移除 Microsoft Entra 角色分配

本文介绍如何使用 Microsoft Entra 管理中心、Microsoft Graph PowerShell 或 Microsoft Graph API 删除Microsoft Entra 角色分配。

可以删除用户的直接和间接角色分配。 如果按组成员身份向用户分配了角色，则从组中删除该用户以删除角色分配。 有关详细信息，请参阅使用 Microsoft Entra 组来管理角色分配。

PIM 中的 Microsoft Entra 角色

如果你拥有 Microsoft Entra ID P2 许可证和 Privileged Identity Management (PIM)，则拥有额外的角色指派功能。 有关删除 Microsoft Entra 在 PIM 中的角色分配的信息，请参阅以下文章：

方法	信息
Microsoft Entra 管理中心	在 PIM 中更新或删除现有角色分配
Microsoft Graph PowerShell	删除符合条件的分配
Microsoft Graph API	使用 PIM API 管理 Microsoft Entra 角色分配 通过 Microsoft Graph API 删除符合条件的分配

先决条件

• Microsoft Entra ID P1 或 P2 许可证
• 特权角色管理员
• 使用 PowerShell 时的 Microsoft Graph PowerShell 模块
• 将 Graph 浏览器用于 Microsoft Graph API 时需要管理员同意

有关详细信息，请参阅使用 PowerShell 或 Graph 浏览器的先决条件。

移除 Microsoft Entra 角色分配

管理中心

1. 至少以特权角色管理员身份登录到 Microsoft Entra 管理中心。

2. 浏览到 Entra ID>角色与管理员。

3. 选择角色名称以打开该角色。

4. 在要从中移除角色分配的用户或组旁添加复选标记。

5. 选择“删除分配”。

   如果您的使用体验不同于以下屏幕截图，则可能说明您拥有 Microsoft Entra ID P2 和 PIM。 有关详细信息，请参阅更新或删除 PIM 中的现有角色分配。

   

6. 当系统要求确认操作时，请选择“是”。

PowerShell

使用 Get-MgRoleManagementDirectoryRoleAssignment 命令列出要删除的角色分配 ID。 有关示例，请参阅 查看 Microsoft Entra 角色分配列表。

使用角色分配 ID 时，使用 Remove-MgRoleManagementDirectoryRoleAssignment 命令删除角色分配。

Remove-MgRoleManagementDirectoryRoleAssignment -UnifiedRoleAssignmentId $roleAssignment.Id

图形 API

使用 List unifiedRoleAssignments API 列出要删除的角色分配 ID。 有关示例，请参阅 查看 Microsoft Entra 角色分配列表。

使用角色分配 ID，使用 Delete unifiedRoleAssignment API 删除角色分配。

删除用户的角色分配

DELETE https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments/lAPpYvVpN0KRkAEhdxReEJC2sEqbR_9Hr48lds9SGHI-1

响应

HTTP/1.1 204 No Content

删除不再存在的角色分配

DELETE https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments/lAPpYvVpN0KRkAEhdxReEJC2sEqbR_9Hr48lds9SGHI-1

响应

HTTP/1.1 404 Not Found

删除当前用户的全局管理员角色分配

DELETE https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments/lAPpYvVpN0KRkAEhdxReEJC2sEqbR_9Hr48lds9SGHI-1

响应

HTTP/1.1 400 Bad Request
{
    "odata.error":
    {
        "code":"Request_BadRequest",
        "message":
        {
            "lang":"en",
            "value":"Removing self from Global Administrator built-in role is not allowed"},
            "values":null
        }
    }
}

为了避免租户没有全局管理员的情况，你无法删除自己的全局管理员角色分配。 允许删除分配给自己的其他角色。

后续步骤

• 在 PIM 中更新或删除现有角色分配
• 排查分配给组的 Microsoft Entra 角色的问题