Asignación de roles de administrador a cuentas de usuario de Microsoft 365 con PowerShell
Este artículo afecta tanto a Office 365 Enterprise como a Microsoft 365 Enterprise
Puede asignar fácilmente roles a cuentas de usuario mediante PowerShell para Microsoft 365.
Nota:
Obtenga información sobre cómo asignar roles de administrador a cuentas de usuario con el Centro de administración de Microsoft 365.
Para obtener una lista de recursos adicionales, consulte Administración de usuarios y grupos.
Asignación de roles a cuentas de usuario mediante Microsoft Graph PowerShell
Nota:
El sdk de PowerShell de Microsoft Graph reemplaza el módulo de Azure Active Directory. Puede usar el SDK de PowerShell de Microsoft Graph para acceder a todas las API de Microsoft Graph. Para más información, consulte Introducción al SDK de PowerShell de Microsoft Graph.
En primer lugar, use una cuenta de administrador de Microsoft Entra DC o administrador de aplicaciones en la nube para conectarse a su inquilino de Microsoft 365. Los cmdlets de este artículo requieren el ámbito de permisos RoleManagement.ReadWrite.Directory o uno de los demás permisos enumerados en la página de referencia de Graph API "List subscribedSkus". Algunos comandos de este artículo pueden requerir ámbitos de permisos diferentes, en cuyo caso esto se anotará en la sección correspondiente.
Connect-MgGraph -Scopes "RoleManagement.ReadWrite.Directory"
Para más información, consulteSobre los roles de administrador.
A continuación, identifique el nombre de inicio de sesión de la cuenta de usuario que desea agregar a un rol (por ejemplo: fredsm@contoso.com). Esto también se conoce como nombre principal de usuario (UPN).
A continuación, determine el nombre del rol. Consulte Roles integrados de Microsoft Entra.
Nota:
Preste atención a las notas de este artículo. Algunos nombres de rol son diferentes para PowerShell de Azure Active Directory (Azure AD). Por ejemplo, el rol Administrador de SharePoint en el Centro de administración de Microsoft 365 es Administrador de servicios de SharePoint en PowerShell de Azure AD.
A continuación, rellene el UPN de usuario y los nombres de rol y ejecute estos comandos:
$userUPN="<user UPN>"
$roleName="<role name>"
$role = Get-MgDirectoryRole | Where-Object {$_.displayName -eq $roleName}
if ($role -eq $null) {
$roleTemplate = (Get-MgDirectoryRoleTemplate | Where-Object {$_.displayName -eq $roleName}).id
New-MgDirectoryRole -DisplayName $roleName -RoleTemplateId $roleTemplate
$role = Get-MgDirectoryRole | Where-Object {$_.displayName -eq $roleName}
}
$userId = (Get-MgUser -Filter "userPrincipalName eq '$userUPN'").Id
$newRoleMember =@{
"@odata.id"= "https://graph.microsoft.com/v1.0/users/$userId"
}
New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $newRoleMember
Este es un ejemplo de un conjunto de comandos completado que asigna el rol Administrador de servicios de SharePoint a la belindan@contoso.com cuenta:
$userUPN="adelev@contoso.com"
$roleName="Exchange Administrator"
$role = Get-MgDirectoryRole | Where-Object {$_.displayName -eq $roleName}
if ($role -eq $null) {
$roleTemplate = (Get-MgDirectoryRoleTemplate | Where-Object {$_.displayName -eq $roleName}).id
New-MgDirectoryRole -DisplayName $roleName -RoleTemplateId $roleTemplate
$role = Get-MgDirectoryRole | Where-Object {$_.displayName -eq $roleName}
}
$userId = (Get-MgUser -Filter "userPrincipalName eq '$userUPN'").Id
$newRoleMember =@{
"@odata.id"= "https://graph.microsoft.com/v1.0/users/$userId"
}
New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $newRoleMember
Para mostrar la lista de identificadores de usuario para un rol de administrador específico, use estos comandos.
$roleName="<role name>"
Connect-MgGraph -Scopes "Directory.Read.All"
Get-MgDirectoryRole | Where-Object { $_.DisplayName -eq $roleName } | ForEach-Object { Get-MgDirectoryRoleMember -DirectoryRoleId $_.Id }