Microsoft Entra ID 中的特权角色和权限（预览版）

项目
10/15/2024

重要

特权角色和权限的标签目前为预览版。有关 beta 版本、预览版或尚未正式发布的版本的 Azure 功能所适用的法律条款，请参阅 Microsoft Azure 预览版的补充使用条款。

Microsoft Entra ID 具有被标识为特权的角色和权限。这些角色和权限可用于将目录资源的管理委托给其他用户、修改凭据、身份验证或授权策略，或访问受限数据。如果未以安全且预期的方式使用特权角色分配，则可能会导致特权提升。本文介绍特权角色和权限以及关于如何使用它们的最佳做法。

哪些角色和权限具有特权？

有关特权角色和权限的列表，请参阅 Microsoft Entra 内置角色。还可以使用 Microsoft Entra 管理中心、Microsoft Graph PowerShell 或 Microsoft Graph API 来识别标识为特权的角色、权限和角色分配。

在 Microsoft Entra 管理中心，查找 PRIVILEGED 标签。

特权标签图标。

在“角色和管理员”页面上，特权角色在“特权”列中标识。 “分配”列列出了角色分配的数量。还可以筛选特权角色。

查看特权角色的权限时，可以看到哪些权限具有特权。如果以默认用户身份查看权限，则无法查看哪些权限具有特权。

创建自定义角色时，可以看到哪些权限具有特权，自定义角色将被标记为特权角色。

在 Microsoft Graph PowerShell 中，检查 IsPrivileged 属性是否设置为 True。

若要列出特权角色，请使用 Get-MgBetaRoleManagementDirectoryRoleDefinition 命令。

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can create and manage all aspects of app registrations and enterprise apps.
DisplayName             : Application Administrator
Id                      : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users in this role can
                          add, manage, and configureenterprise applications, app registrations and manage on-premises
                          like app proxy.], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$m
                          etadata#roleManagement/directory/roleDefinitions('9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3')/inhe
                          ritsPermissionsFrom]}


AllowedPrincipalTypes   :
Description             : Can reset passwords for non-administrators and Helpdesk Administrators.
DisplayName             : Helpdesk Administrator
Id                      : 729827e3-9c14-49f7-bb1b-9608f156bbb8
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 729827e3-9c14-49f7-bb1b-9608f156bbb8
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users with this role
                          can change passwords, invalidate refresh tokens, manage service requests, and monitor
                          service health. Invalidating a refresh token forces the user to sign in again. Helpdesk
                          administrators can reset passwords and invalidate refresh tokens of other users who are
                          non-administrators or assigned the following roles only:
                          * Directory Readers
                          * Guest Inviter
                          * Helpdesk Administrator
                          * Message Center Reader
                          * Password Administrator
                          * Reports Reader], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$
                          metadata#roleManagement/directory/roleDefinitions('729827e3-9c14-49f7-bb1b-9608f156bbb8')/inh
                          eritsPermissionsFrom]}

...

若要列出特权权限，请使用 Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction 命令。

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

若要列出特权分配，请使用 Get-MgBetaRoleManagementDirectoryRoleAssignment 命令。

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

在 Microsoft Graph API 中，检查 isPrivileged 属性是否设置为 true。

若要列出特权角色，请使用 List roleDefinitions API。

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

响应

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

若要列出特权权限，请使用 List resourceActions API。

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

响应

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

若要列出特权角色分配，请使用 List unifiedRoleAssignments API。

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

响应

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

使用特权角色的最佳做法

下面是使用特权角色的一些最佳做法。

应用最低特权原则
使用 Privileged Identity Management 授予实时访问权限
为所有管理员帐户启用多重身份验证
配置重复访问评审，以随时间推移撤销不需要的权限
将全局管理员的数量限制为少于 5
将特权角色分配数限制为少于 10

有关详细信息，请参阅 Microsoft Entra 角色最佳做法。

特权权限与受保护的操作

特权权限与受保护的操作是具有不同用途的安全相关功能。带有特权标签的权限可帮助你识别如果未以安全且预期的方式使用，可能会导致特权提升的权限。受保护的操作是已分配有条件访问策略（例如需要多重身份验证）以提高安全性的角色权限。当用户执行受保护的操作时，将强制执行有条件访问要求。受保护操作目前处于预览状态。有关详细信息，请参阅 Microsoft Entra ID 中的受保护操作是什么？。

功能	特权权限	受保护操作
识别应以安全方式使用的权限	✅
需要额外的安全性才能执行操作		✅

术语

若要了解 Microsoft Entra ID 中的特权角色和权限，了解以下一些术语会有所帮助。

术语	定义
action	安全主体可以对对象类型执行的活动。有时称为操作。
权限 (permission)	一个定义，指定安全主体可以对对象类型执行的活动。一个权限，包括一个或多个操作。
特权权限	在 Microsoft Entra ID 中，可用于将目录资源管理委派给其他用户、修改凭据、身份验证或授权策略或访问受限数据的权限。
特权角色	具有一个或多个特权的内置或自定义角色。
特权角色分配	使用特权角色的角色分配。
特权提升	当安全主体通过模拟另一个角色获得比最初为其分配的角色更多的权限时。
受保护操作	应用有条件访问权限可提高安全性。

如何了解角色权限

权限的架构不严格遵循 Microsoft Graph 的 REST 格式：

<namespace>/<entity>/<propertySet>/<action>

例如：

microsoft.directory/applications/credentials/update

权限元素	说明
命名空间	公开任务的产品或服务，前面附加了 `microsoft`。例如，Microsoft Entra ID 中的所有任务都使用 `microsoft.directory` 命名空间。
实体	服务在 Microsoft Graph 中公开的逻辑功能或组件。例如，Microsoft Entra ID 公开“用户”和“组”，OneNote 公开“笔记”，Exchange 公开“邮箱”和“日历”。有一个特殊的 `allEntities` 关键字用于指定命名空间中的所有实体。此关键字通常在授予对整个产品的访问权限的角色中使用。
propertySet	要为其授予访问权限的实体的特定属性或方面。例如，`microsoft.directory/applications/authentication/read` 授予读取 Microsoft Entra ID 中应用程序对象上的回复 URL、注销 URL 和隐式流属性的能力。 `allProperties` 指定实体的所有属性（包括特权属性）。 `standard` 指定通用属性，但排除与 `read` 操作相关的特权属性。例如，`microsoft.directory/user/standard/read` 包括读取标准属性（例如，公用电话号码和电子邮件地址，但不包括用于多重身份验证的私人备用电话号码或电子邮件地址）。 `basic` 指定通用属性，但排除与 `update` 操作相关的特权属性。你可以读取的属性集可能不同于你可以更新的属性集。这正是我们提供 `standard` 和 `basic` 关键字来反映这一点的原因。
action	被授予的操作，最常见的是创建、读取、更新或删除 (CRUD)。有一个特殊的 `allTasks` 关键字用于指定所有上述功能（创建、读取、更新和删除）。

比较身份验证角色

下表比较了与身份验证相关的角色的功能。

角色	管理用户的身份验证方法	管理每用户 MFA	管理 MFA 设置	管理身份验证方法策略	管理密码保护策略	更新敏感属性	删除和还原用户
身份验证管理员	对于某些用户为“是”	对于某些用户为“是”	是	否	否	对于某些用户为“是”	对于某些用户为“是”
特权身份验证管理员	对于所有用户为“是”	对于所有用户为“是”	否	No	否	对于所有用户为“是”	对于所有用户为“是”
身份验证策略管理员	否	是	是	是	是	否	否
用户管理员	否	No	No	No	否	对于某些用户为“是”	对于某些用户为“是”

谁可以重置密码

在下表中，各列列出了可以重置密码以及使刷新令牌无效的角色。这些行列出了可以为其重置密码的角色。例如，密码管理员可以为目录读取者、来宾邀请者、密码管理员以及不具有管理员角色的用户重置密码。如果为用户分配了任何其他角色，则密码管理员无法为其重置密码。

下表适用于在租户范围内分配的角色。对于在管理单元范围内分配的角色，进一步的限制适用。

可以重置密码的角色	密码管理员	支持管理员	身份验证管理员	用户管理员	特权身份验证管理员	全局管理员
身份验证管理员			✅		✅	✅
目录读者	✅	✅	✅	✅	✅	✅
全局管理员					✅	✅*
组管理员				✅	✅	✅
来宾邀请者	✅	✅	✅	✅	✅	✅
服务台管理员		✅		✅	✅	✅
消息中心读取者		✅	✅	✅	✅	✅
密码管理员	✅	✅	✅	✅	✅	✅
特权身份验证管理员					✅	✅
特权角色管理员					✅	✅
报告读者		✅	✅	✅	✅	✅
用户（无管理员角色）	✅	✅	✅	✅	✅	✅
用户（无管理员角色，但具有可分配角色的组的成员或所有者角色）					✅	✅
角色范围为受限管理管理单元的用户					✅	✅
用户管理员				✅	✅	✅
用户体验成功管理器		✅	✅	✅	✅	✅
使用情况摘要报告阅读器		✅	✅	✅	✅	✅
所有其他内置和自定义角色					✅	✅

重要

合作伙伴 Tier2 支持角色可为所有非管理员和管理员（包括全局管理员）重置密码，并使刷新令牌失效。合作伙伴 Tier1 支持角色只能为非管理员重置密码，并使刷新令牌失效。不应使用这些角色，因为它们已弃用。

密码重置功能包括更新自助式密码重置所需的以下敏感属性：

businessPhones
mobilePhone
otherMails

谁可以执行敏感操作

某些管理员可以为某些用户执行以下敏感操作。所有用户都可以读取敏感属性。

敏感操作	敏感属性名称
禁用或启用用户	`accountEnabled`
更新业务电话	`businessPhones`
更新移动电话	`mobilePhone`
更新本地不可变 ID	`onPremisesImmutableId`
更新其他电子邮件	`otherMails`
更新密码配置文件	`passwordProfile`
更新用户主体名称	`userPrincipalName`
删除或还原用户	不适用

在下表中，各列列出了可以执行敏感操作的角色。该行列出了可以对其执行敏感操作的角色。