Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Базовое управление правами предоставляет существующим клиентам Microsoft Defender для конечной точки два уровня доступа к порталу: полный доступ или доступ только для чтения. Используйте Microsoft Graph PowerShell для назначения роли администратора безопасности для полного доступа или роли Security Reader для доступа только для чтения. Для более детальных разрешений используйте управление доступом на основе ролей.
Important
Начиная с 16 февраля 2025 года, новые клиенты Defender for Endpoint могут использовать только унифицированный ролевой контроль доступа Microsoft Defender (RBAC). Существующие клиенты могут продолжать использовать свою текущую модель разрешений. Дополнительные сведения см. в статье Унифицированная модель RBAC в Microsoft Defender.
Необходимые условия
Выполните следующие требования перед назначением доступа пользователя:
- Убедитесь, что ваша организация всё ещё использует базовое управление правами. Если ваша организация перешла на RBAC, вы не сможете вернуться к базовым правам.
- Установите Microsoft Graph PowerShell.
- Используйте учетную запись, назначенную на роль администратора привилегированной роли, или пользовательскую роль с необходимыми правами на управление ролями. Администратор привилегированной роли — это наименее привилегированная встроенная роль Microsoft Entra, поддерживаемая для этой операции.
- Подключитесь к Microsoft Graph, используя Connect-MgGraph с делегированными
RoleManagement.ReadWrite.DirectoryиUser.ReadBasic.Allправами. Для вариантов аутентификации см. команды аутентификации Microsoft Graph PowerShell.
Вам не нужно запускать PowerShell как локальный администратор Windows, чтобы назначать роли Microsoft Entra через Microsoft Graph.
Понимайте базовые уровни доступа
Базовое управление правами предоставляет следующие уровни доступа:
- Полный доступ: пользователи могут войти, просматривать системную информацию, разрешать оповещения, отправлять файлы для глубокого анализа и скачать пакет адаптации. Назначайте роль администратора безопасности Microsoft Entra для предоставления полного доступа.
- Доступ только для чтения: пользователи могут войти в систему и просматривать уведомления и сопутствующую информацию. Они не могут менять состояния оповещения, отправлять файлы для глубокого анализа или выполнять другие операции по изменению состояния. Назначьте роль Microsoft Entra Security Reader для предоставления доступа только для чтения.
Назначение доступа пользователей с помощью Microsoft Graph PowerShell
Назначьте соответствующую роль Microsoft Entra каждому пользователю, которому нужен доступ к Defender for Endpoint.
Примечание.
В следующих примерах используется directoryRole API членства. Microsoft рекомендует использовать унифицированный API назначения ролей для новой автоматизации.
Get-MgDirectoryRole возвращает только активированные роли в каталоге. Если команда не возвращает запрошенную роль, назначьте роль Microsoft Entra в административном центре или используйте единый API назначения ролей.
Предоставить полный доступ
Замените secadmin@contoso.onmicrosoft.com на основное имя пользователя аккаунта, требующего полного доступа, и выполните следующую команду:
New-MgDirectoryRoleMemberByRef -DirectoryRoleId (Get-MgDirectoryRole -Filter "DisplayName eq 'Security Administrator'").Id -OdataId "https://graph.microsoft.com/v1.0/directoryObjects/$((Get-MgUser -UserId 'secadmin@contoso.onmicrosoft.com').Id)"
Назначение доступа только для чтения
Замените reader@contoso.onmicrosoft.com на основное имя пользователя аккаунта, требующего доступа только для чтения, и выполните следующую команду:
New-MgDirectoryRoleMemberByRef -DirectoryRoleId (Get-MgDirectoryRole -Filter "DisplayName eq 'Security Reader'").Id -OdataId "https://graph.microsoft.com/v1.0/directoryObjects/$((Get-MgUser -UserId 'reader@contoso.onmicrosoft.com').Id)"