Privilegierte Rollen und Berechtigungen in Microsoft Entra ID (Vorschau)

Wichtig

Die Bezeichnung für privilegierte Rollen und Berechtigungen befindet sich derzeit in der PREVIEW. Die zusätzlichen Nutzungsbestimmungen für Microsoft Azure-Vorschauen enthalten rechtliche Bedingungen. Sie gelten für diejenigen Azure-Features, die sich in der Beta- oder Vorschauversion befinden oder aber anderweitig noch nicht zur allgemeinen Verfügbarkeit freigegeben sind.

Microsoft Entra ID verfügt über Rollen und Berechtigungen, die als privilegiert identifiziert werden. Mit diesen Rollen und Berechtigungen können Sie die Verwaltung von Verzeichnisressourcen an andere Benutzer delegieren, Anmeldedaten, Authentifizierungs- oder Autorisierungsrichtlinien ändern oder auf eingeschränkte Daten zugreifen. Privilegierte Rollenzuweisungen können zur Erhöhung von Berechtigungen führen, wenn sie nicht sicher und beabsichtigt verwendet werden. In diesem Artikel werden privilegierte Rollen und Berechtigungen sowie bewährte Methoden für die Verwendung beschrieben.

Welche Rollen und Berechtigungen sind privilegiert?

Eine Liste der privilegierten Rollen und Berechtigungen finden Sie unter Integrierte Microsoft Entra-Rollen. Sie können auch das Microsoft Entra Admin Center, Microsoft Graph PowerShell oder Microsoft Graph-API verwenden, um Rollen, Berechtigungen und Rollenzuweisungen zu identifizieren, die als privilegiert gekennzeichnet sind.

Admin Center

Suchen Sie im Microsoft Entra Admin Center nach der Bezeichnung PRIVILEGED.

Auf der Seite Rollen und Administratoren werden privilegierte Rollen in der Spalte Privilegiert gekennzeichnet. In der Spalte Zuweisungen wird die Anzahl der Rollenzuweisungen aufgelistet. Sie können auch privilegierte Rollen filtern.

Wenn Sie die Berechtigungen für eine privilegierte Rolle anzeigen, können Sie sehen, welche Berechtigungen privilegiert sind. Wenn Sie die Berechtigungen als Standardbenutzer anzeigen, können Sie nicht sehen, welche Berechtigungen privilegiert sind.

Wenn Sie eine benutzerdefinierte Rolle erstellen, können Sie sehen, welche Berechtigungen privilegiert sind, und die benutzerdefinierte Rolle ist als privilegiert bezeichnet.

PowerShell

Überprüfen Sie in Microsoft Graph PowerShell, ob die Eigenschaft IsPrivileged auf True festgelegt ist.

Verwenden Sie zum Auflisten privilegierter Rollen den Befehl Get-MgBetaRoleManagementDirectoryRoleDefinition.

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can create and manage all aspects of app registrations and enterprise apps.
DisplayName             : Application Administrator
Id                      : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users in this role can
                          add, manage, and configureenterprise applications, app registrations and manage on-premises
                          like app proxy.], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$m
                          etadata#roleManagement/directory/roleDefinitions('9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3')/inhe
                          ritsPermissionsFrom]}


AllowedPrincipalTypes   :
Description             : Can reset passwords for non-administrators and Helpdesk Administrators.
DisplayName             : Helpdesk Administrator
Id                      : 729827e3-9c14-49f7-bb1b-9608f156bbb8
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 729827e3-9c14-49f7-bb1b-9608f156bbb8
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users with this role
                          can change passwords, invalidate refresh tokens, manage service requests, and monitor
                          service health. Invalidating a refresh token forces the user to sign in again. Helpdesk
                          administrators can reset passwords and invalidate refresh tokens of other users who are
                          non-administrators or assigned the following roles only:
                          * Directory Readers
                          * Guest Inviter
                          * Helpdesk Administrator
                          * Message Center Reader
                          * Password Administrator
                          * Reports Reader], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$
                          metadata#roleManagement/directory/roleDefinitions('729827e3-9c14-49f7-bb1b-9608f156bbb8')/inh
                          eritsPermissionsFrom]}

...

Verwenden Sie zum Auflisten privilegierter Berechtigungen den Befehl Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction.

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

Verwenden Sie zum Auflisten privilegierter Rollenzuweisungen den Befehl Get-MgBetaRoleManagementDirectoryRoleAssignment.

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

Graph-API

Überprüfen Sie in der Microsoft Graph-API, ob die Eigenschaft isPrivileged auf true festgelegt ist.

Verwenden Sie zum Auflisten privilegierter Rollen die List roleDefinitions-API.

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

Verwenden Sie zum Auflisten privilegierter Berechtigungen die List resourceActions-API.

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Verwenden Sie zum Auflisten privilegierter Rollenzuweisungen die List unifiedRoleAssignments-API.

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Bewährte Methoden für die Verwendung privilegierter Rollen

Dies sind einige bewährte Methoden für die Verwendung privilegierter Rollen.

• Anwenden des Prinzips der geringsten Rechte
• Verwenden Sie Privileged Identity Management, um Just-in-Time-Zugriff zu gewähren
• Aktivieren der mehrstufigen Authentifizierung für alle Ihre Administratorkonten
• Konfigurieren Sie wiederkehrende Zugriffsüberprüfungen, um nicht benötigte Berechtigungen im Laufe der Zeit zu entziehen
• Begrenzen der Anzahl der globalen Administratoren auf weniger als 5
• Begrenzen der Anzahl privilegierter Rollenzuweisungen auf weniger als 10

Weitere Informationen finden Sie unter Best Practices für Microsoft Entra-Rollen.

Privilegierte Berechtigungen im Vergleich zu geschützten Aktionen

Privilegierte Berechtigungen und geschützte Aktionen sind sicherheitsbezogene Funktionen, die unterschiedliche Zwecke haben. Berechtigungen mit der Bezeichnung PRIVILEGED helfen Ihnen dabei, Berechtigungen zu identifizieren, die zur Erhöhung von Berechtigungen führen können, wenn sie nicht sicher und beabsichtigt verwendet werden. Geschützte Aktionen sind Rollenberechtigungen, denen Richtlinien für bedingten Zugriff für zusätzliche Sicherheit zugewiesen wurden, z. B. die Anforderung einer mehrstufigen Authentifizierung. Anforderungen für bedingten Zugriff werden erzwungen, wenn ein Benutzer die geschützte Aktion ausführt. Geschützte Aktionen befinden sich derzeit in der Vorschau. Weitere Informationen finden Sie unter Was sind geschützte Aktionen in Microsoft Entra ID?.

Funktion	Privilegierte Berechtigung	Geschützte Aktion
Identifizieren von Berechtigungen, die auf sichere Weise verwendet werden sollten	✅
Erfordern zusätzlicher Sicherheit zum Ausführen einer Aktion		✅

Terminologie

Um privilegierte Rollen und Berechtigungen in Microsoft Entra ID zu verstehen, ist es hilfreich, die folgenden Begriffe zu kennen.

Begriff	Definition
action	Eine Aktivität, die ein Sicherheitsprinzipal für einen Objekttyp ausführen kann. Manchmal auch als ein Vorgang bezeichnet.
permission	Eine Definition, die die Aktivität angibt, die ein Sicherheitsprinzipal für einen Objekttyp ausführen kann. Eine Berechtigung umfasst mindestens eine Aktion.
privilegierte Berechtigung	In Microsoft Entra ID können Berechtigungen verwendet werden, um die Verwaltung von Verzeichnisressourcen an andere Benutzer*innen zu delegieren, Anmeldeinformationen, Authentifizierungs- oder Autorisierungsrichtlinien zu ändern oder auf eingeschränkte Daten zuzugreifen.
privilegierte Rolle	Eine integrierte oder benutzerdefinierte Rolle, die über eine oder mehrere privilegierte Berechtigungen verfügt.
privilegierte Rollenzuweisung	Eine Rollenzuweisung, die eine privilegierte Rolle verwendet.
Rechteerweiterungen	Wenn ein Sicherheitsprinzipal mehr Berechtigungen erhält, als seine zugewiesene Rolle anfänglich durch den Identitätswechsel einer anderen Rolle bereitgestellt wird.
geschützte Aktion	Berechtigungen, bei denen bedingter Zugriff für zusätzliche Sicherheit angewendet wurde.

Grundlegendes zu Rollenberechtigungen

Das Schema für Berechtigungen folgt im Wesentlichen dem REST-Format von Microsoft Graph:

<namespace>/<entity>/<propertySet>/<action>

Beispiel:

microsoft.directory/applications/credentials/update

Berechtigungselement	BESCHREIBUNG
Namespace	Produkt oder Dienst zum Verfügbarmachen der Aufgabe, Präfix: microsoft. Beispielsweise verwenden alle Aufgaben in Microsoft Entra ID den Namespace microsoft.directory.
Entität	Logische Funktion oder Komponente, die vom Dienst in Microsoft Graph verfügbar gemacht wird. Beispielsweise macht Microsoft Entra ID Benutzer*innen und Gruppen verfügbar, OneNote macht Notizen verfügbar, und Exchange macht Postfächer und Kalender verfügbar. Es gibt ein spezielles Schlüsselwort allEntities zum Angeben aller Entitäten in einem Namespace. Dieses wird häufig in Rollen verwendet, die Zugriff auf ein gesamtes Produkt gewähren.
propertySet	Bestimmte Eigenschaften oder Aspekte der Entität, für die der Zugriff gewährt wird. Beispielsweise bietet microsoft.directory/applications/authentication/read die Möglichkeit, die Antwort-URL, die Abmelde-URL und eine implizite Floweigenschaft für das Anwendungsobjekt in Microsoft Entra ID zu lesen. allProperties legt alle Eigenschaften der Entität fest, einschließlich privilegierter Eigenschaften. standard legt allgemeine Eigenschaften fest, schließt jedoch privilegierte Eigenschaften im Zusammenhang mit der Aktion read aus. Beispielsweise bietet microsoft.directory/user/standard/read die Möglichkeit, Standardeigenschaften wie die öffentliche Telefonnummer und E-Mail-Adresse zu lesen, aber nicht die private sekundäre Telefonnummer oder E-Mail-Adresse, die für die mehrstufige Authentifizierung verwendet wird. basic legt allgemeine Eigenschaften fest, schließt jedoch privilegierte Eigenschaften im Zusammenhang mit der Aktion update aus. Die Eigenschaften, die Sie lesen können, unterscheiden sich möglicherweise von denen, die Sie aktualisieren können. Um dies abzubilden, gibt es die Schlüsselwörter standard und basic.
action	Der gewährte Vorgang, in der Regel CRUD (Create, Read, Update, Delete). Es gibt ein spezielles Schlüsselwort allTasks zum Angeben aller oben genannten Möglichkeiten (Create, Read, Update, Delete).

Vergleichen von Authentifizierungsrollen

In der folgenden Tabelle werden die Funktionen von Rollen im Zusammenhang mit Authentifizierung verglichen.

Role	Verwalten der Authentifizierungsmethoden der Benutzerinnen und Benutzer	Verwalten der MFA pro Benutzerin bzw. Benutzer	Verwalten von MFA-Einstellungen	Verwalten der Authentifizierungsmethodenrichtlinie	Verwalten der Kennwortschutzrichtlinie	Aktualisieren vertraulicher Eigenschaften	Löschen und Wiederherstellen von Benutzerinnen und Benutzern
Authentifizierungsadministrator	Ja, für einige Benutzer	Ja, für einige Benutzer	Ja	Nr.	Nein	Ja, für einige Benutzer	Ja, für einige Benutzer
Privilegierter Authentifizierungsadministrator	Ja, für alle Benutzer	Ja, für alle Benutzer	Nein	Nr.	Nein	Ja, für alle Benutzer	Ja, für alle Benutzer
Authentifizierungsrichtlinienadministrator	No	Ja	Ja	Ja	Ja	Nr.	Nein
Benutzeradministrator	Nein	Nr.	Nr.	Nr.	Nein	Ja, für einige Benutzer	Ja, für einige Benutzer

Wer kann Kennwörter zurücksetzen?

In den Spalten der folgenden Tabelle sind die Rollen aufgelistet, die Kennwörter zurücksetzen und Aktualisierungstoken ungültig machen können. In den Tabellenzeilen sind die Rollen aufgeführt, für die das Kennwort zurückgesetzt werden kann. Beispielsweise kann ein Kennwortadministrator das Kennwort für Verzeichnisleseberechtigte, Gasteinladende, Kennwortadministratoren und Benutzer ohne Administratorrolle zurücksetzen. Wenn einem Benutzer eine andere Rolle zugewiesen ist, kann der Kennwortadministrator sein Kennwort nicht zurücksetzen.

Die folgende Tabelle gilt für Rollen, die im Bereich eines Mandanten zugewiesen sind. Für Rollen, die im Bereich einer Verwaltungseinheit zugewiesen sind, gelten weitere Einschränkungen\.

Rolle, deren Kennwort zurückgesetzt werden kann	Kennwortadministrator	Helpdeskadministrator	Authentifizierungsadministrator	Benutzeradministrator	Privilegierter Authentifizierungsadministrator	Globaler Administrator
Authentifizierungsadministrator			✅		✅	✅
Verzeichnisleseberechtigte	✅	✅	✅	✅	✅	✅
Globaler Administrator					✅	✅*
Gruppenadministrator				✅	✅	✅
Gasteinladender	✅	✅	✅	✅	✅	✅
Helpdesk-Admin		✅		✅	✅	✅
Nachrichtencenter-Leseberechtigter		✅	✅	✅	✅	✅
Kennwortadministrator	✅	✅	✅	✅	✅	✅
Privilegierter Authentifizierungsadministrator					✅	✅
Administrator für privilegierte Rollen					✅	✅
Berichtleseberechtigter		✅	✅	✅	✅	✅
Benutzer (keine Administratorrolle)	✅	✅	✅	✅	✅	✅
Benutzer (keine Administratorrolle, aber Mitglied oder Besitzer einer Gruppe, der Rollen zugewiesen werden können)					✅	✅
Benutzer mit einer Rolle, die auf eine Verwaltungseinheit mit eingeschränkter Verwaltung beschränkt ist					✅	✅
Benutzeradministrator				✅	✅	✅
Erfolgs-Manager für die Benutzererfahrung		✅	✅	✅	✅	✅
Leseberechtigter für Verwendungszusammenfassungsberichte		✅	✅	✅	✅	✅
Alle anderen integrierten und benutzerdefinierten Rollen					✅	✅

Wichtig

Die Rolle Partnersupport der Ebene 2 kann für Benutzer mit und ohne Administratorrechte (einschließlich globaler Administratoren) Kennwörter zurücksetzen und Aktualisierungstoken ungültig machen. Die Rolle Partnersupport der Ebene 1 kann nur für Benutzer ohne Administratorrechte Kennwörter zurücksetzen und Aktualisierungstoken ungültig machen. Diese Rollen sollten nicht verwendet werden, da sie veraltet sind.

Die Möglichkeit zum Zurücksetzen eines Kennworts umfasst die Möglichkeit, die folgenden vertraulichen Eigenschaften zu aktualisieren, die für die Self-Service-Kennwortzurücksetzung erforderlich sind:

• businessPhones
• mobilePhone
• otherMails

Wer kann vertrauliche Aktionen ausführen?

Einige Administratoren können die folgenden vertraulichen Aktionen für einige Benutzer durchführen. Alle Benutzer können die vertraulichen Eigenschaften lesen.

Vertrauliche Aktion	Name der vertraulichen Eigenschaft
Deaktivieren oder Aktivieren von Benutzern	accountEnabled
Aktualisieren der geschäftlichen Telefonnummer	businessPhones
Aktualisieren der Mobiltelefonnummer	mobilePhone
Aktualisieren der lokalen unveränderliche ID	onPremisesImmutableId
Aktualisieren anderer E-Mail-Adressen	otherMails
Aktualisieren des Kennwortprofils	passwordProfile
Aktualisieren des Benutzerprinzipalnamens	userPrincipalName
Löschen oder Wiederherstellen von Benutzern	Nicht verfügbar

In den Spalten der folgenden Tabelle sind die Rollen aufgelistet, die vertrauliche Aktionen durchführen können. In den Zeilen sind die Rollen aufgeführt, für die die vertrauliche Aktion durchgeführt werden kann.

Die folgende Tabelle gilt für Rollen, die im Bereich eines Mandanten zugewiesen sind. Für Rollen, die im Bereich einer Verwaltungseinheit zugewiesen sind, gelten weitere Einschränkungen\.

Rolle, für die die vertrauliche Aktion durchgeführt werden kann	Authentifizierungsadministrator	Benutzeradministrator	Privilegierter Authentifizierungsadministrator	Globaler Administrator
Authentifizierungsadministrator	✅		✅	✅
Verzeichnisleseberechtigte	✅	✅	✅	✅
Globaler Administrator			✅	✅
Gruppenadministrator		✅	✅	✅
Gasteinladender	✅	✅	✅	✅
Helpdesk-Admin		✅	✅	✅
Nachrichtencenter-Leseberechtigter	✅	✅	✅	✅
Kennwortadministrator	✅	✅	✅	✅
Privilegierter Authentifizierungsadministrator			✅	✅
Administrator für privilegierte Rollen			✅	✅
Berichtleseberechtigter	✅	✅	✅	✅
Benutzer (keine Administratorrolle)	✅	✅	✅	✅
Benutzer (keine Administratorrolle, aber Mitglied oder Besitzer einer Gruppe, der Rollen zugewiesen werden können)			✅	✅
Benutzer mit einer Rolle, die auf eine Verwaltungseinheit mit eingeschränkter Verwaltung beschränkt ist			✅	✅
Benutzeradministrator		✅	✅	✅
Erfolgs-Manager für die Benutzererfahrung	✅	✅	✅	✅
Leseberechtigter für Verwendungszusammenfassungsberichte	✅	✅	✅	✅
Alle anderen integrierten und benutzerdefinierten Rollen			✅	✅

Nächste Schritte

• Best Practices für Microsoft Entra-Rollen
• Integrierte Microsoft Entra-Rollen