指派 適用於端點的 Microsoft Defender 部署的角色和許可權

適用於：

• 適用於端點的 Microsoft Defender 方案 1
• 適用於端點的 Microsoft Defender 方案 2
• Microsoft Defender XDR

想要體驗適用於端點的 Microsoft Defender 嗎？ 注册免費試用版。

部署適用於端點的 Defender 時，下一個步驟是指派適用於端點的 Defender 部署的角色和許可權。

角色型存取控制

Microsoft 建議使用最低許可權的概念。 適用於端點的Defender會利用 Microsoft Entra ID內的內建角色。 Microsoft 建議 您檢閱可用的不同角色， 並選擇適當的角色來解決您對此應用程式的每個角色的需求。 某些角色可能需要暫時套用，並在部署完成後移除。

---

角色	角色	如有必要，Microsoft Entra 角色 ()	指派給
安全性系統管理員
安全性分析師
端點系統管理員
基礎結構系統管理員
企業擁有者/項目關係人

Microsoft 建議使用 Privileged Identity Management 來管理您的角色，為具有目錄許可權的使用者提供額外的稽核、控制和存取權檢閱。

適用於端點的 Defender 支援兩種管理權限的方式：

• 基本許可權管理：將許可權設定為完整存取權或只讀許可權。 在 Microsoft Entra ID 中具有全域管理員或安全性系統管理員角色的使用者具有完整存取權。 安全性讀取者角色具有唯讀存取權，且不會授與檢視機器/裝置清查的存取權。

• 角色型訪問控制 (RBAC) ：藉由定義角色、將 Microsoft Entra 使用者群組指派給角色，以及將裝置群組的存取權授與使用者群組，來設定細微的許可權。 如需詳細資訊。 請參閱 使用角色型訪問控制管理入口網站存取。

Microsoft 建議使用 RBAC，以確保只有具有業務理由的使用者可以存取適用於端點的 Defender。

您可以在這裡找到許可權指導方針的詳細數據：Create 角色，並將角色指派給 Microsoft Entra 群組。

下列範例數據表可用來識別環境中的 Cyber Defense Operations Center 結構，以協助您判斷環境所需的 RBAC 結構。

層級	描述	需要許可權
第 1 層	本機安全性作業小組 / IT 小組 此小組通常會對其地理位置內包含的警示進行分級和調查，並在需要主動補救的情況下呈報至第 2 層。
第 2 層	區域安全性作業小組 此小組可以查看其區域的所有裝置，並執行補救動作。	檢視資料
第3層	全域安全性作業小組 此小組是由安全性專家所組成，並有權從入口網站查看和執行所有動作。	檢視資料 警示調查主動補救動作 警示調查主動補救動作 管理入口網站系統設定 管理安全性設定

下一步

指派角色和許可權以檢視及管理適用於端點的 Defender 之後，就可以開始 進行步驟 3 - 識別您的架構並選擇您的部署方法。

提示

想要深入了解? Engage 技術社群中的 Microsoft 安全性社群：適用於端點的 Microsoft Defender 技術社群。