Cargas de trabalho suportadas por privilégios de administrador delegados granulares (GDAP)
Artigo
Funções apropriadas: Todos os usuários interessados no Partner Center
Este artigo lista tarefas para cargas de trabalho suportadas por privilégios de administrador delegado granular (GDAP).
Copiloto de Segurança da Microsoft
Security Copilot suporta acesso GDAP à plataforma independente e determinadas experiências embutidas.
Funções suportadas do Microsoft Entra
O Security Copilot tem suas próprias funções não Entra que você precisa configurar. As funções recomendadas para solicitar acesso GDAP são Operador de segurança ou Leitor de segurança, embora outras funções sejam suportadas. O cliente deve executar uma etapa extra para atribuir a função GDAP solicitada à função apropriada do Copiloto de Segurança. Para obter mais informações, consulte Atribuir funções ao Security Copilot.
GDAP no Security Copilot fornece acesso ao portal autónomo. Cada plugin requer requisitos de autorização adicionais que podem não suportar GDAP. Para obter informações adicionais, consulte os plug-ins do Security Copilot que suportam GDAP.
As experiências incorporadas adicionam recursos do Security Copilot a outras cargas de trabalho. Se essas cargas de trabalho suportarem GDAP como o Microsoft Defender XDR, os recursos incorporados do Security Copilot suportarão GDAP. Por exemplo, o Purview tem uma experiência incorporada do Security Copilot e também está indicado como uma carga de trabalho que oferece suporte ao GDAP. Assim, Security Copilot em Purview suporta GDAP.
Todas as tarefas do Microsoft Entra são suportadas, exceto os seguintes recursos:
Área
Capacidades
Problema
Gestão de grupos
Criação do grupo Microsoft 365, Administração de regras de associação dinâmica
Não suportado
Dispositivos
Administração de configurações para Enterprise State Roaming
Aplicações
Consentimento para uma aplicação empresarial em linha com o início de sessão, Administração da aplicação empresarial 'Configurações do utilizador'
Identidades externas
Administração de recursos de identidade externa
Monitorização
Análise de log, configurações de diagnóstico, pastas de trabalho e a guia 'Monitoramento' na página de visão geral do Microsoft Entra
Página de descrição geral
Meu feed - funções para usuário conectado
Pode exibir informações de função incorretas; não afeta as permissões reais
Definições do utilizador
Página de gestão de 'funcionalidades do utilizador'
Não acessível a determinadas funções
Problemas conhecidos:
Os parceiros aos quais são concedidas funções do Microsoft Entra Security Reader ou Global Reader via GDAP estão enfrentando um erro "Sem acesso" ao tentar acessar funções e administradores do Entra em um locatário de cliente com o PIM habilitado. Trabalha com a função de Administrador Global.
O Microsoft Entra Connect Health não suporta GDAP.
Centro de administração do Exchange
Para o centro de administração do Exchange, o GDAP suporta as seguintes tarefas.
Tipo de recurso
Subtipo de recurso
Atualmente suportado
Problema
Gestão de destinatários
Caixas de correio
Criar caixa de correio compartilhada, atualizar caixa de correio, converter em caixa de correio compartilhada/de usuário, excluir caixa de correio compartilhada, gerenciar configurações de fluxo de mensagens, gerenciar políticas de caixa de correio, gerenciar delegação de caixa de correio, gerenciar endereços de e-mail, gerenciar respostas automáticas, gerenciar mais ações, editar informações de contato, gerenciamento de grupos
Abrir a caixa de correio de outro utilizador
Recursos
Criar/Adicionar um Recurso [Equipamento/Sala], Excluir um Recurso, Gerenciar Configuração Ocultar da GAL, Gerenciar configurações de Delegados de Reserva, Gerenciar configurações de Delegados de Recursos
Contactos
Criar/Adicionar um contato [Usuário de email/Contato de email], Excluir um contato, Editar configurações da organização
Fluxo de mensagens
Rastreamento de mensagens
Iniciar um rastreamento de mensagens, Verificar consultas padrão/personalizadas/salvas automaticamente/para download, Regras
Alerta, Políticas de Alerta
Domínios remotos
Adicionar um domínio remoto, excluir um domínio remoto, editar relatórios de mensagens, tipos de resposta
Domínios aceites
Gerenciar domínios aceitos
Conectores
Adicionar um conector, gerenciar restrições, identidade de e-mail enviado, excluir conector
Funções
Funções de Administrador
Adicionar Grupo de Funções, Excluir Grupos de Funções que não são Grupos de Funções incorporados, Editar Grupos de Funções que não são Grupos de Funções incorporados, Copiar Grupo de Funções
Migração
Migração
Adicionar lote de migração, experimentar a migração do Google Workspace, aprovar lote de migração, visualizar detalhes do lote de migração, excluir lote de migração
Link do centro de administração do Microsoft 365
Link para ir para o Centro de Administração do Microsoft 365
Diversos
Dar Widget de Feedback, Widget Central de Suporte
Dashboard
Relatórios
As funções RBAC suportadas incluem o seguinte:
Administrador do Exchange
Administrador Global
Administrador do Helpdesk
Leitor Global
Administrador de Segurança
Administrador de destinatários do Exchange
Centro de administração do Microsoft 365
Importante
Alguns dos principais recursos do centro de administração do Microsoft 365 podem ser afetados por incidentes de serviço e trabalho de desenvolvimento contínuo. Você pode exibir problemas ativos do centro de administração do Microsoft 365 no Portal de administração da Microsoft.
Temos o prazer de anunciar o lançamento do suporte do centro de administração do Microsoft 365 para GDAP. Com esta versão de pré-visualização, pode aceder ao centro de administração com todas as funções Microsoft Entra suportadas por clientes empresariais, exceto a função Directory Readers.
Esta versão tem capacidades limitadas e ajuda-o a utilizar as seguintes áreas do centro de administração do Microsoft 365:
Não é possível exportar relatórios de produtos de uso do site.
Não é possível aceder às aplicações integradas no sistema de navegação esquerdo.
Microsoft Purview
Para o Microsoft Purview, o GDAP suporta as seguintes tarefas.
Solução
Atualmente suportado
Problema
Audit
Soluções de auditoria do Microsoft 365 - Configurar auditoria básica/avançada - Registo de auditoria de pesquisa - Usando o PowerShell para pesquisar log de auditoria - Exportar/configurar/visualizar log de auditoria - Ligue e desative a auditoria - Gerenciar políticas de retenção de logs de auditoria - Investigar problemas comuns/contas comprometidas - Exportar/configurar/visualizar log de auditoria
Gestor de Conformidade
Gestor de Conformidade - Construir e gerenciar avaliações - Criar/ampliar/modificar modelos de avaliação - Atribuir e completar ações de melhoria - Definir permissões de usuário
PDM
Proteção de informações do Microsoft Purview Saiba mais sobre a classificação de dados Saiba mais sobre a prevenção contra perda de dados Classificação dos dados: - Criar e gerenciar tipos de informações confidenciais - Criar e gerenciar correspondência exata de dados - Monitore o que está sendo feito com o conteúdo rotulado usando o Activity Explorer Proteção de informações: - Criar e publicar rótulos de sensibilidade e políticas de rótulos - Definir etiquetas a serem aplicadas a arquivos e e-mails - Definir rótulos a serem aplicados a sites e grupos - Definir rótulos a serem aplicados a ativos de dados esquematizados - Aplique automaticamente um rótulo ao conteúdo usando autoetiquetagem do lado do cliente e autoetiquetagem do lado do servidor e ativos de dados estruturados - Restringir o acesso a conteúdo rotulado usando criptografia - Configurar privacidade e acesso de usuário externo e compartilhamento externo e acesso condicional para rótulos aplicados a sites e grupos - Definir a política de rótulos para incluir controles padrão, obrigatórios e de downgrade e aplicá-los a arquivos e e-mails, grupos e sites e conteúdo do Power BI DLP: - Criar, testar e ajustar uma política de DLP - Realizar alertas e gestão de incidentes - Ver eventos de correspondência de regras DLP no explorador de atividades - Definir configurações de DLP do Endpoint
- Ver conteúdo rotulado no Content Explorer - Criar e gerir Classificadores Treináveis - Suporte a etiquetas de Grupos e Sites
Gestão do Ciclo de Vida dos Dados do Microsoft Purview
Gerenciamento de registros do Microsoft Purview - Rotular o conteúdo como um disco - Rotular o conteúdo como um registro regulatório - Criar e gerenciar políticas de etiquetas de retenção estáticas e adaptáveis - Criar e gerenciar escopos adaptáveis - Migre etiquetas de retenção e gerencie seus requisitos de retenção com plano de arquivos - Configurar configurações de retenção e exclusão com rótulos de retenção - Reter conteúdo quando ocorre um evento com retenção baseada em eventos
- Gestão de disposição
Para saber mais sobre as funções suportadas do Microsoft Entra no portal de conformidade do Microsoft 365, consulte Permissões no Microsoft Purview
Microsoft 365 Lighthouse
O Microsoft 365 Lighthouse é um portal de administração que ajuda os Provedores de Serviços Gerenciados (MSPs) a proteger e gerenciar dispositivos, dados e usuários em escala para clientes de pequenas e médias empresas.
As funções GDAP concedem o mesmo acesso de cliente no Lighthouse como quando essas funções GDAP são usadas para acessar os portais de administração dos clientes individualmente. O Lighthouse fornece uma visão multilocatária entre usuários, dispositivos e dados com base no nível de permissões delegadas dos usuários. Para obter uma visão geral de todas as funcionalidades de gerenciamento multilocatário do Lighthouse, consulte a documentação do Lighthouse.
Agora, os MSPs podem usar o Lighthouse para configurar o GDAP para qualquer locatário do cliente. O Lighthouse fornece recomendações de função com base em diferentes funções de trabalho MSP para um MSP, e os modelos GDAP do Lighthouse permitem que os parceiros salvem e reapliquem facilmente as configurações que permitem o acesso do cliente menos privilegiado. Para obter mais informações e visualizar uma demonstração, consulte o assistente de configuração do Lighthouse GDAP.
Para o Microsoft 365 Lighthouse, o GDAP suporta as seguintes tarefas. Para obter mais informações sobre as permissões necessárias para acessar o Microsoft 365 Lighthouse, consulte Visão geral das permissões no Microsoft 365 Lighthouse.
Recurso
Atualmente suportado
Home Page
Incluído
Inquilinos
Incluído
Utilizadores
Incluído
Dispositivos
Incluído
Gestão de ameaças
Incluído
Bases de referência
Incluído
Windows 365
Incluído
Estado de funcionamento dos serviços
Incluído
Registos de auditoria
Incluído
Integração
Os clientes devem ter um relacionamento GDAP e revendedor indireto ou um relacionamento DAP para serem integrados.
As funções de controle de acesso baseado em função do Azure (Azure RBAC) com suporte incluem o seguinte:
Administrador de Autenticação
Administrador de conformidade
Administrador de Acesso Condicional
Administrador de dispositivos na nuvem
Administrador Global
Leitor Global
Administrador do Helpdesk
Administrador do Intune
Administrador de senha
Administrador de Autenticação Privilegiada
Administrador de Segurança
Operador de Segurança
Leitor de Segurança
Administrador de Suporte de Serviços
Administrador de Utilizadores
Windows 365
Para o Windows 365, o GDAP suporta as seguintes tarefas.
Recurso
Atualmente suportado
PC na nuvem
Listar Cloud PCs, Get Cloud PC, Reprovisionar Cloud PC, Terminar período de carência, Reprovisionar ação remota Cloud PC, Reprovisionar ação remota Cloud PCs, Redimensionar Cloud PCs ação remota, Obter resultados de ação remota Cloud PC
Imagem do dispositivo Cloud PC
Listar imagens de dispositivo, Obter imagem de dispositivo, Criar imagem de dispositivo, Excluir imagem de dispositivo, Obter imagem de origem, Recarregar imagem de dispositivo
Conexão de rede local do Cloud PC
Listar conexão local, Obter conexão local, Criar conexão local, Atualizar conexão local, Excluir conexão local, Executar verificações de integridade, Atualizar senha de domínio do AD
Política de provisionamento de Cloud PC
Listar políticas de provisionamento, Obter política de provisionamento, Criar política de provisionamento, Atualizar política de provisionamento, Excluir política de provisionamento, Atribuir política de provisionamento
Evento de auditoria do Cloud PC
Listar eventos de auditoria, Obter evento de auditoria, Obter tipos de atividade de auditoria
Configuração do usuário do Cloud PC
Listar configurações do usuário, Obter configuração do usuário, Criar configuração do usuário, Atualizar configuração do usuário, Excluir configuração do usuário, Atribuir
Região suportada pelo Cloud PC
Listar regiões suportadas
Planos de serviço de PC na nuvem
Listar planos de serviço
As funções RBAC do Azure com suporte incluem o seguinte:
Administrador Global
Administrador do Intune
Administrador de Segurança
Operador de Segurança
Leitor de Segurança
Leitor Global
(Em verificação) Administrador do Windows 365
Recursos não suportados para visualização:
N/A
Centro de administração do Teams
Para o centro de administração do Teams, o GDAP suporta as seguintes tarefas.
Recurso
Atualmente suportado
Utilizadores
Atribuir políticas, Configurações de voz, Chamadas de saída, Configurações de recebimento de chamadas em grupo, Configurações de delegação de chamadas, Números de telefone, Configurações de conferência
Teams
Políticas do Teams, Políticas de atualização
Dispositivos
Telefones IP, Salas do Teams, Barras de colaboração, Monitores do Teams, Painéis do Teams
Localizações
Rótulos de relatórios, endereços de emergência, topologia de rede, redes e locais
Reuniões
Pontes de conferência, Políticas de reunião, Configurações de reunião, Políticas de eventos ao vivo, Configurações de eventos ao vivo
Políticas de mensagens
Políticas de mensagens
Voz
Políticas de emergência, Planos de discagem, Planos de roteamento de voz, Filas de chamadas, Atendedores automáticos, Políticas de estacionamento de chamadas, Políticas de chamadas, Políticas de identificação de chamadas, Números de telefone, Roteamento direto
Análises e relatórios
Relatórios de utilização
Configurações em toda a organização
Acesso externo, Acesso de convidado, Configurações do Teams, Atualização do Teams, Feriados, Contas de recursos
Planeamento
Planejador de rede
Módulo do PowerShell do Teams
Todos os cmdlets do PowerShell do módulo Teams PowerShell (disponível no módulo Teams PowerShell - versão 3.2.0 Preview)
As funções RBAC suportadas incluem o seguinte:
Administrador de Equipas
Administrador Global
Administrador de Comunicações do Teams
Engenheiro de Suporte de Comunicação de Equipes
Especialista em Suporte de Comunicação de Equipes
Administrador de dispositivos do Teams
Leitor Global
Os recursos sem suporte para acesso GDAP incluem o seguinte:
Gerenciar equipes
Modelos de equipa
Aplicações Teams
Pacotes de políticas
Conselheiro de equipas
Painel de Qualidade de Chamadas
Microsoft Defender XDR
O Microsoft Defender XDR é um pacote unificado de defesa empresarial pré e pós-violação. Ele coordena nativamente a deteção, prevenção, investigação e resposta entre endpoints, identidades, e-mail e aplicativos para fornecer proteção integrada contra ataques sofisticados.
O portal Microsoft Defender também é a casa de outros produtos na pilha de segurança do Microsoft 365, como o Microsoft Defender for Endpoint e o Microsoft Defender for Office 365.
A documentação de todos os recursos e produtos de segurança está disponível no portal do Microsoft Defender:
A seguir estão os recursos que estão disponíveis para locatários que acessam o portal do Microsoft Defender usando um token GDAP.
Tipo de recurso
Atualmente suportado
Recursos do Microsoft Defender XDR
Todos os recursos do Microsoft Defender XDR (conforme listado na documentação vinculada anteriormente): Incidentes, Caça avançada, Central de Ação, Análise de ameaças, Conexão das seguintes cargas de trabalho de segurança ao Microsoft Defender XDR: Microsoft Defender for Endpoint, Microsoft Defender for Identity, Microsoft Defender for Cloud Apps
Recursos do Microsoft Defender for Endpoint
Todos os recursos do Microsoft Defender for Endpoint listados na documentação vinculada anteriormente, consulte os detalhes por SKU P1 / SMB na tabela .
Nem todas as funções são aplicáveis a todos os produtos de segurança. Para obter informações sobre quais funções são suportadas em um produto específico, consulte a documentação do produto.
Recursos MDE suportados no portal do Microsoft Defender por SKU
Recursos de endpoint por SKU
Microsoft Defender para Empresas
Plano 1 do Microsoft Defender for Endpoint
Plano 2 do Microsoft Defender for Endpoint
Gestão centralizada
X
X
X
Configuração simplificada do cliente
X
Gestão de ameaças e vulnerabilidades
X
X
Redução da superfície de ataque
X
X
X
Proteção de última geração
X
X
X
Deteção e resposta de pontos finais
X
X
Investigação e resposta automatizadas
X
X
Caça a ameaças e retenção de dados por seis meses
X
Análise de ameaças
X
X
Suporte multiplataforma para Windows, MacOS, iOS e Android
X
X
X
Especialistas em ameaças da Microsoft
X
APIs de parceiros
X
X
X
Microsoft 365 Lighthouse para visualizar incidentes de segurança entre clientes
X
Power BI
Para a carga de trabalho do Power BI, o GDAP dá suporte às seguintes tarefas.
Nem todas as tarefas não administrativas têm a garantia de funcionar
"Conexões do Azure" no Portal de administração
SharePoint
Para o SharePoint, o GDAP suporta as seguintes tarefas.
Tipo de recurso
Atualmente suportado
Home page
Os cartões são renderizados, mas os dados podem não ser renderizados
Gestão de Sites – Ative Sites
Criar sites: Site de equipa, Site de comunicação, Atribuir/alterar proprietário do site, Atribuir etiqueta de sensibilidade ao site (se configurado no Microsoft Entra ID) durante a criação do site, Alterar etiqueta de sensibilidade do site, Atribuir definições de privacidade ao site (se não estiver predefinido com uma etiqueta de sensibilidade), Adicionar/remover membros a um site, Editar definições de partilha externa do site, Editar nome do site, Editar URL do site, Ver atividade do site, Editar limite de armazenamento, Eliminar um site, Alterar vistas incorporadas de sites, Exportar lista de sites para ficheiro CSV, Guardar vistas personalizadas de sites, Associar site a um Hub, Registar site como Hub
Gestão de Sites – Ative Sites
Crie outros sites: Centro de Documentos, Wiki Empresarial, Portal de Publicação, Centro de Conteúdo
Gestão de Sites – Sites Eliminados
Restaurar site, Excluir permanentemente site (exceto para sites de equipe conectados a grupos do Microsoft 365)
Políticas – Partilha
Definir políticas de Compartilhamento Externo para SharePoint e OneDrive for Business, Alterar "Mais configurações de compartilhamento externo", Definir políticas para links de Arquivos e Pastas, Alterar "Outras configurações" para compartilhamento
Controlo de acesso
Definir/alterar política de dispositivo não gerenciado, Definir/alterar políticas de linha do tempo de sessões ociosas, Definir/alterar política de local de rede (separado da política de IP do Microsoft Entra, Definir/alterar política de autenticação moderna, Definir/alterar acesso ao OneDrive
Definições
SharePoint - Home site, SharePoint - Notificações, SharePoint - Páginas, SharePoint - Criação de sites, SharePoint - Limites de armazenamento do site, OneDrive - Notificações, OneDrive - Retenção, OneDrive - Limite de armazenamento, OneDrive - Sincronização
PowerShell
Para conectar um locatário do cliente como administrador do GDAP, use um ponto de extremidade de autorização do locatário (com o ID do locatário do cliente) no parâmetro AuthenticanUrl em vez do ponto de extremidade comum padrão. Por exemplo, Connect-SPOService -Url https://contoso-admin.sharepoing.com -AuthenticationUrl https://login.microsoftonline.com/<tenantID>/oauth2/authorize.
As funções no escopo incluem o seguinte:
Administrador do SharePoint
Administrador Global
Leitor Global
As propriedades do Centro de Administração do SharePoint fora do escopo incluem o seguinte:
Todos os recursos/funcionalidades/modelos do Classic Admin estão fora do escopo e não é garantido que funcionem corretamente
Observação: para qualquer função GDAP suportada pelo Centro de Administração do SharePoint, os parceiros não podem editar arquivos e permissões em arquivos e pastas no site do SharePoint do cliente. Era um risco de segurança para os clientes e agora é abordado.
Dynamics 365 e Power Platform
Para a plataforma Power e os aplicativos Dynamics 365 Customer Engagement (Vendas, Serviço), o GDAP oferece suporte às seguintes tarefas.
Tipo de recurso
Atualmente suportado
Tarefas do administrador
- Todos os itens de menu no centro de administração da Power Platform
As funções suportadas do Microsoft Entra no escopo incluem o seguinte:
Administrador de plataforma de energia
Administrador global
Administrador do Helpdesk (para Ajuda + Suporte)
Administrador de Suporte de Serviço (para Ajuda + Suporte)
Para o Dynamics 365 Business Central, o GDAP suporta as seguintes tarefas.
Tipo de recurso
Atualmente suportado
Tarefas do administrador
Todas as tarefas*
* Algumas tarefas exigem permissões atribuídas ao usuário administrador no ambiente do Dynamics 365 Business Central. Consulte a documentação disponível.
As funções suportadas do Microsoft Entra no escopo incluem o seguinte:
Administrador do Dynamics 365
Administrador global
Administrador de Help Desk
Propriedades fora do escopo:
Nenhuma
Serviços de ciclo de vida do Dynamics
Para o Dynamics Lifecycle Services, o GDAP suporta as seguintes tarefas.
Tipo de recurso
Atualmente suportado
Tarefas do administrador
Todas as tarefas
As funções suportadas do Microsoft Entra no escopo incluem o seguinte:
Administrador do Dynamics 365
Administrador global
Propriedades fora do escopo:
Nenhuma
Intune (Endpoint Manager)
Funções do Microsoft Entra suportadas no escopo:
Administrador do Intune
Administrador Global
Leitor Global
Leitor de Relatórios
Leitor de segurança
Administrador de conformidade
Administrador de Segurança
Para verificar o nível de acesso para as funções acima, consulte a documentação do RBAC do Intune.
O suporte para o Intune não inclui o uso do GDAP ao registrar servidores para o Microsoft Tunnel ou para configurar ou instalar qualquer um dos conectores para o Intune. Exemplos de conectores do Intune incluem, mas não estão limitados a, o Conector do Intune para Ative Directory, o conector de defesa contra ameaças móveis e o conector do Microsoft Defender para Ponto de Extremidade.
Problema conhecido: quando os parceiros acedem a políticas em aplicações do Office, é exibida a mensagem "Não foi possível recuperar dados para 'OfficeSettingsContainer'." Use guid para relatar esse problema à Microsoft."
Portal do Azure
Funções do Microsoft Entra no escopo:
Qualquer função do Microsoft Entra, como Leitores de Diretório (função menos privilegiada) para acessar a assinatura do Azure como proprietário
Orientação da função GDAP:
Parceiro e cliente devem ter relação de revendedor
O parceiro deve criar um grupo de segurança (por exemplo, Gerentes do Azure) para gerenciar o Azure e aninha-lo em Agentes de Administração para particionamento de acesso por cliente, conforme a prática recomendada recomendada.
Quando o parceiro compra o plano do Azure para o cliente, a assinatura do Azure é provisionada e o grupo Agentes Administradores recebe o RBAC do Azure como proprietário na assinatura do Azure
Como o grupo de segurança Gerentes do Azure é membro do grupo Agentes de Administração, os usuários que são membros dos Gerentes do Azure se tornam o proprietário do RBAC de assinatura do Azure
Para acessar a assinatura do Azure como proprietário do cliente, qualquer função do Microsoft Entra, como Leitores de Diretório (função menos privilegiada), deve ser atribuída ao grupo de segurança Gerentes do Azure
Orientação GDAP alternativa do Azure (sem usar o Admin Agent)
Pré-requisitos:
Parceiro e cliente têm uma relação de Revendedor .
O parceiro cria um grupo de segurança para gerir o Azure e é aninhado no grupo de HelpDeskAgents para o particionamento de acesso de cliente, como é uma prática recomendada.
O parceiro compra um plano do Azure para o cliente. A assinatura do Azure é provisionada e o parceiro atribuído ao grupo Agentes de Administração RBAC do Azure como proprietário na assinatura do Azure, mas nenhuma atribuição de função RBAC é feita para Agentes de Helpdesk.
Etapas de administração do parceiro:
O administrador do parceiro na assinatura executa os seguintes scripts usando o PowerShell para criar o Helpdesk FPO na assinatura do Azure.
Conecte-se ao locatário parceiro para obter o object ID do grupo HelpDeskAgents.
Connect-AzAccount -Tenant "Partner tenant"
# Get Object ID of HelpDeskAgents group
Get-AzADGroup -DisplayName HelpDeskAgents
Confirme que o cliente tem:
A função de proprietário ou administrador de acesso de utilizador
Permissões para criar atribuições de funções ao nível da subscrição
Passos do cliente:
Para concluir o processo, seu cliente deve executar as etapas a seguir, usando o PowerShell ou a CLI do Azure.
Se estiver usando o PowerShell, o cliente precisará atualizar o Az.Resources módulo.
Update-Module Az.Resources
Conecte-se ao locatário no qual a assinatura CSP existe.
Connect-AzAccount -TenantID "<Customer tenant>"
az login --tenant <Customer tenant>
Conecte-se à assinatura.
Nota
Isso só é aplicável se o usuário tiver permissões de atribuição de função em várias assinaturas no locatário.
az account set --subscription <CSP Subscription ID>
Crie a atribuição de função.
New-AzRoleAssignment -ObjectID "<Object ID of the HelpDeskAgents group from step above>" -RoleDefinitionName "Owner" -Scope "/subscriptions/'<CSP subscription ID>'"
az role assignment create --role "Owner" --assignee-object-id <Object ID of the HelpDeskAgents group from step above> --scope "/subscriptions/<CSP Subscription Id>"
Visual Studio
Funções do Microsoft Entra no escopo:
Qualquer função do Microsoft Entra, como Leitores de Diretório (função menos privilegiada) para acessar a assinatura do Azure como proprietário
Orientação da função GDAP aos parceiros:
Pré-requisitos:
O parceiro e o cliente devem ter uma relação de revendedor
O parceiro deve comprar a assinatura do Azure para o cliente
O parceiro deve criar um grupo de segurança (por exemplo, gerentes do Visual Studio) para comprar e gerenciar assinaturas do Visual Studio e aninha-lo em Agentes de Administração para particionamento de acesso por cliente, conforme a prática recomendada recomendada.
A função GDAP para comprar e gerenciar o Visual Studio é a mesma do Azure GDAP.
O Grupo de Segurança de gerentes do Visual Studio deve receber qualquer função do Microsoft Entra, como Leitores de Diretório (função menos privilegiada) para acessar a assinatura do Azure como proprietário
Os utilizadores que fazem parte do grupo de segurança de gestores do Visual Studio podem comprar subscrição do Visual Studio no Marketplacehttps://marketplace.visualstudio.com (devido a ser um membro aninhado dos Agentes de Administração, os utilizadores têm acesso à subscrição do Azure)
Os usuários que fazem parte do grupo de segurança de gerentes do Visual Studio podem alterar a quantidade de assinaturas do Visual Studio
Os usuários que fazem parte do grupo de segurança de gerentes do Visual Studio podem cancelar a assinatura do Visual Studio (alterando a quantidade para zero)
Os usuários que fazem parte do grupo de segurança de gerentes do Visual Studio podem adicionar assinante para gerenciar assinaturas do Visual Studio (por exemplo, procurar diretório de clientes e adicionar atribuição de função do Visual Studio como assinante)
Propriedades do Visual Studio fora do escopo:
Nenhuma
Por que não vejo alguns links DAP AOBO na página de gerenciamento de serviços GDAP?
DAP AOBO links
Motivo pelo qual ele está faltando na página GDAP Service Management
A Proteção Avançada contra Ameaças do Windows Defender foi desativada. Os parceiros são aconselhados a mudar para o Microsoft Defender XDR, que suporta GDAP.
Planeje e projete sua metodologia de projeto para implementar com êxito aplicativos de finanças e operações com serviços do Microsoft FastTrack, gerenciamento de dados e muito mais.
Demonstrar os recursos do Microsoft Entra ID para modernizar as soluções de identidade, implementar soluções híbridas e implementar a governança de identidade.
