Привилегированные роли и разрешения в идентификаторе Microsoft Entra (предварительная версия)

Внимание

Метка для привилегированных ролей и разрешений в настоящее время находится в предварительной версии. Юридические условия, применимые к функциям Azure, которые находятся в состоянии бета-версии, предварительной версии или иным образом еще не выпущены в общедоступной версии, см. на странице Дополнительные условия использования предварительных версий в Microsoft Azure.

Идентификатор Microsoft Entra имеет роли и разрешения, которые определяются как привилегированные. Эти роли и разрешения можно использовать для делегирования управления ресурсами каталога другим пользователям, изменения учетных данных, политик проверки подлинности или авторизации или доступа к данным с ограниченным доступом. Назначения привилегированных ролей могут привести к повышению привилегий, если они не используются безопасным и предполагаемым образом. В этой статье описаны привилегированные роли и разрешения и рекомендации по использованию.

Какие роли и разрешения привилегированны?

Список привилегированных ролей и разрешений см. в статье о встроенных ролях Microsoft Entra. Вы также можете использовать центр администрирования Microsoft Entra, Microsoft Graph PowerShell или API Microsoft Graph для идентификации ролей, разрешений и назначений ролей, которые идентифицируются как привилегированные.

Центр администрирования

В Центре администрирования Microsoft Entra найдите метку PRIVILEGED .

На странице "Роли и администраторы" привилегированные роли определяются в столбце "Привилегированные". В столбце "Назначения" перечислены количество назначений ролей. Вы также можете фильтровать привилегированные роли.

При просмотре разрешений для привилегированной роли вы увидите, какие разрешения являются привилегированными. Если вы просматриваете разрешения как пользователя по умолчанию, вы не сможете увидеть, какие разрешения являются привилегированными.

При создании настраиваемой роли вы увидите, какие разрешения привилегированны, а пользовательская роль будет помечена как привилегированная.

PowerShell

В Microsoft Graph PowerShell проверьте, задано ли IsPrivileged свойство True.

Чтобы получить список привилегированных ролей, используйте команду Get-MgBetaRoleManagementDirectoryRoleDefinition .

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can create and manage all aspects of app registrations and enterprise apps.
DisplayName             : Application Administrator
Id                      : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users in this role can
                          add, manage, and configureenterprise applications, app registrations and manage on-premises
                          like app proxy.], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$m
                          etadata#roleManagement/directory/roleDefinitions('9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3')/inhe
                          ritsPermissionsFrom]}


AllowedPrincipalTypes   :
Description             : Can reset passwords for non-administrators and Helpdesk Administrators.
DisplayName             : Helpdesk Administrator
Id                      : 729827e3-9c14-49f7-bb1b-9608f156bbb8
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 729827e3-9c14-49f7-bb1b-9608f156bbb8
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users with this role
                          can change passwords, invalidate refresh tokens, manage service requests, and monitor
                          service health. Invalidating a refresh token forces the user to sign in again. Helpdesk
                          administrators can reset passwords and invalidate refresh tokens of other users who are
                          non-administrators or assigned the following roles only:
                          * Directory Readers
                          * Guest Inviter
                          * Helpdesk Administrator
                          * Message Center Reader
                          * Password Administrator
                          * Reports Reader], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$
                          metadata#roleManagement/directory/roleDefinitions('729827e3-9c14-49f7-bb1b-9608f156bbb8')/inh
                          eritsPermissionsFrom]}

...

Чтобы получить список привилегированных разрешений, используйте команду Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction .

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

Чтобы получить список назначений привилегированных ролей, используйте команду Get-MgBetaRoleManagementDirectoryRoleAssignment .

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

Graph API

В Microsoft Graph API проверьте, установлено ли свойство isPrivileged в true.

Чтобы получить список привилегированных ролей, используйте API List roleDefinitions .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

Чтобы получить список привилегированных разрешений, используйте API List resourceActions .

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Чтобы перечислить назначения привилегированных ролей, используйте API List unifiedRoleAssignments .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Рекомендации по использованию привилегированных ролей

Ниже приведены некоторые рекомендации по использованию привилегированных ролей.

• Применение принципа наименьших привилегий
• Используйте управление привилегированными идентификациями для предоставления доступа по требованию.
• Включение многофакторной проверки подлинности для всех учетных записей администратора
• Настройка повторяющихся проверок доступа для отмены ненужных разрешений с течением времени
• Ограничение числа глобальных администраторов меньше 5
• Ограничьте количество назначений привилегированных ролей до менее чем 10.

Дополнительные сведения см. в статье Лучшие практики для ролей Microsoft Entra.

Привилегированные разрешения и защищенные действия

Привилегированные разрешения и защищенные действия — это возможности, связанные с безопасностью, которые имеют разные цели. Разрешения с меткой PRIVILEGED помогают определить разрешения, которые могут привести к повышению привилегий, если они не используются в безопасном и предполагаемом порядке. Защищенные действия — это разрешения ролей, назначенные политиками условного доступа для дополнительной безопасности, например требование многофакторной проверки подлинности. Требования условного доступа применяются, когда пользователь выполняет защищенное действие. Защищенные действия в настоящее время находятся в режиме предварительного просмотра. Дополнительные сведения см. в статье "Что такое защищенные действия в идентификаторе Microsoft Entra ID?".

Возможность	Привилегированное разрешение	Защищенное действие
Определение разрешений, которые следует использовать в безопасном режиме	✅
Требовать дополнительную безопасность для выполнения действия		✅

Терминология

Чтобы понять привилегированные роли и разрешения в Microsoft Entra ID, полезно знать некоторые из следующих терминов.

Термин	Определение
действие	Действие, которое субъект безопасности может выполнить относительно типа объекта. Иногда называется операцией.
разрешение	Определение, указывающее действие, которое субъект безопасности может выполнять в типе объекта. Разрешение включает одно или несколько действий.
привилегированное разрешение	В Microsoft Entra ID разрешения, которые можно использовать для делегирования управления ресурсами каталога другим пользователям, изменения учетных данных, политик проверки подлинности или авторизации, или доступа к данным с ограниченным доступом.
привилегированная роль	Встроенная или настраиваемая роль с одним или несколькими привилегированными разрешениями.
Назначение привилегированных ролей	Назначение роли, использующее привилегированную роль.
повышение привилегий	Когда участник безопасности получает больше разрешений, чем изначально предоставлено назначенной им ролью, путем принятия на себя другой роли.
защищенное действие	Разрешения с условным доступом, примененные для добавленной безопасности.

Как понять разрешения ролей

Схема для разрешений не точно соответствует формату REST для Microsoft Graph:

<namespace>/<entity>/<propertySet>/<action>

Например:

microsoft.directory/applications/credentials/update

Элемент разрешения	Описание
пространство имен	Продукт или услуга, которые обеспечивают выполнение задачи и которым предшествует microsoft. Например, все задачи в Microsoft Entra ID используют пространство имен microsoft.directory.
Сущность	Логическая функция или компонент, предоставляемый службой в Microsoft Graph. Например, идентификатор Microsoft Entra предоставляет пользователей и группы, OneNote предоставляет заметки, а Exchange предоставляет почтовые ящики и календари. Для указания всех сущностей в пространстве имен существует специальное ключевое слово allEntities. Это часто используется в ролях, которые предоставляют доступ ко всему продукту.
наборСвойств	Конкретные свойства или аспекты сущности, для которой предоставляется доступ. Например, microsoft.directory/applications/authentication/read предоставляет возможность считывать URL-адрес ответа, URL-адрес выхода и неявное свойство потока в объекте приложения в идентификаторе Microsoft Entra. allProperties обозначает все свойства сущности, включая привилегированные свойства. standard обозначает общие свойства, за исключением привилегированных, связанных с действием read. Например, microsoft.directory/user/standard/read включает возможность чтения стандартных свойств, таких как общедоступный номер телефона и адрес электронной почты, но не позволяет получить доступ к частному дополнительному номеру телефона или адресу электронной почты, используемым для многофакторной аутентификации. basic обозначает общие свойства, за исключением привилегированных, связанных с действием update. Набор свойств, которые можно читать, может отличаться от того, который можно обновить. Вот почему предусмотрено два ключевых слова: standard и basic.
действие	Как правило, предоставляется разрешение на такие операции, как создание, чтение, обновление или удаление (CRUD). Для указания всех перечисленных выше возможностей (создание, чтение, обновление и удаление) существует специальное ключевое слово allTasks.

Сравнение ролей проверки подлинности

В следующей таблице сравниваются возможности ролей, связанных с проверкой подлинности.

Должность	Управление методами проверки подлинности пользователя	Управление MFA для каждого пользователя	Управление параметрами MFA	Управление политикой метода аутентификации	Управление политикой защиты паролем	Обновление конфиденциальных свойств	Удаление и восстановление пользователей
Администратор проверки подлинности	Да для некоторых пользователей	Нет	Нет	Нет	Нет	Да для некоторых пользователей	Да для некоторых пользователей
Привилегированный администратор проверки подлинности	Да для всех пользователей	Нет	Нет	Нет	Нет	Да для всех пользователей	Да для всех пользователей
Администратор политики проверки подлинности	Нет	Да	Да	Да	Да	Нет	Нет
Администратор пользователей	Нет	Нет	Нет	Нет	Нет	Да для некоторых пользователей	Да для некоторых пользователей

Кто может сбрасывать пароли

В следующей таблице в столбцах перечисляются роли, которые могут сбрасывать пароли и делать недействительными токены обновления. Строки содержат роли, для которых можно сбросить пароль. Например, администратор паролей может сбросить пароль для читателей каталогов, приглашенных гостей, администратора паролей и пользователей без роли администратора. Если пользователю назначена любая другая роль, администратор паролей не может сбросить пароль.

Следующая таблица предназначена для ролей, назначенных в пределах арендатора. Для ролей, назначенных в области административной единицы, применяются дополнительные ограничения.

Роль, в которой возможно сбросить пароль	Администратор паролей	Администратор службы поддержки	Администратор аутентификации	Администратор пользователей	Привилегированный администратор проверки подлинности	глобальный администратор.
Администратор аутентификации			✅		✅	✅
Читатели каталогов	✅	✅	✅	✅	✅	✅
глобальный администратор.					✅	✅*
Администратор групп				✅	✅	✅
Приглашающий гостей	✅	✅	✅	✅	✅	✅
Администратор службы поддержки		✅		✅	✅	✅
Читатель центра сообщений		✅	✅	✅	✅	✅
Администратор паролей	✅	✅	✅	✅	✅	✅
Привилегированный администратор проверки подлинности					✅	✅
Администратор привилегированных ролей					✅	✅
Просмотрщик отчетов		✅	✅	✅	✅	✅
Пользователь (без роли администратора)	✅	✅	✅	✅	✅	✅
Пользователь (нет роли администратора, но член или владелец группы, которой можно назначать роли)					✅	✅
Пользователь с ролью, ограниченной в пределах административной единицы управления					✅	✅
Администратор пользователей				✅	✅	✅
Менеджер по успешности пользовательского опыта		✅	✅	✅	✅	✅
Средство чтения сводки об использовании		✅	✅	✅	✅	✅
Все остальные встроенные и настраиваемые роли					✅	✅

Внимание

Роль поддержки уровня 2 для партнеров может сбрасывать пароли и аннулировать маркеры обновления для всех не-администраторов и администраторов (включая глобальных администраторов). Поддержка партнеров первого уровня может сбрасывать пароли и аннулировать токены обновления только для неадминистраторов. Эти роли не следует использовать, так как они устарели.

Возможность сброса пароля включает возможность обновления следующих конфиденциальных свойств, необходимых для самостоятельного сброса пароля:

• деловые телефоны
• мобильный телефон
• другиеПисьма

Кто может выполнять конфиденциальные действия

Некоторые администраторы могут выполнять следующие конфиденциальные действия для некоторых пользователей. Все пользователи могут считывать конфиденциальные свойства.

Деликатное действие	Имя конфиденциального свойства
Отключение или включение пользователей	accountEnabled
Обновление бизнес-телефона	businessPhones
Обновление мобильного телефона	mobilePhone
Обновление локального неизменяемого идентификатора	onPremisesImmutableId
Обновление других сообщений электронной почты	otherMails
Обновление профиля пароля	passwordProfile
Обновление основного имени пользователя	userPrincipalName
Удаление или восстановление пользователей	Не применимо

В следующей таблице столбцы перечисляют роли, которые могут выполнять конфиденциальные действия. Строки указывают роли, для которых можно выполнить чувствительное действие.

Следующая таблица предназначена для ролей, назначенных в рамках арендатора. Для ролей, назначенных в области административной единицы, применяются дополнительные ограничения.

Роль, с помощью которой можно выполнять чувствительное действие	Администратор аутентификации	Администратор пользователей	Привилегированный администратор проверки подлинности	глобальный администратор.
Администратор аутентификации	✅		✅	✅
Читатели каталогов	✅	✅	✅	✅
глобальный администратор.			✅	✅
Администратор групп		✅	✅	✅
Приглашающий гостей	✅	✅	✅	✅
Администратор службы поддержки		✅	✅	✅
Читатель центра сообщений	✅	✅	✅	✅
Администратор паролей	✅	✅	✅	✅
Привилегированный администратор проверки подлинности			✅	✅
Администратор привилегированных ролей			✅	✅
Читатель отчетов	✅	✅	✅	✅
Пользователь (без роли администратора)	✅	✅	✅	✅
Пользователь (нет роли администратора, но членом или владельцем группы, которой можно назначить роль)			✅	✅
Пользователь с ролью, ограниченной в административной единице управления			✅	✅
Администратор пользователей		✅	✅	✅
Менеджер по успешности пользовательского опыта	✅	✅	✅	✅
Средство просмотра отчетов об использовании	✅	✅	✅	✅
Все остальные встроенные и настраиваемые роли			✅	✅

Следующие шаги

• Лучшие практики для ролей Microsoft Entra
• Встроенные роли Microsoft Entra