidacznia notatki, a program Exchange uwidacznia skrzynki pocztowe i kalendarze. Istnieje specjalne allEntities słowo kluczowe służące do określania wszystkich jednostek w przestrzeni nazw. Jest to często używane w rolach, które udzielają dostępu do całego produktu.
propertySet	Określone właściwości lub aspekty jednostki, dla której jest udzielany dostęp. Na przykład microsoft.directory/applications/authentication/read daje możliwość odczytywania adresu URL odpowiedzi, adresu URL wylogowywania i niejawnej właściwości przepływu w obiekcie aplikacji w identyfikatorze Entra firmy Microsoft. allProperties wyznacza wszystkie właściwości jednostki, w tym właściwości uprzywilejowane. standard wyznacza wspólne właściwości, ale wyklucza uprzywilejowane powiązane z read akcją. Na przykład obejmuje możliwość odczytywania standardowych właściwości, microsoft.directory/user/standard/read takich jak publiczny numer telefonu i adres e-mail, ale nie prywatny pomocniczy numer telefonu lub adres e-mail używany do uwierzytelniania wieloskładnikowego. basic wyznacza wspólne właściwości, ale wyklucza uprzywilejowane powiązane z akcją update . Zestaw właściwości, które można odczytać, może się różnić od tego, co można zaktualizować. Dlatego istnieją słowa standard kluczowe, basic aby to odzwierciedlić.
action	Przyznawana operacja, zazwyczaj tworzenie, odczytywanie, aktualizowanie lub usuwanie (CRUD). Istnieje specjalne allTasks słowo kluczowe służące do określania wszystkich powyższych możliwości (tworzenie, odczytywanie, aktualizowanie i usuwanie).

Porównanie ról uwierzytelniania

W poniższej tabeli porównaliśmy możliwości ról związanych z uwierzytelnianiem.

Rola	Zarządzanie metodami uwierzytelniania użytkownika	Zarządzanie uwierzytelnianiem wieloskładnikowym dla poszczególnych użytkowników	Zarządzanie ustawieniami uwierzytelniania wieloskładnikowego	Zarządzanie zasadami metody uwierzytelniania	Zarządzanie zasadami ochrony hasłem	Aktualizowanie właściwości poufnych	Usuwanie i przywracanie użytkowników
Administracja istrator uwierzytelniania	Tak dla niektórych użytkowników	Tak dla niektórych użytkowników	Nie	Nie.	Nie	Tak dla niektórych użytkowników	Tak dla niektórych użytkowników
Administracja istrator uwierzytelniania uprzywilejowanego	Tak dla wszystkich użytkowników	Tak dla wszystkich użytkowników	Nie	Nie.	Nie	Tak dla wszystkich użytkowników	Tak dla wszystkich użytkowników
Administracja istrator zasad uwierzytelniania	Nie	Nie.	Tak	Tak	Tak	Nie.	Nie
Administrator użytkowników	Nie	Nie.	Nie.	Nie.	Nie	Tak dla niektórych użytkowników	Tak dla niektórych użytkowników

KtoTo może resetować hasła

W poniższej tabeli kolumny zawierają listę ról, które mogą resetować hasła i unieważniać tokeny odświeżania. Wiersze zawierają listę ról, dla których można zresetować hasło. Na przykład Administracja istrator haseł może zresetować hasło dla czytelników katalogu, osoby zapraszania gościa, Administracja istratora haseł i użytkowników bez roli administratora. Jeśli użytkownik ma przypisaną inną rolę, Administracja istrator haseł nie może zresetować hasła.

Poniższa tabela zawiera role przypisane w zakresie dzierżawy. W przypadku ról przypisanych w zakresie jednostki administracyjnej obowiązują dalsze ograniczenia.

Rola, którą można zresetować przy użyciu hasła	Administracja haseł	Administrator pomocy technicznej	Uwierzytelnianie Administracja	Administracja użytkownika	Administracja uwierzytelniania uprzywilejowanego	Administrator globalny
Uwierzytelnianie Administracja			✅		✅	✅
Czytelnicy katalogów	✅	✅	✅	✅	✅	✅
Administrator globalny					✅	✅*
Grupy Administracja				✅	✅	✅
Osoba zapraszana gościa	✅	✅	✅	✅	✅	✅
Administrator pomocy technicznej		✅		✅	✅	✅
Czytelnik Centrum wiadomości		✅	✅	✅	✅	✅
Administracja haseł	✅	✅	✅	✅	✅	✅
Administracja uwierzytelniania uprzywilejowanego					✅	✅
Administracja ról uprzywilejowanych					✅	✅
Czytelnik raportów		✅	✅	✅	✅	✅
User (brak roli administratora)	✅	✅	✅	✅	✅	✅
User (brak roli administratora, ale członek lub właściciel grupy z możliwością przypisania roli)					✅	✅
Użytkownik z rolą w zakresie jednostki administracyjnej zarządzania z ograniczeniami					✅	✅
Administracja użytkownika				✅	✅	✅
Czytelnik raportów podsumowania użycia		✅	✅	✅	✅	✅
Wszystkie role niestandardowe					✅	✅

Ważne

Rola pomoc techniczna w warstwie Partner2 może resetować hasła i unieważniać tokeny odświeżania dla wszystkich administratorów i administratorów (w tym administratorów globalnych Administracja istratorów). Rola Pomoc techniczna w warstwie Partner1 może resetować hasła i unieważniać tokeny odświeżania tylko dla innych niż administratorzy. Te role nie powinny być używane, ponieważ są przestarzałe.

Możliwość zresetowania hasła obejmuje możliwość aktualizowania następujących poufnych właściwości wymaganych do samoobsługowego resetowania hasła:

• business Telefon s
• mobilePhone
• otherMails

KtoTo może wykonywać poufne akcje

Niektórzy administratorzy mogą wykonywać następujące poufne akcje dla niektórych użytkowników. Wszyscy użytkownicy mogą odczytywać poufne właściwości.

Akcja wrażliwa	Nazwa właściwości poufnej
Wyłączanie lub włączanie użytkowników	accountEnabled
Aktualizowanie telefonu służbowego	businessPhones
Aktualizowanie telefonu komórkowego	mobilePhone
Aktualizowanie lokalnego niezmiennego identyfikatora	onPremisesImmutableId
Aktualizowanie innych wiadomości e-mail	otherMails
Aktualizowanie profilu hasła	passwordProfile
Aktualizowanie głównej nazwy użytkownika	userPrincipalName
Usuwanie lub przywracanie użytkowników	Nie dotyczy

W poniższej tabeli kolumny zawierają listę ról, które mogą wykonywać poufne akcje. Wiersze zawierają listę ról, dla których można wykonać akcję wrażliwą.

Poniższa tabela zawiera role przypisane w zakresie dzierżawy. W przypadku ról przypisanych w zakresie jednostki administracyjnej obowiązują dalsze ograniczenia.

Rolę, na którą można wykonać akcję wrażliwą	Uwierzytelnianie Administracja	Administracja użytkownika	Administracja uwierzytelniania uprzywilejowanego	Administrator globalny
Uwierzytelnianie Administracja	✅		✅	✅
Czytelnicy katalogów	✅	✅	✅	✅
Administrator globalny			✅	✅
Grupy Administracja		✅	✅	✅
Osoba zapraszana gościa	✅	✅	✅	✅
Administrator pomocy technicznej		✅	✅	✅
Czytelnik Centrum wiadomości	✅	✅	✅	✅
Administracja haseł	✅	✅	✅	✅
Administracja uwierzytelniania uprzywilejowanego			✅	✅
Administracja ról uprzywilejowanych			✅	✅
Czytelnik raportów	✅	✅	✅	✅
User (brak roli administratora)	✅	✅	✅	✅
User (brak roli administratora, ale członek lub właściciel grupy z możliwością przypisania roli)			✅	✅
Użytkownik z rolą w zakresie jednostki administracyjnej zarządzania z ograniczeniami			✅	✅
Administracja użytkownika		✅	✅	✅
Czytelnik raportów podsumowania użycia	✅	✅	✅	✅
Wszystkie role niestandardowe			✅	✅

Następne kroki

• Najlepsze rozwiązania dotyczące ról firmy Microsoft Entra
• Wbudowane role usługi Microsoft Entra