Uprzywilejowane role i uprawnienia w usłudze Microsoft Entra ID (wersja zapoznawcza)

Ważne

Etykieta dla ról uprzywilejowanych i uprawnień jest obecnie dostępna w wersji zapoznawczej. Zobacz Dodatkowe warunki użytkowania wersji zapoznawczych platformy Microsoft Azure, aby zapoznać się z postanowieniami prawnymi dotyczącymi funkcji platformy Azure, które są w wersji beta lub wersji zapoznawczej albo w inny sposób nie zostały jeszcze wydane jako ogólnie dostępne.

Identyfikator Entra firmy Microsoft ma role i uprawnienia, które są identyfikowane jako uprzywilejowane. Te role i uprawnienia mogą służyć do delegowania zarządzania zasobami katalogu do innych użytkowników, modyfikowania poświadczeń, zasad uwierzytelniania lub autoryzacji lub uzyskiwania dostępu do ograniczonych danych. Przypisania ról uprzywilejowanych mogą prowadzić do podniesienia uprawnień, jeśli nie są używane w bezpieczny i zamierzony sposób. W tym artykule opisano uprzywilejowane role i uprawnienia oraz najlepsze rozwiązania dotyczące sposobu używania.

Które role i uprawnienia są uprzywilejowane?

Aby uzyskać listę ról i uprawnień uprzywilejowanych, zobacz Wbudowane role firmy Microsoft Entra. Możesz również użyć centrum administracyjnego microsoft Entra, programu Microsoft Graph PowerShell lub interfejsu API programu Microsoft Graph do identyfikowania ról, uprawnień i przypisań ról, które są identyfikowane jako uprzywilejowane.

Centrum administracyjne

W centrum administracyjnym firmy Microsoft Entra wyszukaj etykietę PRIVILEGED .

Na stronie Role i administratorzy role uprzywilejowane są identyfikowane w kolumnie Privileged. W kolumnie Przypisania jest wyświetlana liczba przypisań ról. Możesz również filtrować role uprzywilejowane.

Podczas wyświetlania uprawnień dla roli uprzywilejowanej można zobaczyć, które uprawnienia są uprzywilejowane. Jeśli wyświetlisz uprawnienia jako użytkownik domyślny, nie będzie można zobaczyć, które uprawnienia są uprzywilejowane.

Podczas tworzenia roli niestandardowej można zobaczyć, które uprawnienia są uprzywilejowane, a rola niestandardowa zostanie oznaczona jako uprzywilejowana.

PowerShell

W programie Microsoft Graph PowerShell sprawdź, czy właściwość jest ustawiona IsPrivileged na True.

Aby wyświetlić listę ról uprzywilejowanych, użyj polecenia Get-MgBetaRoleManagementDirectoryRoleDefinition .

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can create and manage all aspects of app registrations and enterprise apps.
DisplayName             : Application Administrator
Id                      : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users in this role can
                          add, manage, and configureenterprise applications, app registrations and manage on-premises
                          like app proxy.], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$m
                          etadata#roleManagement/directory/roleDefinitions('9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3')/inhe
                          ritsPermissionsFrom]}


AllowedPrincipalTypes   :
Description             : Can reset passwords for non-administrators and Helpdesk Administrators.
DisplayName             : Helpdesk Administrator
Id                      : 729827e3-9c14-49f7-bb1b-9608f156bbb8
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 729827e3-9c14-49f7-bb1b-9608f156bbb8
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users with this role
                          can change passwords, invalidate refresh tokens, manage service requests, and monitor
                          service health. Invalidating a refresh token forces the user to sign in again. Helpdesk
                          administrators can reset passwords and invalidate refresh tokens of other users who are
                          non-administrators or assigned the following roles only:
                          * Directory Readers
                          * Guest Inviter
                          * Helpdesk Administrator
                          * Message Center Reader
                          * Password Administrator
                          * Reports Reader], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$
                          metadata#roleManagement/directory/roleDefinitions('729827e3-9c14-49f7-bb1b-9608f156bbb8')/inh
                          eritsPermissionsFrom]}

...

Aby wyświetlić listę uprawnień uprzywilejowanych, użyj polecenia Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction .

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

Aby wyświetlić listę przypisań ról uprzywilejowanych, użyj polecenia Get-MgBetaRoleManagementDirectoryRoleAssignment .

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

Interfejs API programu Graph

W interfejsie API programu Microsoft Graph sprawdź, czy właściwość isPrivileged jest ustawiona na wartość true.

Aby wyświetlić listę ról uprzywilejowanych, użyj interfejsu API list roleDefinitions .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

Aby wyświetlić listę uprawnień uprzywilejowanych, użyj interfejsu API List resourceActions .

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Aby wyświetlić listę przypisań ról uprzywilejowanych, użyj interfejsu API List unifiedRoleAssignments .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Najlepsze rozwiązania dotyczące używania ról uprzywilejowanych

Poniżej przedstawiono kilka najlepszych rozwiązań dotyczących używania ról uprzywilejowanych.

• Stosowanie zasady najniższych uprawnień
• Udzielanie dostępu just in time za pomocą usługi Privileged Identity Management
• Włączanie uwierzytelniania wieloskładnikowego dla wszystkich kont administratorów
• Konfigurowanie cyklicznych przeglądów dostępu w celu odwołania niepotrzebnych uprawnień w czasie
• Ogranicz liczbę administratorów globalnych do mniejszej niż 5
• Ogranicz liczbę przypisań ról uprzywilejowanych do mniejszej niż 10

Aby uzyskać więcej informacji, zobacz Najlepsze praktyki dotyczące ról Microsoft Entra.

Uprawnienia uprzywilejowane a akcje chronione

Uprawnienia uprzywilejowane i akcje chronione to funkcje związane z zabezpieczeniami, które mają różne cele. Uprawnienia z etykietą PRIVILEGED ułatwiają identyfikowanie uprawnień, które mogą prowadzić do podniesienia uprawnień, jeśli nie są używane w bezpieczny i zamierzony sposób. Chronione działania to uprawnienia ról, którym przypisano zasady dostępu warunkowego w celu zwiększenia bezpieczeństwa, takie jak wymóg uwierzytelniania wieloskładnikowego. Wymagania dostępu warunkowego są wymuszane, gdy użytkownik wykonuje chronioną akcję. Akcje chronione są obecnie w wersji zapoznawczej. Aby uzyskać więcej informacji, zobacz Co to są akcje chronione w usłudze Microsoft Entra ID?.

Zdolność	Uprawnienie uprzywilejowane	Akcja chroniona
Identyfikowanie uprawnień, które powinny być używane w bezpieczny sposób	✅
Wymaganie dodatkowych zabezpieczeń w celu wykonania akcji		✅

Terminologia

Aby zrozumieć uprzywilejowane role i uprawnienia w identyfikatorze Entra firmy Microsoft, warto poznać niektóre z poniższych terminów.

Termin	Definicja
akcja	Działanie, które podmiot zabezpieczeń może wykonać na typie obiektu. Czasami określane jako operacja.
pozwolenie	Definicja określająca działanie, które podmiot zabezpieczeń może wykonywać na typie obiektu. Uprawnienie obejmuje co najmniej jedną akcję.
uprawnienie uprzywilejowane	W Microsoft Entra ID dostępne są uprawnienia, które można wykorzystać do delegowania zarządzania zasobami katalogu innym użytkownikom, modyfikowania poświadczeń, zasad uwierzytelniania lub autoryzacji, oraz uzyskiwania dostępu do danych objętych ograniczeniami.
rola uprzywilejowana	Wbudowana lub niestandardowa rola, która ma co najmniej jedno uprawnienie uprzywilejowane.
przypisanie ról uprzywilejowanych	Przypisanie roli wykorzystujące rolę uprzywilejowaną.
eskalacja uprawnień	Gdy podmiot zabezpieczeń uzyskuje więcej uprawnień niż przypisana mu rola początkowo, podszywając się pod inną rolę.
akcja chroniona	Uprawnienia z dostępem warunkowym zastosowane do dodanych zabezpieczeń.

Jak zrozumieć uprawnienia roli

Schemat uprawnień luźno jest zgodny z formatem REST programu Microsoft Graph:

<namespace>/<entity>/<propertySet>/<action>

Na przykład:

microsoft.directory/applications/credentials/update

Element uprawnienia	opis
przestrzeń nazw	Produkt lub usługa, która uwidacznia zadanie i jest poprzedzana elementem microsoft. Na przykład wszystkie zadania w Microsoft Entra ID używają przestrzeni nazw microsoft.directory.
podmiot	Funkcja logiczna lub składnik uwidoczniony przez usługę w programie Microsoft Graph. Na przykład identyfikator Entra firmy Microsoft uwidacznia użytkowników i grupy, program OneNote uwidacznia notatki, a program Exchange uwidacznia skrzynki pocztowe i kalendarze. Istnieje specjalne allEntities słowo kluczowe służące do określania wszystkich jednostek w przestrzeni nazw. Jest to często używane w rolach, które udzielają dostępu do całego produktu.
zestaw właściwości	Określone właściwości lub aspekty jednostki, dla której jest udzielany dostęp. Na przykład microsoft.directory/applications/authentication/read daje możliwość odczytywania adresu URL odpowiedzi, adresu URL wylogowywania i niejawnej właściwości przepływu w obiekcie aplikacji w identyfikatorze Entra firmy Microsoft. allProperties wyznacza wszystkie właściwości jednostki, w tym właściwości uprzywilejowane. standard wyznacza wspólne właściwości, ale wyklucza uprzywilejowane powiązane z read akcją. Na przykład obejmuje możliwość odczytywania standardowych właściwości, microsoft.directory/user/standard/read takich jak publiczny numer telefonu i adres e-mail, ale nie prywatny pomocniczy numer telefonu lub adres e-mail używany do uwierzytelniania wieloskładnikowego. basic wyznacza wspólne właściwości, ale wyklucza uprzywilejowane powiązane z akcją update . Zestaw właściwości, które można odczytać, może się różnić od tego, co można zaktualizować. Dlatego istnieją standard i basic słowa kluczowe, aby to odzwierciedlić.
akcja	Operacje zazwyczaj przyznawane to tworzenie, odczytywanie, aktualizowanie lub usuwanie (CRUD). Istnieje specjalne allTasks słowo kluczowe służące do określania wszystkich powyższych możliwości (tworzenie, odczytywanie, aktualizowanie i usuwanie).

Porównanie ról uwierzytelniania

W poniższej tabeli porównaliśmy możliwości ról związanych z uwierzytelnianiem.

Rola	Zarządzanie metodami uwierzytelniania użytkownika	Zarządzanie uwierzytelnianiem wieloskładnikowym dla poszczególnych użytkowników	Zarządzanie ustawieniami uwierzytelniania wieloskładnikowego	Zarządzanie zasadami metody uwierzytelniania	Zarządzanie zasadami ochrony hasłem	Aktualizowanie właściwości poufnych	Usuwanie i przywracanie użytkowników
Administrator uwierzytelniania	Tak dla niektórych użytkowników	Nie.	Nie.	Nie.	Nie.	Tak dla niektórych użytkowników	Tak dla niektórych użytkowników
Administrator uwierzytelniania uprzywilejowanego	Tak dla wszystkich użytkowników	Nie.	Nie.	Nie.	Nie.	Tak dla wszystkich użytkowników	Tak dla wszystkich użytkowników
Administrator zasad uwierzytelniania	Nie.	Tak	Tak	Tak	Tak	Nie.	Nie.
Administrator użytkowników	Nie.	Nie.	Nie.	Nie.	Nie.	Tak dla niektórych użytkowników	Tak dla niektórych użytkowników

Kto może resetować hasła

W poniższej tabeli kolumny zawierają listę ról, które mogą resetować hasła i unieważniać tokeny odświeżania. Wiersze zawierają listę ról, dla których można zresetować hasło. Na przykład administrator haseł może zresetować hasło dla Czytelników katalogu, Zapraszającego gości, Administratora haseł i użytkowników bez roli administratora. Jeśli użytkownik ma przypisaną inną rolę, administrator haseł nie może zresetować swojego hasła.

Poniższa tabela zawiera role przypisane w obrębie dzierżawy. W przypadku ról przypisanych w zakresie jednostki administracyjnej obowiązują dalsze ograniczenia.

Rola, dla której można zresetować hasło	Administrator hasła	Administrator pomocy technicznej	Administrator uwierzytelniania	Administrator użytkownika	Administrator uwierzytelniania uprzywilejowanego	Administrator globalny
Administrator uwierzytelniania			✅		✅	✅
Czytelnicy katalogów	✅	✅	✅	✅	✅	✅
Administrator Główny					✅	✅*
Administrator grup				✅	✅	✅
Osoba zapraszająca	✅	✅	✅	✅	✅	✅
Administrator pomocy technicznej		✅		✅	✅	✅
Czytelnik wiadomości Centrum		✅	✅	✅	✅	✅
Administrator hasła	✅	✅	✅	✅	✅	✅
Administrator uwierzytelniania uprzywilejowanego					✅	✅
Administrator ról uprzywilejowanych					✅	✅
Czytelnik raportów		✅	✅	✅	✅	✅
Użytkownik (brak roli administratora)	✅	✅	✅	✅	✅	✅
Użytkownik (brak roli administratora, ale członek lub właściciel grupy z możliwością przypisania roli)					✅	✅
Użytkownik z rolą w zakresie ograniczonej jednostki administracyjnej zarządzania					✅	✅
Administrator użytkownika				✅	✅	✅
Menedżer sukcesu środowiska użytkownika		✅	✅	✅	✅	✅
Czytelnik raportów podsumowania użycia		✅	✅	✅	✅	✅
Wszystkie inne wbudowane i niestandardowe role					✅	✅

Ważne

Rola wsparcia Partnera Tier2 może resetować hasła i unieważniać tokeny odświeżania dla wszystkich osób niebędących administratorami oraz administratorów (w tym administratorów globalnych). Rola wsparcia dla Partnera Tier1 może resetować hasła i unieważniać tokeny odświeżania tylko dla użytkowników niebędących administratorami. Te role nie powinny być używane, ponieważ są przestarzałe.

Możliwość zresetowania hasła obejmuje możliwość aktualizowania następujących poufnych właściwości wymaganych do samoobsługowego resetowania hasła:

• telefony biznesowe
• telefon komórkowy
• otherMails

Kto może wykonywać poufne akcje

Niektórzy administratorzy mogą wykonywać następujące poufne akcje dla niektórych użytkowników. Wszyscy użytkownicy mogą odczytywać poufne właściwości.

Akcja delikatna	Nazwa właściwości poufnej
Wyłączanie lub włączanie użytkowników	accountEnabled
Aktualizowanie telefonu służbowego	businessPhones
Aktualizowanie telefonu komórkowego	mobilePhone
Aktualizowanie lokalnego niezmiennego identyfikatora	onPremisesImmutableId
Aktualizowanie innych wiadomości e-mail	otherMails
Aktualizowanie profilu hasła	passwordProfile
Aktualizowanie głównej nazwy użytkownika	userPrincipalName
Usuwanie lub przywracanie użytkowników	Nie dotyczy

W poniższej tabeli kolumny zawierają listę ról, które mogą wykonywać poufne akcje. Wiersze zawierają listę ról, dla których można wykonać akcję wrażliwą.

Poniższa tabela zawiera role przypisane w zakresie dzierżawy. W przypadku ról przypisanych w zakresie jednostki administracyjnej obowiązują dalsze ograniczenia.

Rola, na której można wykonać wrażliwe działanie	Administrator uwierzytelniania	Administrator użytkownika	Administrator autoryzacji uprzywilejowanej	Administrator globalny
Administrator uwierzytelniania	✅		✅	✅
Czytelnicy katalogów	✅	✅	✅	✅
Administrator globalny			✅	✅
Administrator grupy		✅	✅	✅
Osoba zapraszająca gości	✅	✅	✅	✅
Administrator pomocy technicznej		✅	✅	✅
Czytelnik Centrum Wiadomości	✅	✅	✅	✅
Administrator hasła	✅	✅	✅	✅
Administrator dostępu uprzywilejowanego			✅	✅
Administrator ról uprzywilejowanych			✅	✅
Czytelnik raportów	✅	✅	✅	✅
Użytkownik (brak roli administratora)	✅	✅	✅	✅
Użytkownik (brak roli administratora, ale członek lub właściciel grupy z możliwością przypisania roli)			✅	✅
Użytkownik z rolą przypisaną do jednostki administracyjnej o ograniczonym zarządzaniu			✅	✅
Administrator użytkownika		✅	✅	✅
Menedżer sukcesu środowiska użytkownika	✅	✅	✅	✅
Przeglądarka raportów podsumowania użycia	✅	✅	✅	✅
Wszystkie inne wbudowane i niestandardowe role			✅	✅

Następne kroki

• Najlepsze praktyki dotyczące ról Microsoft Entra
• Microsoft Entra — wbudowane role