Microsoft Entra ID 中按任务显示的最小特权角色
本文介绍了通过在 Microsoft Entra ID 中分配最小特权角色来限制用户管理员权限所需的信息。 你将能够查找按功能区域整理的任务、执行每项任务所需的最小特权角色，以及可执行任务的其他非全局管理员角色。
可以通过在较小范围内分配角色或创建自己的自定义角色来进一步限制权限。 有关详细信息，请参阅在不同的范围分配 Microsoft Entra 角色或在 Microsoft Entra ID 中创建和分配自定义角色。
外部标识/B2C
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 创建 Azure AD B2C 目录 | 所有非来宾用户 | |
| 创建 B2C 应用程序 | 全局管理员 | |
| 创建企业应用程序 | 云应用程序管理员 | 应用程序管理员 |
| 创建、读取、更新和删除 B2C 策略 | B2C IEF 策略管理员 | |
| 创建、读取、更新和删除标识提供者 | 外部标识提供者管理员 | |
| 创建、读取、更新和删除密码重置用户流 | 外部 ID 用户流管理员 | |
| 创建、读取、更新和删除配置文件编辑用户流 | 外部 ID 用户流管理员 | |
| 创建、读取、更新和删除登录用户流 | 外部 ID 用户流管理员 | |
| 创建、读取、更新和删除注册用户流 | 外部 ID 用户流管理员 | |
| 创建、读取、更新和删除用户特性 | 外部 ID 用户流属性管理员 | |
| 创建、读取、更新和删除用户 | 用户管理员 | |
| 配置 B2B 外部协作设置 | 全局管理员 | |
| 读取所有配置 | 全局读取者 | |
| 读取 B2C 审核日志 | 全局读取者 |
注意
Azure AD B2C 全局管理员的权限与 Microsoft Entra 全局管理员的权限不同。 如果你拥有 Azure AD B2C 全局管理员权限，请确保你位于 Azure AD B2C 目录（而不是 Microsoft Entra 目录）中。
公司品牌
公司属性
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 配置公司属性 | 全局管理员 |
连接
自定义域名
域服务
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 创建 Microsoft Entra 域服务实例 | 应用程序管理员 组管理员 域服务参与者 |
|
| 执行所有 Microsoft Entra 域服务任务 | AAD DC 管理员组 | |
| 读取所有配置 | 包含 AD DS 服务的 Azure 订阅的读者 |
设备
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 删除设备 | 云设备管理员 | Intune 管理员 |
| 禁用设备 | 云设备管理员 | Intune 管理员 |
| 启用设备 | 云设备管理员 | Intune 管理员 |
| 读取基本配置 | 默认用户角色 | |
| 读取 BitLocker 密钥 | 云设备管理员 | 支持管理员 Intune 管理员 安全管理员 安全读取者 |
企业应用程序
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 同意任何委托的权限 | 云应用程序管理员 | 应用程序管理员 |
| 同意应用程序权限（不包括 Microsoft Graph） | 云应用程序管理员 | 应用程序管理员 |
| 同意 Microsoft Graph 的应用程序权限 | 特权角色管理员 | |
| 同意应用程序访问自己的数据 | 默认用户角色 | |
| 创建企业应用程序 | 云应用程序管理员 | 应用程序管理员 |
| 管理应用程序代理 | 应用程序管理员 | |
| 管理用户设置 | 全局管理员 | |
| 读取组或应用的访问评审 | 安全读取者 | 安全管理员 用户管理员 |
| 读取所有配置 | 默认用户角色 | |
| 更新企业应用程序分配 | 企业应用程序所有者 | 云应用程序管理员 应用程序管理员 用户管理员 |
| 更新企业应用程序所有者 | 企业应用程序所有者 | 云应用程序管理员 应用程序管理员 |
| 更新企业应用程序属性 | 企业应用程序所有者 | 云应用程序管理员 应用程序管理员 |
| 更新企业应用程序预配 | 企业应用程序所有者 | 云应用程序管理员 应用程序管理员 |
| 更新企业应用程序自助服务 | 企业应用程序所有者 | 云应用程序管理员 应用程序管理员 |
| 更新单一登录属性 | 企业应用程序所有者 | 云应用程序管理员 应用程序管理员 |
| 创建和修改自定义身份验证扩展 | 身份验证扩展性管理员 | 应用程序管理员 |
权利管理
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 将资源添加到目录 | Identity Governance 管理员 | 使用权利管理，可将此任务委托给目录所有者 |
| 向目录添加 SharePoint Online 站点 | SharePoint 管理员 |
组
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 分配许可证 | 用户管理员 | |
| 创建组 | 组管理员 | 用户管理员 |
| 创建、更新或删除组或应用的访问评审 | 用户管理员 | |
| 管理组到期时间 | 用户管理员 | |
| 管理组设置 | 组管理员 | 用户管理员 |
| 读取所有配置（隐藏成员身份除外） | 目录读取者 | 默认用户角色 |
| 读取隐藏成员身份 | 组成员 | 组所有者 密码管理员 Exchange 管理员 SharePoint 管理员 Teams 管理员 用户管理员 |
| 读取具有隐藏成员身份的组的成员身份 | 支持管理员 | 用户管理员 Teams 管理员 |
| 撤销许可证 | 许可证管理员 | 用户管理员 |
| 更新组成员身份 | 组所有者 | 用户管理员 |
| 更新组所有者 | 组所有者 | 用户管理员 |
| 更新组属性 | 组所有者 | 用户管理员 |
| 删除组 | 组管理员 | 用户管理员 |
许可证
监视 - 审核日志
监视 - 登录
多重身份验证
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 删除选定用户生成的所有现有应用密码 | 全局管理员 | |
| 禁用每用户 MFA | 身份验证管理员 | 特权身份验证管理员 |
| 启用每用户 MFA | 身份验证管理员 | 特权身份验证管理员 |
| 管理 MFA 服务设置 | 身份验证策略管理员 | |
| 要求选定的用户再次提供联系方法 | 身份验证管理员 | |
| 在所有记住的设备上还原多重身份验证 | 身份验证管理员 |
组织关系
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 管理标识提供者 | 外部标识提供者管理员 | |
| 管理设置 | 全局管理员 | |
| 管理隐私声明和联系信息 | 全局管理员 | |
| 读取所有配置 | 全局读取者 |
密码重置
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 配置身份验证方法 | 身份验证策略管理员 | |
| 配置自定义 | 身份验证策略管理员 | |
| 配置通知 | 身份验证策略管理员 | |
| 配置本地集成 | 身份验证策略管理员 | |
| 配置密码重置属性 | 用户管理员 | 身份验证策略管理员 |
| 配置注册 | 身份验证策略管理员 | |
| 读取所有配置 | 安全管理员 | 用户管理员 |
Privileged identity management
角色和管理员
安全性 - 身份验证方法
安全性 - 条件访问
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 配置 MFA 受信任的 IP | 条件访问管理员 | |
| 创建自定义控件 | 条件访问管理员 | 安全管理员 |
| 创建命名位置 | 条件访问管理员 | 安全管理员 |
| 创建策略 | 条件访问管理员 | 安全管理员 |
| 创建使用条款 | 条件访问管理员 | 安全管理员 |
| 创建 VPN 连接证书 | 全局管理员 | |
| 删除经典策略 | 条件访问管理员 | 安全管理员 |
| 删除使用条款 | 条件访问管理员 | 安全管理员 |
| 删除 VPN 连接证书 | 条件访问管理员 | 安全管理员 |
| 禁用经典策略 | 条件访问管理员 | 安全管理员 |
| 管理自定义控件 | 条件访问管理员 | 安全管理员 |
| 管理命名位置 | 条件访问管理员 | 安全管理员 |
| 管理使用条款 | 条件访问管理员 | 安全管理员 |
| 读取所有配置 | 安全读取者 | 安全管理员 |
| 读取命名位置 | 安全读取者 | 条件访问管理员 安全管理员 |
安全性 - 标识安全分数
临时访问密码
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 创建、删除或查看任何用户（除了自身之外）的临时访问密码，并且可以配置和管理身份验证方法策略 | 全局管理员 | |
| 创建、删除或查看管理员或成员（除了自身之外）的临时访问密码 | 特权身份验证管理员 | |
| 创建、删除或查看成员（除了自身之外）的临时访问密码 | 身份验证管理员 | |
| 查看用户的临时访问密码详细信息（无需读取代码本身） | 全局读取者 | |
| 配置或更新临时访问密码身份验证方法策略 | 身份验证策略管理员 |
创建租户
用户
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 将用户添加到目录角色 | 特权角色管理员 | |
| 将用户添加到组 | 用户管理员 | |
| 分配许可证 | 许可证管理员 | 用户管理员 |
| 创建来宾用户 | 来宾邀请者 | 用户管理员 |
| 重置来宾用户邀请 | 用户管理员 | 全局管理员 |
| 创建用户 | 用户管理员 | |
| 删除用户 | 用户管理员 | |
| 使受限管理员的刷新令牌失效 | 用户管理员 | |
| 使非管理员的刷新令牌失效 | 支持管理员 | 用户管理员 |
| 使特权管理员的刷新令牌失效 | 特权身份验证管理员 | |
| 读取基本配置 | 默认用户角色 | |
| 重置受限管理员的密码 | 用户管理员 | |
| 重置非管理员的密码 | 密码管理员 | 用户管理员 |
| 重置特权管理员的密码 | 特权身份验证管理员 | |
| 撤销许可证 | 许可证管理员 | 用户管理员 |
| 更新除用户主体名称之外的所有属性 | 用户管理员 | |
| 更新受限管理员的用户主体名称 | 用户管理员 | |
| 更新特权管理员的用户主体名称属性 | 特权身份验证管理员 | |
| 更新用户设置 - 默认用户角色权限 | 特权角色管理员 | |
| 更新用户设置 - 来宾用户访问 | 特权角色管理员 | |
| 更新身份验证方法 | 身份验证管理员 | 特权身份验证管理员 全局管理员 |
支持
| 任务 | 最小特权角色 | 其他角色 |
|---|---|---|
| 提交支持票证 | 服务支持管理员 | 应用程序管理员 Azure 信息保护管理员 计费管理员 云应用程序管理员 合规性管理员 Dynamics 365 管理员 桌面分析管理员 Exchange 管理员 Intune 管理员 密码管理员 Fabric 管理员 特权身份验证管理员 SharePoint 管理员 Skype for Business 管理员 Teams 管理员 Teams 通信管理员 用户管理员 |