GDAP 常见问题解答

合作伙伴组织中具有 管理员代理 角色的人员可以 创建 GDAP 关系请求。

是的。 GDAP 关系请求在 90 天后过期。

不。 出于安全原因，无法与客户建立永久 GDAP 关系。 GDAP 关系的最大持续时间为两年。 可以将 自动扩展 设置为 已启用 将管理员关系延长六个月，直到终止或自动扩展设置为 禁用。

不。 GDAP 关系不支持通过企业协议购买的订阅。

是的。 GDAP 关系可以自动延长 6 个月，直到终止或自动扩展设置为“已禁用”。

• 如果与客户的 GDAP 关系过期，再次请求 GDAP 关系。
• 可以使用 GDAP 关系分析 跟踪 GDAP 关系到期日期并准备其续订。

若要扩展或续订 GDAP 关系，合作伙伴或客户必须将 自动扩展 设置为 已启用。 有关详细信息，请参阅 管理 GDAP 自动扩展 和 API。

是的。 如果 GDAP 处于活动状态，则可以扩展它。

假设 GDAP 创建 365 天，自动扩展设置为“已启用”。 在第 365 天，结束日期有效更新 180 天。

是的。 可以自动扩展任何活动的 GDAP。

不。 无需客户同意即可针对现有活动 GDAP 将自动扩展设置为“已启用”。

不。 分配给安全组的精细权限将继续 as-is。

不。 不能使用全局管理员角色自动扩展管理员关系。

“即将过期的粒度关系” 页仅适用于具有全局管理员和管理员代理角色的合作伙伴用户。 此页有助于筛选跨不同时间线过期的 GDAP，并帮助更新一个或多个 GDAP 的自动扩展（启用/禁用）。

不。 GDAP 关系过期时，不会更改客户的现有订阅。

请参阅 排查Microsoft Entra 多重身份验证问题，无法使用 Microsoft Entra 多重身份验证在丢失手机或电话号码更改 后登录到云服务以获取指导。

合作伙伴必须在创建第一个 GDAP 时请求 特权身份验证管理员 Microsoft Entra 角色。

• 此角色使合作伙伴能够重置管理员或非管理员用户的密码和身份验证方法。 特权身份验证管理员角色是Microsoft Led 工具设置的角色的一部分，计划在创建客户流期间使用默认 GDAP（计划为 9 月）。
• 合作伙伴可以让客户管理员尝试 重置密码。
• 作为预防措施，合作伙伴必须为客户设置 SSPR（自助密码重置）。 有关详细信息，请参阅 让用户重置自己的密码。

• 在 合作伙伴 组织中，具有 管理员代理 角色的人员会收到终止通知。
• 在 客户 组织中，具有 全局管理员 角色的人员会收到终止通知。

是的。 合作伙伴可以查看客户何时在合作伙伴中心活动日志中删除 GDAP。

不。 GDAP 是一项可选功能，适用于想要以更精细且具有时间限制的方式管理其客户服务的合作伙伴。 可以选择要为其创建 GDAP 关系的客户。

答案取决于你希望如何管理客户。

• 如果希望合作伙伴用户能够管理所有客户，可以将所有合作伙伴用户放入一个安全组，一个组可以管理所有客户。
• 如果希望让各种合作伙伴用户管理各种客户，请将这些合作伙伴用户分配到单独的安全组进行客户隔离。

是的。 间接经销商（以及间接提供商和直接计费合作伙伴）可以在合作伙伴中心创建 GDAP 关系请求。

作为 GDAP 设置的一部分，请确保在合作伙伴租户中创建的安全组与合作伙伴用户一起被选中。 此外，请确保为安全组分配所需的Microsoft Entra 角色。 请参阅 分配Microsoft Entra 角色。

客户现在可以从条件访问策略中排除 CSP，以便合作伙伴无需阻止即可过渡到 GDAP。

• 包括用户 - 此用户列表通常包括组织在条件访问策略中面向的所有用户。
• 创建条件访问策略时，可以包括以下选项：
• 选择用户和组
• 来宾或外部用户（预览版）
• 此选择提供了多个选项，可用于将条件访问策略定向到特定来宾或外部用户类型和包含这些类型的用户的特定租户。 可以选择多种不同类型的来宾或外部用户，并且可以进行多个选择：
• 服务提供商用户，例如云解决方案提供商（CSP）。
• 可以为所选用户类型指定一个或多个租户，也可以指定所有租户。
• 外部合作伙伴访问 - 面向外部用户的条件访问策略可能会干扰服务提供商访问权限，例如精细的委派管理员权限。 有关详细信息，请参阅 细化委派管理员权限（GDAP）简介。 对于旨在面向服务提供商租户的策略，请使用 服务提供商用户来宾或外部用户 选择选项中提供的外部用户类型。
• 排除用户 - 当组织同时包括和排除用户或组时，用户或组将从策略中排除，因为排除操作将替代策略中的包含操作。
• 创建条件访问策略时，可以排除以下选项：
• 来宾或外部用户
• 此选择提供了多个选项，可用于将条件访问策略定向到特定来宾或外部用户类型和包含这些类型的用户的特定租户。 有 几种不同类型的来宾或外部用户可以选择，并且可以进行多个选择：
• 服务提供商用户，例如云解决方案提供商（CSP）
• 可以为所选用户类型指定一个或多个租户，也可以指定所有租户。 有关详细信息，请参阅：
• 图形 API 体验：具有新的外部用户类型信息的 Beta API
• 条件访问策略
• 条件访问外部用户

是的。 不管你拥有何种支持计划，合作伙伴用户能够为其客户创建支持票证的最低特权角色是服务支持管理员。

不。 合作伙伴当前无法在 审批挂起 状态终止 GDAP。 如果客户不采取任何操作，它将在 90 天内过期。

只有在 GDAP 关系终止或过期 365 天（清理）后，才能重复使用同名创建新的 GDAP 关系。

是的。 合作伙伴可以跨区域管理其客户，而无需为每个客户区域创建新的合作伙伴租户。 它仅适用于 GDAP（管理员关系）提供的客户管理角色。 事务角色和功能仍仅限于 授权的 Territory。

不。 服务提供商不能是多租户组织的一部分，它们是相互排斥的。

1. 确保正确设置 GDAP，包括如何为安全组授予 权限。
2. 确保精细 安全组权限 正确。
3. 有关帮助，请参阅 安全 Copilot 常见问题解答。

有关 API 和 GDAP 的详细信息，请参阅 合作伙伴中心开发人员文档。

是的。 我们建议合作伙伴使用 beta 版 GDAP API，并在它们可用时切换到 API v.1。 尽管存在警告，“不支持在生产应用程序中使用这些 API”，但通用指南适用于 Graph 下的任何 beta API，不适用于 beta GDAP 图形 API。

是的。 可以使用 API 创建 GDAP 关系，使合作伙伴能够缩放此过程。 但是，合作伙伴中心不提供创建多个 GDAP 关系。 有关 API 和 GDAP 的信息，请参阅 合作伙伴中心开发人员文档。

该 API 一次适用于一个安全组，但你可以将多个安全组映射到合作伙伴中心中的多个角色。

为每个资源发出单独的调用。 发出单个 POST 请求时，仅传递一个资源及其相应的范围。 例如，若要请求 https://graph.windows.net/Directory.AccessAsUser.All 和 https://graph.microsoft.com/Organization.Read.All的权限，请发出两个不同的请求，每个请求一个。

使用提供的链接搜索资源名称：验证登录报告中的第一方Microsoft应用程序 - Active Directory。 例如，若要查找资源 ID 00000003-0000-0000-c000-000000000000000，graph.microsoft.com：

在查询筛选器中使用不正确的标识符时，通常会发生此错误。 若要解决此问题，请确保将 enterpriseApplicationId 属性与正确的 资源 ID（而不是资源名称）配合使用。

• 对于 enterpriseApplicationId的错误请求，请不要使用资源名称（如 graph.microsoft.com）。
• 正确的请求 相反，对于 enterpriseApplicationId，请使用资源 ID，例如 000000003-0000-0000-c000-00000000000000。

例如，之前 graph.microsoft.com 资源仅同意“配置文件”范围。 现在还需要添加配置文件和 user.read。 若要向以前许可的应用程序添加新范围，请执行以下操作：

1. 使用 DELETE 方法可撤销客户租户的现有应用程序同意。
2. 使用 POST 方法创建具有额外作用域的新应用程序同意。

使用逗号后跟空格连接所需的范围。 例如，“scope”：“profile， User.Read”

1. 确认请求正文中的“displayName”和“applicationId”属性准确无误，并匹配你尝试许可到客户租户的应用程序。
2. 确保使用相同的应用程序生成尝试许可到客户租户的访问令牌。 例如：如果应用程序 ID 为“12341234-1234-1234-12341234”，则访问令牌中的“appId”声明还应为“12341234-1234-1234-12341234”。
3. 验证是否满足以下条件之一：

• 你有一个活动的委派管理员权限（DAP），并且该用户也是合作伙伴租户中的管理员代理安全组的成员。
• 你与客户租户有一个有效的粒度委派管理员权限（GDAP）关系，其中至少有三个 GDAP 角色之一，并且已完成访问分配：
  • 全局管理员、应用程序管理员或云应用程序管理员角色。
  • 合作伙伴用户是访问分配中指定的安全组的成员。

• 若要使用按客户访问分区（这是建议的最佳做法）管理 Azure，请创建安全组（例如 Azure 经理），并将其嵌套在管理员代理下。
• 若要以客户的所有者身份访问 Azure 订阅，可以将任何 Microsoft Entra 内置角色（例如 目录读取者、最低特权角色）分配给 Azure 经理 安全组。 有关设置 Azure GDAP 的步骤，请参阅 受精细委派管理员权限（GDAP）支持的工作负荷。

是的。 有关如何通过在 Microsoft Entra 中分配最低特权角色来限制用户的管理员权限的信息，请参阅 Microsoft Entra中的任务 最小特权角色。

建议分配 服务支持管理员 角色。 若要了解详细信息，请参阅Microsoft Entra中的任务 最小特权角色。

• 为了减少合作伙伴中心 API 和 UI 中提供的 Microsoft Entra 角色之间的差距，2024 年 7 月，合作伙伴中心 UI 中提供了 9 个角色的列表。
• 在“协作”下：
  • Microsoft Edge 管理员
  • 虚拟访问管理员
  • Viva 目标管理员
  • Viva Pulse 管理员
  • Yammer 管理员
• 在“标识”下：
  • 权限管理管理员
  • 生命周期工作流管理员
• 在“其他”下：
  • 组织品牌管理员
  • 组织消息审批者

不。 合作伙伴用户能够为其客户创建支持票证的最低特权角色是 服务支持管理员。 因此，若要为客户创建支持票证，合作伙伴用户必须位于安全组中，并分配给具有该角色的客户。

有关所有角色的信息，请参阅 Microsoft Entra 内置角色。 有关工作负荷的信息，请参阅 粒度委派管理员权限（GDAP）支持的工作负荷。

许多角色用于 Microsoft 365 管理中心。 有关详细信息，请参阅 常用Microsoft 365 管理中心角色。

是的。 创建安全组，分配已批准的角色，然后将合作伙伴租户用户分配到该安全组。

全局读取者、目录读取器和 合作伙伴第 2 层支持 角色提供对客户的订阅的只读访问权限。

建议从 管理员代理 角色中删除合作伙伴代理，并将其仅添加到 GDAP 安全组。 这样，他们就可以管理服务（例如，服务管理和日志服务请求），但无法购买和管理订阅（更改数量、取消、计划更改等）。

分配给关系的安全组无法访问该客户。 如果客户终止 DAP 关系，则会发生同样的事情。

是的。 删除与客户的 GDAP 关系不会终止合作伙伴与客户的经销商关系。 合作伙伴仍然可以为客户购买产品并管理 Azure 预算和其他相关活动。

不。 GDAP 关系中的所有角色都具有相同的到期时间：创建关系时选择的持续时间。

不。 无需 GDAP 即可为新客户和现有客户履行订单。 可以继续使用同一流程在合作伙伴中心履行客户订单。

GDAP 关系是每个客户。 每个客户可以有多个关系。 每个 GDAP 关系可以具有不同的角色，并在 CSP 租户中使用不同的Microsoft Entra 组。 在合作伙伴中心，角色分配在客户到 GDAP 关系级别工作。 如果想要多角色分配，可以使用 API 自动执行。

GDAP 来宾管理员无法在“我的安全信息”管理自己的安全信息。 相反，他们需要作为来宾的租户管理员的帮助，以便进行任何安全信息注册、更新或删除。 组织可以配置跨租户访问策略，以信任受信任的 CSP 租户中的 MFA。 否则，GDAP 来宾管理员仅限于租户管理员（即短信或语音）可注册的方法。 若要了解详细信息，请参阅 跨租户访问策略。

符合零信任 指导原则：使用最小特权访问：

• 建议按任务 和工作负荷任务使用 最低特权角色，受 GDAP 支持的精细委派管理员权限（GDAP）支持的工作负荷。
• 当需要解决列出的已知问题时，请与客户协作，请求具有时间限制的全局管理员角色。
• 我们 不建议将全局管理员角色替换为所有可能的Microsoft Entra 角色。

是的。 在转换期间，DAP 和 GDAP 将共存，GDAP 权限优先于 Microsoft 365、Dynamics 365和 Azure 工作负荷的 DAP 权限。

在过渡期间，DAP 和 GDAP 共存。 但是，最终 GDAP 取代了 DAP，以确保我们为合作伙伴和客户提供更安全的解决方案。 建议尽快将客户过渡到 GDAP，以确保连续性。

DAP 和 GDAP 共存时，现有 DAP 关系流不会更改。

创建新的客户租户时，当前授予 DAP。 2023 年 9 月 25 日，Microsoft不再为新客户创建授予 DAP，而是向默认 GDAP 授予特定角色。 默认角色因合作伙伴类型而异，如下表所示：

合作伙伴可以在合作伙伴租户中的 GDAP 安全组上实现 Privileged Identity Management （PIM），以提升少数高特权用户的访问权限（恰时（JIT），以授予他们高特权角色（如密码管理员）自动删除访问权限。 在 2023 年 1 月 2023 年 1 月之前，每个 特权访问组（组 功能的前 名称）都必须位于可分配角色 组中 。 此限制现已 删除。 鉴于此更改，可以在 PIM中 为每个 租户启用 500 多个组，但最多只能分配 500 个组。 总结：

• 合作伙伴可以在 PIM 中使用可分配角色 和非角色分配 组。 此选项有效地 删除 PIM 中 500 个组/tenant 的限制。
• 通过最新更新，可通过两种方法将 组 加入 PIM（UX-wise）：从 PIM 菜单，或从 组 菜单中加入。 无论选择哪种方式，净结果都是相同的。
  • 可以通过 PIM 菜单加入可分配角色/不可分配角色的组的功能已可用。
  • 可以通过“组”菜单载入可分配角色/不可分配角色的组的功能已可用。
• 有关详细信息，请参阅 组的 Privileged Identity Management （PIM） - Microsoft Entra。

GDAP 已正式发布，支持所有Microsoft商业云服务（Microsoft 365、Dynamics 365、Microsoft Azure，以及 Microsoft Power Platform 工作负荷）。 有关 DAP 和 GDAP 如何共存以及如何优先使用 GDAP 的详细信息，请在此常见问题解答中搜索 GDAP 权限如何优先于 DAP 权限，而 DAP 和 GDAP 共存？ 问题。

可以使用 API 执行此操作。

不。 过渡到 GDAP 时，PEC 收益不会受到影响。 在过渡时，PAL 没有变化，确保你继续赢得 PEC。

• 如果合作伙伴的客户只有 DAP 且 DAP 被删除，则 PEC 不会丢失。
• 如果合作伙伴的客户具有 DAP，并且同时迁移到 GDAP Microsoft 365 和 Azure，并且删除 DAP，PEC 不会丢失。
• 如果合作伙伴的客户具有 DAP，并且他们迁移到 GDAP for Microsoft 365，但保留 Azure as-is（他们不会移动到 GDAP），并且 DAP 被删除，PEC 不会丢失，但对 Azure 订阅的访问权限会丢失。
• 如果删除了 RBAC 角色，PEC 将丢失，但删除 GDAP 不会删除 RBAC。

当用户同时属于 GDAP 安全组和 DAP 管理员代理组 并且 客户具有 DAP 和 GDAP 关系时，GDAP 访问优先于合作伙伴、客户和工作负荷级别。

例如，如果合作伙伴用户登录工作负荷，并且全局管理员角色有 DAP 和全局读取者角色的 GDAP，则合作伙伴用户仅获取全局读取者权限。

如果有三个客户将 GDAP 角色分配给仅 GDAP 安全组（而不是管理员代理）：

下表描述了用户登录到其他客户租户时会发生什么情况。

DAP 和 GDAP 不符合解决方案合作伙伴指定条件的关联类型。 aDisabling 或从 DAP 过渡到 GDAP 不会影响你实现解决方案合作伙伴指定。 此外，旧能力权益或解决方案合作伙伴权益的续订不会受到影响。 若要查看符合解决方案合作伙伴指定条件的其他合作伙伴关联类型，请参阅 合作伙伴中心解决方案合作伙伴指定。

关于 Azure Lighthouse 与 DAP/GDAP 之间的关系，将它们视为与 Azure 资源的并行路径分离。 断断一个不应该影响另一个。

• 在 Azure Lighthouse 方案中，合作伙伴租户中的用户永远不会登录到客户租户，并且客户租户中没有任何Microsoft Entra 权限。 其 Azure RBAC 角色分配也保留在合作伙伴租户中。
• 在 GDAP 方案中，合作伙伴租户中的用户登录到客户租户。 向管理员代理组分配 Azure RBAC 角色也位于客户租户中。 当 Azure Lighthouse 路径不受影响时，可以阻止 GDAP 路径（用户无法再登录）。 相反，你可以断断灯塔关系（投影），而不会影响 GDAP。 有关详细信息，请参阅 Azure Lighthouse 文档。

在云解决方案提供商（CSP）计划中注册的托管服务提供商（MSP）作为 间接经销商， 或 直接账单 合作伙伴现在可以使用 Microsoft 365 Lighthouse 为任何客户租户设置 GDAP。 由于合作伙伴已经通过几种方式管理其过渡到 GDAP，因此此向导允许 Lighthouse 合作伙伴采用特定于其业务需求的角色建议。 它还允许他们采取安全措施，如实时（JIT）访问。 MSP 还可以通过 Lighthouse 创建 GDAP 模板，以便轻松保存和重新应用启用最低特权客户访问的设置。 有关详细信息以及查看演示，请参阅 Lighthouse GDAP 设置向导。 MSP 可以为 Lighthouse 中的任何客户租户设置 GDAP。 若要访问 Lighthouse 中的客户工作负荷数据，需要 GDAP 或 DAP 关系。 如果 GDAP 和 DAP 在客户租户中共存，GDAP 权限优先于启用了 GDAP 的安全组中的 MSP 技术人员。 有关Microsoft 365 灯塔的要求的详细信息，请参阅Microsoft 365 灯塔要求。

此方案要遵循的正确顺序是：

1. 为 Microsoft 365 和 Azure创建 GDAP 关系。
2. Microsoft 365 和 Azure将Microsoft Entra 角色分配给安全组。
3. 将 GDAP 配置为优先于 DAP。
4. 删除 DAP。

以下序列可能会导致 失去对 Azure 订阅的访问权限：

1. 删除 DAP。 不一定通过删除 DAP 来失去对 Azure 订阅的访问权限。 但目前无法浏览客户的目录以执行任何 Azure RBAC 角色分配（例如将新客户用户分配为订阅 RBAC 参与者）。
2. 为Microsoft 365 和 Azure 创建 GDAP 关系。 设置 GDAP 后，可能会立即失去对 Azure 订阅的访问权限。
3. 将Microsoft Entra 角色分配给 Microsoft 365 和 Azure

完成 Azure GDAP 设置后，可以重新获得对 Azure 订阅的访问权限。

如果你的 Azure 订阅 没有作为所有者管理的 DAP，则向该客户添加 Microsoft 365 的 GDAP 时，可能会失去对 Azure 订阅的访问权限。 为了避免失去访问权限，请同时将客户移动到 Azure GDAP ， 将客户移到 Microsoft 365 GDAP。

不。 一旦接受关系，就不能重复使用。

如果与客户建立了现有的经销商关系，则仍需建立 GDAP 关系才能管理其 Azure 订阅。

1. 在 Microsoft Entra 中创建安全组（例如 Azure 管理器）。
2. 创建与 目录读取者 角色的 GDAP 关系。
3. 使安全组成为 管理员代理 组的成员。 执行这些步骤后，可以通过 AOBO 管理客户的 Azure 订阅。 无法通过 CLI/Powershell 管理订阅。

是的。 即使没有具有现有经销商关系的 DAP 或 GDAP，也可以创建 Azure 计划。 但为了管理该订阅，需要 DAP 或 GDAP。

随着合作伙伴从 DAP 过渡到 GDAP，他们必须确保满足以下条件才能查看公司详细信息：

• 活动的 GDAP 关系。
• 分配以下任何Microsoft Entra 角色：全局管理员、目录读取者、全局读取者。 请参阅 向安全组授予精细权限。

当 CSP 使用其 CSP 凭据登录到其客户的 Azure 门户（portal.azure.come），并且存在 GDAP 关系时，CSP 会注意到其用户名为“user_”，后跟一些数字。 它不会在 DAP 中显示其实际用户名。 这是设计。

合作伙伴必须显式 向默认 GDAP 中 安全组授予精细权限。
截至 2023 年 10 月 10 日，DAP 不再可用于经销商关系。 更新的请求经销商关系链接在合作伙伴中心 UI 中可用，API 合同“/v1/customers/relationship requests”属性 URL 返回要发送给客户租户管理员的邀请 URL。

是的，合作伙伴必须显式 向默认 GDAP 中 的安全组授予精细权限才能管理客户。

只有没有 DAP 或 GDAP 的经销商关系合作伙伴才能创建客户、下单和管理订单、下载软件密钥、管理 Azure RI。 他们无法查看客户公司详细信息、无法查看用户或向用户分配许可证、无法代表客户记录票证，也无法访问和管理特定于产品的管理中心（例如 Teams 管理中心）。

若要使合作伙伴或 CPV 访问和管理客户租户，必须在客户租户中同意其应用的服务主体。 当 DAP 处于活动状态时，它们必须将应用的服务主体添加到合作伙伴租户中的管理员代理 SG。 借助 GDAP，合作伙伴必须确保其应用在客户租户中得到同意。 如果应用使用委派的权限（应用 + 用户）和活动 GDAP 存在，则可以使用以下三个角色中的任何一个（云应用程序管理员、应用程序管理员、全局管理员）许可 API。 如果应用仅使用应用程序权限，则必须使用 租户范围的管理员同意URL，由合作伙伴或客户（云应用程序管理员、应用程序管理员、全局管理员）中的任何一个角色（云应用程序管理员、应用程序管理员、全局管理员）手动同意。

如果看到以下错误：

“目前无法验证”创建新的 GDAP 关系“请求。 建议不允许使用此服务的匿名连接。 如果你认为收到此消息时出错，请再次尝试你的请求。 选择以了解有关可执行的操作。 如果问题仍然存在，请联系支持部门和引用消息代码 715-123220 和事务 ID：guid。

更改连接到Microsoft以让身份验证服务正常运行的方式。 它有助于确保帐户不会泄露，并且符合Microsoft必须遵守的法规。

可以执行的操作：

• 清除浏览器缓存。
• 在浏览器上关闭跟踪防护，或将站点添加到异常/安全列表。
• 关闭可能正在使用的任何虚拟专用网络（VPN）程序或服务。
• 直接从本地设备（而不是通过虚拟机（VM）进行连接。

如果尝试上述步骤后，仍无法连接，我们建议咨询 IT 技术支持，检查设置，以确定它们是否有助于确定导致问题的原因。 有时，问题位于公司的网络设置中。 IT 管理员需要通过安全列出我们的站点或进行其他网络设置调整来解决该问题。

• 受限（直接帐单）：无法创建新的 GDAP（管理员关系）。 可以更新现有 GDAP 及其角色分配。
• 已暂停（直接计费/间接提供商/间接经销商）：无法创建新的 GDAP。 无法更新现有 GDAP 及其角色分配。
• 受限（直接帐单）+ 活动（间接经销商）：对于受限直接帐单：无法创建新的 GDAP（管理员关系）。 可以更新现有 GDAP 及其角色分配。 对于活动间接经销商：可以创建新的 GDAP，可以更新现有的 GDAP 及其角色分配。 无法创建新 GDAP 时，无法更新现有 GDAP 及其角色分配。

是的。 GDAP 的当前版本支持所有产品：Microsoft 365、Dynamics 365、Microsoft Power Platform和 Microsoft Azure。