Microsoft Entra Id'de ayrıcalıklı roller ve izinler (önizleme)

Önemli

Ayrıcalıklı roller ve izinler için etiket şu anda ÖNİzLEME aşamasındadır. Beta veya önizleme aşamasında olan ya da başka bir şekilde henüz genel kullanıma sunulmamış olan Azure özelliklerinde geçerli olan yasal koşullar için bkz. Microsoft Azure Önizlemeleri için Ek Kullanım Koşulları.

Microsoft Entra Id, ayrıcalıklı olarak tanımlanan rollere ve izinlere sahiptir. Bu roller ve izinler, dizin kaynaklarının yönetimini diğer kullanıcılara devretmek, kimlik bilgilerini, kimlik doğrulama veya yetkilendirme ilkelerini değiştirmek ya da kısıtlanmış verilere erişmek için kullanılabilir. Ayrıcalıklı rol atamaları, güvenli ve hedeflenen bir şekilde kullanılmazsa ayrıcalıkların yükseltilmesine yol açabilir. Bu makalede ayrıcalıklı roller, izinler ve nasıl kullanılacağına yönelik en iyi yöntemler açıklanmaktadır.

Hangi roller ve izinler ayrıcalıklıdır?

Ayrıcalıklı rollerin ve izinlerin listesi için Microsoft Entra yerleşik rolleri bkz. Ayrıca ayrıcalıklı olarak tanımlanan rolleri, izinleri ve rol atamalarını belirlemek için Microsoft Entra yönetim merkezini, Microsoft Graph PowerShell'i veya Microsoft Graph API'sini de kullanabilirsiniz.

Yönetim merkezi

Microsoft Entra yönetim merkezinde PRIVILEGED etiketini bulun.

Roller ve yöneticiler sayfasında, Ayrıcalıklı sütununda ayrıcalıklı roller tanımlanır. Atamalar sütununda rol atamalarının sayısı listelenir. Ayrıca ayrıcalıklı rolleri filtreleyebilirsiniz.

Ayrıcalıklı bir rolün izinlerini görüntülediğinizde, hangi izinlerin ayrıcalıklı olduğunu görebilirsiniz. İzinleri varsayılan kullanıcı olarak görüntülerseniz, hangi izinlerin ayrıcalıklı olduğunu göremezsiniz.

Özel bir rol oluşturduğunuzda, hangi izinlerin ayrıcalıklı olduğunu ve özel rolün ayrıcalıklı olarak etiketlendiğini görebilirsiniz.

PowerShell

Microsoft Graph PowerShell'de IsPrivileged özelliğinin True olarak ayarlanıp ayarlanmadığını kontrol edin.

Ayrıcalıklı rolleri listelemek için Get-MgBetaRoleManagementDirectoryRoleDefinition komutunu kullanın.

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can create and manage all aspects of app registrations and enterprise apps.
DisplayName             : Application Administrator
Id                      : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users in this role can
                          add, manage, and configureenterprise applications, app registrations and manage on-premises
                          like app proxy.], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$m
                          etadata#roleManagement/directory/roleDefinitions('9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3')/inhe
                          ritsPermissionsFrom]}


AllowedPrincipalTypes   :
Description             : Can reset passwords for non-administrators and Helpdesk Administrators.
DisplayName             : Helpdesk Administrator
Id                      : 729827e3-9c14-49f7-bb1b-9608f156bbb8
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 729827e3-9c14-49f7-bb1b-9608f156bbb8
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users with this role
                          can change passwords, invalidate refresh tokens, manage service requests, and monitor
                          service health. Invalidating a refresh token forces the user to sign in again. Helpdesk
                          administrators can reset passwords and invalidate refresh tokens of other users who are
                          non-administrators or assigned the following roles only:
                          * Directory Readers
                          * Guest Inviter
                          * Helpdesk Administrator
                          * Message Center Reader
                          * Password Administrator
                          * Reports Reader], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$
                          metadata#roleManagement/directory/roleDefinitions('729827e3-9c14-49f7-bb1b-9608f156bbb8')/inh
                          eritsPermissionsFrom]}

...

Ayrıcalıklı izinleri listelemek için Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction komutunu kullanın.

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

Ayrıcalıklı rol atamalarını listelemek için Get-MgBetaRoleManagementDirectoryRoleAssignment komutunu kullanın.

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

Graph API'si

Microsoft Graph API'sinde özelliğin olarak isPrivilegedayarlanıp ayarlanmadığını true denetleyin.

Ayrıcalıklı rolleri listelemek için List roleDefinitions API'sini kullanın.

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Yanıt

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

Ayrıcalıklı izinleri listelemek için List resourceActions API'sini kullanın.

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Yanıt

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Ayrıcalıklı rol atamalarını listelemek için UnifiedRoleAssignments API'sini kullanın.

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Yanıt

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Ayrıcalıklı rolleri kullanmaya yönelik en iyi yöntemler

Ayrıcalıklı rolleri kullanmaya yönelik bazı en iyi yöntemler aşağıdadır.

• En düşük ayrıcalık ilkesini uygulama
• Tam zamanında erişim vermek için Privileged Identity Management'ı kullanma
• Tüm yönetici hesaplarınız için çok faktörlü kimlik doğrulamasını açma
• Zaman içinde gereksiz izinleri iptal etmek için yinelenen erişim gözden geçirmelerini yapılandırma
• Genel Yönetici sayısını 5'ten azla sınırlayın
• Ayrıcalıklı rol atamalarının sayısını 10'dan azla sınırlayın

Daha fazla bilgi için Microsoft Entra rolleri için en iyi uygulamalar bölümüne bakın.

Ayrıcalıklı izinler ve korumalı eylemler karşılaştırması

Ayrıcalıklı izinler ve korumalı eylemler, farklı amaçlara sahip güvenlikle ilgili özelliklerdir. PRIVILEGED etiketine sahip izinler, güvenli ve amaçlanan bir şekilde kullanılmadığı takdirde ayrıcalıkların yükseltilmesine yol açabilecek izinleri belirlemenize yardımcı olur. Korumalı eylemler, çok faktörlü kimlik doğrulaması gerektirme gibi ek güvenlik için Koşullu Erişim ilkeleri atanmış rol izinleridir. Koşullu Erişim gereksinimleri, kullanıcı korumalı eylemi gerçekleştirdiğinde uygulanır. Korumalı eylemler şu anda Önizleme aşamasındadır. Daha fazla bilgi için bkz . Microsoft Entra Id'de korunan eylemler nelerdir?.

Yetkinlik	Ayrıcalıklı izin	Korumalı eylem
Güvenli bir şekilde kullanılması gereken izinleri belirleme	✅
Eylem gerçekleştirmek için ek güvenlik gerektir		✅

Terminoloji

Microsoft Entra Id'deki ayrıcalıklı rolleri ve izinleri anlamak için aşağıdaki terimlerden bazılarını bilmenize yardımcı olur.

Süre	Tanım
eylem	Güvenlik sorumlusu bir nesne türünde gerçekleştirebileceği bir etkinlik. Bazen işlem olarak da adlandırılır.
izin	Bir güvenlik sorumlusunun nesne türünde gerçekleştirebileceği etkinliği belirten bir tanım. İzin bir veya daha fazla eylem içerir.
ayrıcalıklı izin	Microsoft Entra Id'de, dizin kaynaklarının yönetimini diğer kullanıcılara devretmek, kimlik bilgilerini değiştirmek, kimlik doğrulaması veya yetkilendirme ilkelerini değiştirmek ya da kısıtlanmış verilere erişmek için kullanılabilecek izinler.
ayrıcalıklı rol	Bir veya daha fazla ayrıcalıklı izinlere sahip yerleşik veya özel bir rol.
ayrıcalıklı rol ataması	Ayrıcalıklı bir rol kullanan rol ataması.
ayrıcalıkların yükseltilmesi	Bir güvenlik sorumlusu başlangıçta başka bir rolün kimliğine bürünerek atanan rolünden daha fazla izin elde ettiğinde.
korumalı eylem	Ek güvenlik için Koşullu Erişim uygulanan izinler.

Rol izinlerini anlama

İzin şeması, Microsoft Graph'ın REST biçimini gevşek bir şekilde izler:

<namespace>/<entity>/<propertySet>/<action>

Örneğin:

microsoft.directory/applications/credentials/update

İzin öğesi	Açıklama
isim alanı	Görevi kullanıma sunan ve microsoft ile başlatılan ürün veya hizmet. Örneğin, Microsoft Entra Id içindeki tüm görevler ad alanını microsoft.directory kullanır.
varlık	Microsoft Graph'ta hizmet tarafından kullanıma sunulan mantıksal özellik veya bileşen. Örneğin, Microsoft Entra ID Kullanıcı ve Grupları, OneNote Notları ve Exchange de Posta Kutularını ve Takvimleri kullanıma sunar. Ad alanında tüm varlıkları belirtmek için özel allEntities bir anahtar sözcük vardır. Bu genellikle bir ürünün tamamına erişim izni veren rollerde kullanılır.
özellik kümesi	Erişim verilen varlığın belirli özellikleri veya yönleri. Örneğin, microsoft.directory/applications/authentication/read Microsoft Entra Id'deki uygulama nesnesinde yanıt URL'si, oturumu kapatma URL'si ve örtük akış özelliğini okuma olanağı verir. allProperties ayrıcalıklı özellikler de dahil olmak üzere varlığın tüm özelliklerini belirler. standard ortak özellikleri belirler, ancak eylemle ilgili read ayrıcalıklı özellikleri dışlar. Örneğin, microsoft.directory/user/standard/read genel telefon numarası ve e-posta adresi gibi standart özellikleri okuyabilme özelliğini içerir, ancak çok faktörlü kimlik doğrulaması için kullanılan özel ikincil telefon numarasını veya e-posta adresini okumaz. basic ortak özellikleri belirler, ancak eylemle ilgili update ayrıcalıklı özellikleri dışlar. Okuyabileceğiniz özellikler kümesi, güncelleştirebileceğiniz özelliklerden farklı olabilir. Bu nedenle bunu yansıtmak için standard ve basic anahtar sözcükleri vardır.
eylem	Verilen izinle genellikle oluşturma, okuma, güncelleme veya silme (CRUD) işlemleri gerçekleştirilir. Yukarıdaki becerilerin tümünü belirtmek için özel allTasks bir anahtar sözcük vardır (oluşturma, okuma, güncelleştirme ve silme).

Kimlik doğrulama rollerini karşılaştırma

Aşağıdaki tabloda kimlik doğrulamasıyla ilgili rollerin özellikleri karşılaştırlenmiştir.

Rol	Kullanıcının kimlik doğrulama yöntemlerini yönetme	Kullanıcı başına MFA’yı yönetme	MFA ayarlarını yönetme	Kimlik doğrulama yöntemi ilkesini yönetme	Parola koruma ilkesini yönetme	Hassas özellikleri güncelleştirme	Kullanıcıları silme ve geri yükleme
Kimlik Doğrulama Yöneticisi	Bazı kullanıcılar için evet	Hayır	Hayır	Hayır	Hayır	Bazı kullanıcılar için evet	Bazı kullanıcılar için evet
Ayrıcalıklı Kimlik Doğrulama Yöneticisi	Tüm kullanıcılar için evet	Hayır	Hayır	Hayır	Hayır	Tüm kullanıcılar için evet	Tüm kullanıcılar için evet
Kimlik Doğrulama İlkesi Yöneticisi	Hayır	Evet	Evet	Evet	Evet	Hayır	Hayır
Kullanıcı Yöneticisi	Hayır	Hayır	Hayır	Hayır	Hayır	Bazı kullanıcılar için evet	Bazı kullanıcılar için evet

Parolaları sıfırlayabilecek kullanıcılar

Aşağıdaki tabloda, sütunlar parolaları sıfırlayan ve yenileme belirteçlerini geçersiz kılabilir rolleri listeler. Satırlar, parolalarının sıfırlanabileceği rolleri listeler. Örneğin, Parola Yöneticisi Dizin Okuyucuları, Konuk Davet Eden, Parola Yöneticisi ve yönetici rolü olmayan kullanıcılar için parolayı sıfırlayabilir. Kullanıcıya başka bir rol atanırsa, Parola Yöneticisi parolasını sıfırlayamaz.

Aşağıdaki tablo, kiracı kapsamında atanan rollere yöneliktir. Bir yönetim birimi kapsamında atanan roller için başka kısıtlamalar uygulanır.

Parolanın sıfırlanabildiği rol	Parola Yöneticisi	Yardım Masası Yöneticisi	Kimlik Doğrulama Yöneticisi	Kullanıcı Yöneticisi	Yetkili Kimlik Doğrulama Yöneticisi	Genel Yönetici
Kimlik Doğrulama Yöneticisi			✅		✅	✅
Dizin Okuyucuları	✅	✅	✅	✅	✅	✅
Genel Yönetici					✅	✅*
Gruplar Yöneticisi				✅	✅	✅
Misafir Davetçisi	✅	✅	✅	✅	✅	✅
Yardım Masası Yöneticisi		✅		✅	✅	✅
İleti Merkezi Okuyucusu		✅	✅	✅	✅	✅
Parola Yöneticisi	✅	✅	✅	✅	✅	✅
Yetkili Kimlik Doğrulama Yöneticisi					✅	✅
Ayrıcalıklı Rol Yöneticisi					✅	✅
Rapor Okuyucusu		✅	✅	✅	✅	✅
Kullanıcı (yönetici rolü yok)	✅	✅	✅	✅	✅	✅
Kullanıcı (yönetici rolü yok, ancak rol atanabilir bir grubun üyesi veya sahibi)					✅	✅
Sınırlı yönetim yönetim birimi kapsamına sahip rolü olan kullanıcı					✅	✅
Kullanıcı Yöneticisi				✅	✅	✅
Kullanıcı Deneyimi Başarı Yöneticisi		✅	✅	✅	✅	✅
Kullanım Özeti Raporları Okuyucusu		✅	✅	✅	✅	✅
Diğer tüm yerleşik ve özel roller					✅	✅

Önemli

İş Ortağı İkinci Düzey Destek rolü, tüm yönetici olmayanlar ve yöneticiler (Genel Yöneticiler dahil herkes) için parolaları sıfırlayabilir ve yenileme belirteçlerini geçersiz kılabilir. İş Ortağı Katmanı1 Destek rolü parolaları sıfırlayabilir ve yenileme belirteçlerini yalnızca yönetici olmayanlar için geçersiz kılabilir. Bu roller kullanım dışı bırakıldığından kullanılmamalıdır.

Parola sıfırlama özelliği, self servis parola sıfırlama için gereken aşağıdaki hassas özellikleri güncelleştirme özelliğini içerir:

• iş telefonları
• cep telefonu
• diğer Postalar

Hassas eylemleri kimler gerçekleştirebilir?

Bazı yöneticiler bazı kullanıcılar için aşağıdaki hassas eylemleri gerçekleştirebilir. Tüm kullanıcılar hassas özellikleri okuyabilir.

Hassas eylem	Hassas özellik adı
Kullanıcıları devre dışı bırakma veya etkinleştirme	accountEnabled
İş telefonunu güncelleştirme	businessPhones
Cep telefonunu güncelleştirme	mobilePhone
Şirket içi sabit kimliği güncelleştirme	onPremisesImmutableId
Diğer e-postaları güncelleştirme	otherMails
Parola profilini güncelleştirme	passwordProfile
Kullanıcı asıl adını güncelleştirme	userPrincipalName
Kullanıcıları silme veya geri yükleme	Uygulanamaz

Aşağıdaki tabloda, sütunlar hassas eylemler gerçekleştirebilecek rolleri listeler. Satırlar, hassas eylemin uygulanabileceği rolleri listeler.

Aşağıdaki tablo, kiracı kapsamında atanan rollere yöneliktir. Bir yönetim birimi kapsamında atanan roller için başka kısıtlamalar uygulanır.

Hassas eylemin gerçekleştirilebileceği rol	Kimlik Doğrulama Yöneticisi	Kullanıcı Yöneticisi	Yetkili Kimlik Doğrulama Yöneticisi	Genel Yönetici
Kimlik Doğrulama Yöneticisi	✅		✅	✅
Dizin Okuyucuları	✅	✅	✅	✅
Genel Yönetici			✅	✅
Gruplar Yöneticisi		✅	✅	✅
Misafir Davetçisi	✅	✅	✅	✅
Yardım Masası Yöneticisi		✅	✅	✅
İleti Merkezi Okuyucusu	✅	✅	✅	✅
Parola Yöneticisi	✅	✅	✅	✅
Yetkili Kimlik Doğrulama Yöneticisi			✅	✅
Ayrıcalıklı Rol Yöneticisi			✅	✅
Rapor Okuyucusu	✅	✅	✅	✅
Kullanıcı (yönetici rolü yok)	✅	✅	✅	✅
Kullanıcı (yönetici rolü yok, ancak rol atanabilir bir grubun üyesi veya sahibi)			✅	✅
Sınırlı yönetim yönetim birimi kapsamına sahip rolü olan kullanıcı			✅	✅
Kullanıcı Yöneticisi		✅	✅	✅
Kullanıcı Deneyimi Başarı Yöneticisi	✅	✅	✅	✅
Kullanım Özeti Raporları Okuyucusu	✅	✅	✅	✅
Diğer tüm yerleşik ve özel roller			✅	✅

Sonraki adımlar

• Microsoft Entra rolleri için en iyi yöntemler
• Microsoft Entra yerleşik rolleri