Ingebouwde Azure AD-rollen

Als Azure Active Directory (Azure AD) een andere beheerder of niet-beheerder Azure AD-resources moet beheren, wijst u hen een Azure AD-rol toe die de machtigingen biedt die ze nodig hebben. U kunt bijvoorbeeld rollen toewijzen om het toevoegen of wijzigen van gebruikers toe te staan, gebruikerswachtwoorden opnieuw in te stellen, gebruikerslicenties te beheren of domeinnamen te beheren.

Dit artikel bevat een overzicht van de ingebouwde Azure AD-rollen die u kunt toewijzen om beheer van Azure AD-resources toe te staan. Zie Azure AD-rollen toewijzen aan gebruikers voor meer informatie over het toewijzen van rollen.

Alle rollen

Toepassingsbeheerder

Gebruikers met deze rol kunnen alle aspecten van bedrijfstoepassingen, toepassingsregistraties en toepassingsproxy-instellingen maken en beheren. Houd er rekening mee dat gebruikers die aan deze rol zijn toegewezen niet als eigenaren worden toegevoegd bij het maken van nieuwe toepassingsregistraties of bedrijfstoepassingen.

Deze rol verleent ook de mogelijkheid om toestemming te geven voor gedelegeerde machtigingen en toepassingsmachtigingen, met uitzondering van toepassingsmachtigingen voor zowel Microsoft Graph als Azure AD-Graph.

Toepassingsontwikkelaar

Gebruikers met deze rol kunnen toepassingsregistraties maken wanneer de instelling Gebruikers kunnen toepassingen registreren is ingesteld op Nee. Deze rol verleent ook toestemming om namens iemand toestemming te geven wanneer de instelling 'Gebruikers kunnen toestemming geven voor apps die namens hen toegang hebben tot bedrijfsgegevens' is ingesteld op Nee. Gebruikers die aan deze rol zijn toegewezen, worden toegevoegd als eigenaren bij het maken van nieuwe toepassingsregistraties.

Auteur van nettolading van aanval

Gebruikers met deze rol kunnen nettoladingen voor aanvallen maken, maar niet daadwerkelijk starten of plannen. Nettoladingen van aanvallen zijn vervolgens beschikbaar voor alle beheerders in de tenant die deze kunnen gebruiken om een simulatie te maken.

Beheerder van aanvalssimulatie

Gebruikers met deze rol kunnen alle aspecten van het maken van een aanvalssimulatie, het starten/plannen van een simulatie en de beoordeling van simulatieresultaten maken en beheren. Leden van deze rol hebben deze toegang voor alle simulaties in de tenant.

Beheerder kenmerktoewijzing

Gebruikers met deze rol kunnen aangepaste beveiligingskenmerksleutels en -waarden toewijzen en verwijderen voor ondersteunde Azure AD-objecten, zoals gebruikers, service-principals en apparaten.

Globale beheerder en andere beheerdersrollen hebben standaard geen machtigingen voor het lezen, definiëren of toewijzen van aangepaste beveiligingskenmerken. Als u wilt werken met aangepaste beveiligingskenmerken, moet aan u een van de aangepaste beveiligingskenmerkrollen zijn toegewezen.

Zie Toegang tot aangepaste beveiligingskenmerken beheren in Azure AD voor meer informatie.

Kenmerktoewijzingslezer

Gebruikers met deze rol kunnen aangepaste sleutels en waarden voor beveiligingskenmerken lezen voor ondersteunde Azure AD-objecten.

Globale beheerder en andere beheerdersrollen hebben standaard geen machtigingen voor het lezen, definiëren of toewijzen van aangepaste beveiligingskenmerken. Als u wilt werken met aangepaste beveiligingskenmerken, moet aan u een van de aangepaste beveiligingskenmerkrollen zijn toegewezen.

Zie Toegang tot aangepaste beveiligingskenmerken beheren in Azure AD voor meer informatie.

Kenmerkdefinitiebeheerder

Gebruikers met deze rol kunnen een geldige set aangepaste beveiligingskenmerken definiëren die kunnen worden toegewezen aan ondersteunde Azure AD-objecten. Met deze rol kunnen ook aangepaste beveiligingskenmerken worden geactiveerd en gedeactiveerd.

Globale beheerder en andere beheerdersrollen hebben standaard geen machtigingen voor het lezen, definiëren of toewijzen van aangepaste beveiligingskenmerken. Als u wilt werken met aangepaste beveiligingskenmerken, moet aan u een van de aangepaste beveiligingskenmerkrollen zijn toegewezen.

Zie Toegang tot aangepaste beveiligingskenmerken beheren in Azure AD voor meer informatie.

Kenmerkdefinitielezer

Gebruikers met deze rol kunnen de definitie van aangepaste beveiligingskenmerken lezen.

Globale beheerder en andere beheerdersrollen hebben standaard geen machtigingen voor het lezen, definiëren of toewijzen van aangepaste beveiligingskenmerken. Als u wilt werken met aangepaste beveiligingskenmerken, moet aan u een van de aangepaste beveiligingskenmerkrollen zijn toegewezen.

Zie Toegang tot aangepaste beveiligingskenmerken beheren in Azure AD voor meer informatie.

Verificatiebeheerder

Gebruikers met deze rol kunnen elke verificatiemethode (inclusief wachtwoorden) instellen of opnieuw instellen voor niet-beheerders en bepaalde rollen. Verificatiebeheerders kunnen vereisen dat gebruikers die niet-beheerders zijn of die zijn toegewezen aan bepaalde rollen, zich opnieuw registreren bij bestaande referenties zonder wachtwoord (bijvoorbeeld MFA of FIDO), en kunnen ook MFA intrekken op het apparaat, dat bij de volgende aanmelding om MFA vraagt. Zie Machtigingen voor wachtwoord opnieuw instellen voor een lijst met de rollen die een verificatiebeheerder kan lezen of bijwerken.

De rol Privileged Authentication Administrator heeft machtigingen om herregistratie en meervoudige verificatie af te dwingen voor alle gebruikers.

De rol Verificatiebeleidsbeheerder heeft machtigingen om het verificatiemethodebeleid van de tenant in te stellen waarmee wordt bepaald welke methoden elke gebruiker kan registreren en gebruiken.

Verificatiebeleidsbeheerder

Gebruikers met deze rol kunnen het verificatiemethodebeleid, de tenantbrede MFA-instellingen en het wachtwoordbeveiligingsbeleid configureren. Deze rol verleent machtigingen voor het beheren van instellingen voor wachtwoordbeveiliging: configuraties voor slimme vergrendeling en het bijwerken van de aangepaste lijst met verboden wachtwoorden.

De rollen Authentication Administrator en Privileged Authentication Administrator zijn machtigingen voor het beheren van geregistreerde verificatiemethoden voor gebruikers en kunnen herregistratie en meervoudige verificatie voor alle gebruikers forcen.

Lokale beheerder van apparaat dat is verbonden met Azure AD

Deze rol is alleen beschikbaar voor toewijzing als een extra lokale beheerder in Apparaatinstellingen. Gebruikers met deze rol worden lokale computerbeheerders op alle Windows 10 apparaten die zijn verbonden met Azure Active Directory. Ze hebben niet de mogelijkheid om apparatenobjecten te beheren in Azure Active Directory.

Azure DevOps-beheerder

Gebruikers met deze rol kunnen alle Enterprise Azure DevOps-beleidsregels beheren die van toepassing zijn op alle Azure DevOps-organisaties die worden back-by-the-Azure AD. Gebruikers met deze rol kunnen dit beleid beheren door te navigeren naar elke Azure DevOps-organisatie die wordt back-by van Azure AD van het bedrijf. Daarnaast kunnen gebruikers met deze rol het eigendom van zwevende Azure DevOps-organisaties claimen. Deze rol verleent geen andere Azure DevOps-specifieke machtigingen (bijvoorbeeld Project Collection Administrators) binnen een van de Azure DevOps-organisaties die worden ondersteuning gegeven door de Azure AD-organisatie van het bedrijf.

Azure Information Protection-beheerder

Gebruikers met deze rol hebben alle machtigingen in de Azure Information Protection service. Met deze rol kunt u labels voor het Azure Information Protection configureren, beveiligingssjablonen beheren en beveiliging activeren. Deze rol verleent geen machtigingen in Identity Protection Center, Privileged Identity Management, Monitor Microsoft 365 Service Health of Office 365 Security & Compliance Center.

Beheerder van B2C IEF-sleutelset

De gebruiker kan beleidssleutels en -geheimen maken en beheren voor tokenversleuteling, tokenhandtekeningen en claimversleuteling/-ontsleuteling. Door nieuwe sleutels toe te voegen aan bestaande sleutelcontainers, kan deze beperkte beheerder geheimen zo nodig overrollen zonder dat dit van invloed is op bestaande toepassingen. Deze gebruiker kan de volledige inhoud van deze geheimen en hun vervaldatums zien, zelfs na het maken ervan.

Beheerder van B2C IEF-beleid

Gebruikers met deze rol hebben de mogelijkheid om alle aangepaste beleidsregels in Azure AD B2C te maken, te lezen, bij te werken en te verwijderen en hebben daarom volledige controle over de Identity Experience Framework in de relevante Azure AD B2C organisatie. Door beleid te bewerken, kan deze gebruiker directe federatie met externe id-providers tot stand brengen, het directoryschema wijzigen, alle gebruikersinhoud wijzigen (HTML, CSS, JavaScript), de vereisten wijzigen om een verificatie te voltooien, nieuwe gebruikers maken, gebruikersgegevens verzenden naar externe systemen, inclusief volledige migraties, en alle gebruikersgegevens bewerken, inclusief gevoelige velden, zoals wachtwoorden en telefoonnummers. Deze rol kan daarentegen de versleutelingssleutels niet wijzigen of de geheimen bewerken die worden gebruikt voor federatie in de organisatie.

Factureringsbeheerder

Doet aankopen, beheert abonnementen, beheert ondersteuningstickets en bewaakt de servicestatus.

Cloud App Security administrator

Gebruikers met deze rol hebben volledige machtigingen in Cloud App Security. Ze kunnen beheerders toevoegen, beleidsregels en Microsoft Cloud App Security (MCAS) toevoegen, logboeken uploaden en beheeracties uitvoeren.

Beheerder van de cloudtoepassing

Gebruikers met deze rol hebben dezelfde machtigingen als de rol Toepassingsbeheerder, met uitzondering van de mogelijkheid om de toepassingsproxy te beheren. Met deze rol kunt u alle aspecten van bedrijfstoepassingen en toepassingsregistraties maken en beheren. Gebruikers die aan deze rol zijn toegewezen, worden niet toegevoegd als eigenaren bij het maken van nieuwe toepassingsregistraties of bedrijfstoepassingen.

Deze rol verleent ook de mogelijkheid om toestemming te geven voor gedelegeerde machtigingen en toepassingsmachtigingen, met uitzondering van toepassingsmachtigingen voor zowel Microsoft Graph als Azure AD-Graph.

Cloudapparaatbeheerder

Gebruikers met deze rol kunnen apparaten in Azure AD inschakelen, uitschakelen en verwijderen en Windows 10 BitLocker-sleutels lezen (indien aanwezig) in de Azure Portal. De rol verleent geen machtigingen voor het beheren van andere eigenschappen op het apparaat.

Beheerder voor naleving

Gebruikers met deze rol hebben machtigingen voor het beheren van nalevingsfuncties in Microsoft 365-compliancecentrum, Microsoft 365-beheercentrum, Azure en Office 365 Security & Compliance Center. Toegewezen personen kunnen ook alle functies in het Exchange-beheercentrum en Teams & Skype voor Bedrijven-beheercentrums beheren en ondersteuningstickets maken voor Azure en Microsoft 365. Meer informatie is beschikbaar op Over Microsoft 365 beheerdersrollen.

Beheerder voor nalevingsgegevens

Gebruikers met deze rol hebben machtigingen om gegevens in de Microsoft 365-compliancecentrum, Microsoft 365-beheercentrum en Azure bij te houden. Gebruikers kunnen ook nalevingsgegevens bijhouden in Exchange-beheercentrum, Compliance Manager en Teams & Skype voor Bedrijven-beheercentrum en ondersteuningstickets maken voor Azure en Microsoft 365. Deze documentatie heeft details over de verschillen tussen nalevingsbeheerder en compliancegegevensbeheerder.

Beheerder van voorwaardelijke toegang

Gebruikers met deze rol hebben de mogelijkheid om Azure Active Directory instellingen voor voorwaardelijke toegang te beheren.

Toegangsfiatteur voor Klanten-lockbox

Beheert Klanten-lockbox in uw organisatie. Ze ontvangen e-mailmeldingen voor Klanten-lockbox aanvragen en kunnen aanvragen van de Microsoft 365-beheercentrum. Ze kunnen ook de functie Klanten-lockbox in- of uitschakelen. Alleen globale beheerders kunnen de wachtwoorden opnieuw instellen van personen die aan deze rol zijn toegewezen.

Desktop Analytics-beheerder

Gebruikers met deze rol kunnen de Desktop Analytics beheren. Dit omvat de mogelijkheid om assetinventarisatie weer te geven, implementatieplannen te maken en de implementatie- en statusstatus weer te geven.

Lezers van mappen

Gebruikers met deze rol kunnen basisinformatie over de directory lezen. Deze rol moet worden gebruikt voor:

• Het verlenen van leestoegang aan een specifieke set gastgebruikers in plaats van deze toegang te verlenen aan alle gastgebruikers.
• Het verlenen van een specifieke set niet-beheerderstoegang tot Azure Portal wanneer 'De toegang tot de Azure AD-portal beperken tot alleen beheerders' is ingesteld op Ja.
• Service-principals toegang verlenen tot de map waar Directory.Read.All geen optie is.

Adreslijstsynchronisatieaccounts

Niet gebruiken. Deze rol wordt automatisch toegewezen aan de Azure AD Verbinding maken service en is niet bedoeld of ondersteund voor ander gebruik.

Adreslijstschrijvers

Gebruikers met deze rol kunnen basisinformatie van gebruikers, groepen en service-principals lezen en bijwerken. Wijs deze rol alleen toe aan toepassingen die het Consent Framework niet ondersteunen. Deze mag niet worden toegewezen aan gebruikers.

Domain Name Administrator

Gebruikers met deze rol kunnen domeinnamen beheren (lezen, toevoegen, verifiëren, bijwerken en verwijderen). Ze kunnen ook mapinformatie lezen over gebruikers, groepen en toepassingen, omdat deze objecten domeinafhankelijkheden hebben. Voor on-premises omgevingen kunnen gebruikers met deze rol domeinnamen voor federatie configureren, zodat gekoppelde gebruikers altijd on-premises worden geverifieerd. Deze gebruikers kunnen zich vervolgens aanmelden bij Azure AD-services met hun on-premises wachtwoorden via een een aanmelding. Federatie-instellingen moeten worden gesynchroniseerd via Azure AD Verbinding maken, zodat gebruikers ook machtigingen hebben voor het beheren van Azure AD-Verbinding maken.

Dynamics 365-beheerder

Gebruikers met deze rol hebben globale machtigingen binnen Microsoft Dynamics 365 Online wanneer de service aanwezig is, evenals de mogelijkheid om ondersteuningstickets te beheren en de service health te bewaken. Meer informatie vindt u in De servicebeheerdersrol gebruiken om uw Azure AD-organisatie te beheren.

Edge-beheerder

Gebruikers met deze rol kunnen de lijst met bedrijfssite's maken en beheren die is vereist Internet Explorer modus op Microsoft Edge. Deze rol verleent machtigingen voor het maken, bewerken en publiceren van de sitelijst en biedt daarnaast toegang tot het beheren van ondersteuningstickets. Meer informatie

Exchange Administrator

Gebruikers met deze rol hebben globale machtigingen binnen Microsoft Exchange Online, wanneer de service aanwezig is. Biedt ook de mogelijkheid om alle groepen Microsoft 365 beheren, ondersteuningstickets te beheren en de service health te bewaken. Meer informatie op Over Microsoft 365 beheerdersrollen.

Exchange Beheerder ontvanger

Gebruikers met deze rol hebben leestoegang tot ontvangers en schrijftoegang tot de kenmerken van die ontvangers in Exchange Online. Meer informatie vindt u Exchange Ontvangers.

Beheerder van externe id-gebruikersstromen

Gebruikers met deze rol kunnen gebruikersstromen (ook wel ingebouwd beleid genoemd) maken en beheren in de Azure Portal. Deze gebruikers kunnen HTML/CSS/JavaScript-inhoud aanpassen, MFA-vereisten wijzigen, claims selecteren in het token, API-connectors beheren en sessie-instellingen configureren voor alle gebruikersstromen in de Azure AD-organisatie. Aan de andere kant omvat deze rol niet de mogelijkheid om gebruikersgegevens te controleren of wijzigingen aan te brengen in de kenmerken die zijn opgenomen in het organisatieschema. Wijzigingen in Identity Experience Framework beleidsregels (ook wel aangepaste beleidsregels genoemd) vallen ook buiten het bereik van deze rol.

Beheerder van externe id-gebruikersstroomkenmerken

Gebruikers met deze rol voegen aangepaste kenmerken toe of verwijderen die beschikbaar zijn voor alle gebruikersstromen in de Azure AD-organisatie. Als zodanig kunnen gebruikers met deze rol nieuwe elementen aan het eindgebruikersschema wijzigen of toevoegen en invloed hebben op het gedrag van alle gebruikersstromen en indirect resulteren in wijzigingen in welke gegevens van eindgebruikers kunnen worden gevraagd en uiteindelijk als claims naar toepassingen worden verzonden. Met deze rol kunnen gebruikersstromen niet worden bewerkt.

Beheerder van externe id-providers

Deze beheerder beheert federatie tussen Azure AD-organisaties en externe id-providers. Met deze rol kunnen gebruikers nieuwe id-providers toevoegen en alle beschikbare instellingen configureren (bijvoorbeeld verificatiepad, service-id, toegewezen sleutelcontainers). Deze gebruiker kan de Azure AD-organisatie in staat stellen om verificaties van externe id-providers te vertrouwen. De resulterende impact op de ervaringen van eindgebruikers is afhankelijk van het type organisatie:

• Azure AD-organisaties voor werknemers en partners: de toevoeging van een federatie (bijvoorbeeld met Gmail) is onmiddellijk van invloed op alle gastuitnodigingen die nog niet zijn ingewisseld. Zie Google toevoegen als id-provider voor B2B-gastgebruikers.
• Azure Active Directory B2C-organisaties: de toevoeging van een federatie (bijvoorbeeld met Facebook of met een andere Azure AD-organisatie) heeft niet direct invloed op stromen van eindgebruikers totdat de id-provider als optie is toegevoegd aan een gebruikersstroom (ook wel ingebouwd beleid genoemd). Zie Configuring a Microsoft-account as an identity provider (Een Microsoft-account configureren als id-provider) voor een voorbeeld. Als u gebruikersstromen wilt wijzigen, is de beperkte rol van B2C-Flow administrator vereist.

Hoofdbeheerder

Gebruikers met deze rol hebben toegang tot alle beheerfuncties in Azure Active Directory, evenals services die gebruikmaken van Azure Active Directory-identiteiten zoals de Microsoft 365 Defender-portal, de Microsoft 365-compliancecentrum, Exchange Online, SharePoint Online en Skype voor Bedrijven Online. Bovendien kunnen globale beheerders hun toegangsbeheer verhogen om alle Azure-abonnementen en -beheergroepen te beheren. Hierdoor kunnen globale beheerders volledige toegang krijgen tot alle Azure-resources met behulp van de respectieve Azure AD-tenant. De persoon die zich voor de Azure AD-organisatie meldt, wordt een globale beheerder. Er kan meer dan één globale beheerder in uw bedrijf zijn. Globale beheerders kunnen het wachtwoord voor elke gebruiker en alle andere beheerders opnieuw instellen.

Algemene lezer

Gebruikers met deze rol kunnen instellingen en beheergegevens in Microsoft 365 lezen, maar kunnen geen beheeracties ondernemen. Globale lezer is de alleen-lezen tegenhanger voor globale beheerder. Wijs globale lezer toe in plaats van een globale beheerder voor planning, controles of onderzoek. Gebruik Globale lezer in combinatie met andere beperkte beheerdersrollen, zoals Exchange Administrator, om het gemakkelijker te maken om werk gedaan te krijgen zonder de rol Globale beheerder toe te wijzen. Globale lezer werkt met Microsoft 365-beheercentrum, Exchange-beheercentrum, SharePoint-beheercentrum, Teams-beheercentrum, Beveiligingscentrum, Compliancecentrum, Azure AD-beheercentrum en Beheercentrum voor apparaatbeheer.

Groepsbeheerder

Gebruikers met deze rol kunnen groepen en de instellingen ervan maken/beheren, zoals naamgeving en verloopbeleid. Het is belangrijk om te begrijpen dat het toewijzen van een gebruiker aan deze rol hen de mogelijkheid biedt om alle groepen in de organisatie te beheren in verschillende workloads, zoals Teams, SharePoint en Yammer, naast Outlook. De gebruiker kan ook de verschillende instellingen voor groepen beheren in verschillende beheerportals, zoals het Microsoft-beheercentrum, Azure Portal, evenals workloadspecifieke instellingen zoals Teams en SharePoint-beheercentrums.

Afzender van gastuitnodigingen

Gebruikers met deze rol kunnen Azure Active Directory B2B-uitnodigingen voor gastgebruikers beheren wanneer de gebruikersinstelling Leden kunnen uitnodigen is ingesteld op Nee. Meer informatie over B2B-samenwerking vindt u in About Azure AD B2B collaboration (Over Azure AD B2B-samenwerking). Het bevat geen andere machtigingen.

Helpdeskbeheerder

Gebruikers met deze rol kunnen wachtwoorden wijzigen, vernieuwingstokens ongeldig maken, serviceaanvragen beheren en de service health bewaken. Als u een vernieuwings token ongeldig maakt, wordt de gebruiker weer om zich aan te melden. Of een helpdeskbeheerder het wachtwoord van een gebruiker opnieuw kan instellen en vernieuwingstokens ongeldig kan maken, is afhankelijk van de rol die aan de gebruiker is toegewezen. Zie Machtigingen voor wachtwoord opnieuw instellen voor een lijst met de rollen die een helpdeskbeheerder kan gebruiken om wachtwoorden opnieuw in te stellen en vernieuwingstokens ongeldig te maken.

Het delegeren van beheerdersmachtigingen over subsets van gebruikers en het toepassen van beleid op een subset van gebruikers is mogelijk met beheereenheden.

Deze rol werd eerder 'Wachtwoordbeheerder' genoemd in de Azure Portal. De naam van de helpdeskbeheerder in Azure AD komt nu overeen met de naam in Azure AD PowerShell en de Microsoft Graph API.

Hybrid Identity-beheerder

Gebruikers met deze rol kunnen configuratie-instellingen voor inrichting maken, beheren en implementeren van AD naar Azure AD met behulp van Cloud provisioning, en Azure AD-Verbinding maken en federatie-instellingen beheren. Gebruikers kunnen ook problemen met logboeken oplossen en bewaken met behulp van deze rol.

Identity Governance-beheerder

Gebruikers met deze rol kunnen de configuratie van Identiteitsbeheer van Azure AD beheren, waaronder toegangspakketten, toegangsbeoordelingen, catalogi en beleid, om ervoor te zorgen dat toegang wordt goedgekeurd en gecontroleerd en gastgebruikers die geen toegang meer nodig hebben, worden verwijderd.

Insights-beheerder

Gebruikers met deze rol hebben toegang tot de volledige set beheermogelijkheden in de Microsoft 365 Insights toepassing. Deze rol biedt de mogelijkheid om mapgegevens te lezen, de status van de service te bewaken, ondersteuningstickets voor bestanden te gebruiken en toegang te krijgen tot de Insights beheerdersinstellingen.

Insights-bedrijfsleider

Gebruikers met deze rol hebben toegang tot een set dashboards en inzichten via de Microsoft 365 Insights toepassing. Dit omvat volledige toegang tot alle dashboards en functionaliteit voor inzichten en gegevensverkenning. Gebruikers met deze rol hebben geen toegang tot de configuratie-instellingen van het product. Dit is de verantwoordelijkheid van de Insights beheerdersrol.

Intune-beheerder

Gebruikers met deze rol hebben globale machtigingen binnen Microsoft Intune Online, wanneer de service aanwezig is. Daarnaast bevat deze rol de mogelijkheid om gebruikers en apparaten te beheren om beleid te koppelen, en om groepen te maken en te beheren. Zie Op rollen gebaseerd beheerbeheer (RBAC) met Microsoft Intune.

Met deze rol kunt u alle beveiligingsgroepen maken en beheren. De Intune-beheerder heeft echter geen beheerdersrechten voor Office groepen. Dit betekent dat de beheerder geen eigenaren of lidmaatschappen van alle Office in de organisatie kan bijwerken. Hij/zij kan echter de Office die hij maakt, die deel uitmaakt van zijn/haar eindgebruikersbevoegdheden. Dus elke Office groep (geen beveiligingsgroep) die hij/zij maakt, moet worden meegetelde in zijn/haar quotum van 250.

Kaizala-beheerder

Gebruikers met deze rol hebben globale machtigingen voor het beheren van instellingen binnen Microsoft Kaizala, wanneer de service aanwezig is, evenals de mogelijkheid om ondersteuningstickets te beheren en de service health te bewaken. Daarnaast heeft de gebruiker toegang tot rapporten met betrekking tot de acceptatie & gebruik van Kaizala door leden van de organisatie en zakelijke rapporten die zijn gegenereerd met behulp van de Kaizala acties.

Kennisbeheerder

Gebruikers met deze rol hebben volledige toegang tot alle instellingen voor kennis, leren en intelligente functies in de Microsoft 365-beheercentrum. Ze hebben een algemeen begrip van de suite met producten, licentiegegevens en zijn verantwoordelijk voor het beheer van de toegang. Kennisbeheerder kan inhoud maken en beheren, zoals onderwerpen, acroniemen en leerbronnen. Daarnaast kunnen deze gebruikers inhoudscentra maken, de service health bewaken en serviceaanvragen maken.

Knowledge Manager

Gebruikers met deze rol kunnen inhoud maken en beheren, zoals onderwerpen, acroniemen en leerinhoud. Deze gebruikers zijn voornamelijk verantwoordelijk voor de kwaliteit en structuur van de kennis. Deze gebruiker heeft volledige rechten voor acties voor onderwerpbeheer om een onderwerp te bevestigen, bewerkingen goed te keuren of een onderwerp te verwijderen. Deze rol kan ook taxonomie beheren als onderdeel van het term winkelbeheerprogramma en het maken van inhoudscentra.

Licentiebeheerder

Gebruikers met deze rol kunnen licentietoewijzingen toevoegen, verwijderen en bijwerken voor gebruikers, groepen (met behulp van groepslicenties) en de gebruikslocatie voor gebruikers beheren. De rol verleent niet de mogelijkheid om abonnementen aan te schaffen of te beheren, groepen te maken of te beheren, of om gebruikers buiten de gebruikslocatie te maken of te beheren. Deze rol heeft geen toegang tot het weergeven, maken of beheren van ondersteuningstickets.

Berichtencentrum-privacylezer

Gebruikers met deze rol kunnen alle meldingen in de Berichtencentrum, inclusief privacyberichten over gegevens. Berichtencentrum privacylezers ontvangen e-mailmeldingen met betrekking tot gegevensbescherming en ze kunnen zich afmelden met behulp van Berichtencentrum Voorkeuren. Alleen de globale beheerder en de Berichtencentrum privacylezer kunnen privacyberichten over gegevens lezen. Daarnaast bevat deze rol de mogelijkheid om groepen, domeinen en abonnementen weer te geven. Deze rol heeft geen machtiging voor het weergeven, maken of beheren van serviceaanvragen.

Berichtencentrum-lezer

Gebruikers met deze rol kunnen meldingen en advies over statusupdates in Berichtencentrum voor hun organisatie controleren voor geconfigureerde services zoals Exchange, Intune en Microsoft Teams. Berichtencentrum lezers wekelijkse samenvattingen van berichten en updates ontvangen en berichten van berichtencentrums kunnen delen in Microsoft 365. In Azure AD hebben gebruikers die zijn toegewezen aan deze rol alleen-lezentoegang tot Azure AD-services, zoals gebruikers en groepen. Deze rol heeft geen toegang tot het weergeven, maken of beheren van ondersteuningstickets.

Moderne Commerce-gebruiker

Niet gebruiken. Deze rol wordt automatisch toegewezen vanuit Commerce en is niet bedoeld of ondersteund voor ander gebruik. Zie hieronder voor meer informatie.

De rol Modern Commerce-gebruiker geeft bepaalde gebruikers toestemming om toegang te krijgen tot Microsoft 365-beheercentrum en bekijk de linkernavigatiegegevens voor Start, Facturering en Ondersteuning. De inhoud die in deze gebieden beschikbaar is, wordt beheerd door commerce-specifieke rollen die zijn toegewezen aan gebruikers voor het beheren van producten die ze voor zichzelf of uw organisatie hebben gekocht. Dit kunnen taken zijn zoals het betalen van facturen of voor toegang tot factureringsrekeningen en factureringsprofielen.

Gebruikers met de rol Modern Commerce-gebruiker hebben doorgaans beheerdersmachtigingen in andere Microsoft-aankoopsystemen, maar hebben geen globale beheerder- of factureringsbeheerderrollen die worden gebruikt voor toegang tot het beheercentrum.

Wanneer wordt de rol Modern Commerce-gebruiker toegewezen?

• Selfserviceaankoop in Microsoft 365-beheercentrum: selfserviceaankoop biedt gebruikers de mogelijkheid om nieuwe producten uit te proberen door ze zelf te kopen of te registreren. Deze producten worden beheerd in het beheercentrum. Gebruikers die een selfserviceaankoop doen, krijgen een rol toegewezen in het commercesysteem en de rol Modern Commerce-gebruiker, zodat ze hun aankopen in het beheercentrum kunnen beheren. Beheerders kunnen selfserviceaankopen blokkeren (voor Power BI, Power Apps, Power automate) via PowerShell. Zie Veelgestelde vragen over aankopen via self-service voor meer informatie.
• Aankopen via de commerciële marketplace van Microsoft: net als bij aankopen via self-service wordt de rol Modern Commerce-gebruiker toegewezen wanneer een gebruiker een product of service van Microsoft AppSource of Azure Marketplace koopt als deze niet de rol van globale beheerder of factureringsbeheerder heeft. In sommige gevallen kunnen gebruikers deze aankopen mogelijk niet doen. Zie Commerciële marketplace van Microsoft voor meer informatie.
• Voorstellen van Microsoft: een voorstel is een formeel aanbod van Microsoft voor uw organisatie om Microsoft-producten en -services te kopen. Wanneer de persoon die het voorstel accepteert geen rol van globale beheerder of factureringsbeheerder heeft in Azure AD, krijgt deze persoon zowel een commerce-specifieke rol om het voorstel te voltooien als de rol Modern Commerce-gebruiker om toegang te krijgen tot het beheercentrum. Wanneer ze toegang hebben tot het beheercentrum, kunnen ze alleen functies gebruiken die zijn geautoriseerd door hun commerce-specifieke rol.
• Commerce-specifieke rollen: aan sommige gebruikers zijn handelsspecifieke rollen toegewezen. Als een gebruiker geen globale beheerder of factureringsbeheerder is, krijgt deze de rol Modern Commerce-gebruiker, zodat deze toegang heeft tot het beheercentrum.

Als de rol Modern Commerce-gebruiker niet is toegewezen aan een gebruiker, heeft deze geen toegang meer tot Microsoft 365-beheercentrum. Als ze producten voor zichzelf of voor uw organisatie beheren, kunnen ze ze niet beheren. Dit kan bestaan uit het toewijzen van licenties, het wijzigen van betalingswijzen, het betalen van facturen of andere taken voor het beheren van abonnementen.

Netwerkbeheerder

Gebruikers met deze rol kunnen aanbevelingen voor netwerkperimeterarchitectuur van Microsoft bekijken die zijn gebaseerd op netwerk-telemetrie van hun gebruikerslocaties. Netwerkprestaties voor Microsoft 365 zijn afhankelijk van een zorgvuldige bedrijfsnetwerkperimeterarchitectuur die doorgaans specifiek is voor de gebruikerslocatie. Met deze rol kunt u de gevonden gebruikerslocaties en de configuratie van netwerkparameters voor deze locaties bewerken om verbeterde telemetriemetingen en ontwerpaanbevelingen mogelijk te maken

Beheerder van Office-apps

Gebruikers met deze rol kunnen de cloudinstellingen Microsoft 365 apps beheren. Dit omvat het beheren van cloudbeleid, selfservice downloadbeheer en de mogelijkheid om een rapport Office apps weer te geven. Deze rol biedt bovendien de mogelijkheid om ondersteuningstickets te beheren en de service health te bewaken in het hoofdbeheerderscentrum. Gebruikers die aan deze rol zijn toegewezen, kunnen ook de communicatie van nieuwe functies in Office beheren.

Laag1-ondersteuning voor partner

Niet gebruiken. Deze rol is afgeschaft en wordt in de toekomst verwijderd uit Azure AD. Deze rol is bedoeld voor gebruik door een klein aantal Microsoft-partners en is niet bedoeld voor algemeen gebruik.

Laag2-ondersteuning voor partner

Niet gebruiken. Deze rol is afgeschaft en wordt in de toekomst verwijderd uit Azure AD. Deze rol is bedoeld voor gebruik door een klein aantal Microsoft-partners en is niet bedoeld voor algemeen gebruik.

Wachtwoordbeheerder

Gebruikers met deze rol hebben beperkte mogelijkheden om wachtwoorden te beheren. Deze rol verleent niet de mogelijkheid om serviceaanvragen te beheren of de service health te bewaken. Of een wachtwoordbeheerder het wachtwoord van een gebruiker opnieuw kan instellen, is afhankelijk van de rol die aan de gebruiker is toegewezen. Zie Machtigingen voor wachtwoord opnieuw instellen voor een lijst met de rollen voor wie een wachtwoordbeheerder wachtwoorden opnieuw kan instellen.

Power BI Administrator

Gebruikers met deze rol hebben globale machtigingen binnen Microsoft Power BI, wanneer de service aanwezig is, evenals de mogelijkheid om ondersteuningstickets te beheren en de service health te bewaken. Meer informatie vindt u in Inzicht in Power BI beheerdersrol.

Power Platform-beheerder

Gebruikers met deze rol kunnen alle aspecten van omgevingen, Power Apps, stromen en beleid ter preventie van gegevensverlies maken en beheren. Daarnaast hebben gebruikers met deze rol de mogelijkheid om ondersteuningstickets te beheren en de service health te bewaken.

Printerbeheerder

Gebruikers met deze rol kunnen printers registreren en alle aspecten van alle printerconfiguraties in de Microsoft Universeel afdrukken-oplossing beheren, met inbegrip van de instellingen Universeel afdrukken Connector. Ze kunnen toestemming geven voor alle gedelegeerde afdrukmachtigingsaanvragen. Printerbeheerders hebben ook toegang tot afdrukrapporten.

Printertechnicus

Gebruikers met deze rol kunnen printers registreren en de printerstatus beheren in de Microsoft Universeel afdrukken oplossing. Ze kunnen ook alle connectorgegevens lezen. De belangrijkste taak die een printertechnicus niet kan uitvoeren, is het instellen van gebruikersmachtigingen voor printers en het delen van printers.

Bevoorrechte verificatiebeheerder

Gebruikers met deze rol kunnen elke verificatiemethode (inclusief wachtwoorden) instellen of opnieuw instellen voor elke gebruiker, inclusief globale beheerders. Beheerders met bevoegde verificatie kunnen gebruikers dwingen zich opnieuw te registreren op basis van bestaande niet-wachtwoordreferenties (zoals MFA of FIDO) en 'MFA onthouden op het apparaat' in te trekken, en vragen om MFA bij de volgende aanmelding van alle gebruikers.

De rol Verificatiebeheerder heeft toestemming om herregistratie en meervoudige verificatie af te dwingen voor standaardgebruikers en gebruikers met bepaalde beheerdersrollen.

De rol Verificatiebeleidsbeheerder heeft machtigingen om het verificatiemethodebeleid van de tenant in te stellen waarmee wordt bepaald welke methoden elke gebruiker kan registreren en gebruiken.

Beheerder voor bevoorrechte rollen

Gebruikers met deze rol kunnen roltoewijzingen beheren in Azure Active Directory en in Azure AD-Privileged Identity Management. Ze kunnen groepen maken en beheren die kunnen worden toegewezen aan Azure AD-rollen. Daarnaast kunt u met deze rol alle aspecten van Privileged Identity Management beheereenheden beheren.

Rapportenlezer

Gebruikers met deze rol kunnen gebruiksrapportagegegevens en het rapportdashboard bekijken in Microsoft 365-beheercentrum en het contextpakket voor acceptatie in Power BI. Daarnaast biedt de rol toegang tot aanmeldingsrapporten en -activiteiten in Azure AD en gegevens die worden geretourneerd door de Microsoft Graph Reporting API. Een gebruiker die is toegewezen aan de rol Rapportlezer heeft alleen toegang tot relevante metrische gegevens over gebruik en acceptatie. Ze hebben geen beheerdersmachtigingen om instellingen te configureren of toegang te krijgen tot de productspecifieke beheercentrums, zoals Exchange. Deze rol heeft geen toegang tot het weergeven, maken of beheren van ondersteuningstickets.

Zoekbeheerder

Gebruikers met deze rol hebben volledige toegang tot alle Microsoft Search-beheerfuncties in de Microsoft 365-beheercentrum. Daarnaast kunnen deze gebruikers het berichtencentrum bekijken, de service health bewaken en serviceaanvragen maken.

Zoekredacteur

Gebruikers met deze rol kunnen inhoud voor Microsoft Search maken, beheren en verwijderen in de Microsoft 365-beheercentrum, inclusief bladwijzers, Q&As en locaties.

Beveiligingsbeheer

Gebruikers met deze rol hebben machtigingen voor het beheren van beveiligingsfuncties in de Microsoft 365 Defender-portal, Azure Active Directory Identity Protection, Azure Active Directory-verificatie, Azure Information Protection en Office 365 Security & Compliancecentrum. Meer informatie over Office 365-machtigingen is beschikbaar in Machtigingen in het Security & Compliance Center.

Beveiligingsoperator

Gebruikers met deze rol kunnen waarschuwingen beheren en hebben wereldwijde alleen-lezentoegang tot beveiligingsfuncties, waaronder alle informatie in Microsoft 365 Security Center, Azure Active Directory, Identity Protection, Privileged Identity Management en Office 365 Security & Compliance Center. Meer informatie over Office 365-machtigingen is beschikbaar in Machtigingen in het Security & Compliance Center.

Beveiligingslezer

Gebruikers met deze rol hebben globale alleen-lezentoegang tot beveiligingsgerelateerde functies, inclusief alle informatie in Microsoft 365 Security Center, Azure Active Directory, Identity Protection, Privileged Identity Management, evenals de mogelijkheid om te lezen Azure Active Directory aanmeldrapporten en auditlogboeken en in Office 365 Security & Compliance Center. Meer informatie over Office 365-machtigingen is beschikbaar in Machtigingen in het Security & Compliance Center.

Serviceondersteuningsbeheerder

Gebruikers met deze rol kunnen ondersteuningsaanvragen openen bij Microsoft voor Azure- en Microsoft 365-services en het servicedashboard en berichtencentrum bekijken in de Azure Portal en Microsoft 365-beheercentrum. Meer informatie op Over beheerdersrollen.

SharePoint Administrator

Gebruikers met deze rol hebben globale machtigingen binnen Microsoft Office SharePoint Online, wanneer de service aanwezig is, evenals de mogelijkheid om alle Microsoft 365-groepen te maken en beheren, ondersteuningstickets te beheren en de service health te bewaken. Meer informatie op Over beheerdersrollen.

Skype voor Bedrijven administrator

Gebruikers met deze rol hebben globale machtigingen binnen Microsoft Skype voor Bedrijven, wanneer de service aanwezig is, en beheren Skype-specifieke gebruikerskenmerken in Azure Active Directory. Daarnaast biedt deze rol de mogelijkheid om ondersteuningstickets te beheren en de service health te bewaken, en om toegang te krijgen tot Teams en Skype voor Bedrijven-beheercentrum. Het account moet ook een licentie hebben voor Teams of kan niet worden uitgevoerd Teams PowerShell-cmdlets. Meer informatie op Informatie over de Skype voor Bedrijven-beheerdersrol en Teams licentie-informatie op Skype voor Bedrijven en Microsoft Teams invoeglicenties

Teams administrator

Gebruikers met deze rol kunnen alle aspecten van de workload Microsoft Teams beheren via het Microsoft Teams & Skype voor Bedrijven-beheercentrum en de respectieve PowerShell-modules. Dit omvat onder andere alle beheerhulpprogramma's met betrekking tot telefonie, berichten, vergaderingen en de teams zelf. Met deze rol kunt u bovendien alle groepen Microsoft 365 beheren, ondersteuningstickets beheren en de service health bewaken.

Teams-communicatiebeheerder

Gebruikers met deze rol kunnen aspecten van de werkbelasting van Microsoft Teams beheren met betrekking tot spraak& telefonie. Dit omvat de beheerhulpprogramma's voor het toewijzing van telefoonnummers, spraak- en vergaderingsbeleid en volledige toegang tot de toolset voor analyse van aanroepen.

Ondersteuningstechnicus voor Teams-communicatie

Gebruikers met deze rol kunnen communicatieproblemen binnen een Microsoft Teams & Skype voor Bedrijven met behulp van de hulpprogramma's voor het oplossen van problemen met gebruikersoproepen in Microsoft Teams & Skype voor Bedrijven beheercentrum. Gebruikers met deze rol kunnen informatie over volledige oproeprecords weergeven voor alle betrokken deelnemers. Deze rol heeft geen toegang tot het weergeven, maken of beheren van ondersteuningstickets.

Ondersteuningsspecialist voor Teams-communicatie

Gebruikers met deze rol kunnen communicatieproblemen binnen een Microsoft Teams & Skype voor Bedrijven met behulp van de hulpprogramma's voor het oplossen van problemen met gebruikersoproepen in Microsoft Teams & Skype voor Bedrijven beheercentrum. Gebruikers met deze rol kunnen alleen gebruikersdetails bekijken in de aanroep voor de specifieke gebruiker die ze hebben op gezocht. Deze rol heeft geen toegang tot het weergeven, maken of beheren van ondersteuningstickets.

Teams-apparaatbeheerder

Gebruikers met deze rol kunnen Teams-gecertificeerde apparaten beheren vanuit het Teams-beheercentrum. Met deze rol kunnen alle apparaten in één oogopslag worden bekeken, met de mogelijkheid om apparaten te zoeken en te filteren. De gebruiker kan de details van elk apparaat controleren, waaronder het aangemelde account, het make- en model van het apparaat. De gebruiker kan de instellingen op het apparaat wijzigen en de softwareversies bijwerken. Deze rol verleent geen machtigingen voor het controleren Teams activiteit en het aanroepen van de kwaliteit van het apparaat.

Lezer van rapporten over gebruiksoverzichten

Gebruikers met deze rol hebben toegang tot geaggregeerde gegevens op tenantniveau en bijbehorende inzichten in Microsoft 365-beheercentrum voor Gebruiks- en productiviteitsscore, maar hebben geen toegang tot details of inzichten op gebruikersniveau. In Microsoft 365-beheercentrum rapporten maken we onderscheid tussen geaggregeerde gegevens op tenantniveau en details op gebruikersniveau. Deze rol biedt een extra beveiligingslaag voor afzonderlijke gebruikersgegevens, die zijn aangevraagd door zowel klanten als juridische teams.

Gebruikersbeheerder

Gebruikers met deze rol kunnen gebruikers maken en alle aspecten van gebruikers beheren met bepaalde beperkingen (zie de tabel) en het verloopbeleid voor wachtwoorden bijwerken. Daarnaast kunnen gebruikers met deze rol alle groepen maken en beheren. Deze rol omvat ook de mogelijkheid om gebruikersweergaven te maken en beheren, ondersteuningstickets te beheren en de service health te bewaken. Gebruikersbeheerders hebben geen machtigingen voor het beheren van bepaalde gebruikerseigenschappen voor gebruikers in de meeste beheerdersrollen. Beheerders met deze rol hebben geen machtigingen voor het beheren van MFA of het beheren van gedeelde postvakken. De rollen die uitzonderingen op deze beperking zijn, worden vermeld in de volgende tabel.

Windows 365-beheerder

Gebruikers met deze rol hebben globale machtigingen voor Windows 365 resources, wanneer de service aanwezig is. Daarnaast bevat deze rol de mogelijkheid om gebruikers en apparaten te beheren om beleid te koppelen, en om groepen te maken en te beheren.

Deze rol kan beveiligingsgroepen maken en beheren, maar heeft geen beheerdersrechten voor Microsoft 365 groepen. Dit betekent dat beheerders eigenaars of lidmaatschappen van Microsoft 365 in de organisatie niet kunnen bijwerken. Ze kunnen echter de Microsoft 365 die ze maken, wat een onderdeel is van hun eindgebruikersbevoegdheden. Elke groep Microsoft 365 (geen beveiligingsgroep) die ze maken, wordt dus meegetelde bij hun quotum van 250.

Wijs Windows 365-beheerdersrol toe aan gebruikers die de volgende taken moeten uitvoeren:

• Windows 365 Cloud-pc's beheren in Microsoft Endpoint Manager
• Apparaten inschrijven en beheren in Azure AD, inclusief het toewijzen van gebruikers en beleid
• Beveiligingsgroepen maken en beheren, maar geen rol toewijsbare groepen
• Basiseigenschappen weergeven in de Microsoft 365-beheercentrum
• Gebruiksrapporten lezen in de Microsoft 365-beheercentrum
• Ondersteuningstickets maken en beheren in Azure AD en de Microsoft 365-beheercentrum

Windows update-implementatiebeheerder

Gebruikers met deze rol kunnen alle aspecten van Windows Update-implementaties maken en beheren via de Windows Update voor Bedrijven-implementatieservice. Met de implementatieservice kunnen gebruikers instellingen definiëren voor wanneer en hoe updates worden geïmplementeerd en opgeven welke updates worden aangeboden aan groepen apparaten in hun tenant. Hiermee kunnen gebruikers ook de voortgang van de update controleren.

Rolmachtigingen begrijpen

Het schema voor machtigingen volgt losjes de REST-indeling van Microsoft Graph:

<namespace>/<entity>/<propertySet>/<action>

Bijvoorbeeld:

microsoft.directory/applications/credentials/update

Afgeschafte rollen

De volgende rollen mogen niet worden gebruikt. Ze zijn afgeschaft en worden in de toekomst verwijderd uit Azure AD.

• AdHoc-licentiebeheerder
• Apparaat-join
• Apparaatbeheerders
• Apparaatgebruikers
• Geverifieerde e-mailgebruiker
• Postvakbeheerder
• Workplace Device Join

Rollen die niet worden weergegeven in de portal

Niet elke rol die wordt geretourneerd door PowerShell of MS Graph API is zichtbaar in Azure Portal. In de volgende tabel worden deze verschillen georganiseerd.

Machtigingen voor wachtwoord opnieuw instellen

Kolomkoppen vertegenwoordigen de rollen die wachtwoorden opnieuw kunnen instellen. Tabelrijen bevatten de rollen waarvoor het wachtwoord opnieuw kan worden ingesteld.

* Een globale beheerder kan zijn of haar eigen globale beheerderstoewijzing niet verwijderen. Dit is om te voorkomen dat een organisatie 0 globale beheerders heeft.

Volgende stappen

• Azure AD-rollen toewijzen aan groepen
• Inzicht in de verschillende rollen
• Een gebruiker toewijzen als beheerder van een Azure-abonnement