Привилегированные роли и разрешения в идентификаторе Microsoft Entra (предварительная версия)

Внимание

Метка для привилегированных ролей и разрешений в настоящее время находится в предварительной версии. Юридические условия, применимые к функциям Azure, которые находятся в состоянии бета-версии, предварительной версии или иным образом еще не выпущены в общедоступной версии, см. на странице Дополнительные условия использования предварительных версий в Microsoft Azure.

Идентификатор Microsoft Entra имеет роли и разрешения, которые определяются как привилегированные. Эти роли и разрешения можно использовать для делегирования управления ресурсами каталога другим пользователям, изменения учетных данных, политик проверки подлинности или авторизации или доступа к данным с ограниченным доступом. Назначения привилегированных ролей могут привести к повышению привилегий, если они не используются безопасным и предполагаемым образом. В этой статье описаны привилегированные роли и разрешения и рекомендации по использованию.

Какие роли и разрешения привилегированны?

Список привилегированных ролей и разрешений см. в статье о встроенных ролях Microsoft Entra. Вы также можете использовать центр администрирования Microsoft Entra, Microsoft Graph PowerShell или API Microsoft Graph для идентификации ролей, разрешений и назначений ролей, которые идентифицируются как привилегированные.

Центр администрирования

В Центре администрирования Microsoft Entra найдите метку PRIVILEGED .

На странице "Роли и администраторы" привилегированные роли определяются в столбце "Привилегированные". В столбце "Назначения" перечислены количество назначений ролей. Вы также можете фильтровать привилегированные роли.

При просмотре разрешений для привилегированной роли вы увидите, какие разрешения являются привилегированными. Если вы просматриваете разрешения как пользователя по умолчанию, вы не сможете увидеть, какие разрешения являются привилегированными.

При создании настраиваемой роли вы увидите, какие разрешения привилегированны, а пользовательская роль будет помечена как привилегированная.

PowerShell

В Microsoft Graph PowerShell проверка, имеет ли IsPrivileged свойство значение True.

Чтобы получить список привилегированных ролей, используйте команду Get-MgBetaRoleManagementDirectoryRoleDefinition .

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can manage all aspects of Azure AD and Microsoft services that use Azure AD identities.
DisplayName             : Global Administrator
Id                      : 62e90394-69f5-4237-9190-012177145e10
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 62e90394-69f5-4237-9190-012177145e10
Version                 : 1
AdditionalProperties    : {[inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$metadata#roleManag
                          ement/directory/roleDefinitions('62e90394-69f5-4237-9190-012177145e10')/inheritsPermissionsFr
                          om]}

AllowedPrincipalTypes   :
Description             : Can manage all aspects of users and groups, including resetting passwords for limited admins.
DisplayName             : User Administrator
Id                      : fe930be7-5e62-47db-91af-98c3a49a38b1
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : fe930be7-5e62-47db-91af-98c3a49a38b1
Version                 : 1
AdditionalProperties    : {[inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$metadata#roleManag
                          ement/directory/roleDefinitions('fe930be7-5e62-47db-91af-98c3a49a38b1')/inheritsPermissionsFr
                          om]}

...

Чтобы получить список привилегированных разрешений, используйте команду Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction .

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

Чтобы получить список назначений привилегированных ролей, используйте команду Get-MgBetaRoleManagementDirectoryRoleAssignment .

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

API Graph

В API Microsoft Graph проверка, имеет ли isPrivileged свойство значение true.

Чтобы получить список привилегированных ролей, используйте API List roleDefinitions .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

Чтобы получить список привилегированных разрешений, используйте API List resourceActions .

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Чтобы перечислить назначения привилегированных ролей, используйте API List unifiedRoleAssignments .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Рекомендации по использованию привилегированных ролей

Ниже приведены некоторые рекомендации по использованию привилегированных ролей.

• Применение принципа наименьших привилегий
• Использование управления привилегированными пользователями для предоставления JIT-доступа
• Включение многофакторной проверки подлинности для всех учетных записей администратора
• Настройка повторяющихся проверок доступа для отмены ненужных разрешений с течением времени
• Ограничение числа глобальных Администратор istratorов меньше 5
• Ограничение числа назначений привилегированных ролей меньше 10

Дополнительные сведения см. в рекомендациях по ролям Microsoft Entra.

Привилегированные разрешения и защищенные действия

Привилегированные разрешения и защищенные действия — это возможности, связанные с безопасностью, которые имеют разные цели. Разрешения с меткой PRIVILEGED помогают определить разрешения, которые могут привести к повышению привилегий, если они не используются в безопасном и предполагаемом порядке. Защищенные действия — это разрешения ролей, назначенные политиками условного доступа для дополнительной безопасности, например требование многофакторной проверки подлинности. Требования условного доступа применяются, когда пользователь выполняет защищенное действие. Защищенные действия в настоящее время находятся в предварительной версии. Дополнительные сведения см. в статье "Что такое защищенные действия в идентификаторе Microsoft Entra ID?".

Возможность	Привилегированное разрешение	Защищенное действие
Определение разрешений, которые следует использовать в безопасном режиме	✅
Требовать дополнительную безопасность для выполнения действия		✅

Терминология

Чтобы понять привилегированные роли и разрешения в идентификаторе Microsoft Entra ID, он помогает узнать некоторые из следующих терминов.

Термин	Определение
действие	Действие субъекта безопасности может выполняться с типом объекта. Иногда называется операцией.
permission	Определение, указывающее действие, которое субъект безопасности может выполнять в типе объекта. Разрешение включает одно или несколько действий.
привилегированное разрешение	В идентификаторе Microsoft Entra разрешения, которые можно использовать для делегирования управления ресурсами каталога другим пользователям, изменения учетных данных, проверки подлинности или политик авторизации или доступа к данным с ограниченным доступом.
привилегированная роль	Встроенная или настраиваемая роль с одним или несколькими привилегированными разрешениями.
Назначение привилегированных ролей	Назначение роли, использующее привилегированную роль.
повышение привилегий	Когда субъект безопасности получает больше разрешений, чем назначенная им роль изначально предоставляется путем олицетворения другой роли.
защищенное действие	Разрешения с условным доступом, примененные для добавленной безопасности.

Общие сведения о разрешениях ролей

Схема для разрешений не точно соответствует формату REST для Microsoft Graph:

<namespace>/<entity>/<propertySet>/<action>

Например:

microsoft.directory/applications/credentials/update

Элемент разрешения	Description
пространство имен	Продукт или служба, которые предоставляют задачу и которым предшествует microsoft. Например, все задачи в идентификаторе Microsoft Entra используют microsoft.directory пространство имен.
Сущность	Логическая функция или компонент, предоставляемый службой в Microsoft Graph. Например, идентификатор Microsoft Entra предоставляет пользователей и группы, OneNote предоставляет заметки, а Exchange предоставляет почтовые ящики и календари. Для указания всех сущностей в пространстве имен существует специальное ключевое слово allEntities. Это часто используется в ролях, которые предоставляют доступ ко всему продукту.
propertySet	Конкретные свойства или аспекты сущности, для которой предоставляется доступ. Например, microsoft.directory/applications/authentication/read предоставляет возможность считывать URL-адрес ответа, URL-адрес выхода и неявное свойство потока в объекте приложения в идентификаторе Microsoft Entra. allProperties обозначает все свойства сущности, включая привилегированные свойства. standard обозначает общие свойства, за исключением привилегированных, связанных с действием read. Например, microsoft.directory/user/standard/read включает возможность чтения стандартных свойств, таких как общедоступный номер телефона и адрес электронной почты, но не позволяет считать частный дополнительный номер телефона или адрес электронной почты, используемый для многофакторной проверки подлинности. basic обозначает общие свойства, за исключением привилегированных, связанных с действием update. Набор свойств, которые можно читать, может отличаться от того, который можно обновить. Вот почему предусмотрено два ключевых слова: standard и basic.
действие	Как правило, предоставляется разрешение на такие операции, как создание, чтение, обновление или удаление (CRUD). Для указания всех перечисленных выше возможностей (создание, чтение, обновление и удаление) существует специальное ключевое слово allTasks.

Сравнение ролей проверки подлинности

В следующей таблице сравниваются возможности ролей, связанных с проверкой подлинности.

Должность	Управление методами проверки подлинности пользователя	Управление MFA для каждого пользователя	Управление параметрами MFA	Управление политикой выбора метода проверки подлинности	Управление политикой защиты паролем	Обновление конфиденциальных свойств	Удаление и восстановление пользователей
Администратор проверки подлинности	Да для некоторых пользователей	Да для некоторых пользователей	Нет	No	Нет	Да для некоторых пользователей	Да для некоторых пользователей
Привилегированный администратор проверки подлинности	Да для всех пользователей	Да для всех пользователей	Нет	No	Нет	Да для всех пользователей	Да для всех пользователей
Политика проверки подлинности Администратор istrator	Нет	No	Да	Да	Да	No	Нет
Администратор пользователей	Нет	No	No	No	Нет	Да для некоторых пользователей	Да для некоторых пользователей

Кто может сбрасывать пароли

В следующей таблице столбцы перечислены роли, которые могут сбрасывать пароли и недействительными маркерами обновления. Строки содержат роли, для которых можно сбросить пароль. Например, пароль Администратор istrator может сбросить пароль для читателей каталогов, гостевого приглашения, пароля Администратор istrator и пользователей без роли администратора. Если пользователю назначена любая другая роль, пароль Администратор istrator не может сбросить пароль.

Следующая таблица предназначена для ролей, назначенных в области клиента. Для ролей, назначенных в области административной единицы, применяются дополнительные ограничения.

Роль, для которой можно сбросить пароль	Администратор паролей	Администратор службы поддержки	Администратор проверки подлинности	Администратор пользователей	Привилегированный администратор проверки подлинности	глобальный администратор.
Администратор проверки подлинности			✅		✅	✅
Читатели каталогов	✅	✅	✅	✅	✅	✅
глобальный администратор.					✅	✅*
Администратор групп				✅	✅	✅
Приглашающий гостей	✅	✅	✅	✅	✅	✅
Администратор службы поддержки		✅		✅	✅	✅
Читатель центра сообщений		✅	✅	✅	✅	✅
Администратор паролей	✅	✅	✅	✅	✅	✅
Привилегированный администратор проверки подлинности					✅	✅
Администратор привилегированными ролями					✅	✅
Читатель отчетов		✅	✅	✅	✅	✅
User (без роли администратора)	✅	✅	✅	✅	✅	✅
User (нет роли администратора, но члена или владельца группы, назначаемой ролью)					✅	✅
Пользователь с ролью, область в административной единице ограниченного управления					✅	✅
Администратор пользователей				✅	✅	✅
Средство чтения сводки об использовании		✅	✅	✅	✅	✅
Все пользовательские роли					✅	✅

Внимание

Роль поддержки уровня 2 партнеров может сбрасывать пароли и недопустимые маркеры обновления для всех неадминистраторов и администраторов (включая глобальные Администратор istrators). Роль поддержки уровня 1 партнера может сбрасывать пароли и отменять маркеры обновления только для неадминистраторов. Эти роли не следует использовать, так как они устарели.

Возможность сброса пароля включает возможность обновления следующих конфиденциальных свойств, необходимых для самостоятельного сброса пароля:

• businessPhones
• mobilePhone
• otherMails

Кто может выполнять конфиденциальные действия

Некоторые администраторы могут выполнять следующие конфиденциальные действия для некоторых пользователей. Все пользователи могут считывать конфиденциальные свойства.

Конфиденциальное действие	Имя конфиденциального свойства
Отключение или включение пользователей	accountEnabled
Обновление бизнес-телефона	businessPhones
Обновление мобильного телефона	mobilePhone
Обновление локального неизменяемого идентификатора	onPremisesImmutableId
Обновление других сообщений электронной почты	otherMails
Обновление профиля пароля	passwordProfile
Обновление имени субъекта-пользователя	userPrincipalName
Удаление или восстановление пользователей	Нет данных

В следующей таблице столбцы перечисляют роли, которые могут выполнять конфиденциальные действия. Строки перечисляют роли, для которых можно выполнить конфиденциальное действие.

Следующая таблица предназначена для ролей, назначенных в области клиента. Для ролей, назначенных в области административной единицы, применяются дополнительные ограничения.

Роль, на которую можно выполнить конфиденциальное действие	Администратор проверки подлинности	Администратор пользователей	Привилегированный администратор проверки подлинности	глобальный администратор.
Администратор проверки подлинности	✅		✅	✅
Читатели каталогов	✅	✅	✅	✅
глобальный администратор.			✅	✅
Администратор групп		✅	✅	✅
Приглашающий гостей	✅	✅	✅	✅
Администратор службы поддержки		✅	✅	✅
Читатель центра сообщений	✅	✅	✅	✅
Администратор паролей	✅	✅	✅	✅
Привилегированный администратор проверки подлинности			✅	✅
Администратор привилегированными ролями			✅	✅
Читатель отчетов	✅	✅	✅	✅
User (без роли администратора)	✅	✅	✅	✅
User (нет роли администратора, но члена или владельца группы, назначаемой ролью)			✅	✅
Пользователь с ролью, область в административной единице ограниченного управления			✅	✅
Администратор пользователей		✅	✅	✅
Средство чтения сводки об использовании	✅	✅	✅	✅
Все пользовательские роли			✅	✅

Следующие шаги

• Рекомендации по ролям Microsoft Entra
• Встроенные роли Microsoft Entra