Privilegované role a oprávnění v Microsoft Entra ID (Preview)

Důležité

Popisek pro privilegované role a oprávnění je aktuálně ve verzi PREVIEW. Právní podmínky, které platí pro funkce Azure, které jsou ve verzi beta, verzi Preview nebo které zatím nejsou veřejně dostupné, najdete v Dodatečných podmínkách použití pro Microsoft Azure verze Preview.

ID Microsoft Entra má role a oprávnění, která jsou identifikována jako privilegovaná. Tyto role a oprávnění se dají použít k delegování správy prostředků adresáře jiným uživatelům, úpravě přihlašovacích údajů, zásadám ověřování nebo autorizaci nebo přístupu k datům s omezeným přístupem. Přiřazení privilegovaných rolí můžou vést ke zvýšení oprávnění, pokud se nepoužívá zabezpečeným a zamýšleným způsobem. Tento článek popisuje privilegované role a oprávnění a osvědčené postupy pro použití.

Které role a oprávnění jsou privilegované?

Seznam privilegovaných rolí a oprávnění najdete v tématu Předdefinované role Microsoft Entra. K identifikaci rolí, oprávnění a přiřazení rolí, které jsou identifikované jako privilegované, můžete použít také Centrum pro správu Microsoft Entra, Microsoft Graph PowerShell nebo rozhraní Microsoft Graph API.

Centrum pro správu

V Centru pro správu Microsoft Entra vyhledejte popisek PRIVILEGED .

Na stránce Role a správci jsou privilegované role identifikovány ve sloupci Privilegované. Sloupec Přiřazení uvádí počet přiřazení rolí. Můžete také filtrovat privilegované role.

Při zobrazení oprávnění pro privilegovanou roli můžete zjistit, která oprávnění jsou privilegovaná. Pokud oprávnění zobrazíte jako výchozí uživatel, neuvidíte, která oprávnění jsou privilegovaná.

Když vytvoříte vlastní roli, uvidíte, která oprávnění jsou privilegovaná, a vlastní role se označí jako privilegovaná.

PowerShell

V Microsoft Graph PowerShellu zkontrolujte, jestli IsPrivileged je vlastnost nastavená na True.

K výpisu privilegovaných rolí použijte příkaz Get-MgBetaRoleManagementDirectoryRoleDefinition .

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can manage all aspects of Azure AD and Microsoft services that use Azure AD identities.
DisplayName             : Global Administrator
Id                      : 62e90394-69f5-4237-9190-012177145e10
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 62e90394-69f5-4237-9190-012177145e10
Version                 : 1
AdditionalProperties    : {[inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$metadata#roleManag
                          ement/directory/roleDefinitions('62e90394-69f5-4237-9190-012177145e10')/inheritsPermissionsFr
                          om]}

AllowedPrincipalTypes   :
Description             : Can manage all aspects of users and groups, including resetting passwords for limited admins.
DisplayName             : User Administrator
Id                      : fe930be7-5e62-47db-91af-98c3a49a38b1
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : fe930be7-5e62-47db-91af-98c3a49a38b1
Version                 : 1
AdditionalProperties    : {[inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$metadata#roleManag
                          ement/directory/roleDefinitions('fe930be7-5e62-47db-91af-98c3a49a38b1')/inheritsPermissionsFr
                          om]}

...

K výpisu privilegovaných oprávnění použijte příkaz Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction .

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

K výpisu přiřazení privilegovaných rolí použijte příkaz Get-MgBetaRoleManagementDirectoryRoleAssignment .

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

Graph API

V rozhraní Microsoft Graph API zkontrolujte, jestli je vlastnost nastavená isPrivileged na truehodnotu .

K výpisu privilegovaných rolí použijte rozhraní API List roleDefinitions .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

K výpisu privilegovaných oprávnění použijte rozhraní API List resourceActions .

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Pokud chcete vypsat přiřazení privilegovaných rolí, použijte rozhraní API List unifiedRoleAssignments .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Osvědčené postupy pro používání privilegovaných rolí

Tady je několik osvědčených postupů pro používání privilegovaných rolí.

• Použití principu nejnižších oprávnění
• Použití Privileged Identity Management k udělení přístupu za běhu
• Zapnutí vícefaktorového ověřování pro všechny účty správce
• Konfigurace opakovaných kontrol přístupu pro odvolání nepotřebných oprávnění v průběhu času
• Omezení počtu globálních Správa istrátorů na méně než 5
• Omezení počtu přiřazení privilegovaných rolí na méně než 10

Další informace naleznete v tématu Osvědčené postupy pro role Microsoft Entra.

Privilegovaná oprávnění versus chráněné akce

Privilegovaná oprávnění a chráněné akce jsou funkce související se zabezpečením, které mají různé účely. Oprávnění s popiskem PRIVILEGED pomáhají identifikovat oprávnění, která můžou vést ke zvýšení oprávnění, pokud nejsou používána zabezpečeným a zamýšleným způsobem. Chráněné akce jsou oprávnění rolí, která mají přiřazené zásady podmíněného přístupu pro přidání zabezpečení, například vyžadování vícefaktorového ověřování. Požadavky podmíněného přístupu se vynucují, když uživatel provede chráněnou akci. Chráněné akce jsou aktuálně ve verzi Preview. Další informace naleznete v tématu Co jsou chráněné akce v Microsoft Entra ID?.

Schopnost	Privilegované oprávnění	Chráněná akce
Identifikace oprávnění, která by se měla používat zabezpečeným způsobem	✅
Vyžadování dalšího zabezpečení k provedení akce		✅

Terminologie

Pokud chcete porozumět privilegovaným rolím a oprávněním v MICROSOFT Entra ID, pomůže vám to znát některé z následujících terminologií.

Pojem	definice
action	Aktivita, kterou může objekt zabezpečení provést u typu objektu. Někdy se označuje jako operace.
Oprávnění	Definice, která určuje aktivitu, kterou může objekt zabezpečení provést u typu objektu. Oprávnění zahrnuje jednu nebo více akcí.
privilegované oprávnění	V Microsoft Entra ID, oprávnění, která lze použít k delegování správy adresářových prostředků jiným uživatelům, úpravě přihlašovacích údajů, zásad ověřování nebo autorizace nebo přístup k datům s omezeným přístupem.
privilegovaná role	Předdefinovaná nebo vlastní role, která má jedno nebo více privilegovaných oprávnění.
přiřazení privilegované role	Přiřazení role, které používá privilegovanou roli.
zvýšení oprávnění	Když objekt zabezpečení získá více oprávnění, než je jeho přiřazená role původně poskytnutá zosobněním jiné role.
chráněná akce	Oprávnění s podmíněným přístupem použitá pro přidané zabezpečení

Principy oprávnění rolí

Schéma pro oprávnění volně se řídí formátem REST v Microsoft Graphu:

<namespace>/<entity>/<propertySet>/<action>

Příklad:

microsoft.directory/applications/credentials/update

Element Permission	Popis
namespace	Produkt nebo služba, která zpřístupňuje úlohu a je předem oddělena microsoft. Například všechny úkoly v MICROSOFT Entra ID používají microsoft.directory obor názvů.
entity	Logická funkce nebo komponenta vystavená službou v Microsoft Graphu Například Microsoft Entra ID zveřejňuje uživatele a skupiny, OneNote zveřejňuje poznámky a Exchange zveřejňuje poštovní schránky a kalendáře. Pro zadání všech entit v oboru názvů existuje speciální allEntities klíčové slovo. To se často používá v rolích, které uděluje přístup k celému produktu.
propertySet	Konkrétní vlastnosti nebo aspekty entity, pro kterou se uděluje přístup. microsoft.directory/applications/authentication/read Například uděluje možnost číst adresu URL odpovědi, odhlásit adresu URL a implicitní vlastnost toku objektu aplikace v Microsoft Entra ID. allProperties určuje všechny vlastnosti entity, včetně privilegovaných vlastností. standard určuje společné vlastnosti, ale vyloučí privilegované vlastnosti související s read akcí. Zahrnuje například možnost číst standardní vlastnosti, microsoft.directory/user/standard/read jako je veřejné telefonní číslo a e-mailová adresa, ale ne soukromé sekundární telefonní číslo nebo e-mailová adresa používaná pro vícefaktorové ověřování. basic určuje společné vlastnosti, ale vyloučí privilegované vlastnosti související s update akcí. Sada vlastností, které můžete číst, se může lišit od toho, co můžete aktualizovat. To je důvod, proč standardbasic to mají odrážet klíčová slova.
action	Je udělena operace, která se obvykle vytváří, čte, aktualizuje nebo odstraňuje (CRUD). Pro zadání všech výše uvedených schopností (vytvoření, čtení, aktualizace a odstranění) existuje speciální allTasks klíčové slovo.

Porovnání rolí ověřování

Následující tabulka porovnává možnosti rolí souvisejících s ověřováním.

Role	Správa metod ověřování uživatele	Správa MFA pro jednotlivé uživatele	Správa nastavení MFA	Správa zásad metod ověřování	Správa zásad ochrany heslem	Aktualizace citlivých vlastností	Odstraňování a obnovování uživatelů
Ověřování Správa istrator	Ano pro některé uživatele	Ano pro některé uživatele	No	No	No	Ano pro některé uživatele	Ano pro některé uživatele
Privileged Authentication Správa istrator	Ano pro všechny uživatele	Ano pro všechny uživatele	No	No	No	Ano pro všechny uživatele	Ano pro všechny uživatele
Zásady ověřování Správa istrator	No	No	Ano	Ano	Ano	No	No
Správce uživatelů	No	No	No	No	No	Ano pro některé uživatele	Ano pro některé uživatele

Kdo může resetovat hesla

V následující tabulce jsou ve sloupcích uvedeny role, které můžou resetovat hesla a zneplatnit obnovovací tokeny. Řádky uvádějí role, pro které je možné resetovat heslo. Například heslo Správa istrator může resetovat heslo pro čtenáře adresáře, pozvat hosta, heslo Správa istrator a uživatele bez role správce. Pokud má uživatel přiřazenou jinou roli, heslo Správa istrator nemůže resetovat heslo.

Následující tabulka je určená pro role přiřazené v oboru tenanta. Pro role přiřazené v oboru jednotky pro správu platí další omezení.

Role, kterou je možné resetovat heslo	Správa hesla	Správce Helpdesk	Správa ověřování	Správa uživatele	Privileged Auth Správa	Globální správce
Správa ověřování			✅		✅	✅
Čtenáři adresářů	✅	✅	✅	✅	✅	✅
Globální správce					✅	✅*
Skupiny Správa				✅	✅	✅
Pozvaný host	✅	✅	✅	✅	✅	✅
Správce Helpdesk		✅		✅	✅	✅
Čtečka centra zpráv		✅	✅	✅	✅	✅
Správa hesla	✅	✅	✅	✅	✅	✅
Privileged Auth Správa					✅	✅
Správa privilegované role					✅	✅
Čtenář sestav		✅	✅	✅	✅	✅
Uživatelská (žádná role správce)	✅	✅	✅	✅	✅	✅
Uživatelská (žádná role správce, ale člen nebo vlastník skupiny s možností přiřazení role)					✅	✅
Uživatel s rolí vymezenou na jednotku správy s omezeným přístupem					✅	✅
Správa uživatele				✅	✅	✅
Čtenář souhrnných sestav využití		✅	✅	✅	✅	✅
Všechny vlastní role					✅	✅

Důležité

Role Podpora partnerské vrstvy2 může resetovat hesla a zneplatnit obnovovací tokeny pro všechny správce a správce (včetně globálních Správa istrátorů). Role Podpora partnerské vrstvy 1 může resetovat hesla a zneplatnit obnovovací tokeny pouze pro jiné správce. Tyto role by se neměly používat, protože jsou zastaralé.

Možnost resetování hesla zahrnuje možnost aktualizovat následující citlivé vlastnosti vyžadované pro samoobslužné resetování hesla:

• business Telefon s
• mobilePhone
• ostatní e-maily

Kdo může provádět citlivé akce

Někteří správci můžou některým uživatelům provádět následující citlivé akce. Všichni uživatelé mohou číst citlivé vlastnosti.

Citlivá akce	Název citlivé vlastnosti
Zakázání nebo povolení uživatelů	accountEnabled
Aktualizace telefonu do zaměstnání	businessPhones
Aktualizace mobilního telefonu	mobilePhone
Aktualizace místního neměnného ID	onPremisesImmutableId
Aktualizace dalších e-mailů	otherMails
Aktualizace profilu hesla	passwordProfile
Aktualizace hlavního názvu uživatele	userPrincipalName
Odstranění nebo obnovení uživatelů	Nelze použít

V následující tabulce jsou ve sloupcích uvedeny role, které můžou provádět citlivé akce. Řádky uvádějí role, pro které lze citlivou akci provést.

Následující tabulka je určená pro role přiřazené v oboru tenanta. Pro role přiřazené v oboru jednotky pro správu platí další omezení.

Roli, na které lze citlivou akci provést	Správa ověřování	Správa uživatele	Privileged Auth Správa	Globální správce
Správa ověřování	✅		✅	✅
Čtenáři adresářů	✅	✅	✅	✅
Globální správce			✅	✅
Skupiny Správa		✅	✅	✅
Pozvaný host	✅	✅	✅	✅
Správce Helpdesk		✅	✅	✅
Čtečka centra zpráv	✅	✅	✅	✅
Správa hesla	✅	✅	✅	✅
Privileged Auth Správa			✅	✅
Správa privilegované role			✅	✅
Čtenář sestav	✅	✅	✅	✅
Uživatelská (žádná role správce)	✅	✅	✅	✅
Uživatelská (žádná role správce, ale člen nebo vlastník skupiny s možností přiřazení role)			✅	✅
Uživatel s rolí vymezenou na jednotku správy s omezeným přístupem			✅	✅
Správa uživatele		✅	✅	✅
Čtenář souhrnných sestav využití	✅	✅	✅	✅
Všechny vlastní role			✅	✅

Další kroky

• Osvědčené postupy pro role Microsoft Entra
• Předdefinované role Microsoft Entra