Privilegierade roller och behörigheter i Microsoft Entra-ID (förhandsversion)

Viktigt!

Etiketten för privilegierade roller och behörigheter finns för närvarande i FÖRHANDSVERSION. Juridiska villkor för Azure-funktioner i betaversion, förhandsversion eller som av någon annan anledning inte har gjorts allmänt tillgängliga ännu finns i kompletterande användningsvillkor för Microsoft Azure-förhandsversioner.

Microsoft Entra-ID har roller och behörigheter som identifieras som privilegierade. Dessa roller och behörigheter kan användas för att delegera hantering av katalogresurser till andra användare, ändra autentiseringsuppgifter, autentiserings- eller auktoriseringsprinciper eller få åtkomst till begränsade data. Privilegierade rolltilldelningar kan leda till utökade privilegier om de inte används på ett säkert och avsett sätt. Den här artikeln beskriver privilegierade roller och behörigheter och metodtips för hur du använder.

Vilka roller och behörigheter är privilegierade?

En lista över privilegierade roller och behörigheter finns i Inbyggda Microsoft Entra-roller. Du kan också använda administrationscentret för Microsoft Entra, Microsoft Graph PowerShell eller Microsoft Graph API för att identifiera roller, behörigheter och rolltilldelningar som identifieras som privilegierade.

Administrationscenter

Leta efter etiketten PRIVILEGED i administrationscentret för Microsoft Entra.

På sidan Roller och administratörer identifieras privilegierade roller i kolumnen Privilegierad . Kolumnen Tilldelningar visar antalet rolltilldelningar. Du kan också filtrera privilegierade roller.

När du visar behörigheterna för en privilegierad roll kan du se vilka behörigheter som är privilegierade. Om du visar behörigheterna som standardanvändare kan du inte se vilka behörigheter som är privilegierade.

När du skapar en anpassad roll kan du se vilka behörigheter som är privilegierade och den anpassade rollen kommer att märkas som privilegierad.

PowerShell

I Microsoft Graph PowerShell kontrollerar du om egenskapen IsPrivileged är inställd på True.

Om du vill visa privilegierade roller använder du kommandot Get-MgBetaRoleManagementDirectoryRoleDefinition .

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can create and manage all aspects of app registrations and enterprise apps.
DisplayName             : Application Administrator
Id                      : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users in this role can
                          add, manage, and configureenterprise applications, app registrations and manage on-premises
                          like app proxy.], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$m
                          etadata#roleManagement/directory/roleDefinitions('9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3')/inhe
                          ritsPermissionsFrom]}


AllowedPrincipalTypes   :
Description             : Can reset passwords for non-administrators and Helpdesk Administrators.
DisplayName             : Helpdesk Administrator
Id                      : 729827e3-9c14-49f7-bb1b-9608f156bbb8
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 729827e3-9c14-49f7-bb1b-9608f156bbb8
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users with this role
                          can change passwords, invalidate refresh tokens, manage service requests, and monitor
                          service health. Invalidating a refresh token forces the user to sign in again. Helpdesk
                          administrators can reset passwords and invalidate refresh tokens of other users who are
                          non-administrators or assigned the following roles only:
                          * Directory Readers
                          * Guest Inviter
                          * Helpdesk Administrator
                          * Message Center Reader
                          * Password Administrator
                          * Reports Reader], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$
                          metadata#roleManagement/directory/roleDefinitions('729827e3-9c14-49f7-bb1b-9608f156bbb8')/inh
                          eritsPermissionsFrom]}

...

Om du vill visa privilegierade behörigheter använder du kommandot Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction .

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

Om du vill visa privilegierade rolltilldelningar använder du kommandot Get-MgBetaRoleManagementDirectoryRoleAssignment .

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

Graph API

I Microsoft Graph API kontrollerar du om egenskapen isPrivileged är inställd på true.

Om du vill visa en lista över privilegierade roller använder du API:et List roleDefinitions .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

Om du vill visa privilegierade behörigheter använder du API:et List resourceActions .

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Om du vill visa en lista över privilegierade rolltilldelningar använder du API:et List unifiedRoleAssignments .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Metodtips för att använda privilegierade roller

Här följer några metodtips för att använda privilegierade roller.

• Tillämpa principen om lägsta behörighet
• Använd Privileged Identity Management för att bevilja just-in-time-åtkomst
• Aktivera multifaktorautentisering för alla dina administratörskonton
• Konfigurera återkommande åtkomstgranskningar för att återkalla onödiga behörigheter över tid
• Begränsa antalet globala administratörer till mindre än 5
• Begränsa antalet privilegierade rolltilldelningar till mindre än 10

Mer information finns i Metodtips för Microsoft Entra-roller.

Privilegierade behörigheter jämfört med skyddade åtgärder

Privilegierade behörigheter och skyddade åtgärder är säkerhetsrelaterade funktioner som har olika syften. Behörigheter som har etiketten PRIVILEGED hjälper dig att identifiera behörigheter som kan leda till utökade privilegier om de inte används på ett säkert och avsett sätt. Skyddade åtgärder är rollbehörigheter som har tilldelats principer för villkorlig åtkomst för extra säkerhet, till exempel att kräva multifaktorautentisering. Krav för villkorsstyrd åtkomst tillämpas när en användare utför den skyddade åtgärden. Skyddade åtgärder finns för närvarande i förhandsversion. Mer information finns i Vad är skyddade åtgärder i Microsoft Entra-ID?.

Kapacitet	Privilegierad behörighet	Skyddad åtgärd
Identifiera behörigheter som ska användas på ett säkert sätt	✅
Kräv ytterligare säkerhet för att utföra en åtgärd		✅

Terminologi

För att förstå privilegierade roller och behörigheter i Microsoft Entra-ID hjälper det till att känna till några av följande terminologi.

Period	Definition
åtgärd	En aktivitet som ett säkerhetsobjekt kan utföra på en objekttyp. Kallas ibland för en åtgärd.
tillåtelse	En definition som anger vilken aktivitet ett säkerhetsobjekt kan utföra på en objekttyp. En behörighet innehåller en eller flera åtgärder.
privilegierad behörighet	I Microsoft Entra-ID kan behörigheter som kan användas för att delegera hantering av katalogresurser till andra användare, ändra autentiseringsuppgifter, autentiserings- eller auktoriseringsprinciper eller komma åt begränsade data.
privilegierad roll	En inbyggd eller anpassad roll som har en eller flera privilegierade behörigheter.
privilegierad rolltilldelning	En rolltilldelning som använder en privilegierad roll.
utökade privilegier	När ett säkerhetsobjekt får fler behörigheter än den tilldelade rollen som ursprungligen tillhandahålls genom att personifiera en annan roll.
skyddad åtgärd	Behörigheter med villkorsstyrd åtkomst som tillämpas för extra säkerhet.

Förstå rollbehörigheter

Schemat för behörigheter följer löst REST-formatet för Microsoft Graph:

<namespace>/<entity>/<propertySet>/<action>

Till exempel:

microsoft.directory/applications/credentials/update

Behörighetselement	beskrivning
namnområde	Produkt eller tjänst som exponerar uppgiften och förbereds med microsoft. Till exempel använder microsoft.directory alla uppgifter i Microsoft Entra-ID namnområdet.
entity	Logisk funktion eller komponent som exponeras av tjänsten i Microsoft Graph. Microsoft Entra-ID exponerar till exempel användare och grupper, OneNote exponerar anteckningar och Exchange exponerar postlådor och kalendrar. Det finns ett särskilt allEntities nyckelord för att ange alla entiteter i ett namnområde. Detta används ofta i roller som ger åtkomst till en hel produkt.
propertySet	Specifika egenskaper eller aspekter av entiteten för vilken åtkomst beviljas. Ger till exempel microsoft.directory/applications/authentication/read möjlighet att läsa svars-URL, utloggnings-URL och implicit flödesegenskap för programobjektet i Microsoft Entra-ID. allProperties anger alla egenskaper för entiteten, inklusive privilegierade egenskaper. standard anger vanliga egenskaper, men exkluderar privilegierade som är relaterade till read åtgärder. Omfattar till exempel microsoft.directory/user/standard/read möjligheten att läsa standardegenskaper som offentligt telefonnummer och e-postadress, men inte det privata sekundära telefonnumret eller e-postadressen som används för multifaktorautentisering. basic anger vanliga egenskaper, men exkluderar privilegierade som är relaterade till åtgärden update . Den uppsättning egenskaper som du kan läsa kan skilja sig från vad du kan uppdatera. Det är därför det finns standard och basic nyckelord som återspeglar det.
åtgärd	Åtgärd som beviljas, oftast skapa, läsa, uppdatera eller ta bort (CRUD). Det finns ett särskilt allTasks nyckelord för att ange alla ovanstående funktioner (skapa, läsa, uppdatera och ta bort).

Jämföra autentiseringsroller

I följande tabell jämförs funktionerna i autentiseringsrelaterade roller.

Roll	Hantera användarens autentiseringsmetoder	Hantera MFA per användare	Hantera MFA-inställningar	Hantera policyn för autentiseringsmetod	Hantera policyn för lösenordsskydd	Uppdatera känsliga egenskaper	Ta bort och återställa användare
Autentiseringsadministratör	Ja för vissa användare	Ja för vissa användare	Ja	Nej	Nej	Ja för vissa användare	Ja för vissa användare
Administratör för privilegierad autentisering	Ja för alla användare	Ja för alla användare	Nej	Nej	Nej	Ja för alla användare	Ja för alla användare
Administratör för autentiseringsprincip	Nej	Ja	Ja	Ja	Ja	Nej	Nej
Användaradministratör	Nej	Nej	Nej	Nej	Nej	Ja för vissa användare	Ja för vissa användare

Vem kan återställa lösenord

I följande tabell visar kolumnerna de roller som kan återställa lösenord och ogiltigförklara uppdateringstoken. Raderna visar de roller för vilka deras lösenord kan återställas. En lösenordsadministratör kan till exempel återställa lösenordet för katalogläsare, gästinbjudare, lösenordsadministratör och användare utan administratörsroll. Om en användare tilldelas någon annan roll kan lösenordsadministratören inte återställa sitt lösenord.

Följande tabell gäller för roller som tilldelats i omfånget för en klientorganisation. För roller som tilldelats inom en administrativ enhets omfång gäller ytterligare begränsningar.

Roll som lösenordet kan återställas	Lösenordsadministratör	Supportavdelningsadministratör	Autentiseringsadministratör	Användaradministratör	Administratör för privilegierad autentisering	Global administratör
Autentiseringsadministratör			✅		✅	✅
Katalogläsare	✅	✅	✅	✅	✅	✅
Global administratör					✅	✅*
Gruppadministratör				✅	✅	✅
Gäst inbjudare	✅	✅	✅	✅	✅	✅
Supportavdelningsadministratör		✅		✅	✅	✅
Meddelandecenterläsare		✅	✅	✅	✅	✅
Lösenordsadministratör	✅	✅	✅	✅	✅	✅
Administratör för privilegierad autentisering					✅	✅
Privilegierad rolladministratör					✅	✅
Rapportläsare		✅	✅	✅	✅	✅
User (ingen administratörsroll)	✅	✅	✅	✅	✅	✅
User (ingen administratörsroll, men medlem eller ägare av en rolltilldelningsbar grupp)					✅	✅
Användare med en roll som är begränsad till en administrativ enhet för begränsad hantering					✅	✅
Användaradministratör				✅	✅	✅
Hanteraren för användarupplevelse		✅	✅	✅	✅	✅
Läsare av användningssammanfattningsrapporter		✅	✅	✅	✅	✅
Alla andra inbyggda och anpassade roller					✅	✅

Viktigt!

Partnernivå 2-supportrollen kan återställa lösenord och ogiltigförklara uppdateringstoken för alla icke-administratörer och administratörer (inklusive globala administratörer). Partnernivå1-supportrollen kan återställa lösenord och ogiltigförklara uppdateringstoken för endast icke-administratörer. Dessa roller bör inte användas eftersom de är inaktuella.

Möjligheten att återställa ett lösenord inkluderar möjligheten att uppdatera följande känsliga egenskaper som krävs för lösenordsåterställning med självbetjäning:

• businessPhones
• mobilePhone
• otherMails

Vem kan utföra känsliga åtgärder

Vissa administratörer kan utföra följande känsliga åtgärder för vissa användare. Alla användare kan läsa de känsliga egenskaperna.

Känslig åtgärd	Namn på känslig egenskap
Inaktivera eller aktivera användare	accountEnabled
Uppdatera företagstelefon	businessPhones
Uppdatera mobiltelefonen	mobilePhone
Uppdatera lokalt oföränderligt ID	onPremisesImmutableId
Uppdatera andra e-postmeddelanden	otherMails
Uppdatera lösenordsprofil	passwordProfile
Uppdatera användarens huvudnamn	userPrincipalName
Ta bort eller återställa användare	Inte tillämpligt

I följande tabell visar kolumnerna de roller som kan utföra känsliga åtgärder. Raderna visar de roller som den känsliga åtgärden kan utföras för.

Följande tabell gäller för roller som tilldelats i omfånget för en klientorganisation. För roller som tilldelats inom en administrativ enhets omfång gäller ytterligare begränsningar.

Roll som känslig åtgärd kan utföras på	Autentiseringsadministratör	Användaradministratör	Administratör för privilegierad autentisering	Global administratör
Autentiseringsadministratör	✅		✅	✅
Katalogläsare	✅	✅	✅	✅
Global administratör			✅	✅
Gruppadministratör		✅	✅	✅
Gäst inbjudare	✅	✅	✅	✅
Supportavdelningsadministratör		✅	✅	✅
Meddelandecenterläsare	✅	✅	✅	✅
Lösenordsadministratör	✅	✅	✅	✅
Administratör för privilegierad autentisering			✅	✅
Privilegierad rolladministratör			✅	✅
Rapportläsare	✅	✅	✅	✅
User (ingen administratörsroll)	✅	✅	✅	✅
User (ingen administratörsroll, men medlem eller ägare av en rolltilldelningsbar grupp)			✅	✅
Användare med en roll som är begränsad till en administrativ enhet för begränsad hantering			✅	✅
Användaradministratör		✅	✅	✅
Hanteraren för användarupplevelse	✅	✅	✅	✅
Läsare av användningssammanfattningsrapporter	✅	✅	✅	✅
Alla andra inbyggda och anpassade roller			✅	✅

Nästa steg

• Metodtips för Microsoft Entra-roller
• Inbyggda Microsoft Entra-roller