Veelgestelde vragen over GDAP

Iemand met de beheerdersagent rol bij een partnerorganisatie kan een GDAP-relatieaanvraagmaken.

Ja. GDAP-relatieaanvragen verlopen na 90 dagen.

Nee. Permanente GDAP-relaties met klanten zijn om veiligheidsredenen niet mogelijk. De maximale duur van een GDAP-relatie is twee jaar. U kunt automatisch uitbreiden instellen op ingeschakelde om een beheerdersrelatie zes maanden uit te breiden totdat de instelling is beëindigd of automatisch verlengen is ingesteld op uitgeschakelde.

Nee. GDAP-relatie biedt geen ondersteuning voor abonnementen die zijn aangeschaft via enterprise-overeenkomsten.

Ja. Een GDAP-relatie kan automatisch worden verlengd met zes maanden totdat deze is beëindigd of automatisch verlengen is ingesteld op Uitgeschakeld.

• Als de GDAP-relatie met uw klant verloopt, een GDAP-relatie opnieuw aanvragen.
• U kunt GDAP-relatieanalyse gebruiken om verloopdatums van GDAP-relaties bij te houden en de verlenging voor te bereiden.

Als u een GDAP-relatie wilt uitbreiden of vernieuwen, moet een partner of klant automatisch instellen op ingeschakelde. Meer informatie vindt u op Automatische uitbreiding van GDAP- en API-.

Ja. Als GDAP actief is, kan deze worden uitgebreid.

Stel dat een GDAP gedurende 365 dagen wordt gemaakt met automatische verlenging ingesteld op Ingeschakeld. Op de 365e dag wordt de einddatum effectief bijgewerkt met 180 dagen.

Ja. U kunt elke actieve GDAP automatisch uitbreiden.

Nee. Klanttoestemming is niet vereist om automatisch uitbreiden in te stellen op Ingeschakeld voor een bestaande actieve GDAP.

Nee. Gedetailleerde machtigingen die zijn toegewezen aan beveiligingsgroepen, blijven as-is.

Nee. U kunt de beheerdersrelatie niet automatisch uitbreiden met de rol Globale beheerder.

De gedetailleerde relaties pagina is alleen beschikbaar voor partnergebruikers met de rollen Globale beheerders en Beheerdersagent. Op deze pagina kunt u GDAPs filteren op verschillende tijdlijnen en kunt u automatisch uitbreiden (in-/uitschakelen) bijwerken voor een of meer GDAPs.

Nee. Er is geen wijziging in de bestaande abonnementen van een klant wanneer een GDAP-relatie verloopt.

Raadpleeg Problemen met meervoudige verificatie van Microsoft Entra oplossen en Kan microsoft Entra-meervoudige verificatie niet gebruiken om u aan te melden bij cloudservices nadat u uw telefoon kwijtraakt of het telefoonnummer is gewijzigd voor hulp.

Een partner moet de bevoegde verificatiebeheerder Microsoft Entra-rol aanvragen bij het maken van de eerste GDAP.

• Met deze rol kan een partner een wachtwoord en de verificatiemethode voor een beheerder of niet-beheerder opnieuw instellen. De rol Privileged Authentication Administrator maakt deel uit van de rollen die zijn ingesteld door Microsoft Led Tool en is gepland om beschikbaar te zijn met Standaard GDAP tijdens het maken van de klantstroom (gepland voor september).
• De partner kan de klantbeheerder het wachtwoord opnieuw instellen.
• Als voorzorgsmaatregel moet de partner SSPR (selfservice voor wachtwoordherstel) instellen voor hun klanten. Zie Laat mensen hun eigen wachtwoorden opnieuw instellenvoor meer informatie.

• Binnen een partner organisatie ontvangen personen met de beheerdersagent rol een melding over beëindiging.
• Binnen een klant organisatie ontvangen personen met de rol globale beheerder een melding over beëindiging.

Ja. Partners kunnen zien wanneer een klant GDAP verwijdert in de activiteitenlogboeken van partnercentrum.

Nee. GDAP is een optionele mogelijkheid voor partners die de services van hun klant op een gedetailleerdere en tijdsgebonden manier willen beheren. U kunt kiezen met welke klanten u een GDAP-relatie wilt maken.

Het antwoord is afhankelijk van hoe u uw klanten wilt beheren.

• Als u wilt dat uw partnergebruikers alle klanten kunnen beheren, kunt u al uw partnergebruikers in één beveiligingsgroep plaatsen en die ene groep al uw klanten kan beheren.
• Als u liever verschillende partnergebruikers wilt hebben die verschillende klanten beheren, wijst u deze partnergebruikers toe om beveiligingsgroepen voor klantisolatie te scheiden.

Ja. Indirecte resellers (en indirecte providers en partners voor directe facturering) kunnen GDAP-relatieaanvragen maken in partnercentrum.

Als onderdeel van de GDAP-installatie moet u ervoor zorgen dat beveiligingsgroepen die zijn gemaakt in de partnertenant met partnergebruikers zijn geselecteerd. Zorg er ook voor dat de gewenste Microsoft Entra-rollen zijn toegewezen aan de beveiligingsgroep. Raadpleeg Microsoft Entra-rollen toewijzen.

Klanten kunnen CSP's nu uitsluiten van beleid voor voorwaardelijke toegang, zodat partners kunnen overstappen naar GDAP zonder dat ze worden geblokkeerd.

• Gebruikers opnemen: deze lijst met gebruikers omvat doorgaans alle gebruikers die een organisatie richt in een beleid voor voorwaardelijke toegang.
• De volgende opties zijn beschikbaar om op te nemen bij het maken van beleid voor voorwaardelijke toegang:
• Gebruikers en groepen selecteren
• Gast- of externe gebruikers (preview)
• Deze selectie biedt verschillende opties die kunnen worden gebruikt om beleid voor voorwaardelijke toegang te richten op specifieke typen gasten of externe gebruikers en specifieke tenants die deze typen gebruikers bevatten. Er zijn verschillende typen gast- of externe gebruikers die kunnen worden geselecteerd en er kunnen meerdere selecties worden gemaakt:
• Gebruikers van serviceproviders, bijvoorbeeld een Cloud Solution Provider (CSP).
• U kunt een of meer tenants opgeven voor de geselecteerde gebruikerstypen of u kunt alle tenants opgeven.
• externe partnertoegang - Beleid voor voorwaardelijke toegang die externe gebruikers targeten, kan de toegang van serviceproviders verstoren, bijvoorbeeld gedetailleerde gedelegeerde beheerdersbevoegdheden. Zie Inleiding tot gedetailleerde gedelegeerde beheerdersbevoegdheden (GDAP)voor meer informatie. Voor beleidsregels die zijn bedoeld voor tenants van serviceproviders, gebruikt u de serviceprovidergebruiker extern gebruikerstype dat beschikbaar is in de Gast- of externe gebruikers selectieopties.
• Gebruikers uitsluiten: wanneer organisaties zowel een gebruiker of groep opnemen als uitsluiten, wordt de gebruiker of groep uitgesloten van het beleid, omdat een uitsluitingsactie een insluitingsactie in beleid overschrijft.
• De volgende opties zijn beschikbaar om uit te sluiten bij het maken van beleid voor voorwaardelijke toegang:
• Gast- of externe gebruikers
• Deze selectie biedt verschillende opties die kunnen worden gebruikt om beleid voor voorwaardelijke toegang te richten op specifieke typen gasten of externe gebruikers en specifieke tenants die deze typen gebruikers bevatten. Er zijn verschillende typen gast- of externe gebruikers die kunnen worden geselecteerden meerdere selecties kunnen worden gemaakt:
• Gebruikers van serviceproviders, bijvoorbeeld een Cloud Solution Provider (CSP)
• Een of meer tenants kunnen worden opgegeven voor de geselecteerde gebruikerstypen of u kunt alle tenants opgeven. Zie voor meer informatie:
• Graph API Experience: Bèta-API met de nieuwe gegevens van het externe gebruikerstype
• beleid voor voorwaardelijke toegang
• externe gebruikers voor voorwaardelijke toegang

Ja. Ongeacht het ondersteuningsplan dat u hebt, is serviceondersteuningsbeheerder de minst bevoorrechte rol voor partnergebruikers om ondersteuningstickets voor hun klant te kunnen maken.

Nee. De partner kan momenteel geen GDAP beëindigen in goedkeuring in behandeling status. Deze verloopt over 90 dagen als de klant geen actie onderneemt.

Pas na 365 dagen (opschonen) nadat de GDAP-relatie is beëindigd of verloopt, kunt u dezelfde naam opnieuw gebruiken om een nieuwe GDAP-relatie te maken.

Ja. Een partner kan hun klanten beheren in verschillende regio's zonder nieuwe partnertenants per klantregio te maken. Deze is alleen van toepassing op de rol van klantbeheer die wordt geleverd door GDAP (beheerdersrelaties). Transactierol en -mogelijkheden zijn nog steeds beperkt tot uw geautoriseerd gebied.

Nee. Een serviceprovider kan geen deel uitmaken van een multitenant-organisatie, ze sluiten elkaar wederzijds uit.

1. Zorg ervoor dat GDAP juist is ingesteld, inclusief hoe u machtigingen verleent voor beveiligingsgroepen.
2. Zorg ervoor dat uw gedetailleerde beveiligingsgroepmachtigingen juist zijn.
3. Raadpleeg de veelgestelde vragen over Security Copilot voor hulp.

Zie de documentatie voor ontwikkelaars van het Partnercentrumvoor meer informatie over API's en GDAP.

Ja. We raden partners aan de bèta-GDAP-API's te gebruiken voor productie en later over te schakelen naar API's v.1 wanneer ze beschikbaar komen. Hoewel er een waarschuwing is: 'Gebruik van deze API's in productietoepassingen wordt niet ondersteund', die algemene richtlijnen zijn voor een bèta-API onder Graph en niet van toepassing is op de bèta-GDAP Graph-API's.

Ja. U kunt GDAP-relaties maken met behulp van API's, waarmee partners dit proces kunnen schalen. Het maken van meerdere GDAP-relaties is echter niet beschikbaar in partnercentrum. Zie de partnercentrum-documentatie voor ontwikkelaarsvoor meer informatie over API's en GDAP.

De API werkt voor één beveiligingsgroep tegelijk, maar u kunt meerdere beveiligingsgroepen toewijzen aan meerdere rollen in partnercentrum.

Maak afzonderlijke aanroepen voor elke resource. Wanneer u één POST-aanvraag maakt, geeft u slechts één resource en de bijbehorende bereiken door. Als u bijvoorbeeld machtigingen wilt aanvragen voor zowel https://graph.windows.net/Directory.AccessAsUser.All als https://graph.microsoft.com/Organization.Read.All, moet u twee verschillende aanvragen maken, één voor elke aanvraag.

Gebruik de opgegeven koppeling om te zoeken naar de resourcenaam: Externe Microsoft-toepassingen verifiëren in aanmeldingsrapporten - Active Directory. Als u bijvoorbeeld de resource-id 00000003-0000-0000-c000-0000000000000 voor graph.microsoft.com zoekt:

Deze fout treedt meestal op wanneer een onjuiste id wordt gebruikt in het queryfilter. U kunt dit oplossen door ervoor te zorgen dat u de eigenschap enterpriseApplicationId met de juiste resource-idgebruikt, niet de resourcenaam.

• onjuiste aanvraag Voor enterpriseApplicationId, gebruikt u geen resourcenaam zoals graph.microsoft.com.
• Juiste aanvraag In plaats daarvan gebruikt u voor enterpriseApplicationIdde resource-id, zoals 00000003-0000-0000-c000-00000000000000.

Eerder in graph.microsoft.com resource is bijvoorbeeld alleen toestemming gegeven voor het bereik 'profiel'. Nu moeten we ook profiel en user.read toevoegen. Nieuwe bereiken toevoegen aan een eerder toegestane toepassing:

1. Gebruik de DELETE-methode om de bestaande toepassingstoestemming van de tenant van de klant in te trekken.
2. Gebruik de POST-methode om nieuwe toepassingstoestemming te maken met de extra bereiken.

Voeg de vereiste bereiken samen met behulp van een komma gevolgd door een spatie. Bijvoorbeeld 'scope': 'profile, User.Read'

1. Controleer of de eigenschappen 'displayName' en 'applicationId' in de aanvraagbody juist zijn en overeenkomen met de toepassing die u probeert toe te staan aan de tenant van de klant.
2. Zorg ervoor dat u dezelfde toepassing gebruikt om het toegangstoken te genereren dat u probeert toe te staan aan de tenant van de klant. Als de toepassings-id bijvoorbeeld 12341234-1234-1234-12341234 is, moet de claim 'appId' in het toegangstoken ook '12341234-1234-1234-1234-12341234' zijn.
3. Controleer of aan een van de volgende voorwaarden is voldaan:

• U hebt een actieve gedelegeerde beheerdersbevoegdheden (DAP) en de gebruiker is ook lid van de beveiligingsgroep Admin Agents in de partnertenant.
• U hebt een actieve GDAP-relatie (Granular Delegated Admin Privilege) met de tenant Klant met ten minste één van de volgende drie GDAP-rollen en u hebt de toegangstoewijzing voltooid:
  • Rol van globale beheerder, toepassingsbeheerder of cloudtoepassingsbeheerder.
  • De partnergebruiker is lid van de beveiligingsgroep die is opgegeven in de toegangstoewijzing.

• Als u Azure wilt beheren met partitionering per klant (wat de aanbevolen best practice is), maakt u een beveiligingsgroep (zoals Azure-managers) en nest u deze onder Beheerdersagents.
• Als u toegang wilt krijgen tot een Azure-abonnement als eigenaar voor een klant, kunt u elke ingebouwde rol van Microsoft Entra toewijzen (zoals Directory-lezers, de minst bevoorrechte rol) aan de Azure-managers beveiligingsgroep. Zie Workloads die worden ondersteund door gedetailleerde gedelegeerde beheerdersbevoegdheden (GDAP)voor de stappen voor het instellen van Azure GDAP.

Ja. Zie Minst bevoorrechte rollen per taak in Microsoft Entravoor informatie over het beperken van de beheerdersmachtigingen van een gebruiker door het toewijzen van rollen met minimale bevoegdheden in Microsoft Entra.

U wordt aangeraden de -serviceondersteuningsbeheerder rol toe te wijzen. Zie Rollen met minimale bevoegdheden per taak in Microsoft Entravoor meer informatie.

• Om de kloof tussen Microsoft Entra-rollen in partnercentrum-API en gebruikersinterface te verminderen, is er in juli 2024 een lijst met negen rollen beschikbaar in de gebruikersinterface van Partnercentrum.
• Onder Samenwerking:
  • Microsoft Edge-beheerder
  • Beheerder van virtuele bezoeken
  • Viva Goals Administrator
  • Viva Pulse-beheerder
  • Yammer-beheerder
• Onder Identiteit:
  • Beheerder van machtigingenbeheer
  • Beheerder van levenscycluswerkstromen
• Onder Overige:
  • Huisstijlbeheerder van organisatie
  • Fiatteur voor organisatieberichten

• Om de kloof tussen Microsoft Entra-rollen in partnercentrum-API en gebruikersinterface te verminderen, is in december 2024 een lijst met 17 rollen beschikbaar gesteld in de gebruikersinterface van Partnercentrum.
• Onder Samenwerking:
  • Inzichtenanalist
  • Microsoft 365-migratiebeheerder
  • Schrijver van organisatieberichten
  • SharePoint Embedded-beheerder
  • Teams Telefoniebeheerder
  • Success Manager van gebruikerservaring
• Onder Apparaten:
  • Microsoft Hardware Warranty Administrator
  • Microsoft Hardware Garantie Specialist
• Onder Identiteit:
  • Kenmerktoewijzingsbeheerder
  • Lezer van kenmerktoewijzing
  • Kenmerkdefinitiebeheerder
  • Kenmerkdefinitielezer
  • Kenmerklogboekbeheerder
  • Kenmerklogboeklezer
  • Verificatie-uitbreidbaarheidsbeheerder
  • Globale beheerder voor beveiligde toegang
  • Maker van tenant

Nee. De minst bevoorrechte rol voor partnergebruikers om ondersteuningstickets voor hun klant te kunnen maken, is de Service-ondersteuningsbeheerder. Als u daarom ondersteuningstickets voor de klant wilt kunnen maken, moet een partnergebruiker zich in een beveiligingsgroep bevinden en aan die klant met die rol zijn toegewezen.

Zie ingebouwde rollen van Microsoft Entravoor meer informatie over alle rollen. Zie Workloads die worden ondersteund door gedetailleerde gedelegeerde beheerdersbevoegdheden (GDAP)voor meer informatie over workloads.

Veel rollen worden gebruikt voor het Microsoft 365-beheercentrum. Zie Veelgebruikte rollen van het Microsoft 365-beheercentrumvoor meer informatie.

Ja. Maak een beveiligingsgroep, wijs goedgekeurde rollen toe en wijs vervolgens tenantgebruikers van partners toe aan die beveiligingsgroep.

Alleen-lezentoegang tot de abonnementen van de klant wordt geleverd door de Globale lezer, Directory-lezeren partnerlaag 2 ondersteunen rollen.

U wordt aangeraden de partneragents te verwijderen uit de beheerdersagent rol en deze alleen toe te voegen aan een GDAP-beveiligingsgroep. Op die manier kunnen ze services beheren (bijvoorbeeld servicebeheer en serviceaanvragen registreren), maar ze kunnen geen abonnementen kopen en beheren (aantal wijzigen, annuleren, wijzigingen plannen, enzovoort).

De beveiligingsgroepen die aan de relatie zijn toegewezen, verliezen de toegang tot die klant. Hetzelfde gebeurt als een klant een DAP-relatie beëindigt.

Ja. Als u de GDAP-relaties met een klant verwijdert, wordt de resellerrelatie van de partners met de klant niet beëindigd. Partners kunnen nog steeds producten kopen voor de klant en het Azure-budget en andere gerelateerde activiteiten beheren.

Nee. Alle rollen in een GDAP-relatie hebben dezelfde tijd om te verlopen: de duur die is gekozen toen de relatie werd gemaakt.

Nee. U hebt GDAP niet nodig om orders voor nieuwe en bestaande klanten te kunnen uitvoeren. U kunt hetzelfde proces blijven gebruiken om klantorders in partnercentrum te vervullen.

GDAP-relaties zijn per klant. U kunt meerdere relaties per klant hebben. Elke GDAP-relatie kan verschillende rollen hebben en verschillende Microsoft Entra-groepen binnen uw CSP-tenant gebruiken. In partnercentrum werkt roltoewijzing op klant-naar-GDAP-relatieniveau. Als u de roltoewijzing voor meerderecustomers wilt uitvoeren, kunt u automatiseren met behulp van API's.

GDAP-gastbeheerders kunnen hun eigen beveiligingsgegevens niet beheren op My Security-Info. In plaats daarvan hebben ze de hulp nodig van de tenantbeheerder waarin ze een gast zijn voor registratie, update of verwijdering van beveiligingsgegevens. Organisaties kunnen beleid voor toegang tussen tenants configureren om de MFA te vertrouwen vanuit de vertrouwde CSP-tenant. Anders zijn GDAP-gastbeheerders beperkt tot alleen methoden die kunnen worden geregistreerd door de tenantbeheerder (sms of spraak). Zie toegangsbeleid voor meerdere tenantsvoor meer informatie.

Uitlijnen op het leidende principe van Zero Trust: Gebruik toegang tot minimale bevoegdheden:

• U wordt aangeraden een minst bevoorrechte rol te gebruiken per taak en workloadtaken Workloads die worden ondersteund door gedetailleerde gedelegeerde beheerdersbevoegdheden (GDAP) ondersteund door GDAP.
• Wanneer het nodig is om bekende problemen te omzeilen, kunt u contact opnemen met uw klant om een tijdgebonden rol van globale beheerder aan te vragen.
• We niet het vervangen van de rol globale beheerder door alle mogelijke Microsoft Entra-rollen.

Ja. Tijdens de overgangsperiode worden DAP en GDAP naast elkaar gebruikt, waarbij GDAP-machtigingen voorrang hebben op DAP-machtigingen voor Microsoft 365-, Dynamics 365-en Azure-workloads.

DAP en GDAP bestaan naast elkaar tijdens de overgangsperiode. Uiteindelijk vervangt GDAP DAP echter om ervoor te zorgen dat we een veiligere oplossing bieden voor onze partners en klanten. We raden u aan uw klanten zo snel mogelijk over te zetten naar GDAP om continuïteit te garanderen.

Er zijn geen wijzigingen in de bestaande DAP-relatiestroom, terwijl DAP en GDAP naast elkaar bestaan.

DAP wordt momenteel verleend wanneer er een nieuwe klanttenant wordt gemaakt. Op 25 september 2023 verleent Microsoft GEEN DAP meer voor het maken van nieuwe klanten en verleent in plaats daarvan Standaard GDAP met specifieke rollen. De standaardrollen variëren per partnertype, zoals wordt weergegeven in de volgende tabel:

Partners kunnen Privileged Identity Management (PIM) implementeren op een GDAP-beveiligingsgroep in de tenant van de partner om de toegang van een paar gebruikers met hoge bevoegdheden te verhogen, just-in-time (JIT) om ze rollen met hoge bevoegdheden, zoals wachtwoordbeheerders, te verlenen met automatische verwijdering van toegang. Tot januari 2023moest elke Privileged Access Group (voormalige naam voor de functie PIM for Groups) zich in een roltoewijsbare groep bevinden. Deze beperking wordt nu verwijderd. Gezien deze wijziging is het mogelijk om meer dan 500 groepen in te schakelen per tenant in PIM, maar er kunnen maximaal 500 groepen worden toegewezen. Samenvatting:

• Partners kunnen zowel rol-toewijsbare als niet-rol-toewijsbare groepen in PIM gebruiken. Deze optie de limiet voor 500 groepen/tenant in PIM verwijdert.
• Met de nieuwste updates zijn er twee manieren om groep te onboarden naar PIM (UX-wise): vanuit het menu PIM of vanuit het menu Groepen. Ongeacht de manier waarop u kiest, is het nettoresultaat hetzelfde.
  • De mogelijkheid om rollen toe te wijzen/niet-roltoewijzingsgroepen via het PIM-menu is al beschikbaar.
  • De mogelijkheid om rollen toe te wijzen/niet-roltoewijzingsgroepen via het menu Groepen is al beschikbaar.
• Zie Privileged Identity Management (PIM) voor groepen (preview) - Microsoft Entravoor meer informatie.

GDAP is algemeen beschikbaar met ondersteuning voor alle commerciële Microsoft-cloudservices (Microsoft 365, Dynamics 365, Microsoft Azureen Microsoft Power Platform workloads). Voor meer informatie over hoe DAP en GDAP naast elkaar kunnen bestaan en hoe GDAP voorrang heeft, zoekt u in deze veelgestelde vragen naar de Hoe hebben GDAP-machtigingen voorrang op DAP-machtigingen terwijl DAP en GDAP naast elkaar bestaan? vraag.

U kunt deze actie uitvoeren met API's.

Nee. Uw PEC-inkomsten worden niet beïnvloed wanneer u overstapt naar GDAP. Er zijn geen wijzigingen in PAL met de overgang, zodat u PEC blijft verdienen.

• Als de klant van een partner alleen DAP heeft en DAP wordt verwijderd, gaat PEC niet verloren.
• Als de klant van een partner DAP heeft en deze tegelijkertijd overstapt naar GDAP voor Microsoft 365 en Azure en DAP wordt verwijderd, gaat PEC niet verloren.
• Als de klant van de partner DAP heeft en ze overstappen op GDAP voor Microsoft 365, maar Azure as-is behouden (ze worden niet verplaatst naar GDAP) en DAP wordt verwijderd, gaat PEC niet verloren, maar gaat de toegang tot het Azure-abonnement verloren.
• Als een RBAC-rol wordt verwijderd, gaat PEC verloren, maar verwijdert GDAP geen RBAC.

Wanneer de gebruiker deel uitmaakt van zowel de GDAP-beveiligingsgroep als de DAP-beheerdersagentgroep en de klant zowel DAP- als GDAP-relaties heeft, heeft GDAP-toegang voorrang op partner-, klant- en workloadniveau.

Als een partnergebruiker zich bijvoorbeeld aanmeldt voor een workload en er DAP is voor de rol Globale beheerder en GDAP voor de rol Globale lezer, krijgt de partnergebruiker alleen machtigingen voor globale lezer.

Als er drie klanten zijn met GDAP-rollentoewijzingen voor alleen GDAP-beveiligingsgroep (niet beheerdersagents):

In de volgende tabel wordt beschreven wat er gebeurt wanneer een gebruiker zich aanmeldt bij een andere klanttenant.

DAP en GDAP komen niet in aanmerking voor koppelingstypen voor toewijzingen van oplossingenpartner. aDisabling or transitioning from DAP to GDAP is niet van invloed op het bereiken van solutions partner aanduidingen. Ook wordt het vernieuwen van verouderde competentievoordelen of voordelen van oplossingen partner niet beïnvloed. Zie Partner partnerbenamingenom de andere partnerkoppelingstypen weer te geven die in aanmerking komen voor de aanwijzingen van oplossingenpartnerpartner.

Wat betreft de relatie tussen Azure Lighthouse en DAP/GDAP, kunt u ze beschouwen als ontkoppelde parallelle paden naar Azure-resources. De ene server moet niet van invloed zijn op de andere.

• In het Azure Lighthouse-scenario melden gebruikers van de partnertenant zich nooit aan bij de tenant van de klant en hebben ze geen Microsoft Entra-machtigingen in de tenant van de klant. Hun Azure RBAC-roltoewijzingen worden ook bewaard in de partnertenant.
• In het GDAP-scenario melden gebruikers van de partnertenant zich aan bij de tenant van de klant. De Azure RBAC-roltoewijzing aan de groep Beheerdersagenten bevindt zich ook in de tenant van de klant. U kunt het GDAP-pad blokkeren (gebruikers kunnen zich niet meer aanmelden) terwijl het Azure Lighthouse-pad niet wordt beïnvloed. Omgekeerd kunt u de Lighthouse-relatie (projectie) verbreken zonder dat dit van invloed is op GDAP. Zie de documentatie Azure Lighthouse voor meer informatie.

Managed Service Providers (MSP's) die zijn ingeschreven in het CSP-programma (Cloud Solution Provider) als indirecte resellers of directe factuur partners kunnen nu Microsoft 365 Lighthouse gebruiken om GDAP in te stellen voor elke klanttenant. Omdat er al een aantal manieren zijn waarop partners hun overgang naar GDAP beheren, kunnen Lighthouse-partners met deze wizard rolaanbieding toepassen die specifiek zijn voor hun bedrijfsbehoeften. Hiermee kunnen ze ook beveiligingsmaatregelen toepassen, zoals Just-In-Time-toegang (JIT). MSP's kunnen ook GDAP-sjablonen maken via Lighthouse om eenvoudig instellingen op te slaan en opnieuw toe te passen die de toegang van klanten met minimale bevoegdheden mogelijk maken. Zie de wizard Lighthouse GDAP-installatievoor meer informatie en om een demo te bekijken. MSP's kunnen GDAP instellen voor elke klanttenant in Lighthouse. Voor toegang tot de workloadgegevens van de klant in Lighthouse is een GDAP- of DAP-relatie vereist. Als GDAP en DAP naast elkaar bestaan in een tenant van de klant, hebben GDAP-machtigingen voorrang voor MSP-technici in beveiligingsgroepen met GDAP-functionaliteit. Zie Vereisten voor Microsoft 365 Lighthousevoor meer informatie over vereisten voor Microsoft 365 Lighthouse.

De juiste volgorde die u moet volgen voor dit scenario is:

1. Maak een GDAP-relatie voor zowel Microsoft 365 als Azure.
2. Wijs Microsoft Entra-rollen toe aan beveiligingsgroepen voor zowel Microsoft 365 als Azure.
3. Configureer GDAP om voorrang te krijgen op DAP.
4. DAP verwijderen.

De volgende reeks kan ertoe leiden dat geen toegang meer tot Azure-abonnementen:

1. DAP verwijderen. U verliest niet noodzakelijkerwijs de toegang tot een Azure-abonnement door DAP te verwijderen. Maar op dit moment kunt u niet door de directory van de klant bladeren om azure RBAC-roltoewijzingen uit te voeren (zoals het toewijzen van een nieuwe klantgebruiker als RBAC-inzender voor abonnementen).
2. Maak een GDAP-relatie voor microsoft 365 en Azure samen. In deze stap hebt u mogelijk geen toegang meer tot het Azure-abonnement zodra GDAP is ingesteld.
3. Wijs Microsoft Entra-rollen toe aan beveiligingsgroepen voor zowel Microsoft 365 als Azure

Nadat de installatie van Azure GDAP is voltooid, hebt u weer toegang tot Azure-abonnementen.

Als u Azure-abonnementen hebt zonder DAP- die u als eigenaar beheert, hebt u mogelijk geen toegang meer tot de Azure-abonnementen wanneer u GDAP voor Microsoft 365 aan die klant toevoegt. Om verlies van toegang te voorkomen, verplaatst u de klant naar Azure GDAP tegelijkertijd dat u de klant verplaatst naar Microsoft 365 GDAP.

Nee. Relaties, eenmaal geaccepteerd, kunnen niet meer worden gebruikt.

Als u een bestaande resellerrelatie met de klant hebt, moet u nog steeds een GDAP-relatie tot stand brengen om hun Azure-abonnementen te beheren.

1. Maak een beveiligingsgroep (bijvoorbeeld Azure-managers) in Microsoft Entra.
2. Maak een GDAP-relatie met de maplezer rol.
3. Maak de beveiligingsgroep lid van de Admin Agent groep. Nadat u deze stappen hebt uitgevoerd, kunt u het Azure-abonnement van uw klant beheren via AOBO. U kunt het abonnement niet beheren via CLI/Powershell.

Ja. U kunt een Azure-plan maken, zelfs als er geen DAP of GDAP is met een bestaande resellerrelatie. Maar om dat abonnement te kunnen beheren, hebt u DAP of GDAP nodig.

Wanneer partners overstappen van DAP naar GDAP, moeten ze ervoor zorgen dat het volgende is ingesteld om de bedrijfsgegevens te bekijken:

• Een actieve GDAP-relatie.
• Een van de volgende Microsoft Entra-rollen wordt toegewezen: Globale beheerder, Adreslijstlezers, Globale lezer. Raadpleeg gedetailleerde machtigingen verlenen aan beveiligingsgroepen.

Wanneer een CSP zich aanmeldt bij de Azure-portal van de klant (portal.azure.come) met behulp van hun CSP-referenties en er een GDAP-relatie bestaat, ziet de CSP dat de gebruikersnaam 'user_' is, gevolgd door een bepaald getal. De werkelijke gebruikersnaam wordt niet weergegeven zoals in DAP. Het is standaard.

Partners moeten expliciet gedetailleerde machtigingen verlenen aan beveiligingsgroepen in de standaard-GDAP.
Vanaf 10 oktober 2023 is DAP niet meer beschikbaar met resellerrelaties. De bijgewerkte koppeling resellerrelatie aanvragen is beschikbaar in de gebruikersinterface van het Partnercentrum en de URL van de eigenschap '/v1/customers/relationship requests' retourneert de uitnodigings-URL die moet worden verzonden naar de beheerder van de tenant van de klant.

Ja, partners moeten expliciet gedetailleerde machtigingen verlenen aan beveiligingsgroepen in de standaard GDAP om de klant te beheren.

Partners met resellerrelaties zonder DAP of GDAP kunnen klanten maken, orders plaatsen en beheren, softwaresleutels downloaden, Azure RI beheren. Ze kunnen geen bedrijfsgegevens van klanten bekijken, gebruikers niet bekijken of licenties toewijzen aan gebruikers, kunnen geen tickets registreren namens klanten en hebben geen toegang tot productspecifieke beheercentra (bijvoorbeeld Teams-beheercentrum.)

Voor een partner of CPV om toegang te krijgen tot en beheren van een klanttenant, moet de service-principal van de app worden toegestaan in de tenant van de klant. Wanneer DAP actief is, moeten ze de service-principal van de app toevoegen aan de beheeragents-SG in de partnertenant. Met GDAP moet de partner ervoor zorgen dat de app wordt toegestaan in de tenant van de klant. Als de app gedelegeerde machtigingen (App + Gebruiker) gebruikt en er een actieve GDAP bestaat met een van de drie rollen (Cloud Application Administrator, Application Administrator, Globale beheerder) toestemmings-API kunnen worden gebruikt. Als de app alleen machtigingen voor de toepassing gebruikt, moet deze handmatig worden toegestaan door de partner of klant met een van de drie rollen (cloudtoepassingsbeheerder, toepassingsbeheerder, globale beheerder), met behulp van beheerderstoestemmings-URL voor de hele tenant.

Als u de volgende fout ziet:

"We kunnen uw aanvraag 'Nieuwe GDAP-relatie maken' momenteel niet valideren. Houd er rekening mee dat anonieme verbindingen niet zijn toegestaan voor deze service. Als u denkt dat u dit bericht in de fout hebt ontvangen, probeert u uw aanvraag opnieuw. Selecteer deze optie voor meer informatie over acties die u kunt uitvoeren. Als het probleem zich blijft voordoen, neemt u contact op met de ondersteunings- en referentieberichtcode 715-123220 en transactie-id: guid.

Wijzig hoe u verbinding maakt met Microsoft, zodat de identiteitsverificatieservice correct kan worden uitgevoerd. Het helpt ervoor te zorgen dat uw account niet wordt aangetast en voldoet aan de voorschriften waaraan Microsoft zich moet houden.

U kunt het volgende doen:

• Wis uw browsercache.
• Schakel traceringspreventie uit in uw browser of voeg onze site toe aan uw uitzonderings-/veilige lijst.
• Schakel een VPN-programma (Virtual Private Network) uit dat u mogelijk gebruikt.
• Maak rechtstreeks verbinding vanaf uw lokale apparaat in plaats van via een virtuele machine (VM).

Als u na het uitvoeren van de vorige stappen nog steeds geen verbinding kunt maken, raden we u aan contact op te nemen met uw IT-helpdesk om uw instellingen te controleren om te zien of ze kunnen helpen identificeren wat het probleem veroorzaakt. Soms bevindt het probleem zich in de netwerkinstellingen van uw bedrijf. Uw IT-beheerder moet het probleem bijvoorbeeld oplossen door onze site veilig te vermelden of andere netwerkinstellingen aan te passen.

• Beperkt (directe factuur): nieuwe GDAP (beheerdersrelaties) kan niet worden gemaakt. Bestaande GDAPs en hun roltoewijzingen kunnen worden bijgewerkt.
• Onderbroken (directe factuur/indirecte provider/indirecte reseller): er kan geen nieuwe GDAP worden gemaakt. Bestaande GDAPs en hun roltoewijzingen kunnen niet worden bijgewerkt.
• Beperkte (directe factuur) + actief (indirecte reseller): voor beperkte directe factuur: nieuwe GDAP (beheerdersrelaties) kan niet worden gemaakt. Bestaande GDAPs en hun roltoewijzingen kunnen worden bijgewerkt. Voor Active Indirect Reseller: Nieuwe GDAP KAN worden gemaakt, bestaande GDAPs en hun roltoewijzingen kunnen worden bijgewerkt. Wanneer offboarded nieuwe GDAP niet kan worden gemaakt, kunnen bestaande GDAP en hun roltoewijzingen niet worden bijgewerkt.

Ja. De huidige versie van GDAP ondersteunt alle producten: Microsoft 365, Dynamics 365, Microsoft Power Platformen Microsoft Azure.