Microsoft Entra 内置角色

在 Microsoft Entra ID 中，如果其他管理员或非管理员需要管理 Microsoft Entra 资源，则可以为其分配提供所需权限的 Microsoft Entra 角色。 例如，可分配允许添加或更改用户、重置用户密码、管理用户许可证或管理域名的角色。

本文列出了可以分配以允许管理 Microsoft Entra 资源的 Microsoft Entra 内置角色。 有关如何分配角色的信息，请参阅将 Microsoft Entra 角色分配给用户。 如果正在查找用于管理 Azure 资源的角色，请参阅 Azure 内置角色。

所有角色

AI 管理员

将 AI 管理员角色分配给需要执行以下任务的用户：

• 管理适用于 Microsoft 365 的 Copilot 的所有方面
• 从 Microsoft 365 管理中心的“集成应用”页管理与 AI 相关的企业服务、扩展性和 copilot 代理
• 批准和发布业务线 Copilot 代理
• 允许用户安装应用或为组织中的用户安装应用（如果应用不需要权限）
• 读取和配置 Azure 和 Microsoft 365 服务运行状况仪表板
• 查看使用情况报告、采用见解和组织见解
• 在 Azure 和 Microsoft 365 管理中心创建和管理支持工单

应用程序管理员

这是一个特权角色。 充当此角色的用户可以创建和管理企业应用程序、应用程序注册和应用程序代理设置的所有方面。 请注意，在创建新应用程序注册或企业应用程序时，不会将分配到此角色的用户添加为所有者。

此角色还可授予许可委托的权限和应用程序权限的能力（Azure AD Graph 和 Microsoft Graph 的应用程序权限除外）。

应用程序开发人员

这是一个特权角色。 在将设置“用户可以注册应用程序”设置为“否”时，充当此角色的用户可以创建应用程序注册。 当“用户可以同意应用代表他们访问公司数据”设置设为“否”时，此角色还能够代表自己授权同意。 在创建新应用程序注册时，会将分配到此角色的用户添加为所有者。

攻击有效负载作者

拥有此角色的用户可以创建攻击有效负载，但不能实际启动或调度它们。 然后，租户中的所有管理员都可以使用攻击有效负载创建模拟。

有关详细信息，请参阅 Microsoft 365 Defender 门户中的 Microsoft Defender for Office 365 权限和 Microsoft Purview 合规门户中的权限。

攻击模拟管理员

拥有此角色的用户可以创建和管理攻击模拟创建的所有方面、启动/调度模拟以及查看模拟结果。 此角色的成员对租户中的所有模拟具有此访问权限。

有关详细信息，请参阅 Microsoft 365 Defender 门户中的 Microsoft Defender for Office 365 权限和 Microsoft Purview 合规门户中的权限。

属性分配管理员

具有此角色的用户可以为受支持的 Microsoft Entra 对象（例如用户、服务主体和设备）分配和删除自定义安全属性键和值。

有关详细信息，请参阅管理对 Microsoft Entra ID 中自定义安全属性的访问。

属性分配读取者

具有此角色的用户可以读取受支持的 Microsoft Entra 对象的自定义安全属性键和值。

有关详细信息，请参阅管理对 Microsoft Entra ID 中自定义安全属性的访问。

属性定义管理员

具有此角色的用户可以定义一组有效的自定义安全属性，可以将这些属性分配给受支持的 Microsoft Entra 对象。 此角色还可以激活和停用自定义安全属性。

有关详细信息，请参阅管理对 Microsoft Entra ID 中自定义安全属性的访问。

属性定义读取者

具有此角色的用户可以读取自定义安全属性的定义。

有关详细信息，请参阅管理对 Microsoft Entra ID 中自定义安全属性的访问。

属性日志管理员

为需要执行以下任务的用户分配属性日志读取者角色：

• 读取自定义安全属性值更改的审核日志
• 读取自定义安全属性定义更改和分配的审核日志
• 为自定义安全属性配置诊断设置

具有此角色的用户无法读取其他事件的审核日志。

有关详细信息，请参阅管理对 Microsoft Entra ID 中自定义安全属性的访问。

属性日志读取者

为需要执行以下任务的用户分配属性日志读取者角色：

• 读取自定义安全属性值更改的审核日志
• 读取自定义安全属性定义更改和分配的审核日志

具有此角色的用户无法执行以下任务：

• 为自定义安全属性配置诊断设置
• 读取其他事件的审核日志

有关详细信息，请参阅管理对 Microsoft Entra ID 中自定义安全属性的访问。

身份验证管理员

这是一个特权角色。 将身份验证管理员角色分配给需要执行以下任务的用户：

• 为非管理员和某些角色设置或重置任何身份验证方法（包括密码）。 有关身份验证管理员可以读取或更新身份验证方法的角色的列表，请参阅谁可以重置密码。
• 要求非管理员用户或者已分配到某些角色的用户针对现有的非密码凭据（例如 MFA 或 FIDO）重新注册，并可以撤销“在设备上记住 MFA”（在下一次登录时提示他们执行 MFA）。
• 在旧版 MFA 管理门户中管理 MFA 设置。
• 对某些用户执行敏感操作。 有关详细信息，请参阅谁可以执行敏感操作。
• 在 Azure 和 Microsoft 365 管理中心创建和管理支持工单。

具有此角色的用户无法执行以下操作：

• 无法为可分配角色的组中的成员和所有者更改凭据或重置 MFA。
• 无法管理硬件 OATH 令牌。

下表比较了与身份验证相关的角色的功能。

角色	管理用户的身份验证方法	管理每用户 MFA	管理 MFA 设置	管理身份验证方法策略	管理密码保护策略	更新敏感属性	删除和还原用户
身份验证管理员	对于某些用户为“是”	对于某些用户为“是”	是	否	否	对于某些用户为“是”	对于某些用户为“是”
特权身份验证管理员	对于所有用户为“是”	对于所有用户为“是”	否	No	否	对于所有用户为“是”	对于所有用户为“是”
身份验证策略管理员	否	是	是	是	是	否	否
用户管理员	否	No	No	No	否	对于某些用户为“是”	对于某些用户为“是”

身份验证扩展性管理员

这是一个特权角色。 将“身份验证扩展性管理员”角色分配给需要执行以下任务的用户：

• 创建并管理自定义身份验证扩展的所有方面。

具有此角色的用户无法执行以下操作：

• 无法将自定义身份验证扩展分配给应用程序来修改身份验证体验，并且无法同意应用程序权限或创建与自定义身份验证扩展关联的应用注册。 相反，你必须使用“应用程序管理员”、“应用程序开发人员”或“云应用程序管理员”角色。

自定义身份验证扩展是由开发人员为身份验证事件创建的 API 终结点，并在 Microsoft Entra ID 中注册。 应用程序管理员和应用程序所有者可以使用自定义身份验证扩展来自定义其应用程序的身份验证体验，例如登录和注册或密码重置。

身份验证策略管理员

将身份验证策略管理员角色分配给需要执行以下任务的用户：

• 配置身份验证方法策略、租户范围的 MFA 设置及密码保护策略，用于确定每个用户可以注册和使用的方法。
• 管理密码保护设置：智能锁定配置及更新自定义受禁密码列表。
• 在旧版 MFA 管理门户中管理 MFA 设置。
• 创建和管理可验证凭据。
• 创建和管理 Azure 支持票证。

具有此角色的用户无法执行以下操作：

• 无法更新敏感属性。 有关详细信息，请参阅谁可以执行敏感操作。
• 无法删除或还原用户。 有关详细信息，请参阅谁可以执行敏感操作。
• 无法管理硬件 OATH 令牌。

下表比较了与身份验证相关的角色的功能。

角色	管理用户的身份验证方法	管理每用户 MFA	管理 MFA 设置	管理身份验证方法策略	管理密码保护策略	更新敏感属性	删除和还原用户
身份验证管理员	对于某些用户为“是”	对于某些用户为“是”	是	否	否	对于某些用户为“是”	对于某些用户为“是”
特权身份验证管理员	对于所有用户为“是”	对于所有用户为“是”	否	No	否	对于所有用户为“是”	对于所有用户为“是”
身份验证策略管理员	否	是	是	是	是	否	否
用户管理员	否	No	No	No	否	对于某些用户为“是”	对于某些用户为“是”

Azure DevOps 管理员

具有此角色的用户可以管理所有企业 Azure DevOps 策略（适用于 Microsoft Entra ID 支持的所有 Azure DevOps 组织）。 充当此角色的用户可以通过导航到由公司 Microsoft Entra ID 支持的任何 Azure DevOps 组织来管理这些策略。 此外，充当此角色的用户还可以声明孤立 Azure DevOps 组织的所有权。 此角色不会授予该公司 Microsoft Entra ID 组织支持的任何 Azure DevOps 组织内的任何其他 Azure DevOps 特定权限（例如，项目集合管理员）。

Azure 信息保护管理员

具有此角色的用户拥有 Azure 信息保护服务中的所有权限。 此角色可以配置 Azure 信息保护策略的标签、管理保护模板，以及激活保护。 此角色不会授予 Microsoft Entra ID 保护、Privileged Identity Management、监视 Microsoft 365 服务运行状况、Microsoft 365 Defender 门户或 Microsoft Purview 合规门户的权限。

B2C IEF 密钥集管理员

这是一个特权角色。 用户可以创建和管理用于令牌加密、令牌签名和声明加密/解密的策略密钥与机密。 通过将新密钥添加到现有密钥容器，此受限管理员可以根据需要滚动更新机密，而不会影响现有的应用程序。 即使是在创建这些机密之后，此用户也可以查看这些机密的完整内容及其过期日期。

B2C IEF 策略管理员

充当此角色的用户可以在 Azure AD B2C 中创建、读取、更新和删除所有自定义策略，因此对相关 Azure AD B2C 组织中的 Identity Experience Framework 拥有完全控制权。 通过编辑策略，此用户可以直接与外部标识提供者建立联合、更改目录架构、更改所有面向用户的内容（HTML、CSS、JavaScript）、更改完成身份验证所需满足的要求、创建新用户、将用户数据发送到外部系统（包括完整迁移），以及编辑所有用户信息（包括密码和电话号码等敏感字段）。 相比之下，此角色无法更改加密密钥，也不能编辑组织中用于联合身份验证的机密。

计费管理员

进行采购、管理订阅、管理支持票证，以及监视服务运行状况。

Cloud App Security 管理员

充当此角色的用户在 Defender for Cloud 应用中享有全部权限。 他们可以添加管理员、添加 Microsoft Defender for Cloud 应用策略和设置、上传日志以及执行治理操作。

云应用管理员

这是一个特权角色。 充当此角色的用户具有与应用程序管理员角色相同的权限，但不包括管理应用程序代理的权限。 此角色授予创建和管理企业应用程序和应用程序注册的所有方面的权限。 在创建新应用程序注册或企业应用程序时，不会将分配到此角色的用户添加为所有者。

此角色还可授予许可委托的权限和应用程序权限的能力（Azure AD Graph 和 Microsoft Graph 的应用程序权限除外）。

云设备管理员

这是一个特权角色。 充当此角色的用户可以在 Microsoft Entra ID 中启用、禁用和删除设备，并可以在 Azure 门户中读取 Windows 10 BitLocker 密钥（如果有）。 该角色不能授予设备上其他任何属性的管理权限。

符合性管理员

具有此角色的用户有权管理 Microsoft Purview 合规门户、Microsoft 365 管理中心、Azure 和 Microsoft 365 Defender 门户。 被分配者还可以在 Exchange 管理中心内管理所有功能，并可创建适用于 Azure 和 Microsoft 365 的支持票证。 有关详细信息，请参阅 Microsoft Defender for Office 365 和 Microsoft Purview 合规性中的角色和角色组。

In	有权执行的操作
Microsoft Purview 合规性门户	跨 Microsoft 365 服务保护和管理组织数据 管理合规性警报
Microsoft Purview 合规性管理器	跟踪、分配并验证组织的法规合规性活动
Microsoft 365 Defender 门户	管理数据治理 执行法律和数据调查 管理数据主体请求 此角色的权限与 Microsoft 365 Defender 门户基于角色的访问控制中的合规性管理员角色组相同。
Intune	查看所有 Intune 审核数据
Microsoft Defender for Cloud Apps	拥有只读权限，可以管理警报 可以创建和修改文件策略并允许执行文件管理操作 可以查看数据管理下的所有内置报表

符合性数据管理员

具有此角色的用户有权在 Microsoft Purview 合规门户、Microsoft 365 管理中心和 Azure 中跟踪数据。 这些用户还可以在 Exchange 管理中心、Compliance Manager、Teams 和 Skype for Business 管理中心跟踪合规数据，并可创建适用于 Azure 和 Microsoft 365 的支持票证。 有关合规性管理员与合规性数据管理员之间的差别的详细信息，请参阅 Microsoft Defender for Office 365 和 Microsoft Purview 合规性中的角色和角色组。

In	有权执行的操作
Microsoft Purview 合规性门户	跨 Microsoft 365 服务监视与合规性相关的策略 管理合规性警报
Microsoft Purview 合规性管理器	跟踪、分配并验证组织的法规合规性活动
Microsoft 365 Defender 门户	管理数据治理 执行法律和数据调查 管理数据主体请求 此角色的权限与 Microsoft 365 Defender 门户基于角色的访问控制中的合规性数据管理员角色组相同。
Intune	查看所有 Intune 审核数据
Microsoft Defender for Cloud Apps	拥有只读权限，可以管理警报 可以创建和修改文件策略并允许执行文件管理操作 可以查看数据管理下的所有内置报表

条件访问管理员

这是一个特权角色。 具有此角色的用户能够管理 Microsoft Entra 条件访问设置。

客户密码箱访问审批者

管理你的组织中的 Microsoft Purview 客户密码箱请求。 他们接收客户密码箱请求的电子邮件通知，并且可以批准和拒绝来自 Microsoft 365 管理中心的请求。 他们还可以开启或关闭客户密码箱功能。 只有全局管理员可以重置分配到此角色的用户的密码。

桌面分析管理员

此角色中的用户可以管理桌面分析服务。 此权限包括查看资产库存、创建部署计划、查看部署和运行状况。

目录读者

充当此角色的用户可以读取基本的目录信息。 应将此角色用于：

• 为特定的一组来宾用户授予读取访问权限，而不是将此权限授予所有来宾用户。
• 当“限制对 Microsoft Entra 管理中心的访问”设置为“是”时，为一组特定的非管理员用户授予对 Microsoft Entra 管理中心的访问权限。
• 当“Directory.Read.All”不是选项时，为服务主体授予对目录的访问权限。

目录同步帐户

请勿使用。 此角色自动分配给 Microsoft Entra Connect 服务，不可用于其他任何用途。

目录编写人员

这是一个特权角色。 此角色中的用户可以读取和更新用户、组和服务主体的基本信息。

域名管理员

这是一个特权角色。 具有此角色的用户可以管理（读取、添加、验证、更新和删除）域名。 他们还可以读取有关用户、组和应用程序的目录信息，因为这些对象拥有域依赖项。 对于本地环境，具有此角色的用户可以配置联合身份验证的域名，以便始终在本地对关联的用户进行身份验证。 然后，这些用户可以通过单一登录，使用其本地密码登录到基于 Microsoft Entra 的服务。 联合设置需要通过 Microsoft Entra Connect 同步，使得用户还有权管理 Microsoft Entra Connect。

Dynamics 365 管理员

具有此角色的用户具有 Microsoft Dynamics 365 Online 内的全局权限（如果该服务存在），并且能够管理支持票证和监视服务运行状况。 有关详细信息，请参阅使用服务管理员角色管理租户。

Dynamics 365 Business Central Administrator

将 Dynamics 365 Business Central Administrator 角色分配给需要执行以下任务的用户：

• 访问 Dynamics 365 Business Central 环境
• 在环境中执行所有管理任务
• 管理客户的环境的生命周期
• 监督环境中安装的扩展
• 控制环境的升级
• 执行环境的数据导出
• 读取和配置 Azure 和 Microsoft 365 服务运行状况仪表板

此角色不提供其他 Dynamics 365 产品的任何权限。

Edge 管理员

此角色的用户可以在 Microsoft Edge 上创建和管理 Internet Explorer 模式所需的企业站点列表。 此角色授予创建、编辑和发布站点列表的权限，此外还允许访问管理支持票证。 了解详细信息

Exchange 管理员

具有此角色的用户具有 Microsoft Exchange Online 内的全局权限（如果该服务存在）。 另外还能够创建和管理所有 Microsoft 365 组，管理支持票证并监视服务运行状况。 有关详细信息，请参阅关于 Microsoft 365 管理中心内的管理员角色。

Exchange 收件人管理员

具有此角色的用户在 Exchange Online 中拥有对收件人的读取访问权限，以及对这些收件人的属性的写入权限。 有关详细信息，请参阅 Exchange Server 中的收件人。

外部 ID 用户流管理员

具有此角色的用户可以在 Azure 门户中创建和管理用户流（也称为“内置”策略）。 这些用户可以自定义 HTML/CSS/JavaScript 内容、更改 MFA 要求、在令牌中选择声明、管理 API 连接器及其凭据，以及为 Microsoft Entra 组织中的所有用户流配置会话设置。 但是，此角色无法查看用户数据，也无法对组织架构中包含的属性进行更改。 对 Identity Experience Framework 策略（也称为自定义策略）的更改也超出了此角色的权限范围。

外部 ID 用户流属性管理员

具有此角色的用户可以添加或删除适用于 Microsoft Entra 组织中所有用户流的自定义属性。 因此，具有此角色的用户可以在最终用户架构中更改或新增元素，影响所有用户流的行为，间接导致更改可以请求最终用户提供的并最终作为声明发送到应用程序的数据。 此角色无法编辑用户流。

外部标识提供者管理员

这是一个特权角色。 此管理员可以管理 Microsoft Entra 组织与外部标识提供者之间的联合。 用户可以使用此角色添加新的标识提供者及配置所有可用设置（例如身份验证路径、服务 ID 和分配的密钥容器）。 此用户可让 Microsoft Entra 组织信任来自外部标识提供者的身份验证。 对最终用户体验造成的影响取决于组织类型：

• 员工与合作伙伴的 Microsoft Entra 组织：添加联合身份验证（例如使用 Gmail）会立即影响所有尚未兑换的来宾邀请。
• Azure Active Directory B2C 组织：在将标识提供者添加为用户流（也称为内置策略）中的一个选项之前，添加联合（例如与另一个 Microsoft Entra 组织）不会立即影响最终用户流。 若要更改用户流，需要使用受限角色“B2C 用户流管理员”。

结构管理员

具有此角色的用户具有 Microsoft Fabric 和 Power BI 内的全局权限（如果该服务存在），并且能够管理支持票证和监视服务运行状况。

全局管理员

这是一个特权角色。 具有此角色的用户有权访问 Microsoft Entra ID 以及使用 Microsoft Entra 标识的服务（例如 Microsoft 365 Defender 门户、Microsoft Purview 合规门户、Exchange Online、SharePoint Online 和 Skype for Business Online）中的所有管理功能。 全局管理员可以查看目录活动日志。 此外，全局管理员还可以提升访问权限，以管理所有 Azure 订阅和管理组。 这允许全局管理员使用各自的 Microsoft Entra 租户获得对所有 Azure 资源的完全访问权限。 注册 Microsoft Entra 组织的人员将成为全局管理员。 公司中可以有多个全局管理员。 全局管理员可以为任何用户和所有其他管理员重置密码。 全局管理员无法删除其自己的全局管理员分配。 这是为了防止组织无全局管理员的情况。

全局读取者

这是一个特权角色。 充当此角色的用户可以跨 Microsoft 365 服务读取设置和管理信息，但无法执行管理操作。 全局读取者是对应于全局管理员的只读角色。 满足规划、审核或调查目的时，请分配全局读取者，而不要分配全局管理员。 将全局读取者与其他受限管理员角色（例如 Exchange 管理员）结合使用可以更轻松地完成工作，且无需分配全局管理员角色。 全局读者可使用 Microsoft 365 管理中心、Exchange 管理中心、SharePoint 管理中心、Teams 管理中心、Microsoft 365 Defender 门户、Microsoft Purview 合规门户、Azure 门户和设备管理管理中心。

具有此角色的用户无法执行以下操作：

• 无法访问 Microsoft 365 管理中心的“购买服务”区域。

全局安全访问管理员

将全局安全访问管理员角色分配给需要执行以下操作的用户：

• 创建和管理 Microsoft Entra Internet 访问和 Microsoft Entra 专用访问的所有方面
• 管理对公共终结点和专用终结点的访问

具有此角色的用户无法执行以下操作：

• 无法管理企业应用程序、应用程序注册、条件访问或应用程序代理设置

组管理员

此角色中的用户可以创建/管理组及其设置，如命名和过期策略。 重要的是要了解，将用户分配到此角色后，他们还可以跨各种工作负荷（如 Teams、SharePoint、Yammer 和 Outlook）管理组织中的所有组。 此外，用户还能够跨各种管理门户（如 Microsoft 管理中心、Azure 门户）以及特定于工作负荷的门户（如 Teams 和 SharePoint 管理中心）管理各种组设置。

来宾邀请者

此角色的用户可在“成员可以邀请”用户设置设置为“否”时管理 Microsoft Entra B2B 来宾用户邀请。 关于 Microsoft Entra B2B 协作中提供了有关 B2B 协作的详细信息。 它不包括任何其他权限。

支持管理员

这是一个特权角色。 具有此角色的用户可以通过 Microsoft 为 Azure 和 Microsoft 365 服务更改密码、使刷新令牌无效、创建和管理支持请求，以及监视服务运行状况。 使刷新令牌失效会强制用户重新登录。 支持管理员是否可以重置用户的密码和使刷新令牌失效取决于分配给用户的角色。 有关支持管理员可以为其重置密码和使刷新令牌失效的角色的列表，请参阅谁可以重置密码。

具有此角色的用户无法执行以下操作：

• 无法为可分配角色的组中的成员和所有者更改凭据或重置 MFA。

使用管理单元可向一部分用户委托管理权限，并向一部分用户应用策略。

在 Azure 门户中，此角色以前名为“密码管理员”。 它已重命名为“帮助台管理员”，以便与 Microsoft Graph API 和 Microsoft Graph PowerShell 中的现有名称保持一致。

混合标识管理员

这是一个特权角色。 充当此角色的用户可以使用云预配来创建、管理和部署从 Active Directory 到 Microsoft Entra ID 的预配配置设置，以及管理 Microsoft Entra Connect、密码哈希同步 (PHS) 和联合设置。 用户还可以使用此角色对日志进行故障排除和监视。

Identity Governance 管理员

具有此角色的用户可以管理 Microsoft Entra ID Governance 配置（包括访问包、访问评审、目录和策略），从而确保访问获得批准和评审，以及删除不再需要访问权限的来宾用户。

Insights 管理员

具有此角色的用户可以访问 Microsoft Viva Insights 应用中的全套管理功能。 此角色能够读取目录信息，监视服务运行状况，提交支持票证，并访问 Insights 各方面的管理员设置。

了解详细信息

Insights 分析师

将 Insights 分析师角色分配给需要执行以下任务的用户：

• 在 Microsoft Viva Insights 应用中分析数据，但无法管理任何配置设置
• 创建、管理和运行测试
• 在 Microsoft 365 管理中心查看基本设备和报告
• 在 Microsoft 365 管理中心创建和管理服务请求

了解详细信息

Insights 业务主管

具有此角色的用户可以通过 Microsoft Viva Insights 应用访问一组仪表板和见解。 其中包括对所有仪表板以及提供的见解和数据探索功能的完全访问权限。 具有此角色的用户无权访问由 Insights 管理员角色负责的产品配置设置。

了解详细信息

Intune 管理员

这是一个特权角色。 具有此角色的用户具有 Microsoft Intune Online 内的全局权限（如果该服务存在）。 此外，此角色包含管理以关联策略，以及创建和管理组的用户和设备的能力。 有关详细信息，请参阅 Microsoft Intune 的基于角色的管理控制 (RBAC)。

此角色可创建和管理所有安全组。 但是，Intune 管理员对 Microsoft 365 组没有管理员权限。 这意味着管理员无法更新组织中所有 Microsoft 365 组的所有者或成员身份， 但可以管理他们自己创建的 Microsoft 365 组，这是其最终用户权限的一部分。 因此，他们创建的任何 Microsoft 365 组（非安全组）都应计入其 250 的配额。

Kaizala 管理员

具有此角色的用户拥有在 Microsoft Kaizala 中管理设置的全局权限（如果该服务存在），并且能够管理支持票证和监视服务运行状况。 此外，用户还可以访问与组织成员采用和使用 Kaizala 有关的报告，以及使用 Kaizala 操作生成的业务报告。

知识管理员

充当此角色的用户对 Microsoft 365 管理中心内的所有知识、学习和智能功能设置拥有完全访问权限。 用户大致了解产品套件、许可详细信息，并负责控制访问权限。 知识管理员可创建和管理内容，例如主题、首字母缩写词和学习资源。 此外，这些用户可以创建内容中心、监视服务运行状况和创建服务请求。

知识经理

具有此角色的用户可以创建和管理内容，例如主题、首字母缩写词和学习内容。 这些用户主要负责知识的质量和结构。 此用户对主题管理操作具有完整权限，可确认主题、批准编辑或删除主题。 此角色还可以管理作为术语库管理工具的一部分的分类并创建内容中心。

许可证管理员

具有此角色的用户可以读取、添加、删除和更新用户、组（使用基于组的许可）的许可证分配，以及管理用户的使用位置。 该角色不授予在使用位置之外购买或管理订阅、创建或管理组，或者创建或管理用户的权限。 此角色无权查看、创建或管理支持票证。

生命周期工作流管理员

这是一个特权角色。 将生命周期工作流管理员角色分配给需要执行以下任务的用户：

• 在 Microsoft Entra ID 中创建和管理与生命周期工作流关联的工作流和任务的所有方面
• 检查计划工作流的执行情况
• 按需启动工作流运行
• 检查工作流执行日志

消息中心隐私读取者

充当此角色的用户可以监视消息中心的所有通知，包括数据隐私消息。 消息中心隐私读取者会收到电子邮件通知（包括与数据隐私相关的通知），并可以使用邮件中心首选项取消订阅。 只有全局管理员和消息中心隐私读取者才能阅读数据隐私消息。 此外，此角色还能查看组、域和订阅。 此角色无权查看、创建或管理服务请求。

消息中心读取者

具有此角色的用户可以在其组织的消息中心监视 Exchange、Intune 和 Microsoft Teams 等已配置服务的通知和公告运行状况更新。 消息中心读者会收到包含帖子和更新的每周电子邮件摘要，并能在 Microsoft 365 内共享消息中心帖子。 在 Microsoft Entra ID 中，分配有此角色的用户仅对 Microsoft Entra 服务（如用户和组）具有只读访问权限。 此角色无权查看、创建或管理支持票证。

Microsoft 365 迁移管理员

将 Microsoft 365 迁移管理员角色分配给需要执行以下任务的用户：

• 使用 Microsoft 365 管理中心中的迁移管理器管理从 Google Drive、Dropbox、Box 和 Egnyte 到 Microsoft 365（包括 Teams、OneDrive for Business 和 SharePoint 网站）的内容迁移
• 选择迁移源、创建迁移清单（如 Google Drive 用户列表）、计划和执行迁移，下载报告
• 如果目标网站尚不存在，请创建新的 SharePoint 网站，在 SharePoint 管理员网站下创建 SharePoint 列表，并在 SharePoint 列表中创建和更新项目
• 管理任务的迁移项目设置和迁移生命周期
• 管理从源到目标的权限映射

了解详细信息

Microsoft Entra 联接设备本地管理员

此角色只能作为设备设置中的其他本地管理员进行分配。 拥有此角色的用户成为所有已加入 Microsoft Entra ID 的 Windows 10 设备上的本地计算机管理员。 他们无权管理 Microsoft Entra ID 中的设备对象。

网络管理员

充当此角色的用户可以查看 Microsoft 根据其用户位置发出的网络遥测数据提供的网络外围体系结构建议。 Microsoft 365 的网络性能依赖于精心规划的企业客户网络外围体系结构，而该体系结构通常特定于用户位置。 利用此角色，可以编辑已发现的用户位置并配置这些位置的网络参数，以促进改善遥测结果并设计建议

Office 应用管理员

充当此角色的用户可以管理 Microsoft 365 应用的云设置。 这包括云策略管理、自助下载管理，以及查看与 Office 应用相关的报表的功能。 此外，该角色还可以在主管理中心管理支持票证和监视服务运行状况。 分配了此角色的用户还可以管理 Office 应用中新功能的通信。

组织品牌打造管理员

将组织品牌打造管理员角色分配给需要执行以下任务的用户：

• 管理租户中组织品牌打造的各个方面
• 读取、创建、更新和删除品牌打造主题
• 管理默认品牌打造主题和所有品牌打造本地化主题

组织消息审批者

将组织消息审批者角色分配给需要执行以下任务的用户：

• 在使用 Microsoft 365 组织消息平台向用户发送要传递的新组织消息之前，请在Microsoft 365 管理中心中审阅、批准或拒绝这些消息
• 读取组织消息的各个方面
• 在 Microsoft 365 管理中心读取所有资源的基本属性

组织消息编写者

将组织消息编写者角色分配给需要执行以下任务的用户：

• 使用 Microsoft 365 管理中心或 Microsoft Intune 编写、发布和删除组织消息
• 使用 Microsoft 365 管理中心或 Microsoft Intune 管理组织消息传递选项
• 使用 Microsoft 365 管理中心 或 Microsoft Intune 读取组织消息传递结果
• 查看 Microsoft 365 管理中心中的使用情况报告和大多数设置，但无法进行更改

密码管理员

这是一个特权角色。 具有此角色的用户可以管理密码，但权限受限。 此角色不会授予管理服务请求或监视服务运行状况的能力。 密码管理员是否可以重置用户的密码取决于分配给用户的角色。 有关密码管理员可以为其重置密码的角色的列表，请参阅谁可以重置密码。

具有此角色的用户无法执行以下操作：

• 无法为可分配角色的组中的成员和所有者更改凭据或重置 MFA。

Power Platform 管理员

充当此角色的用户可以创建和管理环境、Power Apps、Flows、数据丢失防护策略的所有方面。 另外，具有此角色的用户可以管理支持票证并监视服务运行状况。

打印机管理员

充当此角色的用户可以在 Microsoft 通用打印解决方案中注册打印机和管理所有打印机配置的各个方面，包括“通用打印连接器”设置。 他们可以同意所有委托的打印权限请求。 打印机管理员还有权访问打印报告。

打印机技术人员

具有此角色的用户可以在 Microsoft 通用打印解决方案中注册打印机和管理打印机状态。 他们还可以读取所有连接器信息。 打印机技术人员无法执行的重要任务是设置用户对打印机的权限以及共享打印机。

特权身份验证管理员

这是一个特权角色。 将特权身份验证管理员角色分配给需要执行以下任务的用户：

• 为任何用户（包括全局管理员）设置或重置身份验证方法（包括密码）。
• 删除或还原任何用户，包括全局管理员。 有关详细信息，请参阅谁可以执行敏感操作。
• 强制用户重新注册现有非密码凭据（例如 MFA 或 FIDO2），以及撤销“在设备上记住 MFA”（所有用户下次登录时系统会提示其执行 MFA）。
• 为所有用户更新敏感属性。 有关详细信息，请参阅谁可以执行敏感操作。
• 在 Azure 和 Microsoft 365 管理中心创建和管理支持工单。
• 使用基于 PKI 的信任存储配置证书颁发机构（预览）

具有此角色的用户无法执行以下操作：

• 无法管理旧版 MFA 管理门户中的每用户 MFA。

下表比较了与身份验证相关的角色的功能。

角色	管理用户的身份验证方法	管理每用户 MFA	管理 MFA 设置	管理身份验证方法策略	管理密码保护策略	更新敏感属性	删除和还原用户
身份验证管理员	对于某些用户为“是”	对于某些用户为“是”	是	否	否	对于某些用户为“是”	对于某些用户为“是”
特权身份验证管理员	对于所有用户为“是”	对于所有用户为“是”	否	No	否	对于所有用户为“是”	对于所有用户为“是”
身份验证策略管理员	否	是	是	是	是	否	否
用户管理员	否	No	No	No	否	对于某些用户为“是”	对于某些用户为“是”

特权角色管理员

这是一个特权角色。 具有此角色的用户可以在 Microsoft Entra ID 中以及 Microsoft Entra Privileged Identity Management 中管理角色分配。 他们可以创建和管理可分配给 Microsoft Entra 角色的组。 此外，此角色允许管理 Privileged Identity Management 和管理单元的所有方面。

报告读者

具有此角色的用户可在 Microsoft 365 管理中心以及 Fabric 和 Power BI 中的采用上下文包内查看使用情况报告数据和报告仪表板。 此外，拥有此角色后还可访问 Microsoft Entra ID 中所有的登录日志、审核日志和活动报告，以及 Microsoft Graph 报告 API 返回的数据。 分配到“报告读者”角色的用户只能访问相关使用情况和采用指标。 它们没有任何管理员权限，无法配置设置或访问产品特定的管理中心（如 Exchange）。 此角色无权查看、创建或管理支持票证。

搜索管理员

充当此角色的用户对 Microsoft 365 管理中心内的所有 Microsoft 搜索管理功能拥有完全访问权限。 此外，这些用户可以查看消息中心、监视服务运行状况和创建服务请求。

搜索编辑员

充当此角色的用户可以在 Microsoft 365 管理中心创建、管理和删除 Microsoft 搜索的内容，包括书签、问答和位置。

安全管理员

这是一个特权角色。 具有此角色的用户有权管理 Microsoft 365 Defender 门户、Microsoft Entra ID 保护、Microsoft Entra 身份验证、Azure 信息保护以及 Microsoft Purview 合规门户内与安全相关的功能。 有关 Office 365 权限的详细信息，请参阅 Microsoft Defender for Office 365 和 Microsoft Purview 合规性中的角色和角色组。

In	有权执行的操作
Microsoft 365 Defender 门户	跨 Microsoft 365 服务监视与安全相关的策略 管理安全威胁和警报 查看报告
Privileged Identity Management	安全读取者角色的所有权限 无法管理 Microsoft Entra 角色分配或设置
Microsoft Purview 合规性门户	管理安全策略 查看、调查和响应安全威胁 查看报表
Azure 高级威胁防护	监视和响应可疑安全活动
用于终结点的 Microsoft Defender	分配角色 管理计算机组 配置终结点威胁检测和自动修正 查看、调查并响应警报 查看计算机/设备清单
Intune	映射到 Intune 终结点安全管理员角色
Microsoft Defender for Cloud Apps	添加管理员、添加策略和设置、上传日志以及执行管理操作
Microsoft 365 服务运行状况	查看 Microsoft 365 服务的运行状况
智能锁定	定义在发生登录失败事件时实施锁定的阈值和持续时间。
密码保护	配置自定义受禁密码列表或本地密码保护。

安全操作员

这是一个特权角色。 具有此角色的用户可以管理警报，并拥有对安全相关功能的全局只读访问权限，包括 Microsoft 365 Defender 门户、Microsoft Entra ID 保护、Privileged Identity Management 和 Microsoft Purview 合规中心内的所有信息。 有关 Office 365 权限的详细信息，请参阅 Microsoft Defender for Office 365 和 Microsoft Purview 合规性中的角色和角色组。

In	有权执行的操作
Microsoft 365 Defender 门户	安全读取者角色的所有权限 查看、调查和响应安全威胁警报 在 Microsoft 365 Defender 门户中管理安全设置
Privileged Identity Management	安全读取者角色的所有权限
Microsoft Purview 合规性门户	安全读取者角色的所有权限 查看、调查和响应安全警报
用于终结点的 Microsoft Defender	安全读取者角色的所有权限 查看、调查和响应安全警报 在 Microsoft Defender for Endpoint 中启用基于角色的访问控制后，具有只读权限的用户（例如安全读取者角色）在被分配 Microsoft Defender for Endpoint 角色之前会失去访问权限。
Intune	安全读取者角色的所有权限
Microsoft Defender for Cloud Apps	安全读取者角色的所有权限 查看、调查和响应安全警报
Microsoft 365 服务运行状况	查看 Microsoft 365 服务的运行状况

安全读取者

这是一个特权角色。 具有此角色的用户对安全相关的功能具有全局只读访问权限，包括 Microsoft 365 Defender 门户、Microsoft Entra ID 保护、Privileged Identity Management 中的所有信息，并且能够阅读 Microsoft Entra 登录报告和审核日志，还授予了对 Microsoft Purview 合规门户的只读权限。 有关 Office 365 权限的详细信息，请参阅 Microsoft Defender for Office 365 和 Microsoft Purview 合规性中的角色和角色组。

In	有权执行的操作
Microsoft 365 Defender 门户	跨 Microsoft 365 服务查看与安全相关的策略 查看安全威胁和警报 查看报告
Privileged Identity Management	以只读方式访问 Microsoft Entra Privileged Identity Management 中显示的所有信息：Microsoft Entra 角色分配的策略和报告以及安全评审。 无法注册 Microsoft Entra Privileged Identity Management 或对其进行任何更改。 充当此角色的人员可以通过 Privileged Identity Management 门户或 PowerShell 为符合条件的用户激活其他角色（例如，特权角色管理员）。
Microsoft Purview 合规性门户	查看安全策略 查看并调查安全威胁 查看报表
用于终结点的 Microsoft Defender	查看并调查警报 在 Microsoft Defender for Endpoint 中启用基于角色的访问控制后，具有只读权限的用户（例如安全读取者角色）在被分配 Microsoft Defender for Endpoint 角色之前会失去访问权限。
Intune	视图用户、设备、注册、配置和应用程序信息。 无法对 Intune 进行更改。
Microsoft Defender for Cloud Apps	具有读取权限。
Microsoft 365 服务运行状况	查看 Microsoft 365 服务的运行状况

服务支持管理员

具有此角色的用户可以通过 Microsoft 创建和管理有关 Azure 和 Microsoft 365 服务的支持请求，还可以在 Azure 门户和 Microsoft 365 管理中心查看服务仪表板和消息中心。 有关详细信息，请参阅关于 Microsoft 365 管理中心内的管理员角色。

SharePoint 管理员

具有此角色的用户在 Microsoft SharePoint Online（如果存在此服务）中拥有全局权限，并且能够创建和管理所有 Microsoft 365 组，管理支持票证并监视服务运行状况。 有关详细信息，请参阅关于 Microsoft 365 管理中心内的管理员角色。

SharePoint Embedded 管理员

将 SharePoint Embedded 管理员角色分配给需要执行以下任务的用户：

• 使用 PowerShell、Microsoft Graph API 或 SharePoint 管理中心执行所有任务
• 管理、配置和维护 SharePoint Embedded 容器
• 枚举和管理 SharePoint Embedded 容器
• 枚举和管理 SharePoint Embedded 容器的权限
• 管理租户中 SharePoint Embedded 容器的存储
• 针对 SharePoint Embedded 容器分配安全性与合规性策略
• 针对租户中的 SharePoint Embedded 容器应用安全性与合规性策略

了解详细信息

Skype for Business 管理员

具有此角色的用户具有 Microsoft Skype for Business 中的全局权限，以及管理 Microsoft Entra ID 中的特定于 Skype 的用户属性。 此外，此角色可授予管理支持票证、监视服务运行状况以及访问 Teams 和 Skype for Business 管理中心的能力。 帐户必须获取 Teams 许可证，否则无法运行 Teams PowerShell cmdlet。 有关详细信息，请参阅 Skype for Business Online 管理员；有关 Teams 许可信息，请参阅 Skype for Business 加载项许可。

Teams 管理员

充当此角色的用户可以通过 Microsoft Teams 和 Skype for Business 管理中心以及相应的 PowerShell 模块来管理 Microsoft Teams 工作负荷的所有方面。 这包括（但不限于）与电话、消息、会议和 Teams 自身相关的所有管理工具。 另外，利用此角色，还可以创建和管理所有 Microsoft 365 组，管理支持票证并监视服务运行状况。

Teams 通信管理员

充当此角色的用户可以管理 Microsoft Teams 工作负荷的语音与电话相关方面。 这包括用于分配电话号码的管理工具、语音和会议策略，以及通话分析工具集的完全访问权限。

Teams 通信支持工程师

充当此角色的用户可以使用 Microsoft Teams 和 Skype for Business 管理中心的用户通话故障排除工具，来排查 Microsoft Teams 和 Skype for Business 中的通信问题。 充当此角色的用户可以查看所有参与方的完整通话记录信息。 此角色无权查看、创建或管理支持票证。

Teams 通信支持专家

充当此角色的用户可以使用 Microsoft Teams 和 Skype for Business 管理中心的用户通话故障排除工具，来排查 Microsoft Teams 和 Skype for Business 中的通信问题。 充当此角色的用户只能查看他们所查找的特定用户的通话中的用户详细信息。 此角色无权查看、创建或管理支持票证。

Teams 设备管理员

具有此角色的用户可以在 Teams 管理中心管理 Teams 认证的设备。 此角色允许同时查看所有设备，并能够搜索和筛选设备。 用户可以检查每个设备的详细信息，包括设备的登录帐户、品牌和型号。 用户可以更改设备上的设置并更新软件版本。 此角色不会授权检查 Teams 活动和设备的通话质量。

Teams 电话服务管理员

将 Teams 电话服务管理员角色分配给需要执行以下任务的用户：

• 管理语音和电话服务，包括通话策略、电话号码管理和分配，以及语音应用程序
• 在 Teams 管理中心只能访问公用电话交换网 (PSTN) 使用报告
• 查看用户个人资料页
• 在 Azure 和 Microsoft 365 管理中心创建和管理支持工单

了解详细信息

租户创建者

为需要执行以下任务的用户分配租户创建者角色：

• 即使在用户设置中关闭了租户创建开关，也可以创建 Microsoft Entra 和 Azure Active Directory B2C 租户

使用情况摘要报表读取者

将使用情况摘要报告读取者角色分配给需要在Microsoft 365 管理中心中执行以下任务的用户：

• 查看使用情况报告和采用分数
• 读取组织见解，但不读取用户的个人身份信息 (PII)

此角色仅允许用户查看组织级数据，但存在以下例外情况：

• 成员用户可以查看用户管理数据和设置。
• 分配了此角色的来宾用户无法查看用户管理数据和设置。

用户管理员

这是一个特权角色。 将用户管理员角色分配给需要执行以下操作的用户：

权限	详细信息
创建用户
为所有用户更新大多数用户属性，包括所有管理员	谁可以执行敏感操作
为某些用户更新敏感属性（包括用户主体名称）	谁可以执行敏感操作
禁用或启用某些用户	谁可以执行敏感操作
删除或还原某些用户	谁可以执行敏感操作
创建和管理用户视图
创建和管理所有组
分配和读取所有用户（包括所有管理员）的许可证
重置密码	谁可以重置密码
使刷新令牌失效	谁可以重置密码
更新 (FIDO) 设备密钥
更新密码过期策略
在 Azure 和 Microsoft 365 管理中心创建和管理支持工单
监视服务运行状况

具有此角色的用户无法执行以下操作：

• 无法管理 MFA。
• 无法为可分配角色的组中的成员和所有者更改凭据或重置 MFA。
• 无法管理共享邮箱。
• 无法修改密码重置操作的安全问题。

Virtual Visits 管理员

具有此角色的用户可执行以下任务：

• 在 Microsoft 365 管理中心的 Bookings 中和 Teams EHR 连接器中管理和配置 Virtual Visits 的各个方面
• 在 Teams 管理中心、Microsoft 365 管理中心、Fabric 和 PowerBI 中查看虚拟访问的使用情况报告
• 在 Microsoft 365 管理中心查看功能和设置，但无法编辑任何设置

Virtual Visits 是一种用于为员工和与会者安排和管理在线和视频会议的简单方法。 例如，使用情况报告可以显示在会议之前如何发送短信可减少不参加会议的人数。

Windows 365 管理员

具有此角色的用户具有对 Windows 365 资源的全局权限（如果该服务存在）。 此外，此角色包含管理以关联策略，以及创建和管理组的用户和设备的能力。

此角色可创建和管理安全组，但不具有对 Microsoft 365 组的管理员权限。 这意味着管理员无法更新组织中 Microsoft 365 组的所有者或成员身份。 但是，他们可以管理他们创建的 Microsoft 365 组，这是其最终用户权限的一部分。 因此，他们创建的任何 Microsoft 365 组（不是安全组）都计入其 250 的配额。

将 Windows 365 管理员角色分配给需要执行以下任务的用户：

• 在 Microsoft Intune 中管理 Windows 365云电脑
• 在 Microsoft Entra ID 中注册和管理设备，包括分配用户和策略
• 创建和管理安全组，但不是可分配角色的组
• 在 Microsoft 365 管理中心查看基本属性
• 在 Microsoft 365 管理中心读取使用情况报告
• 在 Azure 和 Microsoft 365 管理中心创建和管理支持工单

Windows 更新部署管理员

此角色中的用户可以通过适用于企业的 Windows 更新部署服务来创建和管理 Windows 更新部署的所有方面。 利用该部署服务，用户可以定义部署更新的时间和方式的相关设置，并指定向其租户中的设备组提供哪些更新。 该服务还允许用户监视更新进度。

已弃用的角色

不应使用以下角色。 它们已被弃用，将在未来从 Microsoft Entra ID 中移除。

• 即席许可证管理员
• 设备联接
• 设备管理器
• 设备用户
• 经电子邮件验证的用户创建者
• 邮箱管理员
• 工作区设备联接

门户中未显示的角色

Azure 门户中不一定会显示 PowerShell 或 MS Graph API 返回的每个角色。 下表整理了这些差异。

API 名称	Azure 门户中的名称	说明
设备联接	已放弃	已弃用角色的文档
设备管理器	已放弃	已弃用角色的文档
设备用户	已放弃	已弃用角色的文档
目录同步帐户	未显示，因为不应使用它	目录同步帐户文档
来宾用户	未显示，因为无法使用它	NA
合作伙伴层 1 支持	未显示，因为不应使用它	合作伙伴一线支持人员文档
合作伙伴层 2 支持	未显示，因为不应使用它	合作伙伴二线支持人员文档
受限来宾用户	未显示，因为无法使用它	NA
用户	未显示，因为无法使用它	NA
工作区设备联接	已放弃	已弃用角色的文档

后续步骤

• 将 Microsoft Entra 角色分配给组
• 了解不同角色
• 将用户分配为 Azure 订阅的管理员