Поделиться через

Разрешения пользователей по умолчанию в внешних клиентах

  • Статья

Область применения: Белый круг с серым символом X. клиенты рабочей силы внешниеЗеленый круг с символом белой галочки.клиенты (дополнительные сведения)

Клиент Microsoft Entra во внешней конфигурации используется исключительно для Внешняя идентификация Microsoft Entra сценариев. Внешний клиент обеспечивает четкое разделение между корпоративным каталогом рабочей силы и каталогом приложений, подключенным к клиенту. По умолчанию пользователи, созданные во внешнем клиенте, ограничены доступом к информации о других пользователях, группах или устройствах во внешнем клиенте. У всех пользователей есть разрешения по умолчанию, если вы не назначаете им роль администратора.

Чтобы лучше понять типичные варианты использования для пользователей во внешнем клиенте, мы можем классифицировать их следующим образом:

  • внешние пользователи являются потребителями и бизнес-клиентами, которые используют приложения, зарегистрированные в вашем внешнем клиенте. Обычно они сохраняют разрешения пользователей по умолчанию, то есть не назначают им административные роли. Обычно эти пользователи создаются с помощью самостоятельной регистрации, но их можно создать с помощью параметра Create new external user в Центре администрирования Microsoft Entra или Microsoft Graph.

  • внутренние пользователи обычно являются администраторами, которым вы назначаете роли Microsoft Entra. Вы можете создать внутренних пользователей и назначить роли с помощью параметра Создать нового пользователя в Центре администрирования или с помощью Microsoft Graph.

  • приглашенные пользователи обычно являются администраторами, которые вы приглашаете к внешнему клиенту и кому назначаете роли Microsoft Entra. Если им не назначена роль, у них есть разрешения пользователя по умолчанию. Вы можете пригласить пользователей и назначить роли с помощью параметра Пригласить внешнего пользователя в Центре администрирования или в Microsoft Graph.

Когда пользователи создаются во внешнем клиенте, все они начинаются с разрешений по умолчанию. Однако вы можете назначить роли Microsoft Entra тем пользователям, которым необходимо выполнять административные задачи в внешнем клиенте.

Разрешения по умолчанию

В следующей таблице описаны разрешения по умолчанию, назначенные пользователю во внешнем клиенте, включая:

  • Пользователи, использующие самостоятельную регистрацию
  • Пользователи, созданные администраторами
  • Приглашенные пользователи
Область разрешения пользователей по умолчанию
Пользователи и контакты
  • Чтение и обновление собственного профиля с помощью интерфейса управления профилями приложений
  • Изменение собственного пароля
  • Вход с помощью локальной или социальной учетной записи
Приложения
  • Доступ к приложениям
  • Отзыв согласия на приложения

API и разрешения Microsoft Graph

В следующей таблице указаны операции API, позволяющие клиентам управлять сведениями о профиле. Идентификатор пользователя или userPrincipalName всегда является вошедшего пользователя.

Пользовательская операция Операция API Требуемые разрешения
Чтение профиля GET /me или GET /users/{id или userPrincipalName} User.Read
Обновить профиль PATCH /me или PATCH /users/{id или userPrincipalName}

Следующие свойства являются обновляемыми: city, country, displayName, givenName, jobTitle, postalCode, state, streetAddress, фамилия и предпочитаемыйLanguage		 User.ReadWrite
Изменить пароль POST /me/changePassword Directory.AccessAsUser.All