Microsoft Entra ID 中的全域角色可讓您管理所有 Microsoft 365 中的權限和存取功能，其中也包括 Exchange Online。 如需詳細資訊，請參閱 Microsoft Entra 權限。
但是，如果您需要限制 Exchange Online 中的功能的權限和功能，您可以在 Exchange 系統管理中心 (EAC) 和 Exchange Online PowerShell 中指派Exchange Online權限。
若要在 EAC 中管理 Exchange Online 權限，請移至 [角色>] 管理員角色，或直接移至 [管理員角色] 頁面。https://admin.exchange.microsoft.com/#/adminRoles
您必須是 Exchange Online 中組織管理角色群組的成員。 具體而言，Exchange Online 中的角色管理角色可讓使用者檢視、建立及修改 Exchange Online 角色群組。 根據預設，該角色只會指派給 組織管理 角色群組。
Exchange Online 包含大量預先定義的權限，以角色為基礎存取控制 (RBAC) 權限模型，您可以立即使用，輕鬆地將權限授與系統管理員和使用者。 您可以使用 Exchange Online 中的權限功能，快速啟動及執行新組織。
提示
在 Exchange Online 中管理權限可讓使用者存取 EAC 和 Exchange Online PowerShell 中的功能。 若要授與其他功能的權限，例如 Microsoft Purview 合規性入口網站中的合規性功能，或 Microsoft Defender 入口網站中的安全性功能，請參閱下列文章：
本文不討論幾個進階的 RBAC 功能和概念。 如果本文所述的功能不符合您的需求，而且您想要進一步自訂您的權限模型，請參閱 瞭解角色型存取控制。
角色型權限
Exchange Online權限是以角色型存取控制 (RBAC) 權限模型為基礎。 RBAC 與大部分 Microsoft 365 服務和 Exchange Server 所使用的權限模型相同，因此如果您熟悉這些服務的權限結構，應該熟悉在 Exchange Online 中授與權限。
角色或管理角色會授與執行一組工作的權限。 Exchange Online 權限使用下列類型的角色：
- 管理員角色：定義管理員可以執行的工作集。 當系統管理員角色指派給 角色群組，且系統管理員或使用者是該角色群組的成員時，該人員會獲授與該角色所提供的權限。 本文列出並說明這些角色。
-
使用者角色：這些角色是使用 角色指派原則指派，可讓使用者管理他們自己的信箱和通訊群組的各個層面。 使用者角色以字首
My開頭。 如需詳細資訊，請參閱本文稍後的章節。 - 應用程式角色：這些以「Application」開頭或結尾的角色名稱是 Exchange Online 中應用程式的 RBAC 的一部分。 如需詳細資訊，請參閱 Exchange Online 中應用程式的角色型存取控制。
角色透過讓 Exchange Online Cmdlet 可用使用者，賦予使用者執行工作的權限。 因為 EAC 和 Exchange Online PowerShell 使用 Cmdlet 來管理 Exchange Online，所以授與 Cmdlet 存取權會授與系統管理員或使用者在任一 Exchange Online 管理介面中執行工作的權限。
角色群組可讓您更輕鬆地將角色指派給系統管理員。 將角色指派至角色群組後，此角色群組的所有成員便會獲得由該角色所授與的權限。 Exchange Online 權限包括最常見工作和需要指派的預設角色群組。 您也可以建立自訂角色群組。 建議您將個別使用者新增為預設角色群組或自訂角色群組的 成員 ，而不是直接將角色指派給使用者。 角色群組成員可以是 Exchange Online 使用者和其他角色群組。
將使用者新增至 Exchange Online 角色群組會將管理權限授與 Exchange Online 中的使用者，而不需將其新增至 Microsoft Entra 角色。 使用者只會收到 Exchange Online 中角色群組所授與的權限，而不具有其他 Microsoft 365 功能或工作負載的權限。
本文其餘部分將說明 Exchange Online 中的系統管理員角色和角色群組。
提示
角色指派原則是一種角色群組類型，用來將使用者角色指派給使用者。 如需詳細資訊，請參閱 Exchange Online 中的角色指派原則。
Exchange Online 中的角色群組
本節中的表格列出可在 Exchange Online 中使用的預設系統管理員角色群組，以及預設指派給角色群組的角色。 若要授與使用者在 Exchange Online 中執行工作的權限，請將其新增至適當的角色群組。
如果您工作的小型組織只有少數系統管理員，則可能只需要將這些系統管理員新增至 [組織管理] 角色群組，而且您可能永遠不需要使用其他角色群組。 如果您在較大的組織中工作，您的系統管理員可能會執行管理 Exchange Online 的特定工作，例如收件者設定。 在這些情況下，您可以將一位系統管理員新增至收件者管理角色群組，並將另一位系統管理員新增至組織管理角色群組。 然後，這些系統管理員可以管理其 Exchange Online 的特定區域，但沒有權限管理其不負責的區域。
另一個範例是，如果系統管理員新增至稽核記錄角色群組，他們只能存取 Set-Mailbox Cmdlet 內與稽核設定相關的參數集。 如果將其他系統管理員新增至郵件收件者角色群組，他們可以存取 Set-Mailbox Cmdlet 內較大的參數集，以便更大程度地管理收件者。
如果 Exchange Online 中的內建角色群組與系統管理員的工作職能不相符，您可以建立角色群組並新增角色至其中。 如需詳細資訊，請參閱管理 Exchange Online 中的角色群組。
提示
除非另有說明，內部 部署信箱的內建安全性附加元件會使用相同的角色群組和角色指派。
| 角色群組 | 描述 | 已指派預設角色 |
|---|---|---|
| 通訊合規性 | 此角色群組中的角色指派提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 通訊合規性系統管理員 通訊合規性調查 |
| 通訊合規性系統管理員 | 此角色群組中的角色指派提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 通訊合規性系統管理員 |
| 合規性系統管理員 | 管理裝置管理、資料外洩防護、報告和保留設定。 | 通訊合規性系統管理員 測試人員風險管理系統管理員 |
| 合規性管理 | 成員可以根據其原則，在 Exchange 內設定和管理合規性設定。 | 稽核記錄 合規性管理員 資料外洩防護 資訊版權管理 日誌 郵件追蹤 保留管理 傳輸規則 僅限檢視稽核記錄 僅限檢視組態 僅限檢視收件者 |
| 探索管理 | 成員可以在 Exchange Online 組織中的信箱中執行搜尋，以尋找符合特定準則的資料，也可以在信箱上設定法律保留。 | 合法持有 信箱搜尋 |
| ExchangeServiceAdmins_唯一<值>¹ | 此角色群組的成員資格會跨服務同步處理，並集中管理。 您無法在 Exchange Online 中管理此角色群組。 此角色群組並未獲指派任何角色。 不過，它是組織管理角色群組的成員， (是 Exchange 服務管理員) ，並繼承該角色群組提供的權限。 您可以藉由在 Microsoft 365 系統管理中心將使用者新增至 Microsoft Entra ID Exchange 系統管理員角色，將成員新增至此角色群組。 |
不適用 |
| 技術支援 | 成員可以檢視和管理個別收件者的設定，以及 Exchange 組織中的檢視收件者。 此角色群組的成員只能管理每個使用者可以在自己的信箱上管理的設定。 | 重設密碼 使用者選項 僅限檢視收件者 |
| 檢疫管理 | 成員可以管理 Exchange 反垃圾郵件功能、授與防毒產品與 Exchange 整合的權限，以及管理郵件流程規則。 | 運輸衛生 僅限檢視組態 僅限檢視收件者 |
| 資訊保護 | 完全控制所有資訊保護功能，包括敏感度標籤及其原則、DLP、所有分類器類型、活動和內容總管，以及所有相關報告。 | 資訊保護系統管理員 資訊保護分析師² 資訊保護調查人員 資訊保護讀者 |
| 資訊保護系統管理員 | 此角色群組中的角色指派提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 資訊保護系統管理員 |
| 資訊保護分析員 | 此角色群組中的角色指派提供 Exchange Online 中 Search-UnifiedAuditLog Cmdlet 的存取權。 | 資訊保護分析師² |
| 資訊保護調查人員 | 搜尋統一稽核記錄 | 資訊保護調查人員 |
| 資訊保護讀者 | 搜尋統一稽核記錄檔，並檢視郵件流量和郵件流量摘要報告。 | 資訊保護讀者 |
| 測試人員風險管理 | 管理內部風險管理的存取控制。 | 測試人員風險管理系統管理員 內部風險管理調查 |
| 內部風險管理系統管理員 | 此角色群組中的角色指派提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 測試人員風險管理系統管理員 |
| 測試人員風險管理調查員 | 此角色群組中的角色指派提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 內部風險管理調查 |
| 組織管理 | 成員具有整個 Exchange Online 組織的管理存取權，而且幾乎可以在 Exchange Online 中執行任何工作。 重要：因為組織管理角色群組是一個功能強大的角色，只有執行可能影響整個 Exchange Online 組織之組織層級系統管理工作的使用者才應該是這個角色群組的成員。 |
稽核記錄 通訊合規性系統管理員 通訊合規性調查 合規性管理員 資料外洩防護 動態通訊群組 電子郵件地址原則 同盟共用 資訊保護系統管理員 資訊保護分析師² 資訊保護調查人員 資訊保護讀者 資訊版權管理 測試人員風險管理系統管理員 內部風險管理調查 日誌 合法持有 啟用郵件的公用資料夾 建立郵件收件者 郵件收件者 郵件提示 郵件追蹤 移轉 移動信箱 組織自訂應用程式 組織市集應用程式 組織用戶端存取 組織組態 組織傳輸設定 隱私權管理管理員 隱私權管理調查 公用資料夾 收件者原則 遠端和接受的網域 重設密碼 保留管理 角色管理 安全性系統管理員 安全性群組建立和成員資格 安全性讀取者 TenantPlacesManagement 運輸衛生 傳輸規則 使用者選項 僅限檢視稽核記錄 僅限檢視組態 僅限檢視收件者 |
| 隱私權管理 | 此角色群組中的角色指派提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 隱私權管理管理員 隱私權管理調查 |
| 隱私權管理系統管理員 | 此角色群組中的角色指派提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 隱私權管理管理員 |
| 隱私權管理調查員 | 此角色群組中的角色指派提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 隱私權管理調查 |
| 收件者管理 | 成員具有在 Exchange Online 組織內建立或修改 Exchange Online 收件者的系統管理存取權。 | 動態通訊群組 建立郵件收件者 郵件收件者 郵件追蹤 移轉 移動信箱 收件者原則 重設密碼 |
| 記錄管理 | 成員可以設定合規性功能，例如保留原則標籤、郵件分類和郵件流程規則 (也稱為傳輸規則) 。 | 稽核記錄 日誌 郵件追蹤 保留管理 傳輸規則 |
| RIM-MailboxAdmins<GUID> | 未使用 | ApplicationImpersonation |
| 安全性系統管理員 | 此角色群組的成員資格會跨服務同步處理，並集中管理。 您無法在 Exchange Online 中管理此角色群組。 您可以透過將使用者新增至Microsoft 365 系統管理中心中的 Microsoft Entra 安全性系統管理員角色，將成員新增至此角色群組。 |
安全性系統管理員 SensitivityLabelAdministrator |
| 安全性操作員 | 管理安全警報，並查看安全功能的報告和設置。 | 租用戶 AllowBlockList Manager |
| 安全性讀取者 | 此角色群組的成員資格會跨服務同步處理，並集中管理。 您無法在 Exchange Online 中管理此角色群組。 您可以藉由在 Microsoft 365 系統管理中心將使用者新增至 Microsoft Entra 安全性讀取者角色，以新增成員至此角色群組。 |
安全性讀取者 |
| TenantAdmins_唯一<值> | 此角色群組的成員資格會跨服務同步處理，並集中管理。 您無法在 Exchange Online 中管理此角色群組。 此角色群組並未獲指派任何角色。 不過，它是組織管理角色群組的成員， (為公司系統管理員) ，並繼承該角色群組提供的權限。 您可以藉由在 Microsoft 365 系統管理中心將使用者新增至 Microsoft Entra ID 全域系統管理員角色，將成員新增至此角色群組。 重要： Microsoft 建議您使用權限最少的角色。 使用較低權限的帳戶有助於提高組織的安全性。 全域系統管理員是高度特殊權限角色，應僅在無法使用現有角色的緊急案例下使用。 |
不適用 |
| 僅限檢視組織管理 | 成員可以檢視 Exchange Online 組織中任何物件的屬性。 | 僅限檢視組態 僅限檢視收件者 |
¹ 此角色群組無法在 內部部署信箱的內建安全性附加元件中使用。
² 根據預設，此角色不會在 內部部署信箱的內建安全性附加元件中指派任何角色群組。
Exchange Online 中的角色
本節中的表格列出可用的管理員角色，以及預設指派給這些角色的角色群組。
未 預設指派 給組織管理角色群組的角色會以 *
提示
- 例如，以前綴 'My' 開頭的角色名稱 (例如，MyContactInformation) 是使用者角色。 使用者角色是在角色指派原則中指派給使用者，這可讓使用者在他們擁有的物件上操作，例如他們自己的帳戶或他們) 建立的通訊群組 (例如他們自己的帳戶或通訊群組。 如需詳細資訊，請參閱 Exchange Online 中的角色指派原則。
- 以「Application」開頭或結尾的角色名稱是 Exchange Online 中應用程式的 RBAC 的一部分。 如需詳細資訊，請參閱 Exchange Online 中應用程式的角色型存取控制。
- 許多在 Microsoft Purview 合規性和 Microsoft Entra 中也提供的合規性相關角色本身不會在 Exchange Online 中提供太多功能。
- 除非另有說明，否則內部 部署信箱的內建安全性附加元件會使用相同的角色和角色群組指派。
| 角色 | 描述 | 預設角色群組指派 |
|---|---|---|
| 通訊清單* | 可讓系統管理員管理組織中的通訊清單、全域通訊清單和離線通訊清單。 | 無 |
| 稽核記錄 | 搜尋管理員稽核記錄並檢視結果。 | 合規性管理 組織管理 記錄管理 |
| 通訊合規性系統管理員 | 此角色提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 通訊合規性 通訊合規性系統管理員 合規性系統管理員 組織管理 |
| 通訊合規性調查 | 此角色提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 通訊合規性 組織管理 |
| 合規性管理員 | 允許人員檢視及編輯合規性的設定和報告。 | 合規性管理 組織管理 |
| 資料外洩防護 | 此角色與舊版郵件流程規則 (傳輸規則相關) 組織中相關的資料外洩防護 (DLP) 設定。 此角色可讓您存取 Exchange Online 中的報告和郵件流程規則管理。 | 合規性管理 組織管理 |
| 動態通訊群組 | 建立和管理所有通訊群組、啟用郵件功能的安全性群組和成員。 | 組織管理 收件者管理 |
| 電子郵件地址原則 | 可讓系統管理員管理組織中的電子郵件地址原則。 | 組織管理 |
| 同盟共用 | 可讓系統管理員管理組織中的跨樹系和跨組織共用。 | 組織管理 |
| 資訊保護系統管理員 | 此角色提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 資訊保護 資訊保護系統管理員 組織管理 |
| 資訊保護分析員 | 此角色提供 Exchange Online 中 Search-UnifiedAuditLog Cmdlet 的存取權。 | 資訊保護 資訊保護分析師¹ 組織管理 |
| 資訊保護調查人員 | 搜尋統一稽核記錄。 | 資訊保護 資訊保護調查人員 組織管理 |
| 資訊保護讀者 | 搜尋統一稽核記錄檔，並檢視郵件流量和郵件流量摘要報告。 | 資訊保護 資訊保護讀者 組織管理 |
| 資訊版權管理 | 管理組織中 Exchange 的資訊版權管理 (IRM) 功能。 | 合規性管理 組織管理 |
| 測試人員風險管理系統管理員 | 此角色提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 合規性系統管理員 測試人員風險管理 內部風險管理系統管理員 組織管理 |
| 內部風險管理調查 | 此角色提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 測試人員風險管理 測試人員風險管理調查員 組織管理 |
| 日誌 | 可讓系統管理員管理組織中的日誌記錄設定。 | 合規性管理 組織管理 記錄管理 |
| 合法持有 | 可讓系統管理員設定信箱內的資料是否應保留，以在組織中進行訴訟。 | 探索管理 組織管理 |
| 啟用郵件的公用資料夾 | 可讓系統管理員設定組織中的個別公用資料夾是否啟用郵件或郵件停用。 | 組織管理 |
| 建立郵件收件者 | 建立和移除郵件使用者和郵件連絡人。 | 組織管理 收件者管理 |
| 郵件收件者 | 修改現有的郵件使用者和郵件連絡人。 | 組織管理 收件者管理 |
| 郵件提示 | 可讓系統管理員管理組織中的 MailTip 設定。 | 組織管理 |
| 信箱匯入匯出* | 可讓系統管理員匯入及匯出信箱內容。 | 無 |
| 信箱搜尋* | 可讓系統管理員搜尋組織中一或多個信箱的內容。 | 探索管理 |
| 郵件追蹤 | 可讓系統管理員追蹤組織中的郵件。 | 合規性管理 組織管理 收件者管理 記錄管理 |
| 移轉 | 可讓系統管理員將信箱和信箱內容移轉組織或移轉組織外。 | 組織管理 收件者管理 |
| 移動信箱 | 可讓系統管理員移動信箱。 | 組織管理 收件者管理 |
| O365SupportViewConfig* | 未使用 | 無 |
| 組織自訂應用程式 | 可讓使用者檢視和修改其組織自訂應用程式。 | 組織管理 |
| 組織市集應用程式 | 可讓使用者檢視和修改其組織 Marketplace 應用程式。 | 組織管理 |
| 組織用戶端存取 | 可讓系統管理員管理組織中的用戶端存取設定。 | 組織管理 |
| 組織組態 | 可讓系統管理員管理全組織的設定。 | 組織管理 |
| 組織傳輸設定 | 可讓系統管理員管理混合式和全組織的郵件傳輸設定。 | 組織管理 |
| 隱私權管理管理員 | 此角色提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 組織管理 隱私權管理 隱私權管理系統管理員 |
| 隱私權管理調查 | 此角色提供 Exchange Online 中 Test-TextExtraction Cmdlet 的存取權。 | 組織管理 隱私權管理 隱私權管理調查員 |
| 公用資料夾 | 可讓系統管理員管理組織中的公用資料夾。 | 組織管理 |
| 收件者原則 | 可讓系統管理員管理收件者原則 (驗證原則、資料加密原則、行動裝置信箱原則，以及) 組織中的Outlook 網頁版信箱原則。 | 組織管理 收件者管理 |
| 遠端和接受的網域 | 管理遠端網域、接受的網域和連接器。 | 組織管理 |
| 重設密碼 | 可讓系統管理員設定會議室信箱密碼。 | 技術支援 組織管理 收件者管理 |
| 保留管理 | 讓人員管理保留原則。 | 合規性管理 組織管理 記錄管理 |
| 角色管理 | 可讓系統管理員管理組織中的管理角色群組、角色指派原則、管理角色、角色項目、指派和範圍。 | 組織管理 |
| 安全性系統管理員 | 管理所有安全性和保護功能的設定和報告。 | 組織管理 安全性系統管理員 |
| 安全性群組建立和成員資格 | 建立和管理啟用郵件功能的安全性群組。 | 組織管理 |
| 安全性讀取者 | 檢視安全性和保護功能的設定和報告。 | 組織管理 安全性讀取者 |
| SensitivityLabelAdministrator* | 允許人員編輯敏感度標籤屬性。 | 安全性系統管理員 |
| 租用戶 AllowBlockList Manager* | 讓人員管理租用戶允許/封鎖清單。 | 安全性操作員 |
| TenantPlacesManagement | 可讓人員管理 Microsoft Places 的設定。 | 組織管理 |
| 運輸衛生 | 管理反惡意程式碼、反垃圾郵件功能和防詐騙功能。 | 檢疫管理 組織管理 |
| 傳輸規則 | 建立和管理郵件流程規則 (也稱為傳輸規則) 。 | 合規性管理 組織管理 記錄管理 |
| 使用者選項 | 可讓系統管理員檢視組織中使用者的 Outlook 網頁版選項。 | 技術支援 組織管理 |
| 僅限檢視稽核記錄 | 搜尋管理員稽核記錄並檢視結果。 | 合規性管理 組織管理 |
| 僅限檢視組態 | 檢視組織中的所有組織和郵件流程 (組織中的非收件者) 設定。 | 合規性管理 檢疫管理 組織管理 僅限檢視組織管理 |
| 僅限檢視收件者 | 檢視收件者內容並執行郵件追蹤。 | 合規性管理 技術支援 檢疫管理 組織管理 僅限檢視組織管理 |
¹ 根據預設，這個角色不會指派給內部部署信箱的內建安全性附加元件中的任何角色群組。
Exchange Online 中的 Microsoft 365 權限
當您在Microsoft 365 系統管理中心中建立使用者時，您可以選擇是否要將各種Microsoft Entra角色指派給使用者 (例如 Exchange 系統管理員或全域讀取者) 。 大部分的 Microsoft Entra 角色都會將系統管理權限授與 Exchange Online 中的使用者。
注意事項
您用來建立 Exchange Online 組織的帳戶會自動指派給全域系統管理員角色。
下表列出了 Microsoft Entra 角色及其對應的 Exchange Online 角色群組。 如需這些角色的詳細資訊，請參閱 Microsoft Entra 權限。
| Microsoft Entra 角色 | Exchange Online 角色群組 |
|---|---|
| 全域系統管理員 | 組織管理 注意：全域系統管理員角色和組織管理角色群組會使用特殊的公司系統管理員角色群組繫結在一起。 公司系統管理員角色群組是在內部管理，無法直接修改。 |
| Exchange 系統管理員 | 組織管理 |
| 全域讀取者 | 僅限檢視組織管理 |
| 服務台系統管理員 | 技術支援 |
| 服務支援系統管理員 | 無 |
| Sharepoint 系統管理員 | 無 |
| Teams 系統管理員 | 無 |
| Exchange 收件者系統管理員 | 收件者管理 |
| 使用者體驗成功主管 | 無 |
您可以將使用者新增為 Exchange Online 角色群組的成員，以在 Exchange Online 中授與使用者管理權限，而不需將其新增至 Microsoft Entra 角色。 使用者可在 Exchange Online 中取得權限，但不會取得其他 Microsoft 365 工作負載中的權限。
重要事項
Microsoft 建議您使用權限最少的角色。 使用較低權限的帳戶有助於提高組織的安全性。 全域系統管理員是高度特殊權限角色，應僅在無法使用現有角色的緊急案例下使用。