Cargas de trabalho suportadas por privilégios de administrador delegados granulares (GDAP)
Funções apropriadas: Todos os usuários interessados no Partner Center
Este artigo lista tarefas para cargas de trabalho suportadas por privilégios de administrador delegado granular (GDAP).
As seguintes cargas de trabalho são suportadas:
- Cargas de trabalho suportadas por privilégios de administrador delegados granulares (GDAP)
- Microsoft Entra ID
- Centro de administração do Exchange
- Centro de administração do Microsoft 365
- Microsoft Purview
- Farol Microsoft 365
- Janelas 365
- Centro de administração do Teams
- Microsoft Defender XDR
- Power BI
- SharePoint
- Dynamics 365 e Power Platform
- Dynamics 365 Business Central
- Serviços de ciclo de vida do Dynamics
- Intune (Endpoint Manager)
- Portal do Azure
- Orientação GDAP alternativa do Azure (sem usar o Admin Agent)
- Visual Studio
- Por que não vejo alguns links DAP AOBO na página de gerenciamento de serviços GDAP?
- Conteúdo relacionado
Microsoft Entra ID
Todas as tarefas do Microsoft Entra são suportadas, exceto os seguintes recursos:
| Área | Capacidades | Problema |
|---|---|---|
| Gestão de grupos | Criação do grupo Microsoft 365, Administração de regras de associação dinâmica | Não suportado |
| Dispositivos | Administração de configurações para Enterprise State Roaming | |
| Aplicações | Consentimento para uma aplicação empresarial em linha com o início de sessão, Administração da aplicação empresarial 'Configurações do utilizador' | |
| Identidades externas | Administração de recursos de identidade externa | |
| Monitorização | Análise de log, configurações de diagnóstico, pastas de trabalho e a guia 'Monitoramento' na página de visão geral do Microsoft Entra | |
| Página de descrição geral | Meu feed - funções para usuário conectado | Pode exibir informações de função incorretas; não afeta as permissões reais |
| Definições do utilizador | Página de gestão de 'funcionalidades do utilizador' | Não acessível a determinadas funções |
Problemas Conhecidos:
- Os parceiros aos quais são concedidas funções Entra Security Reader ou Global Reader via GDAP estão enfrentando um erro "Sem acesso" ao tentar acessar Entra Roles e administradores em um locatário de cliente com PIM habilitado. Trabalha com a função de Administrador Global.
Centro de administração do Exchange
Para o centro de administração do Exchange, as seguintes tarefas são suportadas pelo GDAP.
| Tipo de recurso | Subtipo de recurso | Atualmente suportado | Problema |
|---|---|---|---|
| Gestão de destinatários | Caixas de correio | Criar caixa de correio compartilhada, atualizar caixa de correio, converter em caixa de correio compartilhada/de usuário, excluir caixa de correio compartilhada, gerenciar configurações de fluxo de mensagens, gerenciar políticas de caixa de correio, gerenciar delegação de caixa de correio, gerenciar endereços de e-mail, gerenciar respostas automáticas, gerenciar mais ações, editar informações de contato, gerenciamento de grupos | Abrir a caixa de correio de outro utilizador |
| Recursos | Criar/Adicionar um Recurso [Equipamento/Sala], Excluir um Recurso, Gerenciar Configuração Ocultar da GAL, Gerenciar configurações de Delegados de Reserva, Gerenciar configurações de Delegados de Recursos | ||
| Contactos | Criar/Adicionar um contato [Usuário de email/Contato de email], Excluir um contato, Editar configurações da organização | ||
| Fluxo de mensagens | Rastreamento de mensagens | Iniciar um rastreamento de mensagens, Verificar consultas padrão/personalizadas/salvas automaticamente/para download, Regras | Alerta, Políticas de Alerta |
| Domínios remotos | Adicionar um domínio remoto, excluir um domínio remoto, editar relatórios de mensagens, tipos de resposta | ||
| Domínios aceites | Gerenciar domínios aceitos | ||
| Conectores | Adicionar um conector, gerenciar restrições, identidade de e-mail enviado, excluir conector | ||
| Funções | Funções de Administrador | Adicionar Grupo de Funções, Excluir Grupos de Funções que não são Grupos de Funções incorporados, Editar Grupos de Funções que não são Grupos de Funções incorporados, Copiar Grupo de Funções | |
| Migração | Migração | Adicionar lote de migração, experimentar a migração do Google Workspace, aprovar lote de migração, visualizar detalhes do lote de migração, excluir lote de migração | |
| Link do centro de administração do Microsoft 365 | Link para ir para o Centro de Administração do Microsoft 365 | ||
| Diversos | Dar Widget de Feedback, Widget Central de Suporte | ||
| Dashboard | Relatórios |
As funções RBAC suportadas incluem o seguinte:
- Administrador do Exchange
- Administrador Global
- Administrador do Helpdesk
- Leitor Global
- Administrador de Segurança
- Administrador de destinatários do Exchange
Centro de administração do Microsoft 365
Importante
Alguns dos principais recursos do centro de administração do Microsoft 365 podem ser afetados por incidentes de serviço e trabalho de desenvolvimento contínuo. Você pode exibir problemas ativos do centro de administração do Microsoft 365 no Portal de administração da Microsoft.
Temos o prazer de anunciar o lançamento do suporte do centro de administração do Microsoft 365 para GDAP. Com esta versão prévia, você terá a capacidade de entrar no centro de administração com todas as funções do Microsoft Entra suportadas por clientes corporativos, exceto leitores de diretório.
Esta versão tem recursos limitados e permitirá que você use as seguintes áreas do centro de administração do Microsoft 365:
- Utilizadores (incluindo a atribuição de licenças)
- Licenças de Faturação>
- Estado de Funcionamento do Serviço de Saúde>
- Central>de Suporte Criando tíquete de suporte
Nota
A partir de 23 de setembro de 2024, você não poderá mais acessar o menu Compras de > Cobrança ou Faturas > de Cobrança & Pagamentos por Administrador Em Nome de (AOBO) acesso a páginas no centro de administração do Microsoft 365
Problemas Conhecidos:
- Não é possível exportar relatórios de produtos de uso do site.
- Não é possível aceder a aplicações integradas no sistema de navegação esquerdo.
Microsoft Purview
Para o Microsoft Purview, as seguintes tarefas são suportadas pelo GDAP.
| Solução | Atualmente suportado | Problema |
|---|---|---|
| Audit | Soluções de auditoria do Microsoft 365 - Configurar auditoria básica/avançada - Registo de auditoria de pesquisa - Usando o PowerShell para pesquisar log de auditoria - Exportar/configurar/visualizar log de auditoria - Ligue e desative a auditoria - Gerenciar políticas de retenção de logs de auditoria - Investigar problemas comuns/contas comprometidas - Exportar/configurar/visualizar log de auditoria |
|
| Gestor de Conformidade | Gestor de Conformidade - Construir e gerenciar avaliações - Criar/ampliar/modificar modelos de avaliação - Atribuir e completar ações de melhoria - Definir permissões de usuário |
|
| PDM | Proteção de informações do Microsoft Purview Saiba mais sobre a classificação de dados Saiba mais sobre a prevenção contra perda de dados Classificação dos dados: - Criar e gerenciar tipos de informações confidenciais - Criar e gerenciar correspondência exata de dados - Monitore o que está sendo feito com o conteúdo rotulado usando o Activity Explorer Proteção de informações: - Criar e publicar rótulos de sensibilidade e políticas de rótulos - Definir etiquetas a serem aplicadas a arquivos e e-mails - Definir rótulos a serem aplicados a sites e grupos - Definir rótulos a serem aplicados a ativos de dados esquematizados - Aplique automaticamente um rótulo ao conteúdo usando a etiquetagem automática do lado do cliente e a etiquetagem automática do lado do servidor e ativos de dados esquematizados - Restringir o acesso a conteúdo rotulado usando criptografia - Configurar privacidade e acesso de usuário externo e compartilhamento externo e acesso condicional para rótulos aplicados a sites e grupos - Definir a política de rótulos para incluir controles padrão, obrigatórios e de downgrade e aplicá-los a arquivos e e-mails, grupos e sites e conteúdo do Power BI DLP: - Criar, testar e ajustar uma política de DLP - Realizar alertas e gestão de incidentes - Ver eventos de correspondência de regras DLP no explorador de atividades - Definir configurações de DLP do Endpoint |
- Ver conteúdo rotulado no Content Explorer - Criar e gerir Classificadores Treináveis - Suporte a etiquetas de Grupos e Sites |
| Gestão do Ciclo de Vida dos Dados do Microsoft Purview | Saiba mais sobre o Microsoft Purview Data Lifecycle Management no Microsoft 365 - Criar e gerenciar políticas de retenção estáticas e adaptáveis - Criar etiquetas de retenção - Criar políticas de etiquetas de retenção - Criar e gerenciar escopos adaptáveis |
- Arquivo - Importar arquivos PST |
| Gestão de Registos do Microsoft Purview | Gerenciamento de registros do Microsoft Purview - Rotular o conteúdo como um disco - Rotular o conteúdo como um registro regulatório - Criar e gerenciar políticas de etiquetas de retenção estáticas e adaptáveis - Criar e gerenciar escopos adaptáveis - Migre etiquetas de retenção e gerencie seus requisitos de retenção com plano de arquivos - Configurar configurações de retenção e exclusão com rótulos de retenção - Reter conteúdo quando ocorre um evento com retenção baseada em eventos |
- Gestão de disposição |
Para saber mais sobre as funções suportadas do Microsoft Entra no portal de conformidade do Microsoft 365, consulte Permissões no Microsoft Purview
Microsoft 365 Lighthouse
O Microsoft 365 Lighthouse é um portal de administração que ajuda os Provedores de Serviços Gerenciados (MSPs) a proteger e gerenciar dispositivos, dados e usuários em escala para clientes de pequenas e médias empresas.
As funções GDAP concedem o mesmo acesso de cliente no Lighthouse como quando essas funções GDAP são usadas para acessar os portais de administração dos clientes individualmente. O Lighthouse fornece uma visão multilocatária entre usuários, dispositivos e dados com base no nível de permissões delegadas dos usuários. Para obter uma visão geral de todas as funcionalidades de gerenciamento multilocatário do Lighthouse, consulte a documentação do Lighthouse.
Agora, os MSPs podem usar o Lighthouse para configurar o GDAP para qualquer locatário do cliente. O Lighthouse fornece recomendações de função com base em diferentes funções de trabalho MSP para um MSP, e os modelos GDAP do Lighthouse permitem que os parceiros salvem e reapliquem facilmente as configurações que permitem o acesso do cliente menos privilegiado. Para obter mais informações e visualizar uma demonstração, consulte o assistente de configuração do Lighthouse GDAP.
Para o Microsoft 365 Lighthouse, as seguintes tarefas são suportadas pelo GDAP. Para obter mais informações sobre as permissões necessárias para acessar o Microsoft 365 Lighthouse, consulte Visão geral das permissões no Microsoft 365 Lighthouse.
| Recurso | Atualmente suportado |
|---|---|
| Home Page | Incluído |
| Inquilinos | Incluído |
| Utilizadores | Incluído |
| Dispositivos | Incluído |
| Gestão de ameaças | Incluído |
| Bases de referência | Incluído |
| Windows 365 | Incluído |
| Estado de funcionamento dos serviços | Incluído |
| Registos de auditoria | Incluído |
| Integração | Os clientes devem ter um relacionamento GDAP e revendedor indireto ou um relacionamento DAP para serem integrados. |
As funções de controle de acesso baseado em função do Azure (Azure RBAC) com suporte incluem o seguinte:
- Administrador de Autenticação
- Administrador de conformidade
- Administrador de Acesso Condicional
- Administrador de dispositivos na nuvem
- Administrador Global
- Leitor Global
- Administrador do Helpdesk
- Administrador do Intune
- Administrador de senha
- Administrador de Autenticação Privilegiada
- Administrador de Segurança
- Operador de Segurança
- Leitor de Segurança
- Administrador de Suporte de Serviços
- Administrador de Utilizadores
Windows 365
Para o Windows 365, as seguintes tarefas são suportadas pelo GDAP.
| Recurso | Atualmente suportado |
|---|---|
| PC na nuvem | Listar Cloud PCs, Get Cloud PC, Reprovisionar Cloud PC, Terminar período de carência, Reprovisionar ação remota Cloud PC, Reprovisionar ação remota Cloud PCs, Redimensionar Cloud PCs ação remota, Obter resultados de ação remota Cloud PC |
| Imagem do dispositivo Cloud PC | Listar imagens de dispositivo, Obter imagem de dispositivo, Criar imagem de dispositivo, Excluir imagem de dispositivo, Obter imagem de origem, Recarregar imagem de dispositivo |
| Conexão de rede local do Cloud PC | Listar conexão local, Obter conexão local, Criar conexão local, Atualizar conexão local, Excluir conexão local, Executar verificações de integridade, Atualizar senha de domínio do AD |
| Política de provisionamento de Cloud PC | Listar políticas de provisionamento, Obter política de provisionamento, Criar política de provisionamento, Atualizar política de provisionamento, Excluir política de provisionamento, Atribuir política de provisionamento |
| Evento de auditoria do Cloud PC | Listar eventos de auditoria, Obter evento de auditoria, Obter tipos de atividade de auditoria |
| Configuração do usuário do Cloud PC | Listar configurações do usuário, Obter configuração do usuário, Criar configuração do usuário, Atualizar configuração do usuário, Excluir configuração do usuário, Atribuir |
| Região suportada pelo Cloud PC | Listar regiões suportadas |
| Planos de serviço de PC na nuvem | Listar planos de serviço |
As funções RBAC do Azure com suporte incluem o seguinte:
- Administrador Global
- Administrador do Intune
- Administrador de Segurança
- Operador de Segurança
- Leitor de Segurança
- Leitor Global
- (Em verificação) Administrador do Windows 365
Recursos não suportados para visualização:
- N/A
Centro de administração do Teams
Para o centro de administração do Teams, as tarefas a seguir são suportadas pelo GDAP.
| Recurso | Atualmente suportado |
|---|---|
| Utilizadores | Atribuir políticas, Configurações de voz, Chamadas de saída, Configurações de recebimento de chamadas em grupo, Configurações de delegação de chamadas, Números de telefone, Configurações de conferência |
| Teams | Políticas do Teams, Políticas de atualização |
| Dispositivos | Telefones IP, Salas do Teams, Barras de colaboração, Monitores do Teams, Painéis do Teams |
| Localizações | Rótulos de relatórios, endereços de emergência, topologia de rede, redes e locais |
| Reuniões | Pontes de conferência, Políticas de reunião, Configurações de reunião, Políticas de eventos ao vivo, Configurações de eventos ao vivo |
| Políticas de mensagens | Políticas de mensagens |
| Voz | Políticas de emergência, Planos de discagem, Planos de roteamento de voz, Filas de chamadas, Atendedores automáticos, Políticas de estacionamento de chamadas, Políticas de chamadas, Políticas de identificação de chamadas, Números de telefone, Roteamento direto |
| Análises e relatórios | Relatórios de utilização |
| Configurações em toda a organização | Acesso externo, Acesso de convidado, Configurações do Teams, Atualização do Teams, Feriados, Contas de recursos |
| Planeamento | Planejador de rede |
| Módulo do PowerShell do Teams | Todos os cmdlets do PowerShell do módulo Teams PowerShell (disponível no módulo Teams PowerShell - versão 3.2.0 Preview) |
As funções RBAC suportadas incluem o seguinte:
- Administrador de Equipas
- Administrador Global
- Administrador de Comunicações do Teams
- Engenheiro de Suporte de Comunicação de Equipes
- Especialista em Suporte de Comunicação de Equipes
- Administrador de dispositivos do Teams
- Leitor Global
Os recursos sem suporte para acesso GDAP incluem o seguinte:
- Gerenciar equipes
- Modelos de equipa
- Aplicações Teams
- Pacotes de políticas
- Conselheiro de equipas
- Painel de Qualidade de Chamadas
Microsoft Defender XDR
O Microsoft Defender XDR é um pacote unificado de defesa empresarial pré e pós-violação. Ele coordena nativamente a deteção, prevenção, investigação e resposta entre endpoints, identidades, e-mail e aplicativos para fornecer proteção integrada contra ataques sofisticados.
O portal Microsoft Defender também é a casa de outros produtos na pilha de segurança do Microsoft 365, como o Microsoft Defender for Endpoint e o Microsoft Defender for Office 365.
A documentação de todos os recursos e produtos de segurança está disponível no portal do Microsoft Defender:
Microsoft Defender para ponto de extremidade:
- Microsoft Defender para Ponto de Extremidade
- Recursos do Microsoft Defender for Endpoint P1
- Microsoft Defender para Empresas
Microsoft Defender para Office 365:
- Proteção do Exchange Online (EOP)
- Microsoft Defender para Office 365 Plano 1
- Microsoft Defender para Office 365 Plano 2
Governança do aplicativo:
A seguir estão os recursos que estão disponíveis para locatários que acessam o portal do Microsoft Defender usando um token GDAP.
| Tipo de recurso | Atualmente suportado |
|---|---|
| Recursos do Microsoft Defender XDR | Todos os recursos do Microsoft Defender XDR (conforme listado na documentação acima): Incidentes, Caça avançada, Central de Ação, Análise de ameaças, Conexão das seguintes cargas de trabalho de segurança ao Microsoft Defender XDR: Microsoft Defender for Endpoint, Microsoft Defender for Identity, Microsoft Defender for Cloud Apps |
| Recursos do Microsoft Defender for Endpoint | Todos os recursos do Microsoft Defender for Endpoint listados na documentação acima, consulte os detalhes por SKU P1 / SMB na tabela abaixo. |
| Microsoft Defender para Office 365 | Todos os recursos do Microsoft Defender para Office 365 listados na documentação acima. Veja os detalhes por cada licença nesta tabela: Segurança do Office 365, incluindo o Microsoft Defender para Office 365 e a Proteção do Exchange Online |
| Governação de Aplicações | A autenticação funciona para o token GDAP (token App+User), as políticas de autorização funcionam de acordo com as funções do usuário como antes |
Funções do Microsoft Entra suportadas no portal do Microsoft Defender:
Documentação de funções suportadas no portal do Microsoft Defender
Nota
Nem todas as funções são aplicáveis a todos os produtos de segurança. Para obter informações sobre quais funções são suportadas em um produto específico, consulte a documentação do produto.
Recursos MDE suportados no portal do Microsoft Defender por SKU
| Recursos de endpoint por SKU | Microsoft Defender para Empresas | Plano 1 do Microsoft Defender for Endpoint | Plano 2 do Microsoft Defender for Endpoint |
|---|---|---|---|
| Gestão centralizada | X | X | X |
| Configuração simplificada do cliente | X | ||
| Gestão de ameaças e vulnerabilidades | X | X | |
| Redução da superfície de ataque | X | X | X |
| Proteção de última geração | X | X | X |
| Deteção e resposta de pontos finais | X | X | |
| Investigação e resposta automatizadas | X | X | |
| Caça a ameaças e retenção de dados por seis meses | X | ||
| Análise de ameaças | X | X | |
| Suporte multiplataforma para Windows, MacOS, iOS e Android | X | X | X |
| Especialistas em ameaças da Microsoft | X | ||
| APIs de parceiros | X | X | X |
| Microsoft 365 Lighthouse para visualizar incidentes de segurança entre clientes | X |
Power BI
Para a carga de trabalho do Power BI, as tarefas a seguir são suportadas pelo GDAP.
| Tipo de recurso | Atualmente suportado |
|---|---|
| Tarefas do administrador | - Todos os itens de menu em "Portal de administração", exceto "Conexões do Azure" |
Funções do Microsoft Entra suportadas no escopo:
- Administrador de malha
- Administrador Global
Propriedades do Power BI fora do escopo:
- Nem todas as tarefas que não são de administrador têm a garantia de funcionar
- "Conexões do Azure" no Portal de administração
SharePoint
Para o SharePoint, as seguintes tarefas são suportadas pelo GDAP.
| Tipo de recurso | Atualmente suportado |
|---|---|
| Home page | Os cartões são renderizados, mas os dados podem não ser renderizados |
| Gestão de Sites – Ative Sites | Criar sites: Site de equipa, Site de comunicação, Atribuir/alterar proprietário do site, Atribuir etiqueta de sensibilidade ao site (se configurado no Microsoft Entra ID) durante a criação do site, Alterar etiqueta de sensibilidade do site, Atribuir definições de privacidade ao site (se não estiver predefinido com uma etiqueta de sensibilidade), Adicionar/remover membros a um site, Editar definições de partilha externa do site, Editar nome do site, Editar URL do site, Ver atividade do site, Editar limite de armazenamento, Eliminar um site, Alterar vistas incorporadas de sites, Exportar lista de sites para ficheiro CSV, Guardar vistas personalizadas de sites, Associar site a um Hub, Registar site como Hub |
| Gestão de Sites – Ative Sites | Crie outros sites: Centro de Documentos, Wiki Empresarial, Portal de Publicação, Centro de Conteúdo |
| Gestão de Sites – Sites Eliminados | Restaurar site, Excluir permanentemente site (exceto para sites de equipe conectados a grupos do Microsoft 365) |
| Políticas – Partilha | Definir políticas de compartilhamento externo para SharePoint e OneDrive for Business, alterar "Mais configurações de compartilhamento externo", definir políticas para links de arquivos e pastas, alterar "Outras configurações" para compartilhamento |
| Controlo de acesso | Definir/alterar política de dispositivo não gerenciado, Definir/alterar políticas de linha do tempo de sessões ociosas, Definir/alterar política de local de rede (separado da política de IP do Microsoft Entra, Definir/alterar política de autenticação moderna, Definir/alterar acesso ao OneDrive |
| Definições | SharePoint - Home site, SharePoint - Notificações, SharePoint - Páginas, SharePoint - Criação de sites, SharePoint - Limites de armazenamento do site, OneDrive - Notificações, OneDrive - Retenção, OneDrive - Limite de armazenamento, OneDrive - Sincronização |
| PowerShell | Para conectar um locatário do cliente como administrador do GDAP, use um ponto de extremidade de autorização locatário (com a ID do locatário do cliente) no AuthenticanUrl parâmetro em vez do ponto de extremidade comum padrão.Por exemplo, Connect-SPOService -Url https://contoso-admin.sharepoing.com -AuthenticationUrl https://login.microsoftonline.com/<tenantID>/oauth2/authorize. |
As funções no escopo incluem o seguinte:
- Administrador do SharePoint
- Administrador Global
- Leitor Global
As propriedades do Centro de Administração do SharePoint fora do escopo incluem o seguinte:
- Todos os recursos/funcionalidades/modelos do Classic Admin estão fora do escopo e não é garantido que funcionem corretamente
- Observação: para qualquer função GDAP suportada pelo Centro de Administração do SharePoint, os parceiros não podem editar arquivos e permissões em arquivos e pastas no site do SharePoint do cliente. Este era um risco de segurança para os clientes e foi abordado.
Dynamics 365 e Power Platform
Para a plataforma Power e os aplicativos Dynamics 365 Customer Engagement (Vendas, Serviço), as tarefas a seguir são suportadas pelo GDAP.
| Tipo de recurso | Atualmente suportado |
|---|---|
| Tarefas do administrador | - Todos os itens de menu no centro de administração da Power Platform |
As funções suportadas do Microsoft Entra no escopo incluem o seguinte:
- Administrador de plataforma de energia
- Administrador global
- Administrador do Helpdesk (para Ajuda + Suporte)
- Administrador de Suporte de Serviço (para Ajuda + Suporte)
Propriedades fora do escopo:
- https://make.powerapps.com não suporta GDAP.
Dynamics 365 Business Central
Para o Dynamics 365 Business Central, as tarefas a seguir são suportadas pelo GDAP.
| Tipo de recurso | Atualmente suportado |
|---|---|
| Tarefas do administrador | Todas as tarefas* |
* Algumas tarefas exigem permissões atribuídas ao usuário administrador no ambiente do Dynamics 365 Business Central. Consulte a documentação disponível.
As funções suportadas do Microsoft Entra no escopo incluem o seguinte:
- Administrador do Dynamics 365
- Administrador global
- Administrador de Help Desk
Propriedades fora do escopo:
- Nenhuma
Serviços de ciclo de vida do Dynamics
Para o Dynamics Lifecycle Services, as tarefas a seguir são suportadas pelo GDAP.
| Tipo de recurso | Atualmente suportado |
|---|---|
| Tarefas do administrador | Todas as tarefas |
As funções suportadas do Microsoft Entra no escopo incluem o seguinte:
- Administrador do Dynamics 365
- Administrador global
Propriedades fora do escopo:
- Nenhuma
Intune (Endpoint Manager)
Funções do Microsoft Entra suportadas no escopo:
- Administrador do Intune
- Administrador Global
- Leitor Global
- Leitor de Relatórios
- Leitor de segurança
- Administrador de conformidade
- Administrador de Segurança
Para verificar o nível de acesso para as funções acima, consulte a documentação do RBAC do Intune.
O suporte para o Intune não inclui o uso do GDAP ao registrar servidores para o Microsoft Tunnel ou para configurar ou instalar qualquer um dos conectores para o Intune. Exemplos de conectores do Intune incluem, mas não estão limitados a, o Conector do Intune para Ative Directory, o conector de defesa contra ameaças móveis e o conector do Microsoft Defender para Ponto de Extremidade.
Problema conhecido: os parceiros que acessam políticas em aplicativos do Office são exibidos "Não foi possível recuperar dados para 'OfficeSettingsContainer'. Use guid para relatar esse problema à Microsoft."
Portal do Azure
Funções do Microsoft Entra no escopo:
- Qualquer função do Microsoft Entra, como Leitores de Diretório (função menos privilegiada) para acessar a assinatura do Azure como proprietário
Orientação da função GDAP:
- Parceiro e cliente devem ter relação de revendedor
- O parceiro deve criar um grupo de segurança (por exemplo, Gerentes do Azure) para gerenciar o Azure e aninha-lo em Agentes de Administração para particionamento de acesso por cliente, conforme a prática recomendada recomendada.
- Quando o parceiro compra o plano do Azure para o cliente, a assinatura do Azure é provisionada e o grupo Agentes Administradores recebe o RBAC do Azure como proprietário na assinatura do Azure
- Como o grupo de segurança Gerentes do Azure é membro do grupo Agentes de Administração, os usuários que são membros dos Gerentes do Azure se tornam o proprietário do RBAC de assinatura do Azure
- Para acessar a assinatura do Azure como proprietário do cliente, qualquer função do Microsoft Entra, como Leitores de Diretório (função menos privilegiada), deve ser atribuída ao grupo de segurança Gerentes do Azure
Orientação GDAP alternativa do Azure (sem usar o Admin Agent)
Pré-requisitos:
- Parceiro e cliente têm uma relação de Revendedor .
- O parceiro criou um grupo de segurança para gerenciar o Azure e aninhado-o no grupo HelpDeskAgents por particionamento de acesso do cliente, como é uma prática recomendada recomendada.
- O parceiro comprou um plano do Azure para o cliente, a assinatura do Azure foi provisionada e o parceiro atribuiu o grupo de Agentes de Administração do Azure RBAC como proprietário na assinatura do Azure, mas nenhuma atribuição de função RBAC foi feita para Agentes de Helpdesk.
Etapas de administração do parceiro:
O administrador do parceiro na assinatura executa os seguintes scripts usando o PowerShell para criar o Helpdesk FPO na assinatura do Azure.
Conecte-se ao locatário parceiro para obter o
object IDdo grupo HelpDeskAgents.Connect-AzAccount -Tenant "Partner tenant" # Get Object ID of HelpDeskAgents group Get-AzADGroup -DisplayName HelpDeskAgentsConfirme que o cliente tem:
- A função de proprietário ou administrador de acesso de utilizador
- Permissões para criar atribuições de funções ao nível da subscrição
Passos do cliente:
Para concluir o processo, seu cliente deve executar as etapas a seguir, usando o PowerShell ou a CLI do Azure.
Se estiver usando o PowerShell, o cliente precisará atualizar o
Az.Resourcesmódulo.Update-Module Az.ResourcesConecte-se ao locatário no qual a assinatura CSP existe.
Connect-AzAccount -TenantID "<Customer tenant>"az login --tenant <Customer tenant>Conecte-se à assinatura.
Nota
Isso só é aplicável se o usuário tiver permissões de atribuição de função em várias assinaturas no locatário.
Set-AzContext -SubscriptionID <"CSP Subscription ID">az account set --subscription <CSP Subscription ID>Crie a atribuição de função.
New-AzRoleAssignment -ObjectID "<Object ID of the HelpDeskAgents group from step above>" -RoleDefinitionName "Owner" -Scope "/subscriptions/'<CSP subscription ID>'"az role assignment create --role "Owner" --assignee-object-id <Object ID of the HelpDeskAgents group from step above> --scope "/subscriptions/<CSP Subscription Id>"
Visual Studio
Funções do Microsoft Entra no escopo:
- Qualquer função do Microsoft Entra, como Leitores de Diretório (função menos privilegiada) para acessar a assinatura do Azure como proprietário
Orientação da função GDAP aos parceiros:
- Pré-requisitos:
- O parceiro e o cliente devem ter uma relação de revendedor
- O parceiro deve comprar a assinatura do Azure para o cliente
- O parceiro deve criar um grupo de segurança (por exemplo, gerentes do Visual Studio) para comprar e gerenciar assinaturas do Visual Studio e aninha-lo em Agentes de Administração para particionamento de acesso por cliente, conforme a prática recomendada recomendada.
- A função GDAP para comprar e gerenciar o Visual Studio é a mesma do Azure GDAP.
- O Grupo de Segurança de gerentes do Visual Studio deve receber qualquer função do Microsoft Entra, como Leitores de Diretório (função menos privilegiada) para acessar a assinatura do Azure como proprietário
- Os usuários que fazem parte do Grupo de Segurança de gerentes do Visual Studio poderão comprar a assinatura do Visual Studio no Marketplace https://marketplace.visualstudio.com (devido ao membro aninhado dos Agentes de Administração, os usuários terão acesso à assinatura do Azure)
- Os usuários que fazem parte do grupo de segurança de gerentes do Visual Studio podem alterar a quantidade de assinaturas do Visual Studio
- Os usuários que fazem parte do grupo de segurança de gerentes do Visual Studio podem cancelar a assinatura do Visual Studio (alterando a quantidade para zero)
- Os usuários que fazem parte do grupo de segurança de gerentes do Visual Studio podem adicionar assinante para gerenciar assinaturas do Visual Studio (por exemplo, procurar diretório de clientes e adicionar atribuição de função do Visual Studio como assinante)
Propriedades do Visual Studio fora do escopo:
- Nenhuma
Por que não vejo alguns links DAP AOBO na página de gerenciamento de serviços GDAP?
| DAP AOBO links | Motivo pelo qual ele está faltando na página GDAP Service Management |
|---|---|
| Planejador do Microsoft 365 https://portal.office.com/ |
Esta é uma duplicata do link Microsoft 365 AOBO que já existe. |
| Oscilação https://portal.office.com/ |
Esta é uma duplicata do link Microsoft 365 AOBO que já existe. |
| Janelas 10 https://portal.office.com/ |
Esta é uma duplicata do link Microsoft 365 AOBO que já existe. |
| Segurança de aplicativos na nuvem https://portal.cloudappsecurity.com/ |
O Microsoft Defender for Cloud Apps será desativado. Este portal irá fundir-se com o Microsoft Defender XDR, que suporta GDAP. |
| Azure IoT Central https://apps.azureiotcentral.com/ |
Não é atualmente suportado. Fora do âmbito do GDAP. |
| Proteção avançada contra ameaças do Windows Defender https://securitycenter.windows.com |
A Proteção Avançada contra Ameaças do Windows Defender será desativada. Os parceiros são aconselhados a mudar para o Microsoft Defender XDR, que suporta GDAP. |