Problemen met Microsoft Entra-rollen oplossen die zijn toegewezen aan groepen

Alleen bevoorrechte rollen Beheer istrators of globale Beheer istrators kunnen een groep maken die in aanmerking komt voor roltoewijzing. Alleen gebruikers in deze rollen zien dit besturingselement.

Standaard beheren alleen bevoorrechte rollen Beheer istrator en Global Beheer istrator het lidmaatschap van een roltoewijzingsgroep, maar u kunt het beheer van roltoewijzingsgroepen delegeren door groepseigenaren toe te voegen.

De gebruiker heeft mogelijk Adreslijstlezers gekregen door middel van een groep die kan worden toegewezen aan rollen. Alle leden en eigenaren van roltoewijzingsgroepen zijn beveiligd. Alleen gebruikers in de rollen Privileged Authentication Beheer istrator of Global Beheer istrator kunnen referenties voor een beveiligde gebruiker opnieuw instellen.

De gebruiker kan eigenaar zijn van een roltoewijzingsgroep. We beschermen eigenaren van roltoewijzingsgroepen om uitbreiding van bevoegdheden te voorkomen. Een voorbeeld hiervan is als een groep Contoso_Security_Beheer is toegewezen aan de rol Security Beheer istrator, waarbij Bob de groepseigenaar is en Alice wachtwoord is Beheer istrator in de organisatie. Als deze beveiliging niet aanwezig was, kon Alice de referenties van Bob opnieuw instellen en zijn identiteit overnemen. Daarna kan Alice zichzelf of iedereen toevoegen aan de groep Contoso_Security_Beheer s groep om een beveiligings-Beheer istrator in de organisatie te worden. Als u wilt controleren of een gebruiker een groepseigenaar is, haalt u de lijst met objecten in eigendom van die gebruiker op en controleert u of een van de groepen isAssignableToRole is ingesteld op true. Zo ja, dan is die gebruiker beveiligd en is het gedrag standaard. Raadpleeg deze documentatie voor het verkrijgen van objecten in eigendom:

• Get-MgUserOwnedObject
• Lijst ownedObjects

Ja, dat kan. Globale Beheer istrators en bevoorrechte rollen Beheer istrators kunnen toegangsbeoordelingen maken voor groepen die aan rollen kunnen worden toegewezen.

Ja, dat kan. Global Beheer istrator en User Beheer istrator hebben de mogelijkheid om een groep in een toegangspakket te plaatsen. Er zijn geen wijzigingen voor globale Beheer istrator, maar er is een kleine wijziging in de rolmachtigingen van de gebruiker Beheer istrator. Als u een roltoewijzingsbare groep in een toegangspakket wilt plaatsen, moet u een gebruiker Beheer istrator zijn en ook eigenaar van de roltoewijzingsgroep. Hier volgt de volledige tabel waarin wordt weergegeven wie toegangspakket kan maken in Enterprise License Management:

*Groep kan niet worden toegewezen; isAssignableToRole = false. Als een groep rollen kan worden toegewezen, moet de persoon die het toegangspakket maakt ook eigenaar zijn van de roltoewijzingsgroep.

Dit antwoord is alleen van toepassing op Microsoft Entra ID P1-organisaties.

1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een bevoorrechte rol Beheer istrator.
2. Blader naar Identiteit>Gebruikers>Alle gebruikers.
3. Een gebruiker selecteren.
4. Selecteer dan Toegewezen rollen.
5. Selecteer een roltoewijzing die u wilt verwijderen.
6. Selecteer Toewijzingen verwijderen om directe roltoewijzingen te verwijderen.

Als u indirecte roltoewijzingen wilt verwijderen, verwijdert u de gebruiker uit de groep waaraan de rol is toegewezen.

Volg vervolgens deze stappen:

1. Meld u aan bij het Microsoft Entra-beheercentrum.
2. Blader naar Identiteitsgroepen>>Alle groepen.
3. Selecteer Filters toevoegen.
4. Filter op rol die kan worden toegewezen.

Volg vervolgens deze stappen:

1. Meld u aan bij het Microsoft Entra-beheercentrum.
2. Blader naar Identiteit>Gebruikers>Alle gebruikers.
3. Een gebruiker selecteren.
4. Selecteer dan Toegewezen rollen.
5. Als u een Licentie voor Microsoft Entra ID P1 hebt, bekijkt u de kolom Toewijzingspad .
6. Als u een Licentie voor Microsoft Entra ID P2 hebt, bekijkt u de kolom Lidmaatschap .

Als u een bestaande groep aan een rol toewijst, kan de bestaande groepseigenaar andere leden aan deze groep toevoegen zonder dat de nieuwe leden zich realiseren dat ze de rol hebben. Omdat roltoewijsbare groepen krachtig zijn, plaatsen we veel beperkingen om ze te beschermen. U wilt geen wijzigingen aan de groep die verrassend zou zijn voor de persoon die de groep beheert.

Volgende stappen

• Microsoft Entra-groepen gebruiken om roltoewijzingen te beheren
• Een roltoewijzingsgroep maken