你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
提升访问权限以管理所有 Azure 订阅和管理组
作为 Microsoft Entra ID 中的全局管理员，你可能无权访问租户中的所有订阅和管理组。 本文介绍如何自我提升对所有订阅和管理组的访问权限。
注意
若要了解如何查看或删除个人数据，请参阅 GDPR 的常规数据主体请求、GDPR 的 Azure 数据主体请求或 GDPR 的 Windows 数据主体请求，具体取决于实际领域和需求。 有关 GDPR 的详细信息，请参阅 Microsoft 信任中心的 GDPR 部分和服务信任门户的 GDPR 部分。
为何需要提升访问权限？
全局管理员有时可能需要执行以下操作：
- 在用户失去访问权限时重新获取对 Azure 订阅或管理组的访问权限
- 授予其他用户或自己对 Azure 订阅或管理组的访问权限
- 查看组织中的所有 Azure 订阅或管理组
- 允许自动化应用（例如发票或审计应用）访问所有 Azure 订阅或管理组
提升访问权限的工作原理是什么？
Microsoft Entra ID 和 Azure 资源彼此独立保护。 也就是说，Microsoft Entra 角色分配不授予对 Azure 资源的访问权限，Azure 角色分配也不授予对 Microsoft Entra ID 的访问权限。 但是，如果你是 Microsoft Entra ID 中的全局管理员，则你可为自己分配对租户中所有 Azure 订阅和管理组的访问权限。 如果你无权访问 Azure 订阅资源（如虚拟机或存储帐户），并且想使用全局管理员特权来获取这些资源的访问权限，则请使用此功能。
提升访问权限时，你将分配有 Azure 中根范围 (/) 的用户访问管理员角色。 此角色可查看所有资源，并且可用于分配租户中任何订阅或管理组中的访问权限。 可以使用 Azure PowerShell、Azure CLI 或 REST API 删除“用户访问管理员”角色分配。
完成需在根范围执行的更改后，应删除此提升的访问权限。
在根范围内执行步骤
步骤 1：提升全局管理员的访问权限
请按照这些步骤，使用 Azure 门户为全局管理员提升访问权限。
以全局管理员的身份登录到 Azure 门户。
如果使用 Microsoft Entra Privileged Identity Management，请激活全局管理员角色分配。
浏览到“Microsoft Entra ID”>“管理”>“属性”。
在“Azure 资源的访问管理”下，将开关设置为“是”。
将开关设为“是”时，你将分配到 Azure RBAC 中根范围 (/) 的“用户访问管理员”角色。 这将授予你在与此 Microsoft Entra 租户关联的所有 Azure 订阅和管理组中分配角色的权限。 此开关仅适用于分配到 Microsoft Entra ID 中全局管理员角色的用户。
将开关设为“否”时，会从用户帐户中删除 Azure RBAC 中的用户访问管理员角色。 你将无法再分配在与此 Microsoft Entra 租户关联的所有 Azure 订阅和管理组中的角色。 只能查看和管理已获取访问权限的 Azure 订阅和管理组。
注意
如果正在使用 Privileged Identity Management，则停用角色分配不会将“Azure 资源的访问管理”更改为“否”。 为了保持最小特权访问，我们建议你在停用角色分配之前，将此开关设置为“否”。
选择“保存”以保存设置。
此设置不是全局属性，仅适用于当前已登录的用户。 无法提升所有全局管理员角色成员的访问权限。
注销然后重新登录可以刷新访问权限。
现在，你应该有权访问租户中的所有订阅和管理组。 在查看“访问控制(IAM)”页时，你会注意到，系统为你分配了根范围的“用户访问管理员”角色。
以提升的访问权限做出所需的更改。
有关分配角色的信息，请参阅使用 Azure 门户分配 Azure 角色。 如果使用 Privileged Identity Management，请参阅发现要管理的 Azure 资源或分配 Azure 资源角色。
执行以下部分中的步骤以删除提升的访问权限。
步骤 2：移除已提升的访问权限
若要删除根范围 (/) 的“用户访问管理员”角色分配，请遵循以下步骤。
以提升访问权限时使用的用户身份登录。
浏览到“Microsoft Entra ID”>“管理”>“属性”。
将“Azure 资源的访问管理”切换回“否”。 由于此设置特定于用户，因此，必须以提升访问权限时所用的同一用户登录。
如果尝试移除“访问控制(IAM)”页上的“用户访问管理员”角色分配，你将看到以下消息。 若要删除角色分配，必须切换回“否”，或者使用 Azure PowerShell、Azure CLI 或 REST API。
以全局管理员身份注销。
如果使用 Privileged Identity Management，请停用全局管理员角色分配。
注意
如果正在使用 Privileged Identity Management，则停用角色分配不会将“Azure 资源的访问管理”更改为“否”。 为了保持最小特权访问，我们建议你在停用角色分配之前，将此开关设置为“否”。
查看具有提升访问权限的用户
如果你有具有提升访问权限的用户，则横幅会显示在 Azure 门户的几个位置。 本部分介绍如何确定你的租户中是否有具有提升访问权限的用户。 此功能正在分阶段部署，因此它可能尚未在你的租户中提供。
选项 1
在 Azure 门户中，浏览到“Microsoft Entra ID”>“管理”>“属性”。
在“Azure 资源的访问管理”下，查找以下横幅。
You have X users with elevated access. Microsoft Security recommends deleting access for users who have unnecessary elevated access. Manage elevated access users
选择“管理提升访问权限用户”链接以查看具有提升访问权限的用户列表。
方法 2
在 Azure 门户中，浏览到订阅。
选择“访问控制(IAM)”。
在页面顶部，查找以下横幅。
Action required: X users have elevated access in your tenant. You should take immediate action and remove all role assignments with elevated access. View role assignments
选择“查看角色分配”链接以查看具有提升访问权限的用户列表。
移除用户的提升访问权限
如果你有具有提升访问权限的用户，则应立即采取措施并移除该访问权限。 若要移除这些角色分配，你还必须具有提升的访问权限。 本部分介绍如何使用 Azure 门户移除租户中用户的提升访问权限。 此功能正在分阶段部署，因此它可能尚未在你的租户中提供。
以全局管理员的身份登录到 Azure 门户。
浏览到“Microsoft Entra ID”>“管理”>“属性”。
在“Azure 资源的访问管理”下，将切换开关设置为“是”，如之前在“步骤 1：提升全局管理员的访问权限”中所述。
选择“管理提升访问权限用户”链接。
此时会显示“具有提升访问权限的用户”窗格，其中包含你的租户中具有提升访问权限的用户的列表。
若要移除用户的提升访问权限，请在用户旁边添加复选标记，然后选择“移除”。
查看提升访问权限日志条目
当访问权限提升或移除时，会将一个条目添加到日志中。 作为 Microsoft Entra ID 中的管理员，你可能想要检查访问权限何时已提升，以及由谁提升。
提升访问权限日志条目显示在 Microsoft Entra 目录审核日志和 Azure 活动日志中。 目录审核日志和活动日志的提升访问权限日志条目包含类似的信息。 但是，目录审核日志更易于筛选和导出。 此外，使用导出功能可以流式传输访问事件，这些事件可用于警报和检测解决方案，例如 Microsoft Sentinel 或其他系统。 有关如何将日志发送到不同目标的信息，请参阅为活动日志配置 Microsoft Entra 诊断设置。
本部分介绍查看提升访问权限日志条目的不同方式。
重要
Microsoft Entra 目录审核日志中的提升访问权限日志条目目前为预览版。 此预览版在提供时没有附带服务级别协议，不建议将其用于生产工作负荷。 某些功能可能不受支持或者受限。 有关详细信息，请参阅 Microsoft Azure 预览版补充使用条款。
以全局管理员的身份登录到 Azure 门户。
浏览到“Microsoft Entra ID”>“监视”>“审核日志”。
在“服务”筛选器中，选择“Azure RBAC (提升的访问权限)”，然后选择“应用”。
系统将显示提升访问权限日志。
若要查看访问权限提升或移除时的详细信息，请选择这些审核日志条目。
User has elevated their access to User Access Administrator for their Azure ResourcesThe role assignment of User Access Administrator has been removed from the user
若要下载并查看 JSON 格式的日志条目的有效负载，请选择“下载”和“JSON”。
使用 Microsoft Sentinel 检测提升访问权限事件
你可以使用 Microsoft Sentinel 检测提升访问权限的事件并深入了解潜在的欺诈活动。 Microsoft Sentinel 是一个安全信息和事件管理 (SIEM) 平台，提供安全分析和威胁响应能力。 本部分介绍如何将 Microsoft Entra 审核日志连接到 Microsoft Sentinel，以便检测组织中提升访问权限的事件。
第 1 步：启用 Microsoft Sentinel
将 Microsoft Sentinel 添加到现有的 Log Analytics 工作区或创建新工作区即可开始。
按照启用 Microsoft Sentinel 中的步骤启用 Microsoft Sentinel。
第 2 步：将 Microsoft Entra 数据连接到 Microsoft Sentinel
在此步骤中，安装 Microsoft Entra ID 解决方案，并使用 Microsoft Entra ID 连接器 来收集 Microsoft Entra ID 的数据。
你的组织可能已经配置了诊断设置以便集成 Microsoft Entra 审核日志。 请按照如何访问诊断设置中的指示查看诊断设置，以进行确认。
按照探索和管理 Microsoft Sentinel 现成内容中的步骤安装 Microsoft Entra ID 解决方案。
按照将 Microsoft Entra 数据连接至 Microsoft Sentinel 中的步骤，使用 Microsoft Entra ID 连接器来收集 Microsoft Entra ID 的数据。
在“数据连接器”页上，选中“审核日志”。
第 3 步：创建提升访问权限的规则
在此步骤中，在模板的基础上创建计划分析规则，以检查 Microsoft Entra 审核日志中提升访问权限的事件。
按照从模板创建规则中的步骤创建提升访问权限的分析规则。
选择“Azure RBAC（提升访问权限）”模板，然后在详细信息窗格中选择“创建规则”按钮。
如果未看到详细信息窗格，请在右边缘选择展开图标。
在“分析规则向导”中，使用默认设置创建新的计划规则。
第 4 步：查看提升访问权限的事件
在此步骤中，你可以查看和调查提升访问权限的事件。
在“事件”页上，按照导航和调查 Microsoft Sentinel 事件中的步骤查看提升访问权限的事件。
