Behandeln von Problemen bei Microsoft Entra-Rollen mit Gruppenzuweisung

Administratoren für privilegierte Rollen können eine Gruppe erstellen, die für die Rollenzuweisung berechtigt ist. Benutzer mit dieser Rolle können diesen Schalter sehen.

Standardmäßig verwalten Administratoren für privilegierte Rollen die Mitgliedschaft in einer Gruppe, der Rollen zugewiesen werden können. Sie können jedoch die Verwaltung von Gruppen delegieren, denen Rollen zugewiesen werden können, indem Sie Gruppenbesitzer hinzufügen.

Der Benutzer hat die Rolle „Verzeichnis lesen“ möglicherweise über eine Gruppe erhalten, der Rollen zugewiesen werden können. Alle Mitglieder und Besitzer bzw. Besitzerinnen von Gruppen, denen Rollen zugewiesen werden können, sind geschützt. Benutzer mit der Rolle "Administrator für privilegierte Authentifizierung“ können Anmeldeinformationen für einen geschützten Benutzer zurücksetzen.

Der Benutzer kann ein Besitzer einer Gruppe sein, der Rollen zugewiesen werden können. Besitzer von Gruppen mit Rollenzuweisung sind geschützt, um Rechteerweiterungen zu vermeiden. Hier ein Beispiel: Die Gruppe „Contoso_Security_Admins“ ist der Rolle „Sicherheitsadministrator“ zugewiesen, wobei Bob der Gruppenbesitzer und Alice die Kennwortadministratorin in der Organisation ist. Wäre dieser Schutz nicht vorhanden, könnte Alice die Anmeldeinformationen von Bob zurücksetzen und seine Identität übernehmen. Anschließend könnte Alice sich selbst oder andere Benutzer der Gruppe „Contoso_Security_Admins“ hinzufügen, um ein Sicherheitsadministrator in der Organisation zu werden. Wenn Sie herausfinden möchten, ob ein Benutzer ein Gruppenbesitzer ist, können Sie die Liste der im Besitz dieses Benutzers befindlichen Objekte abrufen und überprüfen, ob für eine der Gruppen „isAssignableToRole“ auf „true“ festgelegt ist. Wenn das der Fall ist, ist dieser Benutzer geschützt, und das Verhalten ist beabsichtigt. Informationen zum Abrufen von in Besitz befindlichen Objekten finden Sie in den folgenden Dokumentationen:

• Get-MgUserOwnedObject
• Auflisten von ownedObjects

Ja, das ist möglich. Administratoren für privilegierte Rollen können Zugriffsüberprüfungen von Gruppen erstellen, denen Rollen zugewiesen werden können.

Ja, das ist möglich. Der Benutzeradministrator verfügt über die Berechtigungen, jede Gruppe in ein Zugriffspaket einzufügen. Für den globalen Administrator ändert sich nichts, doch bei den Rollenberechtigungen für den Benutzeradministrator gibt es eine geringfügige Änderung. Wenn Sie einem Zugriffspaket eine Gruppe mit Rollenzuweisung hinzufügen möchten, müssen Sie ein Benutzeradministrator und außerdem Besitzer der Gruppe mit Rollenzuweisung sein. In der folgenden Tabelle sind alle Rollen aufgeführt, die Zugriffspakete in Enterprise License Management erstellen können:

*Der Gruppe kann keine Rolle zugewiesen werden, d. h. „isAssignableToRole“ = „false“. Wenn einer Gruppe Rollen zugewiesen werden können, muss die Person, die das Zugriffspaket erstellt, auch Besitzer der Gruppe mit Rollenzuweisung sein.

Diese Antwort betrifft nur Microsoft Entra ID P1-Organisationen.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Administrator für privilegierte Rollen an.
2. Browsen Sie zu Identität>Benutzer>Alle Benutzer.
3. Select a user.
4. Wählen Sie Zugewiesene Rollen aus.
5. Wählen Sie eine zu entfernende Rollenzuweisung aus.
6. Wählen Sie Zuweisungen entfernen aus, um direkte Rollenzuweisungen zu entfernen.

Zum Entfernen indirekter Rollenzuweisungen entfernen Sie den Benutzer aus der Gruppe, der die Rolle zugewiesen wurde.

Führen Sie folgende Schritte aus:

1. Melden Sie sich beim Microsoft Entra Admin Center an.
2. Browsen Sie zu Identität>Gruppen>Alle Gruppen.
3. Wählen Sie Filter hinzufügen aus.
4. Filtern Sie nach Rolle zuweisbar.

Führen Sie folgende Schritte aus:

1. Melden Sie sich beim Microsoft Entra Admin Center an.
2. Browsen Sie zu Identität>Benutzer>Alle Benutzer.
3. Select a user.
4. Wählen Sie Zugewiesene Rollen aus.
5. Wenn Sie über eine Microsoft Entra ID P1-Lizenz verfügen, prüfen Sie die Spalte Zuweisungspfad.
6. Wenn Sie über eine Microsoft Entra ID P2-Lizenz verfügen, prüfen Sie die Spalte Mitgliedschaft.

Wenn Sie einer Rolle eine vorhandene Gruppe zuweisen, kann der vorhandene Gruppenbesitzer dieser Gruppe weitere Mitglieder hinzufügen, ohne dass die neuen Mitglieder wissen, dass sie über diese Rolle verfügen. Da Gruppen mit Rollenzuweisung über komplexe Berechtigungen verfügen, sind zu ihrem Schutz viele Einschränkungen vorhanden. Sie möchten keine Änderungen an der Gruppe, die für die Person, die die Gruppe verwaltet, überraschend wären.

Nächste Schritte

• Verwenden von Microsoft Entra-Gruppen zum Verwalten von Rollenzuweisungen
• Erstellen einer Gruppe, der Rollen zugeordnet werden können