本文中的信息可帮助你向管理 Intune 订阅的用户分配Microsoft Intune内置或自定义的基于角色的访问控制 (RBAC) 角色。 RBAC 角色分配给组，而不是单个用户。
在将角色分配给组之前，请确保为不同的 Intune 管理任务提供足够的组，并查看这些组的成员身份。 分配了 RBAC 角色的组中的每个成员都会获得该角色授予的权限。 来自多个组的权限对于用户来说是累积的，并且没有拒绝特定权限的选项。 但是，可以 将范围标记与 RBAC 结合使用 ，以限制不同个人组可以查看和管理的范围。
注意
当管理员属于使用不同范围标记的多个角色分配时，Intune 的默认行为会合并这些分配之间的权限。 这可能会导致比预期更广泛的访问权限。 若要了解或更改此行为，请参阅 跨角色分配的权限行为。
重要
Microsoft 建议不要在特权较低的角色足够时使用具有 Intune 管理员级权限的帐户进行日常管理。 但是，在初始 Intune 设置期间，对于以下任务，需要 Intune 管理员权限：
- 将充当 Intune 管理员的用户添加到 Intune。 (请参阅 添加用户)
- 创建共享相似管理职责的用户组。 (请参阅 添加组)
- 将 RBAC 角色分配给用户组，仅向每个组提供执行其日常任务所需的权限。 (本文)
完成这些步骤后，切换到仅具有持续管理所需权限的帐户，以维护最低特权原则。
分配角色所需的 RBAC 权限
若要在 Intune 中管理 RBAC 角色和分配，帐户必须具有以下权限集之一：
Intune 角色管理员的 Intune 内置角色。 最小特权内置角色
包含以下权限和操作的自定义角色：
角色：
- Assign
- 创建
- 删除
- 阅读
- 更新
组织：
- 阅读
注意
增强的安全性：多管理员审批现在支持基于角色的访问控制。 启用此设置后，第二个管理员必须批准对角色的更改。 这些更改可能包括对角色权限、管理员组或成员组分配的更新。 更改仅在批准后生效。 这种双重授权过程有助于保护您的组织免受未经授权或意外的基于角色的访问控制更改的影响。 有关详细信息，请参阅 在 Intune 中使用多管理员审批。
部署 Intune 角色分配
在部署 Intune 角色之前，请熟悉提供有关 Intune 角色分配的多个方面的详细信息的关于 Intune 角色分配。
登录到 Microsoft Intune 管理中心，然后转到 租户管理>角色>所有角色。
在“Intune 角色 - 所有角色”页上，可以找到可在租户中分配的所有 Intune 角色。 每个角色都有一个类型，该类型将其标识为 Intune 提供的内置角色或组织创建的自定义 Intune 角色。
选择要分配的角色，然后选择“ 作业+>分配”。
在 “基本信息 ”页上，输入 “名称 ”和可选 “说明”，然后选择“ 下一步”。
在“管理员组”页上，选择“添加组”，然后选择包含要向其分配角色权限的用户的组。
提示
将角色分配给组时，该组的每个成员都会获得该角色授予的权限。 仅将角色分配给你知道其成员身份的组，这些组不包括不应获得角色提供的管理权限的用户。
注意
如果租户允许未经许可的管理员，则 Intune 角色分配仅适用于已分配的安全组的直接成员。 默认情况下，嵌套组的成员不会收到这些分配。 但是，如果嵌套组中的用户具有 Intune 许可证，则该用户将收到 Intune 角色。
选择 下一步。
在“范围 (组) ”页上，添加仅包含应允许在上一步中选择的 管理员 组成员管理的用户或设备的组。 然后，选择“下一步”。
注意
“所有用户”和“所有设备”组是 Intune 虚拟组，而不是 Microsoft Entra 安全组。 因此，不能将它们用作“范围 (组”) 分配中Microsoft Entra安全组的父级。 若要分配所有用户和所有设备以及特定的 Microsoft Entra 安全组，请分别添加它们。 否则，即使角色的“范围 (组) ”设置为“所有用户”，管理员也无权访问特定的Microsoft Entra用户组。
Microsoft Entra 安全组支持嵌套。
在 “范围 (标记) ”页面上，选择应用此角色分配的标记。 选择 下一步。
注意
定义范围组，然后分配范围标记时，管理员只能对角色分配的“范围 (组”) 中列出的组为目标。
在 审阅 + 创建 页上，完成后，选择 创建。
新分配将显示在分配列表中。