Bevoorrechte rollen en machtigingen in Microsoft Entra-id (preview)

Belangrijk

Het label voor bevoorrechte rollen en machtigingen bevindt zich momenteel in PREVIEW. Raadpleeg de Aanvullende voorwaarden voor Microsoft Azure-previews voor juridische voorwaarden die van toepassing zijn op Azure-functies die in bèta of preview zijn of die anders nog niet algemeen beschikbaar zijn.

Microsoft Entra-id heeft rollen en machtigingen die zijn geïdentificeerd als bevoegd. Deze rollen en machtigingen kunnen worden gebruikt voor het delegeren van het beheer van directory-resources aan andere gebruikers, het wijzigen van referenties, verificatie- of autorisatiebeleid of toegang tot beperkte gegevens. Bevoorrechte roltoewijzingen kunnen leiden tot uitbreiding van bevoegdheden als deze niet op een veilige en beoogde manier worden gebruikt. In dit artikel worden bevoorrechte rollen en machtigingen en aanbevolen procedures beschreven voor het gebruik.

Welke rollen en machtigingen zijn bevoegd?

Zie ingebouwde rollen en machtigingen van Microsoft Entra voor een lijst met bevoorrechte rollen en machtigingen. U kunt ook het Microsoft Entra-beheercentrum, Microsoft Graph PowerShell of Microsoft Graph API gebruiken om rollen, machtigingen en roltoewijzingen te identificeren die zijn geïdentificeerd als bevoegd.

Beheercentrum

Zoek in het Microsoft Entra-beheercentrum naar het label PRIVILEGED .

Op de pagina Rollen en beheerders worden bevoorrechte rollen geïdentificeerd in de kolom Privileged . In de kolom Toewijzingen wordt het aantal roltoewijzingen vermeld. U kunt ook bevoorrechte rollen filteren.

Wanneer u de machtigingen voor een bevoorrechte rol bekijkt, kunt u zien welke machtigingen bevoegd zijn. Als u de machtigingen als standaardgebruiker bekijkt, kunt u niet zien welke machtigingen bevoegd zijn.

Wanneer u een aangepaste rol maakt, kunt u zien welke machtigingen bevoegd zijn en wordt de aangepaste rol gelabeld als bevoegd.

Powershell

Controleer in Microsoft Graph PowerShell of de IsPrivileged eigenschap is ingesteld op True.

Gebruik de opdracht Get-MgBetaRoleManagementDirectoryRoleDefinition om bevoorrechte rollen weer te geven.

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can create and manage all aspects of app registrations and enterprise apps.
DisplayName             : Application Administrator
Id                      : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users in this role can
                          add, manage, and configureenterprise applications, app registrations and manage on-premises
                          like app proxy.], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$m
                          etadata#roleManagement/directory/roleDefinitions('9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3')/inhe
                          ritsPermissionsFrom]}


AllowedPrincipalTypes   :
Description             : Can reset passwords for non-administrators and Helpdesk Administrators.
DisplayName             : Helpdesk Administrator
Id                      : 729827e3-9c14-49f7-bb1b-9608f156bbb8
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 729827e3-9c14-49f7-bb1b-9608f156bbb8
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users with this role
                          can change passwords, invalidate refresh tokens, manage service requests, and monitor
                          service health. Invalidating a refresh token forces the user to sign in again. Helpdesk
                          administrators can reset passwords and invalidate refresh tokens of other users who are
                          non-administrators or assigned the following roles only:
                          * Directory Readers
                          * Guest Inviter
                          * Helpdesk Administrator
                          * Message Center Reader
                          * Password Administrator
                          * Reports Reader], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$
                          metadata#roleManagement/directory/roleDefinitions('729827e3-9c14-49f7-bb1b-9608f156bbb8')/inh
                          eritsPermissionsFrom]}

...

Gebruik de opdracht Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction om machtigingen met bevoegdheden weer te geven.

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

Gebruik de opdracht Get-MgBetaRoleManagementDirectoryRoleAssignment om bevoorrechte roltoewijzingen weer te geven.

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

Graph API

Controleer in de Microsoft Graph API of de isPrivileged eigenschap is ingesteld op true.

Als u bevoorrechte rollen wilt weergeven, gebruikt u de API List roleDefinitions .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Respons

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

Gebruik de List resourceActions-API om machtigingen met bevoegdheden weer te geven.

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Respons

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Gebruik de List unifiedRoleAssignments-API om bevoorrechte roltoewijzingen weer te geven.

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Respons

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Aanbevolen procedures voor het gebruik van bevoorrechte rollen

Hier volgen enkele aanbevolen procedures voor het gebruik van bevoorrechte rollen.

• Principe van minimale bevoegdheid toepassen
• Privileged Identity Management gebruiken om Just-In-Time-toegang te verlenen
• Meervoudige verificatie inschakelen voor al uw beheerdersaccounts
• Terugkerende toegangsbeoordelingen configureren om overbodige machtigingen gedurende een bepaalde periode in te trekken
• Het aantal globale beheerders beperken tot minder dan 5
• Het aantal bevoorrechte roltoewijzingen beperken tot minder dan 10

Zie Best practices voor Microsoft Entra-rollen voor meer informatie.

Bevoegde machtigingen versus beveiligde acties

Bevoegde machtigingen en beveiligde acties zijn beveiligingsgerelateerde mogelijkheden die verschillende doeleinden hebben. Met machtigingen met het label PRIVILEGED kunt u machtigingen identificeren die kunnen leiden tot uitbreiding van bevoegdheden als ze niet op een veilige en beoogde manier worden gebruikt. Beveiligde acties zijn rolmachtigingen waaraan beleid voor voorwaardelijke toegang is toegewezen voor extra beveiliging, zoals meervoudige verificatie. Vereisten voor voorwaardelijke toegang worden afgedwongen wanneer een gebruiker de beveiligde actie uitvoert. Beveiligde acties zijn momenteel beschikbaar als preview-versie. Zie Wat zijn beveiligde acties in Microsoft Entra ID? voor meer informatie.

Mogelijkheid	Machtiging met bevoegdheden	Beveiligde actie
Machtigingen identificeren die op een veilige manier moeten worden gebruikt	✅
Extra beveiliging vereisen om een actie uit te voeren		✅

Terminologie

Als u inzicht wilt in bevoorrechte rollen en machtigingen in Microsoft Entra ID, kunt u een aantal van de volgende terminologie kennen.

Term	Definitie
action	Een activiteit die een beveiligingsprincipaal kan uitvoeren op een objecttype. Soms ook wel een bewerking genoemd.
toestemming	Een definitie die de activiteit aangeeft die een beveiligingsprincipaal kan uitvoeren op een objecttype. Een machtiging bevat een of meer acties.
machtiging met bevoegdheden	In Microsoft Entra-id kunnen machtigingen worden gebruikt voor het delegeren van het beheer van directory-resources aan andere gebruikers, het wijzigen van referenties, verificatie- of autorisatiebeleid of toegang tot beperkte gegevens.
bevoorrechte rol	Een ingebouwde of aangepaste rol met een of meer bevoegde machtigingen.
bevoorrechte roltoewijzing	Een roltoewijzing die gebruikmaakt van een bevoorrechte rol.
uitbreiding van bevoegdheden	Wanneer een beveiligingsprincipaal meer machtigingen krijgt dan de toegewezen rol die in eerste instantie is opgegeven door een andere rol te imiteren.
beveiligde actie	Machtigingen waarvoor voorwaardelijke toegang is toegepast voor extra beveiliging.

Rolmachtigingen begrijpen

Het schema voor machtigingen volgt losjes de REST-indeling van Microsoft Graph:

<namespace>/<entity>/<propertySet>/<action>

Voorbeeld:

microsoft.directory/applications/credentials/update

Machtigingselement	Beschrijving
naamruimte	Product dat of service die de taak beschikbaar maakt en wordt voorafgegaan door microsoft. Voor alle taken in Microsoft Entra ID wordt bijvoorbeeld de microsoft.directory naamruimte gebruikt.
entity	Logische functie of component die door de service beschikbaar wordt gemaakt in Microsoft Graph. Microsoft Entra ID maakt bijvoorbeeld gebruikers en groepen beschikbaar, OneNote maakt notities beschikbaar en Exchange maakt postvakken en agenda's beschikbaar. Er is een speciaal allEntities-trefwoord voor het opgeven van alle entiteiten in een naamruimte. Dit wordt vaak gebruikt in rollen die toegang verlenen tot een heel product.
propertySet	Specifieke eigenschappen of aspecten van de entiteit waarvoor toegang wordt verleend. Verleent bijvoorbeeld microsoft.directory/applications/authentication/read de mogelijkheid om de antwoord-URL, afmeldings-URL en impliciete stroomeigenschap voor het toepassingsobject in Microsoft Entra-id te lezen. allProperties wijst alle eigenschappen van de entiteit aan, inclusief bevoorrechte eigenschappen. standard wijst algemene eigenschappen aan, maar sluit bevoorrechte eigenschappen met betrekking tot de actie read uit. microsoft.directory/user/standard/read bevat bijvoorbeeld de mogelijkheid om standaardeigenschappen te lezen, zoals een openbaar telefoonnummer en e-mailadres, maar niet het persoonlijke secundaire telefoonnummer of e-mailadres dat wordt gebruikt voor meervoudige verificatie. basic wijst algemene eigenschappen aan, maar sluit bevoorrechte eigenschappen met betrekking tot de actie update uit. De set eigenschappen die u kunt lezen, kan afwijken van wat u kunt bijwerken. Daarom zijn er standard- en basic-trefwoorden om dat te weerspiegelen.
action	De bewerking die wordt verleend, meestal maken, lezen, bijwerken of verwijderen (CRUD). Er is een speciaal allTasks-trefwoord voor het opgeven van alle bovenstaande mogelijkheden (maken, lezen, bijwerken en verwijderen).

Verificatierollen vergelijken

In de volgende tabel worden de mogelijkheden van verificatiegerelateerde rollen vergeleken.

Rol	Verificatiemethoden van de gebruiker beheren	MFA per gebruiker beheren	MFA-instellingen beheren	Verificatiemethodebeleid beheren	Wachtwoordbeveiligingsbeleid beheren	Gevoelige eigenschappen bijwerken	Gebruikers verwijderen en herstellen
Verificatiebeheerder	Ja voor sommige gebruikers	Ja voor sommige gebruikers	Ja	No	Nee	Ja voor sommige gebruikers	Ja voor sommige gebruikers
Beheerder van bevoegde verificatie	Ja voor alle gebruikers	Ja voor alle gebruikers	Nee	Nee	Nee	Ja voor alle gebruikers	Ja voor alle gebruikers
Beheerder van verificatiebeleid	Nr.	Ja	Ja	Ja	Ja	No	Nee
Gebruikersbeheerder	Nee	Nee	Nee	Nee	Nee	Ja voor sommige gebruikers	Ja voor sommige gebruikers

Wie kan wachtwoorden opnieuw instellen

In de volgende tabel worden in de kolommen de rollen vermeld die wachtwoorden opnieuw kunnen instellen en vernieuwingstokens ongeldig kunnen maken. De rijen bevatten de rollen waarvoor het wachtwoord opnieuw kan worden ingesteld. Een wachtwoordbeheerder kan bijvoorbeeld het wachtwoord voor adreslijstlezers, gastnodigers, wachtwoordbeheerder en gebruikers zonder beheerdersrol opnieuw instellen. Als aan een gebruiker een andere rol is toegewezen, kan de wachtwoordbeheerder het wachtwoord niet opnieuw instellen.

De volgende tabel is voor rollen die zijn toegewezen in het bereik van een tenant. Voor rollen die zijn toegewezen in het bereik van een beheereenheid, gelden verdere beperkingen.

Rol waarvoor het wachtwoord opnieuw kan worden ingesteld	Wachtwoordbeheerder	Helpdesk-beheerder	Verificatiebeheerder	Gebruikersbeheerder	Bevoorrechte verificatiebeheerder	Globale beheerder
Verificatiebeheerder			✅		✅	✅
Lezers van mappen	✅	✅	✅	✅	✅	✅
Globale beheerder					✅	✅*
Groepsbeheerder				✅	✅	✅
Afzender van gastuitnodigingen	✅	✅	✅	✅	✅	✅
Helpdesk-beheerder		✅		✅	✅	✅
Berichtencentrum-lezer		✅	✅	✅	✅	✅
Wachtwoordbeheerder	✅	✅	✅	✅	✅	✅
Bevoorrechte verificatiebeheerder					✅	✅
Beheerder voor bevoorrechte rollen					✅	✅
Rapportenlezer		✅	✅	✅	✅	✅
User (geen beheerdersrol)	✅	✅	✅	✅	✅	✅
User (geen beheerdersrol, maar lid of eigenaar van een roltoewijsbare groep)					✅	✅
Gebruiker met een rol die is gericht op een beheereenheid met beperkte beheerrechten					✅	✅
Gebruikersbeheerder				✅	✅	✅
Success Manager van gebruikerservaring		✅	✅	✅	✅	✅
Lezer van gebruiksoverzichtsrapporten		✅	✅	✅	✅	✅
Alle andere ingebouwde en aangepaste rollen					✅	✅

Belangrijk

De ondersteuningsrol Partner Tier2 kan wachtwoorden opnieuw instellen en vernieuwingstokens ongeldig maken voor alle niet-beheerders en beheerders (inclusief globale beheerders). De ondersteuningsrol Partner Tier1 kan wachtwoorden opnieuw instellen en vernieuwingstokens alleen ongeldig maken voor niet-beheerders. Deze rollen mogen niet worden gebruikt omdat ze zijn afgeschaft.

De mogelijkheid om een wachtwoord opnieuw in te stellen, omvat de mogelijkheid om de volgende gevoelige eigenschappen bij te werken die vereist zijn voor selfservice voor wachtwoordherstel:

• businessPhones
• mobilePhone
• otherMails

Wie kan gevoelige acties uitvoeren

Sommige beheerders kunnen de volgende gevoelige acties uitvoeren voor sommige gebruikers. Alle gebruikers kunnen de gevoelige eigenschappen lezen.

Gevoelige actie	Naam van gevoelige eigenschap
Gebruikers uitschakelen of inschakelen	accountEnabled
Zakelijke telefoon bijwerken	businessPhones
Mobiele telefoon bijwerken	mobilePhone
On-premises onveranderbare id bijwerken	onPremisesImmutableId
Andere e-mailberichten bijwerken	otherMails
Wachtwoordprofiel bijwerken	passwordProfile
Principal-naam van gebruiker bijwerken	userPrincipalName
Gebruikers verwijderen of herstellen	Niet van toepassing

In de volgende tabel bevatten de kolommen de rollen die gevoelige acties kunnen uitvoeren. De rijen bevatten de rollen waarop de gevoelige actie kan worden uitgevoerd.

De volgende tabel is voor rollen die zijn toegewezen in het bereik van een tenant. Voor rollen die zijn toegewezen in het bereik van een beheereenheid, gelden verdere beperkingen.

Rol waarop gevoelige actie kan worden uitgevoerd	Verificatiebeheerder	Gebruikersbeheerder	Bevoorrechte verificatiebeheerder	Globale beheerder
Verificatiebeheerder	✅		✅	✅
Lezers van mappen	✅	✅	✅	✅
Globale beheerder			✅	✅
Groepsbeheerder		✅	✅	✅
Afzender van gastuitnodigingen	✅	✅	✅	✅
Helpdesk-beheerder		✅	✅	✅
Berichtencentrum-lezer	✅	✅	✅	✅
Wachtwoordbeheerder	✅	✅	✅	✅
Bevoorrechte verificatiebeheerder			✅	✅
Beheerder voor bevoorrechte rollen			✅	✅
Rapportenlezer	✅	✅	✅	✅
User (geen beheerdersrol)	✅	✅	✅	✅
User (geen beheerdersrol, maar lid of eigenaar van een roltoewijsbare groep)			✅	✅
Gebruiker met een rol die is gericht op een beheereenheid met beperkte beheerrechten			✅	✅
Gebruikersbeheerder		✅	✅	✅
Success Manager van gebruikerservaring	✅	✅	✅	✅
Lezer van gebruiksoverzichtsrapporten	✅	✅	✅	✅
Alle andere ingebouwde en aangepaste rollen			✅	✅

Volgende stappen

• Aanbevolen procedures voor Microsoft Entra-rollen
• Ingebouwde Microsoft Entra-rollen