按任务在 Microsoft Entra ID 中分配的最小特权角色

本文介绍在Microsoft Entra ID中应用于多个任务的最低特权角色。你将能够查找按功能区域整理的任务、执行每项任务所需的最小特权角色，以及可执行任务的其他非全局管理员角色。

可以通过在较小范围内分配角色或创建自己的自定义角色来进一步限制权限。有关详细信息，请参阅 Assign Microsoft Entra 角色或在 Microsoft Entra ID。

应用程序代理最低特权角色

下面是在 Microsoft Entra 应用程序代理中执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
配置应用程序代理应用	应用程序管理员
配置连接器组属性	应用程序管理员
对所有用户禁用功能时，创建应用程序注册	应用程序开发人员	云应用程序管理员应用程序管理员
创建连接器组	应用程序管理员
删除连接器组	应用程序管理员
禁用应用程序代理	应用程序管理员
下载连接器服务	应用程序管理员
读取所有配置	应用程序管理员

外部标识/Azure AD B2C 最低特权角色

下面是在 Microsoft Entra External ID 和 Azure Active Directory B2C 中执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
创建 Azure AD B2C 目录	所有非来宾用户
创建企业应用程序	云应用程序管理员	应用程序管理员
创建、读取、更新和删除 B2C 策略	B2C IEF 策略管理员
创建、读取、更新和删除标识提供者	外部标识提供者管理员
创建、读取、更新和删除密码重置用户流	外部 ID 用户流管理员
创建、读取、更新和删除配置文件编辑用户流	外部 ID 用户流管理员
创建、读取、更新和删除登录用户流	外部 ID 用户流管理员
创建、读取、更新和删除注册用户流	外部 ID 用户流管理员
创建、读取、更新和删除用户特性	外部 ID 用户流属性管理员
创建、读取、更新和删除用户	用户管理员
配置 B2B 外部协作设置 - 来宾用户访问	特权角色管理员
配置 B2B 外部协作设置 - 来宾邀请设置	来宾邀请者	外部 ID 用户流管理员
配置 B2B 外部协作设置 - 外部用户离开设置	外部标识提供者管理员
配置 B2B 外部协作设置 - 协作限制	全局管理员
读取所有配置	全局读取者
读取 B2C 审核日志	全局读取者

注意

Azure AD B2C 全局管理员没有与Microsoft Entra全局管理员相同的权限。如果你有Azure AD B2C 全局管理员权限，请确保你位于Azure AD B2C 目录中，而不是Microsoft Entra目录。

公司品牌最低特权角色

下面是在Microsoft Entra ID中执行 company branding 任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
配置公司品牌	组织品牌管理员
读取所有配置	目录读取器	默认用户角色

连接最低特权角色

下面是在 Microsoft Entra Connect 中执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
读取所有配置	全局读取者	混合标识管理员

连接同步最低特权角色

下面是在 Microsoft Entra Connect Sync 中执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
管理本地目录同步	混合标识管理员

自定义域名最小特权角色

下面是在Microsoft Entra ID中为 custom 域名执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
管理域	域名管理员
读取所有配置	目录读取器	默认用户角色

域服务最低特权角色

下面是在 Microsoft Entra 域服务中执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
创建Microsoft Entra域服务实例	应用程序管理员组管理员域服务参与者
执行所有Microsoft Entra域服务任务	AAD DC 管理员组
读取所有配置	包含 AD DS 服务的Azure订阅上的读取者

设备最低特权角色

下面是在 Microsoft Entra ID 中为 device 标识0 执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
删除设备	云设备管理员	Intune 管理员
禁用设备	云设备管理员	Intune 管理员
启用设备	云设备管理员	Intune 管理员
读取基本配置	默认用户角色
读取 BitLocker 密钥	云设备管理员	支持管理员 Intune 管理员安全管理员安全读取器
预配和管理 IoT 设备	IoT 设备管理员	云设备管理员
管理 IoT 设备模板	IoT 设备管理员	云设备管理员

企业应用程序最低特权角色

下面是在Microsoft Entra ID中执行应用程序管理任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
同意任何委托的权限	云应用程序管理员	应用程序管理员
同意应用程序权限，不包括Microsoft Graph	云应用程序管理员	应用程序管理员
同意应用程序权限以Microsoft Graph	特权角色管理员
同意应用程序访问自己的数据	默认用户角色
创建企业应用程序	云应用程序管理员	应用程序管理员
管理Application Proxy	应用程序管理员
读取组或应用的访问评审	安全读取器	安全管理员用户管理员
读取所有配置	默认用户角色
更新企业应用程序分配	企业应用程序所有者	云应用程序管理员应用程序管理员用户管理员
更新企业应用程序所有者	企业应用程序所有者	云应用程序管理员应用程序管理员
更新企业应用程序属性	企业应用程序所有者	云应用程序管理员应用程序管理员
更新企业应用程序预配	企业应用程序所有者	云应用程序管理员应用程序管理员
更新企业应用程序自助服务	企业应用程序所有者	云应用程序管理员应用程序管理员
更新单一登录属性	企业应用程序所有者	云应用程序管理员应用程序管理员
创建和修改自定义身份验证扩展	身份验证扩展性管理员	应用程序管理员

注意

在实践中，同意Microsoft Graph应用程序权限通常需要全局管理员角色。特权角色管理员可能不够，具体取决于租户同意策略、权限范围或 Graph 保护要求。

权利管理最低特权角色

下面是在 Microsoft Entra ID Governance 中执行 entitlement 管理任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
权利管理中的任务	标识治理管理员。有关权限管理系统中权限低于此权限的角色，请参阅：委派和权利管理中的角色。

组最小特权角色

下面是在Microsoft Entra ID中为 groups 执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
分配许可证	用户管理员
创建组	组管理员	用户管理员
创建、更新或删除组或应用的访问评审	用户管理员
管理组到期时间	用户管理员
管理组设置	组管理员	用户管理员
读取所有配置（隐藏成员身份除外）	目录读取器	默认用户角色
读取隐藏成员身份	组成员	组所有者密码管理员 Exchange 管理员 SharePoint Administrator Teams 管理员用户管理员
读取具有隐藏成员身份的组的成员身份	支持管理员	用户管理员 Teams 管理员
撤销许可证	许可证管理员	用户管理员
更新动态成员资格组	组所有者	用户管理员
更新组所有者	组所有者	用户管理员
更新组属性	组所有者	用户管理员
删除组	组管理员	用户管理员

许可证最低特权角色

下面是执行 Microsoft Entra 许可任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
分配许可证	许可证管理员	用户管理员
读取所有配置	目录读取器	默认用户角色
撤销许可证	许可证管理员	用户管理员
试用或购买订阅	计费管理员

生命周期工作流最低特权角色

下面是在 Microsoft Entra ID Governance 中为 lifecycle 工作流执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
创建工作流	生命周期工作流管理员
将自定义扩展添加到工作流	生命周期工作流管理员。还必须具有 Logic App 参与者或 Owner Azure Resource Manager 角色。

Microsoft Entra运行状况最低特权角色

下面是在 Microsoft Entra 运行状况监视中执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
查看方案监视信号和警报配置	报表查看器	安全读取器安全操作员安全管理员支持管理员全局读取者
更新警报和警报电子邮件配置	支持管理员

下面是在Microsoft Entra监视中执行审核和登录日志的任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
读取审核和登录日志	报表查看器	应用程序管理员云应用程序管理员云设备管理员全局安全访问管理员混合标识管理员安全管理员安全操作员安全读取器

监视和运行状况 - 建议最低特权角色

下面是执行Microsoft Entra标识建议的任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
读取建议	报表查看器	安全读取器全局读取者支持管理员服务支持管理员用户管理员
更新了建议。	身份验证策略管理员	应用程序管理员身份验证管理员云应用程序管理员条件访问管理员 Exchange 管理员混合标识管理员身份治理管理员特权角色管理员安全管理员安全操作员 SharePoint Administrator
读取标识安全功能分数改进作	服务支持管理员	安全管理员 Exchange 管理员
更新标识安全功能分数改进作	SharePoint Administrator	支持管理员用户管理员安全读取器安全操作员全局读取者

下面是运行登录诊断工具时应使用的最低特权角色。

任务	最低特权角色	其他角色
使用来自诊断的登录诊断并解决问题	计费管理员	应用程序管理员云应用程序管理员云设备管理员条件访问管理员客户密码箱访问审批者组管理员许可证管理员全局读取者支持管理员特权角色管理员安全管理员用户管理员
使用登录日志中的登录诊断	报表读取者和计费管理员	全局安全访问管理员混合标识管理员安全管理员安全操作员安全读取器

多重身份验证最低特权角色

下面是在 Microsoft Entra 身份验证0 中执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
删除选定用户生成的所有现有应用密码	身份验证策略管理员	身份验证管理员
禁用每用户 MFA	身份验证管理员	特权身份验证管理员
启用每用户 MFA	身份验证管理员	特权身份验证管理员
管理 MFA 服务设置	身份验证策略管理员
要求选定的用户再次提供联系方法	身份验证管理员
在所有记住的设备上还原多重身份验证	身份验证管理员

组织关系最小特权角色

下面是在Microsoft Entra External ID中执行外部协作设置任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
管理标识提供者	外部标识提供者管理员
读取所有配置	全局读取者

密码重置最低特权角色

下面是在Microsoft Entra ID中执行 password 重置任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
配置身份验证方法	身份验证策略管理员
配置自定义	身份验证策略管理员
配置通知	身份验证策略管理员
配置本地集成	身份验证策略管理员
配置密码重置属性	用户管理员	身份验证策略管理员
配置注册	身份验证策略管理员
读取所有配置	安全管理员	用户管理员

Privileged Identity Management最低特权角色

下面是在Microsoft Entra ID Governance中执行 Microsoft Entra Privileged Identity Management 任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
将用户分配到角色	特权角色管理员
配置角色设置	特权角色管理员
查看审核活动	安全读取器
查看角色成员身份	安全读取器

角色和管理员最低特权角色

下面是在Microsoft Entra ID中为 roles 和 administrators 执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
管理角色分配	特权角色管理员
读取对Microsoft Entra角色的访问评审	安全读取器	安全管理员特权角色管理员
读取所有配置	默认用户角色

安全性 - 身份验证方法最低特权角色

下面是在 Microsoft Entra ID 中为 authentication 方法执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
启用或禁用身份验证方法	身份验证策略管理员
查看、代表和管理单个用户身份验证方法	身份验证管理员	特权身份验证管理员
配置密码保护	安全管理员
配置智能锁定	安全管理员
读取所有配置	全局读取者

安全性 - 条件访问最低特权角色

下面是在Microsoft Entra ID中为 Conditional Access 执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
配置 MFA 受信任的 IP	条件访问管理员
创建自定义控件	条件访问管理员	安全管理员
创建命名位置	条件访问管理员	安全管理员
创建策略	条件访问管理员	安全管理员
创建使用条款	条件访问管理员	安全管理员
创建 VPN 连接证书	云应用程序管理员	应用程序管理员
删除经典策略	条件访问管理员	安全管理员
还原软删除的策略	条件访问管理员	安全管理员
删除使用条款	条件访问管理员	安全管理员
删除 VPN 连接证书	条件访问管理员	安全管理员
禁用经典策略	条件访问管理员	安全管理员
管理自定义控件	条件访问管理员	安全管理员
管理命名位置	条件访问管理员	安全管理员
管理使用条款	条件访问管理员	安全管理员
读取所有配置	安全读取器
读取命名位置	安全读取器
读取使用条款	安全读取器	全局读取者
读取已登录用户接受的使用条款	默认用户角色

安全性 - 标识Security Score最低特权角色

下面是在Microsoft Entra ID中为 Identity Secure Score 执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
读取所有配置	安全读取器	安全管理员
读取安全分数	安全读取器	安全管理员
更新事件状态	安全管理员

临时访问传递最低特权角色

下面是在 Microsoft Entra ID 中执行 Temporary Access Pass 任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
创建、删除或查看管理员或成员（除了自身之外）的临时访问密码	特权身份验证管理员
创建、删除或查看成员（除了自身之外）的临时访问密码	身份验证管理员
查看用户的临时访问密码详细信息（无需读取代码本身）	全局读取者
配置或更新临时访问密码身份验证方法策略	身份验证策略管理员

租户最小特权角色

下面是在 Microsoft Entra 租户中执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
创建 Microsoft Entra ID 或 Azure AD B2C 租户	租户创建者
更新Microsoft Entra租户属性	计费管理员
管理隐私声明和联系人	计费管理员

用户最低特权角色

下面是在Microsoft Entra ID中为 users 执行任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
将用户添加到目录角色	特权角色管理员
将用户添加到组	用户管理员
分配许可证	许可证管理员	用户管理员
创建来宾用户	来宾邀请者	用户管理员
重置来宾用户邀请	支持管理员	用户管理员
创建用户	用户管理员
删除用户	用户管理员
使受限管理员的刷新令牌失效	用户管理员
使非管理员的刷新令牌失效	支持管理员	用户管理员
使特权管理员的刷新令牌失效	特权身份验证管理员
读取基本配置	默认用户角色
重置受限管理员的密码	用户管理员
重置非管理员的密码	密码管理员	用户管理员
重置特权管理员的密码	特权身份验证管理员
撤销许可证	许可证管理员	用户管理员
更新除用户主体名称之外的所有属性	用户管理员
更新启用本地同步的属性	混合标识管理员
更新个人资料照片和人员设置	人员管理员
更新受限管理员的用户主体名称	用户管理员
更新特权管理员的用户主体名称属性	特权身份验证管理员
更新用户设置 - 默认用户角色权限	特权角色管理员
更新用户设置 - 来宾用户访问	特权角色管理员
更新用户设置 - 管理中心	全局管理员
更新用户设置 - 显示保持用户登录状态	全局管理员
更新身份验证方法	身份验证管理员	特权身份验证管理员

支持最低特权角色

下面是在Microsoft Entra ID中执行 support 任务时应使用的最低特权角色。

任务	最小特权角色	其他角色
提交支持票证	服务支持管理员	应用程序管理员 Azure Information Protection Administrator 计费管理员云应用程序管理员合规性管理员 Dynamics 365 Administrator Desktop Analytics Administrator Exchange 管理员支持管理员 Intune 管理员密码管理员 Fabric 管理员特权身份验证管理员 SharePoint Administrator Skype for Business Administrator Teams 管理员 Teams 通信管理员用户管理员

后续步骤

Last updated on 2026-03-10

Compartilhar via