Сведения о ролях администраторов в Центре администрирования Microsoft 365

Ознакомьтесь со справкой по Microsoft 365 для малого бизнеса на YouTube.

Подписка на Microsoft 365 или Office 365 поставляется с набором ролей администратора, которые можно назначить пользователям в организации с помощью Центр администрирования Microsoft 365. Каждой роли администратора соответствуют распространенные бизнес-функции, и она предоставляет пользователям организации разрешения на выполнение определенных задач в Центрах администрирования.

Совет

Если вам нужна помощь с действиями в этом разделе, рассмотрите возможность взаимодействия со специалистом Майкрософт по малому бизнесу. С помощью бизнес-помощника вы и ваши сотрудники получаете круглосуточный доступ к знаниям специалистов по малому бизнесу по мере развития вашего предприятия: от начальных этапов до повседневной работы.

Видео. Кто такой администратор?

Ознакомьтесь с этим и другими видео на нашем YouTube-канале.

  1. Выполнив вход в Microsoft 365, выберите средство запуска приложений. Если отображается кнопка "Администрирование", вы являетесь администратором.
  2. Нажмите Администрирование, чтобы перейти в Центр администрирования Microsoft 365.
  3. В области навигации слева выберите Пользователи>Активные пользователи.
  4. Выберите пользователя, которого нужно сделать администратором. Сведения о пользователе отображаются в диалоговом окне справа.

Прежде чем начать

Центр администрирования Microsoft 365 позволяет управлять ролями Microsoft Entra и ролями Microsoft Intune. Но эти роли являются подмножеством ролей, доступных в Центре администрирования Microsoft Entra и в Центре администрирования Intune.

Полный список подробных Microsoft Entra описаний ролей, которыми можно управлять в Центр администрирования Microsoft 365, проверка разрешения роли администратора в разделе Microsoft Entra встроенных ролей.

Полный список подробных описаний ролей Intune, которыми можно управлять в Центр администрирования Microsoft 365, проверка управление доступом на основе ролей (RBAC) с помощью Microsoft Intune.

Подробнее о назначении ролей в Центре администрирования Microsoft 365 см. в статье Назначение ролей администратора.

Рекомендации по обеспечению безопасности при назначении ролей

Так как администраторы имеют доступ к конфиденциальным данным и файлам, рекомендуется следовать этим руководствам, чтобы обеспечить надежную защиту данных организации.

Рекомендация Почему это так важно?
От 2 до 4 глобальных администраторов Глобальные администраторы имеют практически неограниченный доступ к параметрам вашей организации и большинству ее данных. Мы рекомендуем максимально ограничить число глобальных администраторов. Глобальная Администратор может случайно заблокировать свою учетную запись и потребовать сброса пароля. Другой глобальный Администратор или Администратор привилегированной проверки подлинности может сбросить пароль глобальной Администратор. Поэтому рекомендуется иметь по крайней мере еще одну глобальную Администратор или Администратор привилегированной проверки подлинности в случае, если глобальная Администратор заблокирует свою учетную запись.
Назначайте роль с минимальными разрешениями Назначение роли с минимальными разрешениями означает предоставление администраторам доступа только к требуемым элементам для выполнения задачи. Например, если вы хотите, чтобы кто-то сбросил пароли сотрудников, не следует назначать неограниченную роль глобального администратора, следует назначить ограниченную роль администратора, например администратор паролей или администратор службы поддержки.
Обязательная многофакторная проверка подлинности для администраторов На самом деле, рекомендуется применять многофакторную проверку подлинности (MFA) для всех пользователей, но для администраторов следует обязательно требовать MFA при входе. MFA заставляет пользователей использовать второй метод идентификации для проверки своей личности. Администраторы могут иметь доступ к большей части данных о клиентах и сотрудниках. Если требуется MFA, даже если пароль администратора скомпрометирован, пароль будет бесполезен без второго метода идентификации.

Когда вы включаете MFA, при следующем входе пользователя ему потребуется указать другой адрес электронной почты и номер телефона на случай восстановления учетной записи.
Настройка многофакторной проверки подлинности

Если в Центре администрирования появится сообщение о том, что у вас нет разрешений на изменение параметра или страницы, это связано с тем, что вам назначена роль, которая не имеет этого разрешения. Обратитесь к другому администратору, чтобы назначить вам правильные разрешения, или см. статью Назначение ролей администратора , чтобы назначить себе правильную роль.

Часто используемые роли Центра администрирования Microsoft 365

В Центре администрирования Microsoft 365 можно перейти в раздел Назначение ролей и выбрать любую роль, чтобы открыть ее область сведений. Перейдите на вкладку Разрешения, чтобы просмотреть подробный список разрешений, которые дает эта роль администратора. Чтобы добавить пользователей в роли, выберите Назначенные или Назначенные администраторы.

Скорее всего, вам потребуется назначить только следующие роли в организации. По умолчанию сначала отображаются роли, используемые в большинстве организаций. Если не удается найти нужную роль, перейдите в нижнюю часть списка и выберите Показать все по категориям. Подробные сведения, включая командлеты, связанные с ролью, см. в разделе Microsoft Entra встроенных ролей.

Роль администратора Кому следует назначить эту роль?
Администратор выставления счетов Назначьте роль администратора выставления счетов пользователям, которые делают покупки, управляют подписками и запросами на обслуживание, а также отслеживают работоспособность служб.

Администраторы выставления счетов также могут:
— управлять всеми аспектами вы выставления счетов;
— создавать заявки не поддержку на портале Azure и управлять ими.
Администратор Exchange Назначьте роль администратора Exchange пользователям, которым требуется просматривать почтовые ящики электронной почты пользователя, групп Microsoft 365 и Exchange Online, а также управлять ими.

Администраторы Exchange также могут:
— восстанавливать удаленные элементы в почтовом ящике пользователя;
— настраивать делегатов с разрешениями "Отправить как" и "Отправить от имени".
Администратор структуры Назначьте роль администратора Fabric пользователям, которым необходимо выполнить следующие действия:
— Управление всеми функциями администрирования Для Microsoft Fabric и Power BI
— Отчет об использовании и производительности
— Проверка аудита и управление ими
Глобальный администратор Назначьте роль глобального администратора пользователям, которым необходим глобальный доступ к большинству функций управления и данных в веб-службах Майкрософт.

Предоставление слишком большого числа пользователей глобального доступа представляет угрозу безопасности, и мы рекомендуем иметь от двух до четырех глобальных администраторов.

Только глобальные администраторы могут:
– сбрасывать пароли всех пользователей;
– добавлять домены и управлять ими;
– разблокировать других глобальных администраторов.

Примечание: Пользователь, зарегистрировавшийся в Microsoft веб-службы, автоматически становится глобальным администратором.
Глобальный читатель Назначьте роль глобального читателя пользователям, которым необходимо просматривать функции и параметры администрирования в центрах администрирования, доступных для просмотра глобальному администратору. Администратор с ролью глобального читателя не может изменять никакие параметры.
Администратор групп Назначьте роль администратора групп пользователям, которым необходимо управлять всеми параметрами групп в центрах администрирования, включая Центр администрирования Microsoft 365 и Центр администрирования Microsoft Entra.

Администраторы групп могут:
— создавать, изменять, удалять и восстанавливать группы Microsoft 365;
— создавать и обновлять политики создания, срока действия и именования групп;
— Создание, изменение, удаление и восстановление Microsoft Entra групп безопасности
Администратор службы поддержки Назначьте роль администратора службы поддержки пользователям, которым требуется выполнять следующее:
— сбрасывать пароли;
— принуждать пользователей выходить из системы;
— управлять запросами на обслуживание;
— отслеживать работоспособность служб.

Примечание. Администратор службы поддержки может помогать только пользователям, не являющимся администраторами, и пользователям со следующими ролями: читатель каталога, приглашающий гостей, администратор службы поддержки, читатель Центра сообщений и читатель отчетов.
Администратор лицензий Назначьте роль администратора лицензий пользователям, которым необходимо назначать и удалять лицензии пользователей и менять место их использования.

Администраторы лицензий также могут:
— повторно обрабатывать назначения лицензий при групповом лицензировании;
— назначать лицензии на продукты группам при групповом лицензировании;
Читатель раздела о конфиденциальности в Центре сообщений Назначьте роль читателя раздела о конфиденциальности Центра сообщений пользователям, которым необходимо читать сообщения и обновления по вопросам конфиденциальности и безопасности в Центре сообщений Microsoft 365. Читатели раздела о конфиденциальности Центра сообщений могут получать уведомления по электронной почте, связанные с конфиденциальностью данных, в зависимости от их предпочтений, и они могут отказаться от подписки, используя настройки Центра сообщений. Только глобальные администраторы и читатели раздела о конфиденциальности Центра сообщений могут читать сообщения о конфиденциальности данных. Эта роль не имеет разрешения на просмотр, создание и управление запросами на обслуживание.

Читатели раздела о конфиденциальности Центра сообщений могут также:
— Отслеживать все уведомления в Центре сообщений, включая сообщения о конфиденциальности данных
— Просматривать группы, домены и подписки
Читатель Центра сообщений Назначьте роль читателя Центра сообщений пользователям, которым требуется выполнять следующее:
— отслеживать уведомления центра сообщений;
— получать еженедельные дайджесты по электронной почте для публикаций и обновлений в Центре сообщений;
— отправлять записи в Центре сообщений;
— доступ только для чтения к Microsoft Entra службам, таким как пользователи и группы.
Администратор миграции Назначьте роль администратора миграции Microsoft 365 пользователям, которым необходимо выполнить следующие задачи:
— Используйте диспетчер миграции в Центр администрирования Microsoft 365 для управления миграцией содержимого в Microsoft 365, включая Teams, OneDrive для бизнеса и сайты SharePoint, из различных источников, таких как Google Диск, Dropbox и Box.
— выберите источники миграции, создайте инвентаризацию миграции (например, списки пользователей Google Диска), запланируйте и выполните миграцию, а также скачайте отчеты.
— Создание новых сайтов SharePoint, если целевые сайты еще не существуют, создание списков SharePoint на сайтах администрирования SharePoint, а также создание и обновление элементов в списках SharePoint.
— управление параметрами проекта миграции и жизненным циклом миграции для задач, а также управление сопоставлениями разрешений из источника в место назначения.
Примечание: С помощью этой роли вы можете выполнить миграцию только с Google Drive, Box, Dropbox и Egnyte. Эта роль не позволяет выполнять миграцию из общих папок из центра администрирования SharePoint. Используйте администратор SharePoint или глобальный администратор для миграции из источников файлового ресурса.
Администратор приложений Office Назначьте роль администратора приложений Office пользователям, которым требуется выполнять следующее:
— Используйте службу "Облачная политика" для Microsoft 365 для создания облачных политик и управления ими.
— создавать запросы на обслуживание и управлять ими;
— Управление новым содержимым, которое пользователи видят в своих приложениях Microsoft 365.
— отслеживать работоспособность служб.
Модуль записи сообщений организации Назначьте роль "Модуль сообщений организации" пользователям, которым необходимо писать, публиковать, администрировать и просматривать сообщения организации для конечных пользователей с помощью поверхностей продуктов Майкрософт.
Администратор паролей Назначьте роль администратора паролей пользователю, которому необходимо сбрасывать пароли для пользователей, которые не являются администраторами.
Администратор Power Platform Назначьте роль администратора Power Platform пользователям, которым требуется выполнять следующее:
— Управление всеми функциями администрирования для Power Apps, Power Automate, Power BI, Microsoft Fabric и Защита от потери данных Microsoft Purview
— создавать запросы на обслуживание и управлять ими;
— отслеживать работоспособность служб.
Читатель отчетов Назначьте роль читателя отчетов пользователям, которым требуется выполнять следующее:
— просматривать данные об использовании и отчеты об активности Teams в Центре администрирования Microsoft 365;
— получать доступ к пакету содержимого для внедрения Power BI;
— Получите доступ к отчетам о входе и действиям в Microsoft Entra ID
— просматривать данные, возвращаемые программным интерфейсом отчетов Microsoft Graph.
Администратор Поиска Назначьте роль администратора поиска пользователям, которым необходимо создавать содержимое результатов поиска и управлять ими, а также определять параметры запроса для улучшения результатов поиска в организации. Администратор поиска управляет конфигурацией поиска Майкрософт и может выполнять все задачи по управлению содержимым, которые может выполнять редактор поиска.
Администратор поддержки служб Назначьте роль администратора поддержки служб как дополнительную роль администраторам или пользователям, которым необходимо выполнять следующие действия в дополнение к своей обычной роли администратора:
— открывать запросы на обслуживание и управлять ими;
— просматривать публикации в Центре сообщений и делиться ими.
— отслеживать работоспособность служб.
Администратор SharePoint Назначьте роль администратора SharePoint пользователям, которым требуется доступ к Центру администрирования SharePoint Online и управление им.

Администраторы SharePoint также могут:
— создавать и удалять сайты;
— управлять семействами веб-сайтов и глобальными параметрами SharePoint.
Администратор Teams Назначьте роль администратора Teams пользователям, которым требуется доступ к Центру администрирования Teams и управление им.

Администратор Teams также может:
— управлять собраниями;
— управлять мостами конференций;
— управлять параметрами на уровне организации, включая федерацию, переход на Teams и параметры клиентов Teams.
Администратор пользователей Назначьте роль администратора пользователей тем пользователям, которые должны выполнять следующее для всех пользователей:
— добавлять пользователей и группы;
— назначать лицензии;
— управлять большинством свойств пользователей;
— создавать пользовательские представления и управлять ими;
— обновлять политики срока действия паролей;
— управлять запросами на обслуживание;
— отслеживать работоспособность служб.

Администратор пользователей также может выполнять указанные ниже действия для пользователей, не являющихся администраторами, и пользователей со следующими ролями: читатель каталога, приглашающий гостей, администратор службы поддержки, читатель Центра сообщений и читатель отчетов:
— управлять именами пользователей;
— удалять и восстанавливать пользователей;
— сбрасывать пароли;
— принуждать пользователей выходить из системы;
— обновлять ключи устройств (FIDO).
Диспетчер успешных операций с пользовательским интерфейсом Назначьте роль диспетчера успешности взаимодействия с пользователями, которым требуется доступ к Аналитике опыта, оценке внедрения и Центру сообщений в Центр администрирования Microsoft 365. Эта роль включает разрешения для роли читателя сводных отчетов об использовании.

Разрешения на основе роли Администратор и типа группы на странице Администратор M365

роль Администратор Группы M365 Группы безопасности Динамические группы рассылки Группы безопасности с поддержкой почты
Глобальный администратор Создание, чтение, обновление, удаление Создание, чтение, обновление, удаление Создание, чтение, обновление, удаление Создание, чтение, обновление, удаление
Глобальный читатель Чтение Чтение Чтение Чтение
Администратор пользователей Create, Read, Update, Delete, Can't update EXO properties Создание, чтение, обновление, удаление Чтение Чтение
Администратор Exchange Создание, чтение, обновление, удаление Создание, чтение, обновление, удаление — только группы, принадлежащие им Создание, чтение, обновление, удаление Создание, чтение, обновление, удаление
Администратор Teams Create, Read, Update, Delete, Can't update EXO properties Создание, чтение, обновление, удаление — только группы, принадлежащие им Чтение Чтение
Администратор SharePoint Create, Read, Update, Delete, Can't update EXO properties Создание, чтение, обновление и удаление групп, которые они владеют Чтение Чтение
Администратор выставления счетов Чтение Чтение Чтение Чтение
Администратор Skype Чтение Чтение Чтение Чтение
Администратор служб Чтение Чтение Чтение Чтение
Администратор группы Create, Read, Update, Delete, Can't update EXO properties Создание, чтение, обновление, удаление Чтение Чтение

Делегированное администрирование для партнеров Майкрософт

Если вы работаете с партнерами Майкрософт, им можно назначать роли администратора. Они, в свою очередь, могут назначать роли администраторов пользователям в вашей или в своей организации. Вы можете назначить роли администратора партнерам, если они настраивают и управляют вашей интернет-организацией за вас.

Роли, которые может назначить партнер:

  • Агент по администрированию. Привилегии, эквивалентные правам глобального администратора, за исключением управления многофакторной проверкой подлинности через Центр партнеров.

  • Агент службы технической поддержки. Привилегии, эквивалентные правам администратора службы поддержки.

Чтобы партнер мог назначать эти роли пользователям, его требуется добавить в свою учетную запись в качестве делегированного администратора. Партнер должен быть полномочным партнером. отправив вам сообщение с просьбой предоставить ему полномочия делегированного администратора. Инструкции см. в статье Авторизация и удаление взаимоотношений с партнерами.

Роли корпоративного лицензирования

Разрешения на сведения о корпоративном лицензировании в Центр администрирования Microsoft 365 контролируются администраторами соглашения VL в Центре обслуживания корпоративного лицензирования (VLSC), даже для ролей VL, которые преимущественно используют функции в Центр администрирования Microsoft 365, а не VLSC.

  • Некоторые функции корпоративного лицензирования (VL) теперь доступны в Центр администрирования Microsoft 365 в новой колонке корпоративного лицензирования, доступной только пользователям корпоративного лицензирования.

  • Пользователи корпоративного лицензирования не видят других Центр администрирования Microsoft 365 сведений или функций.

  • Центр администрирования Microsoft 365 глобальные администраторы не имеют роли в назначении разрешений пользователей VL и не должны назначать разрешения администратора пользователям VL, чтобы они видели колонку корпоративного лицензирования.

  • Пользователи корпоративного лицензирования должны сначала зарегистрироваться в Центре обслуживания корпоративного лицензирования (VLSC), где управляются все роли и разрешения для функций корпоративного лицензирования.

  • Дополнительные сведения о корпоративном лицензировании в Центр администрирования Microsoft 365 см. в статье Часто задаваемые вопросы о Центре обслуживания корпоративного лицензирования или обратитесь в службу корпоративного лицензирования.

Назначение ролей администратора (статья)
Microsoft Entra роли в Центр администрирования Microsoft 365 (статья)
Отчеты об активности в Центре администрирования Microsoft 365 (статья)
Роль администратора Exchange Online (статья)