Kiemelt szerepkörök és engedélyek a Microsoft Entra-azonosítóban (előzetes verzió)

Fontos

A kiemelt szerepkörök és engedélyek címkéje jelenleg előzetes verzióban érhető el. A bétaverziójú, előzetes verziójú vagy másként még általánosan nem elérhető Azure-szolgáltatások jogi feltételeit lásd: Kiegészítő használati feltételek a Microsoft Azure előzetes verziójú termékeihez.

A Microsoft Entra ID jogosultsággal rendelkező szerepkörök és engedélyek. Ezek a szerepkörök és engedélyek a címtárerőforrások felügyeletének más felhasználókra történő delegálására, hitelesítő adatok módosítására, hitelesítési vagy engedélyezési szabályzatok módosítására vagy korlátozott adatok elérésére használhatók. A kiemelt szerepkör-hozzárendelések emelt szintű jogosultsághoz vezethetnek, ha nem biztonságosan és szándékolt módon használják. Ez a cikk a kiemelt szerepköröket és engedélyeket, valamint a használathoz ajánlott eljárásokat ismerteti.

Mely szerepkörök és engedélyek élveznek jogosultságot?

A kiemelt szerepkörök és engedélyek listáját a Microsoft Entra beépített szerepkörei között találja. A Microsoft Entra Felügyeleti központ, a Microsoft Graph PowerShell vagy a Microsoft Graph API használatával is azonosíthatja a kiemeltként azonosított szerepköröket, engedélyeket és szerepkör-hozzárendeléseket.

Rendszergazda központ

A Microsoft Entra Felügyeleti központban keresse meg a PRIVILEGED címkét .

A Szerepkörök és rendszergazdák lapon a kiemelt szerepkörök a Privileged oszlopban vannak azonosítva. A Hozzárendelések oszlop felsorolja a szerepkör-hozzárendelések számát. A kiemelt szerepköröket is szűrheti.

Ha megtekinti a kiemelt szerepkörök engedélyeit, láthatja, hogy mely engedélyek élveznek jogosultságot. Ha alapértelmezett felhasználóként tekinti meg az engedélyeket, nem fogja látni, hogy mely engedélyek vannak jogosultsággal.

Amikor egyéni szerepkört hoz létre, láthatja, hogy mely engedélyek emelt szintűek, és az egyéni szerepkör kiemeltként lesz megjelölve.

PowerShell

A Microsoft Graph PowerShellben ellenőrizze, hogy a IsPrivileged tulajdonság be van-e állítva True.

A kiemelt szerepkörök listázásához használja a Get-MgBetaRoleManagementDirectoryRoleDefinition parancsot.

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can manage all aspects of Azure AD and Microsoft services that use Azure AD identities.
DisplayName             : Global Administrator
Id                      : 62e90394-69f5-4237-9190-012177145e10
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 62e90394-69f5-4237-9190-012177145e10
Version                 : 1
AdditionalProperties    : {[inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$metadata#roleManag
                          ement/directory/roleDefinitions('62e90394-69f5-4237-9190-012177145e10')/inheritsPermissionsFr
                          om]}

AllowedPrincipalTypes   :
Description             : Can manage all aspects of users and groups, including resetting passwords for limited admins.
DisplayName             : User Administrator
Id                      : fe930be7-5e62-47db-91af-98c3a49a38b1
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : fe930be7-5e62-47db-91af-98c3a49a38b1
Version                 : 1
AdditionalProperties    : {[inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$metadata#roleManag
                          ement/directory/roleDefinitions('fe930be7-5e62-47db-91af-98c3a49a38b1')/inheritsPermissionsFr
                          om]}

...

A kiemelt engedélyek listázásához használja a Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction parancsot.

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

A kiemelt szerepkör-hozzárendelések listázásához használja a Get-MgBetaRoleManagementDirectoryRoleAssignment parancsot.

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

Graph API

A Microsoft Graph API-ban ellenőrizze, hogy a isPrivileged tulajdonság be van-e állítva true.

A kiemelt szerepkörök listázásához használja a List roleDefinitions API-t.

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Válasz

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

A kiemelt engedélyek listázásához használja a List resourceActions API-t.

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Válasz

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

A kiemelt szerepkör-hozzárendelések listázásához használja a List unifiedRoleAssignments API-t.

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Válasz

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Ajánlott eljárások a kiemelt szerepkörök használatához

Íme néhány ajánlott eljárás a kiemelt szerepkörök használatához.

• A minimális jogosultság elve
• A Privileged Identity Management használata igény szerint történő hozzáférés biztosításához
• A többtényezős hitelesítés bekapcsolása az összes rendszergazdai fiókhoz
• Ismétlődő hozzáférési felülvizsgálatok konfigurálása a szükségtelen engedélyek időbeli visszavonásához
• A globális Rendszergazda istratorok számának korlátozása 5-nél kevesebbre
• A kiemelt szerepkör-hozzárendelések számának korlátozása 10-nél kevesebbre

További információ: Ajánlott eljárások a Microsoft Entra-szerepkörökhöz.

Emelt szintű engedélyek és védett műveletek

A kiemelt engedélyek és a védett műveletek különböző célú, biztonsággal kapcsolatos képességek. A PRIVILEGED címkével rendelkező engedélyek segítenek azonosítani azokat az engedélyeket, amelyek jogosultságszint-emelt szintű jogosultsághoz vezethetnek, ha nem biztonságosan és rendeltetésszerűen használják. A védett műveletek olyan szerepkör-engedélyek, amelyek feltételes hozzáférési szabályzatokat kaptak a fokozott biztonság érdekében, például többtényezős hitelesítést igényelnek. A feltételes hozzáférési követelmények akkor lesznek érvényesítve, ha egy felhasználó végrehajtja a védett műveletet. A védett műveletek jelenleg előzetes verzióban érhetők el. További információ: Mik azok a védett műveletek a Microsoft Entra-azonosítóban?

Funkció	Emelt szintű engedély	Védett művelet
A biztonságosan használandó engedélyek azonosítása	✅
Művelet végrehajtásához további biztonság megkövetelése		✅

Terminológia

A Microsoft Entra ID kiemelt szerepköreinek és engedélyeinek megismeréséhez az alábbi terminológiák némelyikét is megismerheti.

Időszak	Definíció
művelet	Olyan tevékenység, amit egy biztonsági tag végezhet egy objektumtípuson. Néha műveletnek is nevezik.
Engedély	Egy definíció, amely meghatározza azt a tevékenységet, amelyet egy biztonsági tag végezhet egy objektumtípuson. Az engedélyek egy vagy több műveletet tartalmaznak.
emelt szintű engedély	A Microsoft Entra ID-ban a címtárerőforrások felügyeletének más felhasználók számára történő delegálására, hitelesítő adatok módosítására, hitelesítési vagy engedélyezési szabályzatok módosítására vagy korlátozott adatok elérésére használható engedélyek.
kiemelt szerepkör	Egy beépített vagy egyéni szerepkör, amely egy vagy több kiemelt engedéllyel rendelkezik.
emelt szintű szerepkör-hozzárendelés	Kiemelt szerepkört használó szerepkör-hozzárendelés.
jogosultságszint emelése	Ha egy biztonsági tag több engedélyt kap, mint a hozzárendelt szerepköre, amelyet eredetileg egy másik szerepkör megszemélyesítésével adott meg.
védett művelet	A feltételes hozzáféréssel rendelkező engedélyek további biztonságot igényelnek.

A szerepkör-engedélyek ismertetése

Az engedélyek sémája lazán követi a Microsoft Graph REST formátumát:

<namespace>/<entity>/<propertySet>/<action>

Példa:

microsoft.directory/applications/credentials/update

Engedélyelem	Leírás
névtér	Olyan termék vagy szolgáltatás, amely elérhetővé teszi a feladatot, és elő van állítva a következővel microsoft: . A Microsoft Entra ID-ban például minden tevékenység a microsoft.directory névteret használja.
Entitás	A szolgáltatás által a Microsoft Graphban közzétett logikai funkció vagy összetevő. A Microsoft Entra ID például elérhetővé teszi a felhasználókat és csoportokat, a OneNote pedig jegyzeteket tesz közzé, az Exchange pedig postaládákat és naptárakat tesz elérhetővé. Van egy speciális allEntities kulcsszó a névtérben lévő összes entitás megadásához. Ezt gyakran használják olyan szerepkörökben, amelyek hozzáférést biztosítanak egy teljes termékhez.
propertySet	Annak az entitásnak a konkrét tulajdonságai vagy aspektusai, amelyekhez hozzáférést adnak. Például microsoft.directory/applications/authentication/read lehetővé teszi a válasz URL-cím, a kijelentkezés URL-címe és az implicit folyamat tulajdonság olvasását az alkalmazásobjektumon a Microsoft Entra-azonosítóban. allProperties az entitás összes tulajdonságát kijelöli, beleértve a kiemelt tulajdonságokat is. standard kijelöli a közös tulajdonságokat, de kizárja a művelethez read kapcsolódó kiemelt tulajdonságokat. Például beolvashatja a szabványos tulajdonságokat, microsoft.directory/user/standard/read például a nyilvános telefonszámot és az e-mail-címet, de a többtényezős hitelesítéshez használt másodlagos magánhálózati telefonszámot vagy e-mail-címet nem. basic kijelöli a közös tulajdonságokat, de kizárja a update művelethez kapcsolódó kiemelt tulajdonságokat. Az olvasható tulajdonságok halmaza eltérhet a frissíthető tulajdonságoktól. Ezért vannak standardbasic és kulcsszavak, amelyek ezt tükrözik.
művelet	A művelet meg van adva, általában létrehozás, olvasás, frissítés vagy törlés (CRUD). A fenti képességek (létrehozás, olvasás, frissítés és törlés) megadására egy speciális allTasks kulcsszó használható.

Hitelesítési szerepkörök összehasonlítása

Az alábbi táblázat a hitelesítéssel kapcsolatos szerepkörök képességeit hasonlítja össze.

Szerepkör	A felhasználó hitelesítési módszereinek kezelése	Felhasználónkénti MFA kezelése	MFA-beállítások kezelése	A hitelesítési módszerek szabályzatának kezelése	A jelszavas védelemre vonatkozó szabályzat kezelése	Érzékeny tulajdonságok frissítése	Felhasználók törlése és visszaállítása
Hitelesítési Rendszergazda istrator	Igen néhány felhasználó számára	Igen néhány felhasználó számára	Nem	Nem	Nem	Igen néhány felhasználó számára	Igen néhány felhasználó számára
Privileged Authentication Rendszergazda istrator	Igen, minden felhasználó esetében	Igen, minden felhasználó esetében	Nem	Nem	Nem	Igen, minden felhasználó esetében	Igen, minden felhasználó esetében
Hitelesítési házirend Rendszergazda istrator	Nem	Nem	Igen	Igen	Igen	Nem	Nem
Felhasználói rendszergazda	Nem	Nem	Nem	Nem	Nem	Igen néhány felhasználó számára	Igen néhány felhasználó számára

Ki állíthatja vissza a jelszavakat?

Az alábbi táblázatban az oszlopok felsorolják azokat a szerepköröket, amelyek alaphelyzetbe állíthatják a jelszavakat, és érvényteleníthetik a frissítési jogkivonatokat. A sorok felsorolják azokat a szerepköröket, amelyekhez a jelszó alaphelyzetbe állítható. A Jelszó Rendszergazda istrator például alaphelyzetbe állíthatja a címtárolvasók, a vendéghívó, a jelszó Rendszergazda istrator és a rendszergazdai szerepkörrel nem rendelkező felhasználók jelszavát. Ha egy felhasználó más szerepkörhöz van hozzárendelve, a Jelszó Rendszergazda istrator nem tudja alaphelyzetbe állítani a jelszavát.

Az alábbi táblázat a bérlő hatókörében hozzárendelt szerepkörökre terjed ki. A felügyeleti egység hatókörében hozzárendelt szerepkörökre további korlátozások vonatkoznak.

A jelszó alaphelyzetbe állítható szerepköre	Jelszó Rendszergazda	Segélyszolgálati Rendszergazda	Hitelesítés Rendszergazda	Felhasználói Rendszergazda	Privileged Auth Rendszergazda	Globális rendszergazda
Hitelesítés Rendszergazda			✅		✅	✅
Címtárolvasók	✅	✅	✅	✅	✅	✅
Globális rendszergazda					✅	✅*
Csoportok Rendszergazda				✅	✅	✅
Vendégmeghívó	✅	✅	✅	✅	✅	✅
Segélyszolgálati Rendszergazda		✅		✅	✅	✅
Üzenetközpont olvasója		✅	✅	✅	✅	✅
Jelszó Rendszergazda	✅	✅	✅	✅	✅	✅
Privileged Auth Rendszergazda					✅	✅
Emelt szintű szerepkör Rendszergazda					✅	✅
Jelentésolvasó		✅	✅	✅	✅	✅
User (nincs rendszergazdai szerepkör)	✅	✅	✅	✅	✅	✅
User (nincs rendszergazdai szerepkör, de egy szerepkörhöz hozzárendelhető csoport tagja vagy tulajdonosa)					✅	✅
Korlátozott felügyeleti felügyeleti egységre hatókörrel rendelkező felhasználó					✅	✅
Felhasználói Rendszergazda				✅	✅	✅
Használati összefoglaló jelentések olvasója		✅	✅	✅	✅	✅
Minden egyéni szerepkör					✅	✅

Fontos

A partnerszintű 2. szintű támogatási szerepkör alaphelyzetbe állíthatja a jelszavakat, és érvénytelenítheti a frissítési jogkivonatokat az összes nem rendszergazda és rendszergazda számára (beleértve a globális Rendszergazda istratorokat). A partnerszintű 1. szintű támogatási szerepkör alaphelyzetbe állíthatja a jelszavakat, és érvénytelenítheti a frissítési jogkivonatokat csak a nem rendszergazdák számára. Ezeket a szerepköröket nem szabad használni, mert elavultak.

A jelszó alaphelyzetbe állításának lehetősége magában foglalja az önkiszolgáló jelszó-visszaállításhoz szükséges alábbi bizalmas tulajdonságok frissítését:

• üzleti Telefon
• mobil Telefon
• otherMails

Ki hajthat végre bizalmas műveleteket?

Egyes rendszergazdák az alábbi bizalmas műveleteket hajthatják végre egyes felhasználók számára. Minden felhasználó elolvashatja a bizalmas tulajdonságokat.

Bizalmas művelet	Bizalmas tulajdonság neve
Felhasználók letiltása vagy engedélyezése	accountEnabled
Üzleti telefon frissítése	businessPhones
Mobiltelefon frissítése	mobilePhone
A helyszíni nem módosítható azonosító frissítése	onPremisesImmutableId
Egyéb e-mailek frissítése	otherMails
Jelszóprofil frissítése	passwordProfile
Egyszerű felhasználónév frissítése	userPrincipalName
Felhasználók törlése vagy visszaállítása	Nem alkalmazható

Az alábbi táblázatban az oszlopok felsorolják a bizalmas műveleteket végrehajtó szerepköröket. A sorok felsorolják azokat a szerepköröket, amelyeken a bizalmas művelet végrehajtható.

Az alábbi táblázat a bérlő hatókörében hozzárendelt szerepkörökre terjed ki. A felügyeleti egység hatókörében hozzárendelt szerepkörökre további korlátozások vonatkoznak.

Olyan szerepkör, amelyen a bizalmas művelet végrehajtható	Hitelesítés Rendszergazda	Felhasználói Rendszergazda	Privileged Auth Rendszergazda	Globális rendszergazda
Hitelesítés Rendszergazda	✅		✅	✅
Címtárolvasók	✅	✅	✅	✅
Globális rendszergazda			✅	✅
Csoportok Rendszergazda		✅	✅	✅
Vendégmeghívó	✅	✅	✅	✅
Segélyszolgálati Rendszergazda		✅	✅	✅
Üzenetközpont olvasója	✅	✅	✅	✅
Jelszó Rendszergazda	✅	✅	✅	✅
Privileged Auth Rendszergazda			✅	✅
Emelt szintű szerepkör Rendszergazda			✅	✅
Jelentésolvasó	✅	✅	✅	✅
User (nincs rendszergazdai szerepkör)	✅	✅	✅	✅
User (nincs rendszergazdai szerepkör, de egy szerepkörhöz hozzárendelhető csoport tagja vagy tulajdonosa)			✅	✅
Korlátozott felügyeleti felügyeleti egységre hatókörrel rendelkező felhasználó			✅	✅
Felhasználói Rendszergazda		✅	✅	✅
Használati összefoglaló jelentések olvasója	✅	✅	✅	✅
Minden egyéni szerepkör			✅	✅

Következő lépések

• Ajánlott eljárások a Microsoft Entra-szerepkörökhöz
• Microsoft Entra beépített szerepek