Часто задаваемые вопросы о GDAP

Кто-то с ролью агента администрирования в партнерской организации может создать запрос на связь GDAP.

Да. Срок действия запросов связи GDAP истекает через 90 дней.

Нет. Постоянные отношения GDAP с клиентами не возможны по соображениям безопасности. Максимальная длительность отношения GDAP составляет два года. Вы можете задать автоматическое расширение для включено, чтобы продлить связь администратора за шесть месяцев, пока не будет прекращено или автоматическое продление не отключено.

Нет. Связь GDAP не поддерживает подписки, приобретенные через корпоративные соглашения.

Да. Связь GDAP может автоматически продлиться на шесть месяцев, пока не завершится или не будет автоматически продлено значение "Отключено".

• Если срок действия связи GDAP с клиентом истекает, снова запросить связь GDAP.
• Вы можете использовать аналитику связей GDAP для отслеживания дат истечения срока действия связи GDAP и подготовки к их продлению.

Чтобы расширить или продлить связь GDAP, партнер или клиент должны задать автоматическое расширение для включено. Дополнительные сведения см. в управлении автоматическим расширением и API.

Да. Если GDAP активен, его можно расширить.

Предположим, что GDAP создается в течение 365 дней с автоматическим расширением включено. В 365-й день дата окончания фактически обновляется на 180 дней.

Да. Вы можете автоматически расширить любой активный GDAP.

Нет. Согласие клиента не требуется для автоматического расширения для существующего активного GDAP.

Нет. Подробные разрешения, назначенные группам безопасности, продолжают as-is.

Нет. Невозможно автоматически расширить связь администратора с ролью глобального администратора.

Страница с истекающим сроком действия доступна только для партнеров с ролями глобального администратора и агента администрирования. Эта страница помогает фильтровать срок действия GDAPs по разным временным шкалам и помогает обновить автоматическое расширение (включить или отключить) для одного или нескольких GDAPs.

Нет. При истечении срока действия отношения GDAP нет изменений в существующих подписках клиента.

Дополнительные сведения см. в статье Устранение проблем с многофакторной проверкой подлинности Microsoft Entra и Не удается использовать многофакторную проверку подлинности Microsoft Entra для входа в облачные службы после потери телефона или изменения номера телефона.

Партнер должен запросить администратора привилегированной проверки подлинности роль Microsoft Entra при создании первого GDAP.

• Эта роль позволяет партнеру сбрасывать пароль и метод проверки подлинности для администратора или пользователя, отличного от администратора. Роль администратора привилегированной проверки подлинности является частью ролей, настроенных средством Microsoft Led Tool, и планируется быть доступным с помощью GDAP по умолчанию во время создания потока клиента (запланировано на сентябрь).
• Партнер может попытаться сбросить пароль.
• В качестве меры предосторожности партнер должен настроить SSPR (самостоятельный сброс пароля) для своих клиентов. Дополнительные сведения см. в статье Разрешить пользователям сбрасывать свои пароли.

• В рамках партнерской организации пользователи с агентом администрирования получают уведомление о завершении.
• В организации клиента пользователи с ролью глобального администратора получают уведомление о завершении.

Да. Партнеры могут видеть, когда клиент удаляет GDAP в журналах действий Центра партнеров.

Нет. GDAP — это необязательная возможность для партнеров, которые хотят управлять службами своих клиентов более детализированной и ограниченной временем. Вы можете выбрать, с какими клиентами вы хотите создать связь GDAP.

Ответ зависит от того, как вы хотите управлять клиентами.

• Если вы хотите, чтобы пользователи-партнеры могли управлять всеми клиентами, вы можете поместить всех пользователей-партнеров в одну группу безопасности и что одна группа может управлять всеми вашими клиентами.
• Если вы предпочитаете управлять различными клиентами, назначьте этим партнерам отдельные группы безопасности для изоляции клиентов.

Да. Косвенные торговые посредники (и косвенные поставщики и партнеры с прямым выставлением счетов) могут создавать запросы на связь GDAP в Центре партнеров.

В рамках настройки GDAP убедитесь, что выбраны группы безопасности, созданные в клиенте партнера с пользователями-партнерами. Также убедитесь, что требуемые роли Microsoft Entra назначаются группе безопасности. См. Назначение ролей Microsoft Entra.

Теперь клиенты могут исключить поставщики СЛУЖБ из политики условного доступа, чтобы партнеры могли перейти в GDAP без блокировки.

• Включить пользователей. Этот список пользователей обычно включает всех пользователей, предназначенных для организации в политике условного доступа.
• При создании политики условного доступа доступны следующие параметры:
• Выбор пользователей и групп
• Гостевые или внешние пользователи (предварительная версия)
• Этот выбор предоставляет несколько вариантов, которые можно использовать для целевых политик условного доступа для определенных гостевых или внешних типов пользователей и конкретных клиентов, содержащих эти типы пользователей. Есть несколько различных типов гостевых или внешних пользователей, которые можно выбрать, и можно выбрать несколько вариантов:
• Пользователи поставщика услуг, например поставщик облачных решений (CSP).
• Можно указать один или несколько клиентов для выбранных типов пользователей или указать все клиенты.
• доступ к внешним партнерам . Политики условного доступа, предназначенные для внешних пользователей, могут препятствовать доступу к поставщику услуг, например детализированные делегированные права администратора. Дополнительные сведения см. в разделе Введение в детализированные делегированные права администратора (GDAP). Для политик, предназначенных для целевых клиентов поставщика услуг, используйте пользователь поставщика услуг внешний тип пользователя, доступный в параметрах выбора гостевых или внешних пользователей.
• исключить пользователей. Если организации включают и исключают пользователя или группу, пользователь или группа исключены из политики, так как действие исключения переопределяет действие включения в политику.
• При создании политики условного доступа доступны следующие параметры.
• Гостевые или внешние пользователи
• Этот выбор предоставляет несколько вариантов, которые можно использовать для целевых политик условного доступа для определенных гостевых или внешних типов пользователей и конкретных клиентов, содержащих эти типы пользователей. Существует несколько различных типов гостевых или внешних пользователей, которые можно выбрать, и можно выбрать несколько вариантов.
• Пользователи поставщика услуг, например поставщик облачных решений (CSP)
• Один или несколько клиентов можно указать для выбранных типов пользователей или указать все клиенты. Дополнительные сведения см. в следующем разделе:
• ИНТЕРФЕЙС API Graph: бета-версия API с новыми сведениями о типе внешнего пользователя
• политики условного доступа
• внешних пользователей условного доступа

Да. Независимо от плана поддержки, минимальная привилегированная роль для пользователей партнеров, чтобы иметь возможность создавать билеты в службу поддержки для своего клиента — администратор службы поддержки.

Нет. В настоящее время партнер не может завершить GDAP в состоянии ожидании утверждения. Срок действия истекает через 90 дней, если клиент не принимает никаких действий.

Только через 365 дней (очистка) после завершения или истечения срока действия связи GDAP можно повторно использовать то же имя, чтобы создать новую связь GDAP.

Да. Партнер может управлять своими клиентами в разных регионах без создания новых клиентов для каждого региона клиента. Это применимо только к роли управления клиентами, предоставляемой GDAP (отношения администратора). Роль и возможности транзакций по-прежнему ограничены авторизованной территории.

Нет. Поставщик услуг не может быть частью мультитенантной организации, они взаимоисключающие.

1. Убедитесь, что GDAP настроен правильно, включая предоставление разрешений для групп безопасности.
2. Убедитесь, что разрешения группы безопасности правильно.
3. Ознакомьтесь с вопросы и ответы о безопасности Copilot, справки.

Дополнительные сведения об API и GDAP см. в документации разработчиков Центра партнеров.

Да. Мы рекомендуем партнерам использовать бета-версии API GDAP, для рабочей среды, а затем перейти на API версии 1, когда они становятся доступными. Хотя есть предупреждение "Использование этих API в рабочих приложениях не поддерживается", что универсальное руководство предназначено для любого бета-API в graph и не применимо к БЕТА-API GDAP Graph.

Да. Связи GDAP можно создавать с помощью API, что позволяет партнерам масштабировать этот процесс. Но создание нескольких связей GDAP недоступно в Центре партнеров. Сведения об API и GDAP см. в документации по разработчику центра партнеров .

API работает для одной группы безопасности одновременно, но вы можете сопоставить несколько групп безопасности с несколькими ролями в Центре партнеров.

Выполните отдельные вызовы для каждого ресурса. При выполнении одного запроса POST передайте только один ресурс и соответствующие области. Например, чтобы запросить разрешения для обоих https://graph.windows.net/Directory.AccessAsUser.All и https://graph.microsoft.com/Organization.Read.All, сделайте два разных запроса, по одному для каждого.

Используйте указанную ссылку для поиска имени ресурса: Проверить приложения Майкрософт в отчетах о входе в active Directory. Например, чтобы найти идентификатор ресурса 00000003-0000-0000-c000-0000000000000 для graph.microsoft.com:

Эта ошибка обычно возникает, когда неправильный идентификатор используется в фильтре запросов. Чтобы устранить эту проблему, убедитесь, что вы используете свойство enterpriseApplicationId с правильным идентификатором ресурса , а не именем ресурса.

• неверный запрос For enterpriseApplicationId, не используйте имя ресурса, например graph.microsoft.com.
• Правильный запрос Вместо этого для enterpriseApplicationIdиспользуйте идентификатор ресурса, например 0000003-0000-0000-c000-0000000000000000.

Например, ранее в graph.microsoft.com ресурс был предоставлен согласие только области "профиль". Теперь необходимо добавить профиль и user.read. Чтобы добавить новые области в ранее согласие приложения, выполните приведенные выше действия.

1. Используйте метод DELETE, чтобы отозвать существующее согласие приложения от клиента.
2. Используйте метод POST для создания нового согласия приложения с дополнительными областями.

Объединение необходимых областей с помощью запятой, за которой следует пробел. Например, "scope": "profile, User.Read"

1. Убедитесь, что свойства displayName и ApplicationId в тексте запроса точны и соответствуют приложению, которое вы пытаетесь предоставить клиенту.
2. Убедитесь, что вы используете то же приложение для создания маркера доступа, который вы пытаетесь предоставить клиенту. Например, если идентификатор приложения имеет значение "12341234-1234-1234-12341234", утверждение appId в маркере доступа также должно быть "12341234-1234-1234-1234-1234-12341234".
3. Убедитесь, что выполняется одно из следующих условий:

• У вас есть активные делегированные права администратора (DAP), а пользователь также является членом группы безопасности агентов администрирования в клиенте партнера.
• У вас есть активное отношение "Привилегии делегированного администратора" (GDAP) с клиентом клиента по крайней мере с одной из следующих трех ролей GDAP, и вы завершили назначение доступа:
  • Роль глобального администратора, администратора приложений или администратора облачных приложений.
  • Пользователь партнера является членом группы безопасности, указанной в назначении доступа.

• Чтобы управлять Azure с секционированием доступа для каждого клиента (рекомендуется), создайте группу безопасности (например, диспетчеры Azure) и вложить ее в агенты администрирования.
• Чтобы получить доступ к подписке Azure в качестве владельца клиента, можно назначить любой встроенной роли Microsoft Entra (например, читателя каталогов, наименее привилегированной роли) группе безопасности диспетчеров Azure. Инструкции по настройке Azure GDAP см. в рабочих нагрузок, поддерживаемых подробными делегированными правами администратора (GDAP).

Да. Сведения об ограничении разрешений администратора пользователя путем назначения наименее привилегированных ролей в Microsoft Entra см. в наименее привилегированных ролей по задачам в Microsoft Entra.

Рекомендуется назначить роль администратора службы поддержки . Дополнительные сведения см. в статье Наименее привилегированные роли по задачам в Microsoft Entra.

• Чтобы уменьшить разрыв между ролями Microsoft Entra, доступными в API Центра партнеров и пользовательском интерфейсе, список из девяти ролей доступен в пользовательском интерфейсе Центра партнеров в июле 2024 года.
• В разделе "Совместная работа"
  • Администратор Microsoft Edge
  • Администратор виртуальных посещений
  • Администратор целей Viva
  • Администратор Viva Pulse
  • Администратор Yammer
• Под удостоверением:
  • Администратор управления разрешениями
  • Администратор рабочих процессов жизненного цикла
• В разделе "Другое"
  • Администратор фирменной символики организации
  • Утверждающий организационные сообщения

• Чтобы уменьшить разрыв между ролями Microsoft Entra, доступными в API Центра партнеров и пользовательском интерфейсе, список 17 ролей были доступны в пользовательском интерфейсе Центра партнеров в декабре 2024 года.
• В разделе "Совместная работа"
  • Аналитик аналитики аналитики
  • Администратор миграции Microsoft 365
  • Запись сообщений организации
  • Администратор SharePoint Embedded
  • Администратор телефонии Teams
  • Диспетчер успешности взаимодействия с пользователем
• На устройствах:
  • Администратор гарантии оборудования Майкрософт
  • Специалист по гарантии оборудования Майкрософт
• Под удостоверением:
  • Администратор назначения атрибутов
  • Средство чтения назначений атрибутов
  • Администратор определения атрибутов
  • Средство чтения определений атрибутов
  • Администратор журнала атрибутов
  • Читатель журналов атрибутов
  • Администратор расширения проверки подлинности
  • Глобальный администратор безопасного доступа
  • Создатель клиента

Нет. Наименее привилегированная роль для пользователей партнеров, чтобы иметь возможность создавать билеты в службу поддержки для своего клиента, является администратором поддержки служб. Таким образом, чтобы иметь возможность создавать запросы в службу поддержки для клиента, пользователь-партнер должен находиться в группе безопасности и назначен этому клиенту с этой ролью.

Дополнительные сведения обо всех ролях см. в встроенных ролей Microsoft Entra. Сведения о рабочих нагрузках см. в рабочих нагрузок, поддерживаемых подробными делегированными правами администратора (GDAP).

Многие роли используются для Центра администрирования Microsoft 365. Дополнительные сведения см. в статье Часто используемые роли Центра администрирования Microsoft 365.

Да. Создайте группу безопасности, назначьте утвержденные роли и назначьте пользователям клиента партнера эту группу безопасности.

Доступ только для чтения к подпискам клиента предоставляется глобального читателя, читателя каталогови уровня 2 поддержки ролей партнера.

Мы рекомендуем удалить агенты партнеров из роли агента администрирования и добавить их только в группу безопасности GDAP. Таким образом, они могут администрировать службы (запросы на управление службами и службу журналов, например), но они не могут приобретать подписки (изменять количество, отмену, планировать изменения и т. д.).

Группы безопасности, назначенные связи, теряют доступ к данному клиенту. То же самое происходит, если клиент завершает связь DAP.

Да. Удаление отношений GDAP с клиентом не завершает отношения торгового посредника партнеров с клиентом. Партнеры по-прежнему могут приобретать продукты для клиента и управлять бюджетом Azure и другими связанными действиями.

Нет. Все роли в связи GDAP имеют одно и то же время окончания срока действия: длительность, выбранная при создании связи.

Нет. Для выполнения заказов для новых и существующих клиентов не требуется GDAP. Вы можете продолжать использовать тот же процесс для выполнения заказов клиентов в Центре партнеров.

Связи GDAP являются клиентами. Вы можете иметь несколько связей для каждого клиента. Каждая связь GDAP может иметь разные роли и использовать разные группы Microsoft Entra в клиенте CSP. В Центре партнеров назначение ролей работает на уровне отношений между клиентами и GDAP. Если требуется назначение ролей с несколькими клиентами, вы можете автоматизировать работу с помощью API.

Гостевые администраторы GDAP не могут управлять собственными сведениями о безопасности на My Security-Info. Вместо этого они нуждаются в помощи администратора клиента, который он является гостем для регистрации, обновления или удаления сведений о безопасности. Организации могут настроить политики доступа между клиентами для доверия MFA из доверенного клиента CSP. В противном случае гостевые администраторы GDAP ограничены только методами, регистрируемыми администратором клиентов (это SMS или голосовая связь). Дополнительные сведения см. в политиках доступа между клиентами.

Выравнивание по принципу руководящих принципов нулевого доверия: используйте минимальный доступ к привилегиям:

• Мы рекомендуем использовать роль с минимальными привилегиями для задач и задач рабочей нагрузки рабочих нагрузок, поддерживаемых подробными делегированными правами администратора (GDAP), поддерживаемыми GDAP.
• Если необходимо обойти перечисленные известные проблемы, обратитесь к клиенту, чтобы запросить роль глобального администратора с привязкой времени.
• Мы не рекомендуем заменить роль глобального администратора всеми возможными ролями Microsoft Entra.

Да. В течение переходного периода DAP и GDAP будут сосуществовать с разрешениями GDAP, которые имеют приоритет над разрешениями DAP для Microsoft 365, Dynamics 365и рабочих нагрузок Azure.

DAP и GDAP сосуществуют во время переходного периода. Однако в конечном итоге GDAP заменяет DAP, чтобы обеспечить более безопасное решение для наших партнеров и клиентов. Рекомендуется как можно скорее перенести клиентов в GDAP, чтобы обеспечить непрерывность.

В то время как DAP и GDAP не существуют изменения в существующем потоке связи DAP и GDAP.

DAP в настоящее время предоставляется при создании нового клиента. 25 сентября 2023 г. корпорация Майкрософт больше не предоставляет DAP для создания нового клиента и вместо этого предоставляет GDAP по умолчанию с определенными ролями. Роли по умолчанию зависят от типа партнера, как показано в следующей таблице:

Партнеры могут реализовать привилегированного управления удостоверениями (PIM) в группе безопасности GDAP в клиенте партнера, чтобы повысить уровень доступа нескольких пользователей с высоким уровнем привилегий (JIT), чтобы предоставить им роли с высоким уровнем привилегий, такие как администраторы паролей с автоматическим удалением доступа. До января 2023г. требуется, чтобы каждая группа привилегированного доступа (прежнее имя функции PIM для групп ) должна находиться в группе с возможностью назначения ролей. Это ограничение теперь удалены. Учитывая это изменение, можно включить более 500 групп для каждого клиента вPIM, но только до 500 групп можно назначить роль. Сводка:

• Партнеры могут использовать как назначаемые ролью , так и группы, не назначаемые ролью, в PIM. Этот параметр эффективно удаляет ограничение на 500 групп/tenant в PIM.
• С последними обновлениями можно подключить группу к PIM (UX- UX): из меню PIM или из меню Группы. Независимо от выбранного способа, чистый результат совпадает.
  • Возможность подключения групп, назначаемых ролем или не назначаемых ролем, через меню PIM уже доступна.
  • Возможность подключения групп, назначаемых ролем или не назначаемых ролем, с помощью меню "Группы" уже доступна.
• Дополнительные сведения см. в разделе Привилегированное управление удостоверениями (PIM) для групп (предварительная версия) — Microsoft Entra.

GDAP общедоступен для всех коммерческих облачных служб Майкрософт (Microsoft 365, Dynamics 365, Microsoft Azureи рабочих нагрузок Microsoft Power Platform). Дополнительные сведения о том, как DAP и GDAP могут сосуществовать, и как GDAP имеет приоритет, выполните поиск в этом разделе, чтобы Как разрешения GDAP имеют приоритет над разрешениями DAP, а DAP и GDAP сосуществуют? вопрос.

Это действие можно выполнить с помощью API.

Нет. Ваши доходы PEC не затрагиваются при переходе на GDAP. Нет изменений в PAL с переходом, гарантируя, что вы продолжаете зарабатывать PEC.

• Если клиент партнера имеет только DAP и DAP удаляется, PEC не теряется.
• Если клиент партнера имеет DAP, и они перемещаются в GDAP для Microsoft 365 и Azure одновременно, а DAP удаляется, PEC не теряется.
• Если клиент партнера имеет DAP и переходит в GDAP для Microsoft 365, но сохраняет Azure as-is (они не перемещаются в GDAP) и DAP удаляется, PEC не теряется, но доступ к подписке Azure теряется.
• Если роль RBAC удалена, PEC теряется, но удаление GDAP не удаляет RBAC.

Если пользователь входит в группу безопасности GDAP и группу агентов администрирования DAP, и клиент имеет отношения DAP и GDAP, доступ GDAP имеет приоритет на уровне партнера, клиента и рабочей нагрузки.

Например, если пользователь-партнер входит в рабочую нагрузку, а для роли глобального администратора и GDAP для роли "Глобальный читатель" пользователь-партнер получает разрешения только глобального читателя.

Если существует три клиента с назначениями ролей GDAP только группе безопасности GDAP (а не агентам администратора):

В следующей таблице описывается, что происходит при входе пользователя в другой клиент клиента.

DAP и GDAP не являются допустимыми типами ассоциаций для назначений партнеров решений. aDisabling или переход с DAP на GDAP не влияет на достижение назначений партнеров решений. Кроме того, обновление устаревших преимуществ компетенций или преимуществ партнеров решений не затрагивается. Чтобы просмотреть другие типы ассоциаций партнеров, подходящие для назначения партнеров решений, см. обозначения партнеров Центра партнеров.

Что касается отношений между Azure Lighthouse и DAP/GDAP, они считаются разделенными параллельными путями к ресурсам Azure. Отклинение одного не должно повлиять на другое.

• В сценарии Azure Lighthouse пользователи из партнера никогда не войдите в клиент клиента и не имеют разрешений Microsoft Entra в клиенте клиента. Назначения ролей Azure RBAC также хранятся в клиенте партнера.
• В сценарии GDAP пользователи из клиента партнера войдите в клиент клиента. Назначение роли Azure RBAC группе агентов администрирования также находится в клиенте клиента. Вы можете заблокировать путь GDAP (пользователи больше не могут войти), пока путь Azure Lighthouse не влияет. И наоборот, можно отключить связь Lighthouse (проекция), не влияя на GDAP. Дополнительные сведения см. в документации Azure Lighthouse.

Управляемые поставщики услуг (MSPs), зарегистрированные в программе поставщиков облачных решений (CSP), как косвенных торговых посредников или прямых счетов партнеров теперь могут использовать Microsoft 365 Lighthouse для настройки GDAP для любого клиента. Поскольку существует несколько способов, которыми партнеры управляют переходом в GDAP, этот мастер позволяет партнерам Lighthouse принимать рекомендации по роли, относящиеся к их бизнес-потребностям. Он также позволяет им принимать меры безопасности, такие как JIT-доступ. MSPs также может создавать шаблоны GDAP с помощью Lighthouse, чтобы легко сохранять и повторно применять параметры, которые обеспечивают доступ клиентов с минимальными привилегиями. Дополнительные сведения и просмотр демонстрации см. в мастере установки Lighthouse GDAP. MSPs может настроить GDAP для любого клиента в Lighthouse. Для доступа к данным рабочей нагрузки клиента в Lighthouse требуется связь GDAP или DAP. Если GDAP и DAP совместно работают в клиенте, разрешения GDAP имеют приоритет для технических специалистов MSP в группах безопасности с поддержкой GDAP. Дополнительные сведения о требованиях для Microsoft 365 Lighthouse см. в разделе Требования к Microsoft 365 Lighthouse.

Правильная последовательность для этого сценария:

1. Создайте связь GDAP для microsoft 365 и Azure.
2. Назначение ролей Microsoft Entra группам безопасности для microsoft 365 и Azure.
3. Настройте GDAP, чтобы иметь приоритет над DAP.
4. Удалите DAP.

Следующая последовательность может привести к потере доступа к подпискам Azure:

1. Удалите DAP. Вы не обязательно теряете доступ к подписке Azure, удалив DAP. Но в настоящее время вы не можете просмотреть каталог клиента, чтобы выполнить какие-либо назначения ролей Azure RBAC (например, назначение нового пользователя клиента в качестве участника RBAC подписки).
2. Создайте связь GDAP для Microsoft 365 и Azure вместе. вы можете потерять доступ к подписке Azure на этом шаге после настройки GDAP.
3. Назначение ролей Microsoft Entra группам безопасности для Microsoft 365 и Azure

После завершения установки Azure GDAP вы получите доступ к подпискам Azure.

Если у вас есть подписки Azure без DAP, которыми вы управляете как владелец, при добавлении GDAP для Microsoft 365 к этому клиенту вы можете потерять доступ к подпискам Azure. Чтобы избежать потери доступа, переместите клиента в azure GDAP одновременно, что вы переместите клиента в Microsoft 365 GDAP.

Нет. Отношения, принятые после принятия, не будут повторно использоваться.

Если у вас есть отношения торгового посредника с клиентом, вам по-прежнему необходимо установить связь GDAP для управления подписками Azure.

1. Создайте группу безопасности (например, диспетчеры Azure) в Microsoft Entra.
2. Создайте связь GDAP с ролью читателя каталогов.
3. Сделайте группу безопасности членом группы агента администрирования . После выполнения этих действий вы можете управлять подпиской Azure клиента с помощью AOBO. Вы не можете управлять подпиской с помощью ИНТЕРФЕЙСА командной строки или PowerShell.

Да. Вы можете создать план Azure, даже если нет DAP или GDAP с существующими отношениями торгового посредника. Но для управления этой подпиской вам потребуется DAP или GDAP.

При переходе от DAP к GDAP партнеры должны убедиться, что они должны иметь следующие сведения, чтобы просмотреть сведения о компании:

• Активная связь GDAP.
• Назначается любая из следующих ролей Microsoft Entra: глобальный администратор, читатели каталогов, глобальный читатель. Ознакомьтесь с предоставления подробных разрешений группам безопасности.

Когда поставщик служб CSP входит на портал Azure клиента (portal.azure.come) с использованием учетных данных CSP и существует связь GDAP, CSP замечает, что его имя пользователя является "user_", за которым следует некоторое число. Он не отображает фактическое имя пользователя, как в DAP. Это по дизайну.

Партнеры должны явно предоставлять подробные разрешения группам безопасности, в GDAP по умолчанию.
По состоянию на 10 октября 2023 года DAP больше недоступен с отношениями торгового посредника. Обновленная ссылка связи посредника запросов доступна в пользовательском интерфейсе Центра партнеров, а URL-адрес свойства "/v1/customers/relationship request" возвращает URL-адрес приглашения, который будет отправлен администратору клиента.

Да, партнеры должны явно предоставлять подробные разрешения группам безопасности в GDAP по умолчанию для управления клиентом.

Партнеры с отношениями торгового посредника только без DAP или GDAP могут создавать клиентов, размещать заказы и управлять ими, скачивать ключи программного обеспечения, управлять Azure RI. Они не могут просматривать сведения о компании клиента, не могут просматривать пользователей или назначать лицензии пользователям, не могут регистрировать билеты от имени клиентов и не могут получать доступ к конкретным центрам администрирования продукта (например, Центр администрирования Teams).

Для доступа к клиенту клиента и управления ими партнер или CPV субъект-служба приложения должна быть предоставлена в клиенте клиента. Если DAP активен, они должны добавить субъект-службу приложения в группу SG агентов администрирования в клиенте партнера. С помощью GDAP партнер должен убедиться, что их приложение предоставлено согласие в клиенте клиента. Если приложение использует делегированные разрешения (App + User) и активная GDAP существует с любой из трех ролей (администратор облачных приложений, администратор приложений, глобальный администратор), API согласия можно использовать. Если приложение использует разрешения только для приложений, оно должно быть вручную предоставлено партнером или клиентом с тремя ролями (администратор облачных приложений, администратор приложений, глобальный администратор), с помощью URL-адреса согласия администратора на уровне клиента.

Если появится следующая ошибка:

"Мы не можем проверить запрос "Создать связь GDAP" в настоящее время. Рекомендуется пользоваться анонимными подключениями для этой службы. Если вы считаете, что вы получили это сообщение в ошибке, повторите запрос. Выберите, чтобы узнать о действиях, которые можно предпринять. Если проблема сохранится, обратитесь в службу поддержки и справочный код сообщения 715-123220 и идентификатор транзакции: guid".

Измените способ подключения к корпорации Майкрософт, чтобы служба проверки подлинности выполнялось правильно. Это помогает гарантировать, что ваша учетная запись не скомпрометирована и соответствует нормативным требованиям, которым должна соответствовать корпорация Майкрософт.

Действия, которые можно сделать:

• Снимите кэш браузера.
• Отключите защиту отслеживания в браузере или добавьте наш сайт в список исключений или безопасных данных.
• Отключите любую программу или службу виртуальной частной сети (VPN), которую вы можете использовать.
• Подключитесь непосредственно с локального устройства, а не через виртуальную машину.

Если после выполнения предыдущих действий вы по-прежнему не можете подключиться, мы рекомендуем проконсультироваться с ИТ-службой технической поддержки, чтобы проверить параметры, чтобы узнать, может ли они определить причину проблемы. Иногда проблема связана с параметрами сети вашей компании. ИТ-администратору потребуется решить проблему, например, за счет безопасного перечисления нашего сайта или изменения других параметров сети.

• Ограниченный (прямой счет): создать новые отношения GDAP (отношения администратора) невозможно. Существующие GDAPs и их назначения ролей МОГУТ быть обновлены.
• Приостановлено (прямой счет, косвенный поставщик или косвенный торговый посредник): создать новый GDAP НЕ МОЖЕТ. Существующие GDAPs и их назначения ролей не могут быть обновлены.
• Ограниченный (прямой счет) + активный (косвенный торговый посредник): для ограниченного прямого счета: создать новый GDAP (отношения администратора) не может быть создано. Существующие GDAPs и их назначения ролей МОГУТ быть обновлены. Для активного косвенного торгового посредника: будет создано новое приложение GDAP, существующие GDAPs и их назначения ролей МОГУТ быть обновлены. При отключении нового GDAP невозможно создать, существующие GDAP и их назначения ролей не могут быть обновлены.

Да. Текущий выпуск GDAP поддерживает все продукты: Microsoft 365, Dynamics 365, Microsoft Power Platformи Microsoft Azure.