Привилегированные роли и разрешения в идентификаторе Microsoft Entra (предварительная версия)

Статья
10/15/2024

Внимание

Метка для привилегированных ролей и разрешений в настоящее время находится в предварительной версии. Юридические условия, применимые к функциям Azure, которые находятся в состоянии бета-версии, предварительной версии или иным образом еще не выпущены в общедоступной версии, см. на странице Дополнительные условия использования предварительных версий в Microsoft Azure.

Идентификатор Microsoft Entra имеет роли и разрешения, которые определяются как привилегированные. Эти роли и разрешения можно использовать для делегирования управления ресурсами каталога другим пользователям, изменения учетных данных, политик проверки подлинности или авторизации или доступа к данным с ограниченным доступом. Назначения привилегированных ролей могут привести к повышению привилегий, если они не используются безопасным и предполагаемым образом. В этой статье описаны привилегированные роли и разрешения и рекомендации по использованию.

Какие роли и разрешения привилегированны?

Список привилегированных ролей и разрешений см. в статье о встроенных ролях Microsoft Entra. Вы также можете использовать центр администрирования Microsoft Entra, Microsoft Graph PowerShell или API Microsoft Graph для идентификации ролей, разрешений и назначений ролей, которые идентифицируются как привилегированные.

В Центре администрирования Microsoft Entra найдите метку PRIVILEGED .

Значок привилегированной метки.

На странице "Роли и администраторы" привилегированные роли определяются в столбце "Привилегированные". В столбце "Назначения" перечислены количество назначений ролей. Вы также можете фильтровать привилегированные роли.

При просмотре разрешений для привилегированной роли вы увидите, какие разрешения являются привилегированными. Если вы просматриваете разрешения как пользователя по умолчанию, вы не сможете увидеть, какие разрешения являются привилегированными.

При создании настраиваемой роли вы увидите, какие разрешения привилегированны, а пользовательская роль будет помечена как привилегированная.

В Microsoft Graph PowerShell проверьте, задано ли IsPrivileged свойство True.

Чтобы получить список привилегированных ролей, используйте команду Get-MgBetaRoleManagementDirectoryRoleDefinition .

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can create and manage all aspects of app registrations and enterprise apps.
DisplayName             : Application Administrator
Id                      : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users in this role can
                          add, manage, and configureenterprise applications, app registrations and manage on-premises
                          like app proxy.], [[email protected], https://graph.microsoft.com/beta/$m
                          etadata#roleManagement/directory/roleDefinitions('9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3')/inhe
                          ritsPermissionsFrom]}


AllowedPrincipalTypes   :
Description             : Can reset passwords for non-administrators and Helpdesk Administrators.
DisplayName             : Helpdesk Administrator
Id                      : 729827e3-9c14-49f7-bb1b-9608f156bbb8
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 729827e3-9c14-49f7-bb1b-9608f156bbb8
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users with this role
                          can change passwords, invalidate refresh tokens, manage service requests, and monitor
                          service health. Invalidating a refresh token forces the user to sign in again. Helpdesk
                          administrators can reset passwords and invalidate refresh tokens of other users who are
                          non-administrators or assigned the following roles only:
                          * Directory Readers
                          * Guest Inviter
                          * Helpdesk Administrator
                          * Message Center Reader
                          * Password Administrator
                          * Reports Reader], [[email protected], https://graph.microsoft.com/beta/$
                          metadata#roleManagement/directory/roleDefinitions('729827e3-9c14-49f7-bb1b-9608f156bbb8')/inh
                          eritsPermissionsFrom]}

...

Чтобы получить список привилегированных разрешений, используйте команду Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction .

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

Чтобы получить список назначений привилегированных ролей, используйте команду Get-MgBetaRoleManagementDirectoryRoleAssignment .

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

В API Microsoft Graph проверьте, задано ли isPrivileged свойство true.

Чтобы получить список привилегированных ролей, используйте API List roleDefinitions .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "[email protected]": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "[email protected]": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

Чтобы получить список привилегированных разрешений, используйте API List resourceActions .

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Чтобы перечислить назначения привилегированных ролей, используйте API List unifiedRoleAssignments .

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Response

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Привилегированные разрешения и защищенные действия

Привилегированные разрешения и защищенные действия — это возможности, связанные с безопасностью, которые имеют разные цели. Разрешения с меткой PRIVILEGED помогают определить разрешения, которые могут привести к повышению привилегий, если они не используются в безопасном и предполагаемом порядке. Защищенные действия — это разрешения ролей, назначенные политиками условного доступа для дополнительной безопасности, например требование многофакторной проверки подлинности. Требования условного доступа применяются, когда пользователь выполняет защищенное действие. Защищенные действия в настоящее время находятся в предварительной версии. Дополнительные сведения см. в статье "Что такое защищенные действия в идентификаторе Microsoft Entra ID?".

Возможность	Привилегированное разрешение	Защищенное действие
Определение разрешений, которые следует использовать в безопасном режиме	✅
Требовать дополнительную безопасность для выполнения действия		✅

Терминология

Чтобы понять привилегированные роли и разрешения в идентификаторе Microsoft Entra ID, он помогает узнать некоторые из следующих терминов.

Термин	Определение
действие	Действие субъекта безопасности может выполняться с типом объекта. Иногда называется операцией.
permission	Определение, указывающее действие, которое субъект безопасности может выполнять в типе объекта. Разрешение включает одно или несколько действий.
привилегированное разрешение	В идентификаторе Microsoft Entra разрешения, которые можно использовать для делегирования управления ресурсами каталога другим пользователям, изменения учетных данных, проверки подлинности или политик авторизации или доступа к данным с ограниченным доступом.
привилегированная роль	Встроенная или настраиваемая роль с одним или несколькими привилегированными разрешениями.
Назначение привилегированных ролей	Назначение роли, использующее привилегированную роль.
повышение привилегий	Когда субъект безопасности получает больше разрешений, чем назначенная им роль изначально предоставляется путем олицетворения другой роли.
защищенное действие	Разрешения с условным доступом, примененные для добавленной безопасности.

Общие сведения о разрешениях ролей

Схема для разрешений не точно соответствует формату REST для Microsoft Graph:

<namespace>/<entity>/<propertySet>/<action>

Например:

microsoft.directory/applications/credentials/update

Элемент разрешения	Description
пространство имен	Продукт или служба, которые предоставляют задачу и которым предшествует `microsoft`. Например, все задачи в идентификаторе Microsoft Entra используют `microsoft.directory` пространство имен.
Сущность	Логическая функция или компонент, предоставляемый службой в Microsoft Graph. Например, идентификатор Microsoft Entra предоставляет пользователей и группы, OneNote предоставляет заметки, а Exchange предоставляет почтовые ящики и календари. Для указания всех сущностей в пространстве имен существует специальное ключевое слово `allEntities`. Это часто используется в ролях, которые предоставляют доступ ко всему продукту.
propertySet	Конкретные свойства или аспекты сущности, для которой предоставляется доступ. Например, `microsoft.directory/applications/authentication/read` предоставляет возможность считывать URL-адрес ответа, URL-адрес выхода и неявное свойство потока в объекте приложения в идентификаторе Microsoft Entra. `allProperties` обозначает все свойства сущности, включая привилегированные свойства. `standard` обозначает общие свойства, за исключением привилегированных, связанных с действием `read`. Например, `microsoft.directory/user/standard/read` включает возможность чтения стандартных свойств, таких как общедоступный номер телефона и адрес электронной почты, но не позволяет считать частный дополнительный номер телефона или адрес электронной почты, используемый для многофакторной проверки подлинности. `basic` обозначает общие свойства, за исключением привилегированных, связанных с действием `update`. Набор свойств, которые можно читать, может отличаться от того, который можно обновить. Вот почему предусмотрено два ключевых слова: `standard` и `basic`.
действие	Как правило, предоставляется разрешение на такие операции, как создание, чтение, обновление или удаление (CRUD). Для указания всех перечисленных выше возможностей (создание, чтение, обновление и удаление) существует специальное ключевое слово `allTasks`.

Сравнение ролей проверки подлинности

В следующей таблице сравниваются возможности ролей, связанных с проверкой подлинности.

Должность	Управление методами проверки подлинности пользователя	Управление MFA для каждого пользователя	Управление параметрами MFA	Управление политикой выбора метода проверки подлинности	Управление политикой защиты паролем	Обновление конфиденциальных свойств	Удаление и восстановление пользователей
Администратор проверки подлинности	Да для некоторых пользователей	Да для некоторых пользователей	Да	No	Нет	Да для некоторых пользователей	Да для некоторых пользователей
Привилегированный администратор проверки подлинности	Да для всех пользователей	Да для всех пользователей	Нет	No	Нет	Да для всех пользователей	Да для всех пользователей
Администратор политики проверки подлинности	No	Да	Да	Да	Да	No	Нет
Администратор пользователей	Нет	No	No	No	Нет	Да для некоторых пользователей	Да для некоторых пользователей

Кто может сбрасывать пароли

В следующей таблице столбцы перечислены роли, которые могут сбрасывать пароли и недействительными маркерами обновления. Строки содержат роли, для которых можно сбросить пароль. Например, администратор паролей может сбросить пароль для читателей каталогов, приглашенных гостей, администратора паролей и пользователей без роли администратора. Если пользователю назначена любая другая роль, администратор паролей не может сбросить пароль.

Следующая таблица предназначена для ролей, назначенных в области клиента. Для ролей, назначенных в области административной единицы, применяются дополнительные ограничения.

Роль, для которой можно сбросить пароль	Администратор паролей	Администратор службы поддержки	Администратор проверки подлинности	Администратор пользователей	Привилегированный администратор проверки подлинности	глобальный администратор.
Администратор проверки подлинности			✅		✅	✅
Читатели каталогов	✅	✅	✅	✅	✅	✅
глобальный администратор.					✅	✅*
Администратор групп				✅	✅	✅
Приглашающий гостей	✅	✅	✅	✅	✅	✅
Администратор службы поддержки		✅		✅	✅	✅
Читатель центра сообщений		✅	✅	✅	✅	✅
Администратор паролей	✅	✅	✅	✅	✅	✅
Привилегированный администратор проверки подлинности					✅	✅
Администратор привилегированными ролями					✅	✅
Читатель отчетов		✅	✅	✅	✅	✅
User (без роли администратора)	✅	✅	✅	✅	✅	✅
User (нет роли администратора, но члена или владельца группы, назначаемой ролью)					✅	✅
Пользователь с ролью, ограниченной административной единицей управления					✅	✅
Администратор пользователей				✅	✅	✅
Диспетчер успешных операций с пользовательским интерфейсом		✅	✅	✅	✅	✅
Средство чтения сводки об использовании		✅	✅	✅	✅	✅
Все остальные встроенные и настраиваемые роли					✅	✅

Внимание

Роль поддержки уровня 2 партнеров может сбрасывать пароли и недействительными маркерами обновления для всех неадминистрации и администраторов (включая глобальных администраторов). Роль поддержки уровня 1 партнера может сбрасывать пароли и отменять маркеры обновления только для неадминистраторов. Эти роли не следует использовать, так как они устарели.

Возможность сброса пароля включает возможность обновления следующих конфиденциальных свойств, необходимых для самостоятельного сброса пароля:

businessPhones
mobilePhone
otherMails

Кто может выполнять конфиденциальные действия

Некоторые администраторы могут выполнять следующие конфиденциальные действия для некоторых пользователей. Все пользователи могут считывать конфиденциальные свойства.

Конфиденциальное действие	Имя конфиденциального свойства
Отключение или включение пользователей	`accountEnabled`
Обновление бизнес-телефона	`businessPhones`
Обновление мобильного телефона	`mobilePhone`
Обновление локального неизменяемого идентификатора	`onPremisesImmutableId`
Обновление других сообщений электронной почты	`otherMails`
Обновление профиля пароля	`passwordProfile`
Обновление имени субъекта-пользователя	`userPrincipalName`
Удаление или восстановление пользователей	Нет данных

В следующей таблице столбцы перечисляют роли, которые могут выполнять конфиденциальные действия. Строки перечисляют роли, для которых можно выполнить конфиденциальное действие.

Роль, на которую можно выполнить конфиденциальное действие	Администратор проверки подлинности	Администратор пользователей	Привилегированный администратор проверки подлинности	глобальный администратор.
Администратор проверки подлинности	✅		✅	✅
Читатели каталогов	✅	✅	✅	✅
глобальный администратор.			✅	✅
Администратор групп		✅	✅	✅
Приглашающий гостей	✅	✅	✅	✅
Администратор службы поддержки		✅	✅	✅
Читатель центра сообщений	✅	✅	✅	✅
Администратор паролей	✅	✅	✅	✅
Привилегированный администратор проверки подлинности			✅	✅
Администратор привилегированными ролями			✅	✅
Читатель отчетов	✅	✅	✅	✅
User (без роли администратора)	✅	✅	✅	✅
User (нет роли администратора, но члена или владельца группы, назначаемой ролью)			✅	✅
Пользователь с ролью, ограниченной административной единицей управления			✅	✅
Администратор пользователей		✅	✅	✅
Диспетчер успешных операций с пользовательским интерфейсом	✅	✅	✅	✅
Средство чтения сводки об использовании	✅	✅	✅	✅
Все остальные встроенные и настраиваемые роли			✅	✅

Поделиться через

Привилегированные роли и разрешения в идентификаторе Microsoft Entra (предварительная версия)

Какие роли и разрешения привилегированны?

Рекомендации по использованию привилегированных ролей

Привилегированные разрешения и защищенные действия

Терминология

Общие сведения о разрешениях ролей

Сравнение ролей проверки подлинности

Кто может сбрасывать пароли

Кто может выполнять конфиденциальные действия

Следующие шаги

Обратная связь

Дополнительные ресурсы