Поделиться через


Общие сведения о ролях в Microsoft Entra ID

В Microsoft Entra существует около 60 встроенных ролей с фиксированным набором разрешений. В дополнение к таким встроенным ролям Microsoft Entra ID поддерживает настраиваемые роли. Используйте настраиваемые роли, чтобы самостоятельно указать для них нужные разрешения. Например, можно создать один для управления определенными ресурсами Microsoft Entra, такими как приложения или субъекты-службы.

В этой статье объясняется, какие роли Microsoft Entra являются ролями и как их можно использовать.

Как роли Microsoft Entra отличаются от других ролей Microsoft 365

Существует множество различных служб в Microsoft 365, таких как идентификатор Microsoft Entra и Intune. Некоторые из этих служб имеют собственные системы управления доступом на основе ролей, а именно:

  • Microsoft Entra ID
  • Microsoft Exchange
  • Microsoft Intune
  • Microsoft Defender для облачных приложений
  • Портал Microsoft 365 Defender
  • Портал соответствия требований
  • Управление затратами и выставление счетов

Другие службы, например Teams, SharePoint и управляемые компьютеры, не используют отдельных систем для управления доступом на основе ролей. Они используют роли Microsoft Entra для их административного доступа. Azure имеет собственную систему управления доступом на основе ролей для ресурсов Azure, таких как виртуальные машины, и эта система не совпадает с ролями Microsoft Entra.

Azure RBAC и роли Microsoft Entra

Когда мы говорим отдельную систему управления доступом на основе ролей, это означает, что существует другое хранилище данных, в котором хранятся определения ролей и назначения ролей. Кроме того, существует и другая точка принятия решения в политиках, в которой выполняются проверки доступа. Дополнительные сведения см. в разделе "Роли" между ролями службы Майкрософт и Azure, ролями Microsoft Entra и ролями администратора классической подписки.

Почему некоторые роли Microsoft Entra предназначены для других служб

Microsoft 365 использует несколько систем управления доступом на основе ролей, которые были созданы независимо друг от друга и которые имеют собственные порталы. Чтобы упростить управление удостоверениями в Microsoft 365 из Центра администрирования Microsoft Entra, мы добавили некоторые встроенные роли для конкретной службы, каждая из которых предоставляет административный доступ к службе Microsoft 365. Примером этого дополнения является роль администратора Exchange в идентификаторе Microsoft Entra. Эта роль эквивалентна группе ролей "Управление организацией" в системе управления доступом на основе ролей для Exchange и позволяет управлять всеми аспектами Exchange. Мы также добавили роли администратора для Intune, Teams, SharePoint и т. д. Роли, относящиеся к службе, — это одна из категорий встроенных ролей Microsoft Entra в следующем разделе.

Категории ролей Microsoft Entra

Встроенные роли Microsoft Entra различаются в том месте, где их можно использовать, которые делятся на следующие три широкие категории.

  • Роли идентификатора Microsoft Entra: эти роли предоставляют разрешения для управления ресурсами только в Microsoft Entra. Например, администратор пользователей, администратор приложений, администратор групп предоставляют все разрешения на управление ресурсами, которые живут в идентификаторе Microsoft Entra.
  • Роли, относящиеся к службе, в идентификаторе Microsoft Entra: службы Майкрософт, такие как Microsoft 365, определяющие роли в идентификаторе Microsoft Entra для привилегий конкретной службы для управления всеми функциями в службе. Например, роли администратора Exchange, администратора Intune, администратора SharePoint и администратора Teams позволяют управлять функциями соответствующих служб. Администраторы Exchange могут управлять почтовыми ящиками, администраторы Intune могут управлять политиками устройств, администраторы SharePoint могут управлять семействами веб-сайтов, администраторы Teams могут управлять свойствами вызовов и т. д.
  • Перекрестные роли в идентификаторе Microsoft Entra: существуют некоторые роли, охватывающие службы. Две роли являются глобальными — это глобальный администратор и глобальный читатель. Они поддерживаются всеми службами Microsoft 365. Кроме того, существует несколько связанных с безопасностью ролей, таких как администратор безопасности и читатель безопасности, которые предоставляют доступ к нескольким службам безопасности в Microsoft 365. Например, с помощью ролей администратора безопасности в идентификаторе Microsoft Entra можно управлять порталом Microsoft 365 Defender, расширенной защитой от угроз в Microsoft Defender и приложениями Microsoft Defender для облака. Также роль администратора соответствия позволяет управлять параметрами, связанными с соответствием, на портале соответствия, в Exchange и т. д.

Три категории встроенных ролей Microsoft Entra

Следующая таблица поможет вам разобраться в перечисленных категориях ролей. Категории называются произвольным образом и не предназначены для обозначения других возможностей за пределами документированных разрешений роли Microsoft Entra.

Категория Роль
Роли, относящиеся к идентификаторам Microsoft Entra Администратор приложений
Разработчик приложения
Администратор проверки подлинности
Администратор набора ключей IEF B2C
Администратор политики IEF B2C
Администратор облачных приложений
Администратор облачных устройств
Администратор условного доступа
Администраторы устройств
Читатели каталогов
Учетные записи синхронизации службы каталогов
Редакторы каталогов
Администратор потоков пользователей с внешним идентификатором
Администратор атрибутов потоков пользователей с внешним идентификатором
Администратор внешних поставщиков удостоверений
Администратор групп
Приглашающий гостей
Администратор службы технической поддержки
Администратор гибридных удостоверений
Администратор лицензий
Поддержка партнеров уровня 1
Поддержка партнеров уровня 2
Администратор паролей
Привилегированный администратор проверки подлинности
Администратор привилегированных ролей
Читатель отчетов
Администратор пользователей
Роли, относящиеся к службе, в идентификаторе Microsoft Entra Администратор Azure DevOps
Администратор Azure Information Protection
администратора выставления счетов;
Администратор службы CRM
Лицо, утверждающее доступ к защищенному хранилищу
Администратор Аналитики компьютеров
Администратор службы Exchange
Администратор Insights
Бизнес-руководитель Insights
Администратор службы Intune
Администратор Kaizala
Администратор службы Lync
Читатель конфиденциальности данных Центра сообщений
Читатель центра сообщений
Администратор современной коммерческой платформы
Network Administrator
Администратор приложений Office
Администратор служб Power BI
Администратор Power Platform
Администратор принтеров
Технический специалист по принтерам
Администратор поиска
Редактор поиска
Администратор службы SharePoint
Администратор связи Teams
Инженер службы поддержки связи Teams
Специалист службы поддержки связи Teams
Администраторы устройств Teams
Администратор Teams
Межслужбовые роли в идентификаторе Microsoft Entra Администратор соответствия требованиям
Администратор данных соответствия
Глобальный читатель
Администратор безопасности
Оператор безопасности
Читатель сведений о безопасности
Администратор службы поддержки

Следующие шаги