Привилегированные роли и разрешения в идентификаторе Microsoft Entra (предварительная версия)

Внимание

Метка для привилегированных ролей и разрешений в настоящее время находится в предварительной версии. Юридические условия, применимые к функциям Azure, которые находятся в состоянии бета-версии, предварительной версии или иным образом еще не выпущены в общедоступной версии, см. на странице Дополнительные условия использования предварительных версий в Microsoft Azure.

Идентификатор Microsoft Entra имеет роли и разрешения, которые определяются как привилегированные. Эти роли и разрешения можно использовать для делегирования управления ресурсами каталога другим пользователям, изменения учетных данных, политик проверки подлинности или авторизации или доступа к данным с ограниченным доступом. Назначения привилегированных ролей могут привести к повышению привилегий, если они не используются безопасным и предполагаемым образом. В этой статье описаны привилегированные роли и разрешения и рекомендации по использованию.

Какие роли и разрешения привилегированны?

Список привилегированных ролей и разрешений см. в статье о встроенных ролях Microsoft Entra. Вы также можете использовать центр администрирования Microsoft Entra, Microsoft Graph PowerShell или API Microsoft Graph для идентификации ролей, разрешений и назначений ролей, которые идентифицируются как привилегированные.

Центр администрирования

В Центре администрирования Microsoft Entra найдите метку PRIVILEGED .

На странице "Роли и администраторы" привилегированные роли определяются в столбце "Привилегированные". В столбце "Назначения" перечислены количество назначений ролей. Вы также можете фильтровать привилегированные роли.

При просмотре разрешений для привилегированной роли вы увидите, какие разрешения являются привилегированными. Если вы просматриваете разрешения как пользователя по умолчанию, вы не сможете увидеть, какие разрешения являются привилегированными.

При создании настраиваемой роли вы увидите, какие разрешения привилегированны, а пользовательская роль будет помечена как привилегированная.

PowerShell

В Microsoft Graph PowerShell проверьте, задано ли IsPrivileged свойство True.

Чтобы получить список привилегированных ролей, используйте команду Get-MgBetaRoleManagementDirectoryRoleDefinition .

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can create and manage all aspects of app registrations and enterprise apps.
DisplayName             : Application Administrator
Id                      : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users in this role can
                          add, manage, and configureenterprise applications, app registrations and manage on-premises
                          like app proxy.], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$m
                          etadata#roleManagement/directory/roleDefinitions('9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3')/inhe
                          ritsPermissionsFrom]}


AllowedPrincipalTypes   :
Description             : Can reset passwords for non-administrators and Helpdesk Administrators.
DisplayName             : Helpdesk Administrator
Id                      : 729827e3-9c14-49f7-bb1b-9608f156bbb8
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 729827e3-9c14-49f7-bb1b-9608f156bbb8
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users with this role
                          can change passwords, invalidate refresh tokens, manage service requests, and monitor
                          service health. Invalidating a refresh token forces the user to sign in again. Helpdesk
                          administrators can reset passwords and invalidate refresh tokens of other users who are
                          non-administrators or assigned the following roles only:
                          * Directory Readers
                          * Guest Inviter
                          * Helpdesk Administrator
                          * Message Center Reader
                          * Password Administrator
                          * Reports Reader], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$
                          metadata#roleManagement/directory/roleDefinitions('729827e3-9c14-49f7-bb1b-9608f156bbb8')/inh
                          eritsPermissionsFrom]}

...

Чтобы получить список привилегированных разрешений, используйте команду Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction .

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

Чтобы получить список назначений привилегированных ролей, используйте команду Get-MgBetaRoleManagementDirectoryRoleAssignment .

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

API Graph

В API Microsoft Graph проверьте, задано ли isPrivileged свойство true.

Чтобы получить список привилегированных ролей, используйте API List roleDefinitions .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

Чтобы получить список привилегированных разрешений, используйте API List resourceActions .

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Чтобы перечислить назначения привилегированных ролей, используйте API List unifiedRoleAssignments .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Рекомендации по использованию привилегированных ролей

Ниже приведены некоторые рекомендации по использованию привилегированных ролей.

• Применение принципа наименьших привилегий
• Использование управления привилегированными пользователями для предоставления JIT-доступа
• Включение многофакторной проверки подлинности для всех учетных записей администратора
• Настройка повторяющихся проверок доступа для отмены ненужных разрешений с течением времени
• Ограничение числа глобальных администраторов меньше 5
• Ограничение числа назначений привилегированных ролей меньше 10

Дополнительные сведения см. в рекомендациях по ролям Microsoft Entra.

Привилегированные разрешения и защищенные действия

Привилегированные разрешения и защищенные действия — это возможности, связанные с безопасностью, которые имеют разные цели. Разрешения с меткой PRIVILEGED помогают определить разрешения, которые могут привести к повышению привилегий, если они не используются в безопасном и предполагаемом порядке. Защищенные действия — это разрешения ролей, назначенные политиками условного доступа для дополнительной безопасности, например требование многофакторной проверки подлинности. Требования условного доступа применяются, когда пользователь выполняет защищенное действие. Защищенные действия в настоящее время находятся в предварительной версии. Дополнительные сведения см. в статье "Что такое защищенные действия в идентификаторе Microsoft Entra ID?".

Возможность	Привилегированное разрешение	Защищенное действие
Определение разрешений, которые следует использовать в безопасном режиме	✅
Требовать дополнительную безопасность для выполнения действия		✅

Терминология

Чтобы понять привилегированные роли и разрешения в идентификаторе Microsoft Entra ID, он помогает узнать некоторые из следующих терминов.

Термин	Определение
действие	Действие субъекта безопасности может выполняться с типом объекта. Иногда называется операцией.
permission	Определение, указывающее действие, которое субъект безопасности может выполнять в типе объекта. Разрешение включает одно или несколько действий.
привилегированное разрешение	В идентификаторе Microsoft Entra разрешения, которые можно использовать для делегирования управления ресурсами каталога другим пользователям, изменения учетных данных, проверки подлинности или политик авторизации или доступа к данным с ограниченным доступом.
привилегированная роль	Встроенная или настраиваемая роль с одним или несколькими привилегированными разрешениями.
Назначение привилегированных ролей	Назначение роли, использующее привилегированную роль.
повышение привилегий	Когда субъект безопасности получает больше разрешений, чем назначенная им роль изначально предоставляется путем олицетворения другой роли.
защищенное действие	Разрешения с условным доступом, примененные для добавленной безопасности.

Общие сведения о разрешениях ролей

Схема для разрешений не точно соответствует формату REST для Microsoft Graph:

<namespace>/<entity>/<propertySet>/<action>

Например:

microsoft.directory/applications/credentials/update

Элемент разрешения	Description
пространство имен	Продукт или служба, которые предоставляют задачу и которым предшествует microsoft. Например, все задачи в идентификаторе Microsoft Entra используют microsoft.directory пространство имен.
Сущность	Логическая функция или компонент, предоставляемый службой в Microsoft Graph. Например, идентификатор Microsoft Entra предоставляет пользователей и группы, OneNote предоставляет заметки, а Exchange предоставляет почтовые ящики и календари. Для указания всех сущностей в пространстве имен существует специальное ключевое слово allEntities. Это часто используется в ролях, которые предоставляют доступ ко всему продукту.
propertySet	Конкретные свойства или аспекты сущности, для которой предоставляется доступ. Например, microsoft.directory/applications/authentication/read предоставляет возможность считывать URL-адрес ответа, URL-адрес выхода и неявное свойство потока в объекте приложения в идентификаторе Microsoft Entra. allProperties обозначает все свойства сущности, включая привилегированные свойства. standard обозначает общие свойства, за исключением привилегированных, связанных с действием read. Например, microsoft.directory/user/standard/read включает возможность чтения стандартных свойств, таких как общедоступный номер телефона и адрес электронной почты, но не позволяет считать частный дополнительный номер телефона или адрес электронной почты, используемый для многофакторной проверки подлинности. basic обозначает общие свойства, за исключением привилегированных, связанных с действием update. Набор свойств, которые можно читать, может отличаться от того, который можно обновить. Вот почему предусмотрено два ключевых слова: standard и basic.
действие	Как правило, предоставляется разрешение на такие операции, как создание, чтение, обновление или удаление (CRUD). Для указания всех перечисленных выше возможностей (создание, чтение, обновление и удаление) существует специальное ключевое слово allTasks.

Сравнение ролей проверки подлинности

В следующей таблице сравниваются возможности ролей, связанных с проверкой подлинности.

Должность	Управление методами проверки подлинности пользователя	Управление MFA для каждого пользователя	Управление параметрами MFA	Управление политикой выбора метода проверки подлинности	Управление политикой защиты паролем	Обновление конфиденциальных свойств	Удаление и восстановление пользователей
Администратор проверки подлинности	Да для некоторых пользователей	No	No	No	No	Да для некоторых пользователей	Да для некоторых пользователей
Привилегированный администратор проверки подлинности	Да для всех пользователей	No	No	No	No	Да для всех пользователей	Да для всех пользователей
Администратор политики проверки подлинности	No	Да	Да	Да	Да	No	No
Администратор пользователей	No	No	No	No	No	Да для некоторых пользователей	Да для некоторых пользователей

Кто может сбрасывать пароли

В следующей таблице столбцы перечислены роли, которые могут сбрасывать пароли и недействительными маркерами обновления. Строки содержат роли, для которых можно сбросить пароль. Например, администратор паролей может сбросить пароль для читателей каталогов, приглашенных гостей, администратора паролей и пользователей без роли администратора. Если пользователю назначена любая другая роль, администратор паролей не может сбросить пароль.

Следующая таблица предназначена для ролей, назначенных в области клиента. Для ролей, назначенных в области административной единицы, применяются дополнительные ограничения.

Роль, для которой можно сбросить пароль	Администратор паролей	Администратор службы поддержки	Администратор проверки подлинности	Администратор пользователей	Привилегированный администратор проверки подлинности	глобальный администратор.
Администратор проверки подлинности			✅		✅	✅
Читатели каталогов	✅	✅	✅	✅	✅	✅
глобальный администратор.					✅	✅*
Администратор групп				✅	✅	✅
Приглашающий гостей	✅	✅	✅	✅	✅	✅
Администратор службы поддержки		✅		✅	✅	✅
Читатель центра сообщений		✅	✅	✅	✅	✅
Администратор паролей	✅	✅	✅	✅	✅	✅
Привилегированный администратор проверки подлинности					✅	✅
Администратор привилегированными ролями					✅	✅
Читатель отчетов		✅	✅	✅	✅	✅
User (без роли администратора)	✅	✅	✅	✅	✅	✅
User (нет роли администратора, но члена или владельца группы, назначаемой ролью)					✅	✅
Пользователь с ролью, ограниченной административной единицей управления					✅	✅
Администратор пользователей				✅	✅	✅
Диспетчер успешных операций с пользовательским интерфейсом		✅	✅	✅	✅	✅
Средство чтения сводки об использовании		✅	✅	✅	✅	✅
Все остальные встроенные и настраиваемые роли					✅	✅

Внимание

Роль поддержки уровня 2 партнеров может сбрасывать пароли и недействительными маркерами обновления для всех неадминистрации и администраторов (включая глобальных администраторов). Роль поддержки уровня 1 партнера может сбрасывать пароли и отменять маркеры обновления только для неадминистраторов. Эти роли не следует использовать, так как они устарели.

Возможность сброса пароля включает возможность обновления следующих конфиденциальных свойств, необходимых для самостоятельного сброса пароля:

• businessPhones
• mobilePhone
• otherMails

Кто может выполнять конфиденциальные действия

Некоторые администраторы могут выполнять следующие конфиденциальные действия для некоторых пользователей. Все пользователи могут считывать конфиденциальные свойства.

Конфиденциальное действие	Имя конфиденциального свойства
Отключение или включение пользователей	accountEnabled
Обновление бизнес-телефона	businessPhones
Обновление мобильного телефона	mobilePhone
Обновление локального неизменяемого идентификатора	onPremisesImmutableId
Обновление других сообщений электронной почты	otherMails
Обновление профиля пароля	passwordProfile
Обновление имени субъекта-пользователя	userPrincipalName
Удаление или восстановление пользователей	Нет данных

В следующей таблице столбцы перечисляют роли, которые могут выполнять конфиденциальные действия. Строки перечисляют роли, для которых можно выполнить конфиденциальное действие.

Следующая таблица предназначена для ролей, назначенных в области клиента. Для ролей, назначенных в области административной единицы, применяются дополнительные ограничения.

Роль, на которую можно выполнить конфиденциальное действие	Администратор проверки подлинности	Администратор пользователей	Привилегированный администратор проверки подлинности	глобальный администратор.
Администратор проверки подлинности	✅		✅	✅
Читатели каталогов	✅	✅	✅	✅
глобальный администратор.			✅	✅
Администратор групп		✅	✅	✅
Приглашающий гостей	✅	✅	✅	✅
Администратор службы поддержки		✅	✅	✅
Читатель центра сообщений	✅	✅	✅	✅
Администратор паролей	✅	✅	✅	✅
Привилегированный администратор проверки подлинности			✅	✅
Администратор привилегированными ролями			✅	✅
Читатель отчетов	✅	✅	✅	✅
User (без роли администратора)	✅	✅	✅	✅
User (нет роли администратора, но члена или владельца группы, назначаемой ролью)			✅	✅
Пользователь с ролью, ограниченной административной единицей управления			✅	✅
Администратор пользователей		✅	✅	✅
Диспетчер успешных операций с пользовательским интерфейсом	✅	✅	✅	✅
Средство чтения сводки об использовании	✅	✅	✅	✅
Все остальные встроенные и настраиваемые роли			✅	✅

Следующие шаги

• Рекомендации по ролям Microsoft Entra
• Встроенные роли Microsoft Entra