針對指派給群組的 Microsoft Entra 角色進行疑難排解

特殊權限角色管理員可以建立符合角色指派資格的群組。 具有此角色的使用者可以檢視此按鈕。

根據預設，特殊權限角色管理員可以管理可指派角色群組的成員資格，但您也可以新增群組擁有者，來委派可指派角色群組的管理。

使用者可能已透過可指派角色群組來取得「目錄讀取者」。 可指派角色群組的所有成員和擁有者都會受到保護。 具備「特殊權限驗證管理員」角色的使用者可以重設受保護使用者的認證。

使用者可以是可指派角色群組的擁有者。 我們會保護可指派角色群組的擁有者，以避免提高權限。 例如，如果將 Contoso_Security_Admins 群組指派給「安全性管理員」角色，其中 Bob 是群組擁有者，而 Alice 是組織中的「密碼管理員」。 如果沒有這項保護，則 Alice 可以重設 Bob 的認證，並接管他的身分識別。 之後，Alice 可以將自己或任何人新增至 Contoso_Security_Admins 群組，以成為組織中的「安全性管理員」。 若要找出使用者是否為群組擁有者，請取得該使用者的擁有物件清單，並查看是否有任何群組已將 isAssignableToRole 設定為 true。 如果是，則該使用者會受到保護，而且行為是設計而成。 請參閱這些文件以取得擁有物件：

• Get-MgUserOwnedObject
• 列出 ownedObjects

是的，可以。 特殊權限角色管理員可以在可指派角色群組上，建立存取權檢閱。

是的，可以。 使用者管理員有權限將任何群組放進存取套件中。 「全域管理員」沒有任何變更，但「使用者管理員」角色權限有些許變更。 若要將可指派角色群組放入存取套件中，您必須是「使用者管理員」，也必須是可指派角色群組的擁有者。 下列完整表格顯示誰可以在企業授權管理中建立存取套件：

*群組不是可指派角色群組；即 isAssignableToRole = false。 如果群組可指派角色群組，則建立存取套件的人員也必須是可指派角色群組的擁有者。

此答案僅適用於 Microsoft Entra ID P1 組織。

1. 以至少 [特殊權限角色管理員] 身分登入 Microsoft Entra 系統管理中心。
2. 瀏覽至 [身分識別]>[使用者]>[所有使用者]。
3. 選取使用者。
4. 選取 [指派的角色]。
5. 選取您想移除的角色指派。
6. 選取 [移除指派]，以移除直接角色指派。

若要移除間接角色指派，請從已獲指派角色的群組中移除使用者。

執行下列步驟:

1. 登入 Microsoft Entra 系統管理中心。
2. 瀏覽至 [身分識別]> [群組]> [所有群組]。
3. 選取 [新增篩選]。
4. 篩選至 [可指派角色]。

執行下列步驟:

1. 登入 Microsoft Entra 系統管理中心。
2. 瀏覽至 [身分識別]>[使用者]>[所有使用者]。
3. 選取使用者。
4. 選取 [指派的角色]。
5. 如果您有 Microsoft Entra ID P1 授權，請檢視 [指派路徑] 資料行。
6. 如果您有 Microsoft Entra ID P2 授權，請檢視 [成員資格] 資料行。

如果您將現有群組指派給某個角色，現有群組擁有者就可以在此群組中新增其他成員，而不會有新的成員意識到他們將擁有該角色。 因為可指派角色群組功能強大，所以我們將會放置許多限制來進行保護。 您不想要對管理群組的人員感到驚訝的群組進行變更。

下一步

• 使用 Microsoft Entra 群組來管理角色指派
• 建立可指派角色的群組