Funções e permissões privilegiadas no Microsoft Entra ID (visualização)

Importante

O rótulo para funções e permissões privilegiadas está atualmente em VISUALIZAÇÃO. Veja Termos de Utilização Complementares da Pré-visualizações do Microsoft Azure para obter os termos legais que se aplicam às funcionalidades do Azure que estão na versão beta, na pré-visualização ou que ainda não foram lançadas para disponibilidade geral.

O Microsoft Entra ID tem funções e permissões que são identificadas como privilegiadas. Essas funções e permissões podem ser usadas para delegar o gerenciamento de recursos de diretório a outros usuários, modificar credenciais, políticas de autenticação ou autorização ou acessar dados restritos. As atribuições de funções privilegiadas podem levar à elevação de privilégio se não forem usadas de forma segura e pretendida. Este artigo descreve funções e permissões privilegiadas e práticas recomendadas para como usar.

Quais funções e permissões são privilegiadas?

Para obter uma lista de funções e permissões privilegiadas, consulte Funções internas do Microsoft Entra. Você também pode usar o centro de administração do Microsoft Entra, o Microsoft Graph PowerShell ou a API do Microsoft Graph para identificar funções, permissões e atribuições de função identificadas como privilegiadas.

Centro de administração

No centro de administração do Microsoft Entra, procure o rótulo PRIVILEGED .

Na página Funções e administradores, as funções privilegiadas são identificadas na coluna Privilegiado. A coluna Atribuições lista o número de atribuições de função. Você também pode filtrar funções privilegiadas.

Ao exibir as permissões para uma função privilegiada, você pode ver quais permissões são privilegiadas. Se você visualizar as permissões como um usuário padrão, não poderá ver quais permissões são privilegiadas.

Ao criar uma função personalizada, você pode ver quais permissões são privilegiadas e a função personalizada será rotulada como privilegiada.

PowerShell

No Microsoft Graph PowerShell, verifique se a IsPrivileged propriedade está definida como True.

Para listar funções privilegiadas, use o comando Get-MgBetaRoleManagementDirectoryRoleDefinition .

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can manage all aspects of Azure AD and Microsoft services that use Azure AD identities.
DisplayName             : Global Administrator
Id                      : 62e90394-69f5-4237-9190-012177145e10
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 62e90394-69f5-4237-9190-012177145e10
Version                 : 1
AdditionalProperties    : {[inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$metadata#roleManag
                          ement/directory/roleDefinitions('62e90394-69f5-4237-9190-012177145e10')/inheritsPermissionsFr
                          om]}

AllowedPrincipalTypes   :
Description             : Can manage all aspects of users and groups, including resetting passwords for limited admins.
DisplayName             : User Administrator
Id                      : fe930be7-5e62-47db-91af-98c3a49a38b1
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : fe930be7-5e62-47db-91af-98c3a49a38b1
Version                 : 1
AdditionalProperties    : {[inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$metadata#roleManag
                          ement/directory/roleDefinitions('fe930be7-5e62-47db-91af-98c3a49a38b1')/inheritsPermissionsFr
                          om]}

...

Para listar permissões privilegiadas, use o comando Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction .

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

Para listar atribuições de função privilegiadas, use o comando Get-MgBetaRoleManagementDirectoryRoleAssignment .

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

Graph API

Na API do Microsoft Graph, verifique se a isPrivileged propriedade está definida como true.

Para listar funções privilegiadas, use a API List roleDefinitions .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

Para listar permissões privilegiadas, use a API List resourceActions .

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Para listar atribuições de função privilegiadas, use a API List unifiedRoleAssignments .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Práticas recomendadas para o uso de funções privilegiadas

Aqui estão algumas práticas recomendadas para usar funções privilegiadas.

• Aplicar o princípio do menor privilégio
• Usar o Privileged Identity Management para conceder acesso just-in-time
• Ativar a autenticação multifator para todas as suas contas de administrador
• Configurar revisões de acesso recorrentes para revogar permissões desnecessárias ao longo do tempo
• Limitar o número de Administradores Globais a menos de 5
• Limitar o número de atribuições de função privilegiada a menos de 10

Para obter mais informações, consulte Práticas recomendadas para funções do Microsoft Entra.

Permissões privilegiadas versus ações protegidas

Permissões privilegiadas e ações protegidas são recursos relacionados à segurança que têm finalidades diferentes. As permissões que têm o rótulo PRIVILEGED ajudam a identificar permissões que podem levar à elevação de privilégio se não forem usadas de forma segura e pretendida. As ações protegidas são permissões de função às quais foram atribuídas políticas de Acesso Condicional para maior segurança, como a exigência de autenticação multifator. Os requisitos de acesso condicional são impostos quando um usuário executa a ação protegida. As ações protegidas estão atualmente em Pré-visualização. Para obter mais informações, consulte O que são ações protegidas no Microsoft Entra ID?.

Funcionalidade	Permissão privilegiada	Ação protegida
Identificar permissões que devem ser usadas de forma segura	✅
Exigir segurança adicional para executar uma ação		✅

Terminologia

Para entender as funções e permissões privilegiadas no Microsoft Entra ID, é útil conhecer algumas das seguintes terminologias.

Termo	Definição
action	Uma atividade que uma entidade de segurança pode executar em um tipo de objeto. Às vezes referido como uma operação.
permissão	Uma definição que especifica a atividade que uma entidade de segurança pode executar em um tipo de objeto. Uma permissão inclui uma ou mais ações.
permissão privilegiada	No Microsoft Entra ID, permissões que podem ser usadas para delegar o gerenciamento de recursos de diretório a outros usuários, modificar credenciais, políticas de autenticação ou autorização ou acessar dados restritos.
Papel privilegiado	Uma função interna ou personalizada que tem uma ou mais permissões privilegiadas.
Atribuição de função privilegiada	Uma atribuição de função que usa uma função privilegiada.
Elevação de privilégio	Quando uma entidade de segurança obtém mais permissões do que a função atribuída inicialmente fornecida ao representar outra função.
Ação protegida	Permissões com Acesso Condicional aplicadas para maior segurança.

Como entender as permissões de função

O esquema para permissões segue vagamente o formato REST do Microsoft Graph:

<namespace>/<entity>/<propertySet>/<action>

Por exemplo:

microsoft.directory/applications/credentials/update

Elemento de permissão	Description
espaço de nomes	Produto ou serviço que expõe a tarefa e é precedido de microsoft. Por exemplo, todas as tarefas no Microsoft Entra ID usam o microsoft.directory namespace.
entidade	Recurso lógico ou componente exposto pelo serviço no Microsoft Graph. Por exemplo, o Microsoft Entra ID expõe Usuários e Grupos, o OneNote expõe Anotações e o Exchange expõe Caixas de Correio e Calendários. Há uma palavra-chave especial allEntities para especificar todas as entidades em um namespace. Isso geralmente é usado em funções que concedem acesso a um produto inteiro.
propertySet	Propriedades ou aspetos específicos da entidade à qual o acesso está a ser concedido. Por exemplo, microsoft.directory/applications/authentication/read concede a capacidade de ler a URL de resposta, a URL de logout e a propriedade de fluxo implícito no objeto do aplicativo no Microsoft Entra ID. allProperties Designa todas as propriedades da entidade, incluindo propriedades privilegiadas. standard designa propriedades comuns, mas exclui as privilegiadas relacionadas com a read ação. Por exemplo, inclui a capacidade de ler propriedades padrão, microsoft.directory/user/standard/read como número de telefone público e endereço de e-mail, mas não o número de telefone secundário privado ou endereço de e-mail usado para autenticação multifator. basic designa propriedades comuns, mas exclui as privilegiadas relacionadas com a update ação. O conjunto de propriedades que você pode ler pode ser diferente do que você pode atualizar. É por isso que existem standard e basic palavras-chave para refletir isso.
action	A operação que está sendo concedida, normalmente cria, lê, atualiza ou exclui (CRUD). Há uma palavra-chave especial allTasks para especificar todas as habilidades acima (criar, ler, atualizar e excluir).

Comparar funções de autenticação

A tabela a seguir compara os recursos de funções relacionadas à autenticação.

Função	Gerir os métodos de autenticação do utilizador	Ativar a MFA por utilizador	Gerir as definições da MFA	Gerir a política do método de autenticação	Gerir a política de proteção de palavras-passe	Atualizar as propriedades confidenciais	Eliminar e restaurar utilizadores
Administrador de autenticação	Sim para alguns utilizadores	Sim para alguns utilizadores	No	No	No	Sim para alguns utilizadores	Sim para alguns utilizadores
Administrador de autenticação privilegiada	Sim para todos os utilizadores	Sim para todos os utilizadores	No	No	No	Sim para todos os utilizadores	Sim para todos os utilizadores
Administrador de políticas de autenticação	No	No	Sim	Sim	Sim	No	No
Administrador de Utilizadores	No	No	No	No	No	Sim para alguns utilizadores	Sim para alguns utilizadores

Quem pode repor palavras-passe

Na tabela a seguir, as colunas listam as funções que podem redefinir senhas e invalidar tokens de atualização. As linhas listam as funções para as quais a senha pode ser redefinida. Por exemplo, um Administrador de Senha pode redefinir a senha para Leitores de Diretório, Convidado Convidado, Administrador de Senha e usuários sem função de administrador. Se um usuário receber qualquer outra função, o Administrador de Senha não poderá redefinir sua senha.

A tabela a seguir é para funções atribuídas no escopo de um locatário. Para funções atribuídas no âmbito de uma unidade administrativa, aplicam-se outras restrições.

Função que a senha pode ser redefinida	Administrador de palavra-passe	Administrador de Suporte Técnico	Administrador de Autenticação	Administrador de usuários	Administrador de Autenticação Privilegiada	Admin Global
Administrador de Autenticação			✅		✅	✅
Leitores de Diretório	✅	✅	✅	✅	✅	✅
Admin Global					✅	✅*
Administrador de Grupos				✅	✅	✅
Convidado Inviter	✅	✅	✅	✅	✅	✅
Administrador de Suporte Técnico		✅		✅	✅	✅
Leitor do Centro de Mensagens		✅	✅	✅	✅	✅
Administrador de palavra-passe	✅	✅	✅	✅	✅	✅
Administrador de Autenticação Privilegiada					✅	✅
Administrador de função privilegiada					✅	✅
Leitor de Relatórios		✅	✅	✅	✅	✅
User (sem função de administrador)	✅	✅	✅	✅	✅	✅
User (sem função de administrador, mas membro ou proprietário de um grupo atribuível por função)					✅	✅
Usuário com uma função com escopo para uma unidade administrativa de gerenciamento restrito					✅	✅
Administrador de usuários				✅	✅	✅
Leitor de relatórios de resumo de uso		✅	✅	✅	✅	✅
Todas as funções personalizadas					✅	✅

Importante

A função de Suporte de Nível 2 do Parceiro pode redefinir senhas e invalidar tokens de atualização para todos os não-administradores e administradores (incluindo Administradores Globais). A função de Suporte de Nível de Parceiro 1 pode redefinir senhas e invalidar tokens de atualização apenas para não-administradores. Essas funções não devem ser usadas porque foram preteridas.

A capacidade de redefinir uma senha inclui a capacidade de atualizar as seguintes propriedades confidenciais necessárias para a redefinição de senha de autoatendimento:

• businessTelefones
• mobilePhone
• outrosE-mails

Quem pode executar ações sensíveis

Alguns administradores podem executar as seguintes ações confidenciais para alguns usuários. Todos os usuários podem ler as propriedades confidenciais.

Ação sensível	Nome da propriedade sensível
Desativar ou habilitar usuários	accountEnabled
Atualizar telefone comercial	businessPhones
Atualizar telemóvel	mobilePhone
Atualizar ID imutável local	onPremisesImmutableId
Atualizar outros e-mails	otherMails
Atualizar perfil de senha	passwordProfile
Atualizar nome principal do usuário	userPrincipalName
Excluir ou restaurar usuários	Não aplicável

Na tabela a seguir, as colunas listam as funções que podem executar ações confidenciais. As linhas listam as funções para as quais a ação sensível pode ser executada.

A tabela a seguir é para funções atribuídas no escopo de um locatário. Para funções atribuídas no âmbito de uma unidade administrativa, aplicam-se outras restrições.

Papel sobre o qual uma ação sensível pode ser desempenhada	Administrador de Autenticação	Administrador de usuários	Administrador de Autenticação Privilegiada	Admin Global
Administrador de Autenticação	✅		✅	✅
Leitores de Diretório	✅	✅	✅	✅
Admin Global			✅	✅
Administrador de Grupos		✅	✅	✅
Convidado Inviter	✅	✅	✅	✅
Administrador de Suporte Técnico		✅	✅	✅
Leitor do Centro de Mensagens	✅	✅	✅	✅
Administrador de palavra-passe	✅	✅	✅	✅
Administrador de Autenticação Privilegiada			✅	✅
Administrador de função privilegiada			✅	✅
Leitor de Relatórios	✅	✅	✅	✅
User (sem função de administrador)	✅	✅	✅	✅
User (sem função de administrador, mas membro ou proprietário de um grupo atribuível por função)			✅	✅
Usuário com uma função com escopo para uma unidade administrativa de gerenciamento restrito			✅	✅
Administrador de usuários		✅	✅	✅
Leitor de relatórios de resumo de uso	✅	✅	✅	✅
Todas as funções personalizadas			✅	✅

Próximos passos

• Práticas recomendadas para funções do Microsoft Entra
• Funções incorporadas do Microsoft Entra