列出 Microsoft Entra 角色指派

本文說明如何使用 Microsoft Entra 系統管理中心、Microsoft Graph PowerShell 或 Microsoft Graph API，列出您在 Microsoft Entra 標識符中指派的角色。

角色指派包含將指定安全性主體（使用者、群組或應用程式服務主體）連結至角色定義的資訊。 列出使用者、群組和指派的角色是預設用戶權力。

範圍

在 Microsoft Entra 帳戶中，可以在不同的範圍指派角色。

• 租用戶範圍的角色指派將新增至單一應用程式角色指派清單，並可在清單中查看。
• 單一應用程式範圍的角色指派不會新增至租用戶範圍的指派清單中，且無法在其中看到。

必要條件

• Microsoft Graph PowerShell 模組，當使用 PowerShell 時
• 針對 Microsoft Graph API 使用 Graph 瀏覽器時的管理員同意

如需詳細資訊，請參閱使用 PowerShell 或 Graph 總管的必要條件。

列出 Microsoft Entra 角色指派

系統管理中心

列出我的角色指派

您也可以輕鬆列出自己的權限。 在 [角色和系統管理員] 頁面上，選取 [您的角色，以查看目前指派給您的角色。

列出使用者的角色指派

請遵循下列步驟，使用 Microsoft Entra 系統管理中心列出使用者的 Microsoft Entra 角色。 您的體驗會根據您是否已啟用 Microsoft Entra Privileged Identity Management （PIM） 而有所不同。

1. 登入 Microsoft Entra 系統管理中心。

2. 流覽至 身分識別>使用者>所有使用者。

3. 選取 使用者名稱>指派的角色。

   您可以在不同範圍看到指派給使用者的角色清單。 此外，您可以查看角色是否已直接指派或透過群組指派。

   

   如果您擁有 Microsoft Entra ID P2 訂閱，您會看到 PIM 的使用體驗，其中包括合格、役中和過期的角色指派詳細資訊。

   

列出群組的角色指派

1. 登入 Microsoft Entra 系統管理中心。

2. 瀏覽至 [身分識別>群組]>[所有群組]。

3. 選取可指派角色的群組。

   若要判斷群組是否可指派角色，您可以檢視群組 屬性。

4. 選取 指派的角色。

   您現在可以看到分配給此群組的所有 Microsoft Entra 角色。 如果您沒有看到 [指派的角色] 選項，群組不是可指派角色的群組。

   

下載角色指派

若要下載所有內建和自訂角色的目前角色指派，請遵循下列步驟。

大量作業最多只能執行 1 小時，而且在大型租戶中存在限制。 如需詳細資訊，請參閱 大量作業 和 在 Microsoft Entra ID中大量建立使用者。

1. 在 [角色和系統管理員] 頁面上，選取 [所有角色]。

2. 選擇 [下載作業]。

   

3. 指定檔案名稱，然後選擇 開始下載。

   將會下載 CSV 檔案，該檔案列出所有範圍上所有角色的指派。

若要下載特定角色的角色指派，請遵循下列步驟。

1. 在 [角色和系統管理員] 頁面上，選取角色。

2. 選取 下載作業。

   如果您有Microsoft Entra ID P2 授權，您會看到 PIM 體驗。 選取 匯出 來下載角色指派。

   將下載一個列出所有範圍內該角色指派的 CSV 檔案。

列出具有租戶範圍的角色指派

此程序描述如何使用租用戶範圍列出角色指派。

1. 登入 Microsoft Entra 系統管理中心。

2. 瀏覽至 [身分識別]>[角色與系統管理員]>[角色與系統管理員]。

3. 選擇角色名稱以開啟角色。 請勿在角色旁新增勾選。

   

4. 選取指派作業，以列出角色作業。

   

5. 在 [範圍] 欄中，查看具有 Directory 範圍的角色指派。

列出在應用程式註冊範圍內的角色指派

本節說明如何列出具有單一應用程式範圍的角色指派。

1. 登入 Microsoft Entra 系統管理中心。

2. 瀏覽至 [身分識別]>[應用程式]>[應用程式註冊]。

3. 選取應用程式註冊來檢視角色指派清單。

   您可能必須選取 [所有應用程式]，才能查看 Microsoft Entra 組織中應用程式註冊的完整清單。

4. 選取 角色與系統管理員。

5. 選擇角色名稱以開啟角色。

6. 選取 角色指派 以列出角色的指派。

   從應用程式註冊中開啟指派頁面，您將看到範圍設定在此 Microsoft Entra 資源的角色指派。

   

7. 在 [範圍] 欄中，請查看具有 此資源 範圍的角色指派。

列出具有管理單位範圍的角色指派

您可以在 Microsoft Entra 系統管理中心 管理單位 區段中，檢視以管理單位範圍建立的所有角色指派。

1. 登入 Microsoft Entra 系統管理中心。

2. 瀏覽至 身分>角色 & 管理員>管理單位。

3. 針對您想要檢視的角色指派清單，選取管理單位。

4. 選取 角色與系統管理員。

5. 選擇角色名稱以開啟角色。

6. 選取 指派以列出角色指派。

   

7. 在 [範圍] 欄中，請查看具有 此資源 範圍的角色指派。

PowerShell

本節說明如何檢視在租用戶範圍內的角色指派。 本節使用 Microsoft Graph PowerShell 模組。

設定

1. 使用 Install-Module安裝 Microsoft Graph 模組。

   Install-Module -name Microsoft.Graph
   

2. 使用 Connect-MgGraph 命令來登入並使用 Microsoft Graph PowerShell Cmdlet。

   Connect-MgGraph
   

列出具有租用戶範圍的角色指派

使用 Get-MgRoleManagementDirectoryRoleDefinition 和 Get-MgRoleManagementDirectoryRoleAssignment 命令來列出角色指派。

下列範例顯示如何列出群組管理員角色的角色指派。

# Get a specific directory role by ID
$role = Get-MgRoleManagementDirectoryRoleDefinition -UnifiedRoleDefinitionId fdd7a751-b60b-444a-984c-02652fe8fa1c

# Get role assignments for a given role definition
Get-MgRoleManagementDirectoryRoleAssignment -Filter "roleDefinitionId eq '$($role.Id)'"

Id                                            PrincipalId                          RoleDefinitionId                     DirectoryScopeId AppScop
                                                                                                                                         eId
--                                            -----------                          ----------------                     ---------------- -------
lAPpYvVpN0KRkAEhdxReEH2Fs3EjKm1BvSKkcYVN2to-1 aaaaaaaa-bbbb-cccc-1111-222222222222 62e90394-69f5-4237-9190-012177145e10 /
lAPpYvVpN0KRkAEhdxReEMdXLf2tIs1ClhpzQPsutrQ-1 bbbbbbbb-cccc-dddd-2222-333333333333 62e90394-69f5-4237-9190-012177145e10 /

下列範例示範如何列出所有已啟用的角色指派，包括內建和自定義的角色。

$roles = Get-MgRoleManagementDirectoryRoleDefinition
foreach ($role in $roles)
{
  Get-MgRoleManagementDirectoryRoleAssignment -Filter "roleDefinitionId eq '$($role.Id)'"
}

Id                                            PrincipalId                          RoleDefinitionId                     DirectoryScopeId AppScop
                                                                                                                                         eId
--                                            -----------                          ----------------                     ---------------- -------
lAPpYvVpN0KRkAEhdxReEH2Fs3EjKm1BvSKkcYVN2to-1 aaaaaaaa-bbbb-cccc-1111-222222222222 62e90394-69f5-4237-9190-012177145e10 /
lAPpYvVpN0KRkAEhdxReEMdXLf2tIs1ClhpzQPsutrQ-1 bbbbbbbb-cccc-dddd-2222-333333333333 62e90394-69f5-4237-9190-012177145e10 /
4-PYiFWPHkqVOpuYmLiHa3ibEcXLJYtFq5x3Kkj2TkA-1 cccccccc-dddd-eeee-3333-444444444444 88d8e3e3-8f55-4a1e-953a-9b9898b8876b /
4-PYiFWPHkqVOpuYmLiHa2hXf3b8iY5KsVFjHNXFN4c-1 dddddddd-eeee-ffff-4444-555555555555 88d8e3e3-8f55-4a1e-953a-9b9898b8876b /
BSub0kaAukSHWB4mGC_PModww03rMgNOkpK77ePhDnI-1 eeeeeeee-ffff-aaaa-5555-666666666666 d29b2b05-8046-44ba-8758-1e26182fcf32 /
BSub0kaAukSHWB4mGC_PMgzOWSgXj8FHusA4iaaTyaI-1 ffffffff-aaaa-bbbb-6666-777777777777 d29b2b05-8046-44ba-8758-1e26182fcf32 /

列出主體的角色指派

使用 Get-MgRoleManagementDirectoryRoleAssignment 命令來列出主體的角色指派。

# Get role assignments for a given principal
Get-MgRoleManagementDirectoryRoleAssignment -Filter "PrincipalId eq 'aaaaaaaa-bbbb-cccc-1111-222222222222'"

列出主體的直接和可轉移角色指派

使用 List transitiveRoleAssignments API，直接且可轉移方式指派給使用者的角色。

$response = $null
$uri = "https://graph.microsoft.com/beta/roleManagement/directory/transitiveRoleAssignments?`$count=true&`$filter=principalId eq 'aaaaaaaa-bbbb-cccc-1111-222222222222'"
$method = 'GET'
$headers = @{'ConsistencyLevel' = 'eventual'}

$response = (Invoke-MgGraphRequest -Uri $uri -Headers $headers -Method $method -Body $null).value

列出群組的角色指派

使用 Get-MgGroup 命令來取得群組。

Get-MgGroup -Filter "DisplayName eq 'Contoso_Helpdesk_Administrators'"

使用 Get-MgRoleManagementDirectoryRoleAssignment 命令來列出群組的角色指派。

Get-MgRoleManagementDirectoryRoleAssignment -Filter "PrincipalId eq '<object id of group>'" 

列出具有管理單位範圍的角色指派

使用 Get-MgDirectoryAdministrativeUnitScopedRoleMember 命令來列出具有管理單位範圍的角色指派。

$adminUnit = Get-MgDirectoryAdministrativeUnit -Filter "displayname eq 'Example_admin_unit_name'"
Get-MgDirectoryAdministrativeUnitScopedRoleMember -AdministrativeUnitId $adminUnit.Id | FL *

Graph API

本節說明如何列出在租用戶範圍的角色指派。 使用 List unifiedRoleAssignments API 來取得角色指派。

列出主體的角色指派

GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments?$filter=principalId+eq+'<object-id-of-principal>'

回應

HTTP/1.1 200 OK
{
"value":[
            { 
                "id": "A1bC2dE3fH4iJ5kL6mN7oP8qR9sT0uIiSDKQoTVJrLE9etXyrY0-1"
                "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
                "roleDefinitionId": "10dae51f-b6af-4016-8d66-8c2a99b929b3",
                "directoryScopeId": "/"  
            } ,
            {
                "id": "C2dE3fH4iJ5kL6mN7oP8qR9sT0uV1wIiSDKQoTVJrLE9etXyrY0-1"
                "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
                "roleDefinitionId": "fe930be7-5e62-47db-91af-98c3a49a38b1",
                "directoryScopeId": "/"
            }
        ]
}

列出主體的直接和可轉移角色指派

請遵循下列步驟，使用 Microsoft Graph API 在 Graph 總管中列出指派給使用者的 Microsoft Entra 角色。

1. 登入 Graph 瀏覽器。

2. 使用 List transitiveRoleAssignments API 來獲取直接和間接指派給使用者的角色。 將下列查詢新增至 URL。

   GET https://graph.microsoft.com/beta/rolemanagement/directory/transitiveRoleAssignments?$count=true&$filter=principalId eq 'aaaaaaaa-bbbb-cccc-1111-222222222222'
   

3. 流覽至 要求標頭 索引標籤。新增 ConsistencyLevel 作為索引鍵，Eventual 作為其值。

4. 選擇 執行查詢。

列出群組的角色指派

使用 Get group API 以取得群組。

GET https://graph.microsoft.com/v1.0/groups?$filter=displayName+eq+'Contoso_Helpdesk_Administrator'

使用 List unifiedRoleAssignments API 來取得角色指派。

GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments?$filter=principalId eq

列出角色定義中的指派角色

下列範例示範如何列出特定角色定義的角色指派。

GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments?$filter=roleDefinitionId eq '<template-id-of-role-definition>'

回應

HTTP/1.1 200 OK
{
    "id": "C2dE3fH4iJ5kL6mN7oP8qR9sT0uV1wIiSDKQoTVJrLE9etXyrY0-1",
    "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
    "roleDefinitionId": "00000000-0000-0000-0000-000000000000",
    "directoryScopeId": "/"
}

按ID列出角色分配

GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments/lAPpYvVpN0KRkAEhdxReEJC2sEqbR_9Hr48lds9SGHI-1

回應

HTTP/1.1 200 OK
{ 
    "id": "A1bC2dE3fH4iJ5kL6mN7oP8qR9sT0uIiSDKQoTVJrLE9etXyrY0-1",
    "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
    "roleDefinitionId": "10dae51f-b6af-4016-8d66-8c2a99b929b3",
    "directoryScopeId": "/"
}

列出在應用程式註冊範圍內的角色指派

GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments?$filter=directoryScopeId+eq+'/d23998b1-8853-4c87-b95f-be97d6c6b610'

回應

HTTP/1.1 200 OK
{
"value":[
            { 
                "id": "A1bC2dE3fH4iJ5kL6mN7oP8qR9sT0uIiSDKQoTVJrLE9etXyrY0-1"
                "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
                "roleDefinitionId": "10dae51f-b6af-4016-8d66-8c2a99b929b3",
                "directoryScopeId": "/d23998b1-8853-4c87-b95f-be97d6c6b610"
            } ,
            {
                "id": "C2dE3fH4iJ5kL6mN7oP8qR9sT0uV1wIiSDKQoTVJrLE9etXyrY0-1"
                "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
                "roleDefinitionId": "00000000-0000-0000-0000-000000000000",
                "directoryScopeId": "/d23998b1-8853-4c87-b95f-be97d6c6b610"
            }
        ]
}

列出在管理單位範圍內的角色指派

使用 List scopedRoleMembers API 來列出具有管理單位範圍的角色指派。

請求

GET /directory/administrativeUnits/{admin-unit-id}/scopedRoleMembers

身體

{}

下一步

• 歡迎在 Microsoft Entra 系統管理角色論壇上與我們共用資訊。
• 如需有關角色權限的詳細資訊，請參閱 Microsoft Entra 內建角色。
• 如需預設使用者權限，請參閱預設來賓和成員使用者權限的比較。