排查分配给组的 Microsoft Entra 角色的问题

只有特权角色管理员或全局管理员才能创建符合角色分配条件的组。 只有拥有这些角色的用户才会看到此控件。

默认情况下，只有特权角色管理员和全局管理员管理可分配角色组的成员资格，但你可以通过添加组所有者来委派对可分配角色的组的管理。

用户可能已通过可分配角色的组获取目录读取器。 可分配角色的组的所有成员和所有者都受到保护。 只有具有特权身份验证管理员或全局管理员角色的用户才能重置受保护用户的凭据。

用户可以是可分配角色的组的所有者。 我们保护可分配角色的组的所有者，以避免特权提升。 例如，如果将组 Contoso_Security_Admins 分配给安全管理员角色，其中 Bob 是组所有者，Alice 是组织中的密码管理员，则可能会出现这种情况。 如果没有这种保护措施，Alice 可以重置 Bob 的凭据并接管其身份。 之后，Alice 可以将自己或任何人添加到 Contoso_Security_Admins 组，成为组织中的安全管理员。 若要查明用户是否为组所有者，请获取该用户拥有的对象列表，并查看是否有组将 isAssignableToRole 设置为 true。 如果是，则用户是受保护的，并且该行为是设计的行为。 请参阅以下文档，了解如何获取拥有的对象：

• Get-MgUserOwnedObject
• 列出 ownedObjects

可以。 全局管理员和特权角色管理员可以对可分配角色的组创建访问评审。

可以。 全局管理员和用户管理员有权将任何组放入访问包中。 全局管理员没有任何更改，但用户管理员角色权限稍有更改。 若要将可分配角色的组放入访问包中，你必须是用户管理员，同时也是可分配角色的组的所有者。 下面是显示了哪些用户可以在“企业许可证管理”中创建访问包的完整表：

*组不可分配角色；也就是说，isAssignableToRole = false。 如果组可以分配角色，则创建访问包的人员也必须是可分配角色的组的所有者。

此答案仅适用于 Microsoft Entra ID P1 组织。

1. 至少以特权角色管理员身份登录到 Microsoft Entra 管理中心。
2. 浏览到“标识”>“用户”>“所有用户”。
3. 选择用户。
4. 选择“分配的角色”。
5. 选择要删除的角色分配。
6. 选择“移除分配”以移除直接角色分配。

若要移除间接角色分配，请从已分配角色的组中移除该用户。

执行以下步骤：

1. 登录 Microsoft Entra 管理中心。
2. 浏览到“标识”>“组”>“所有组”。
3. 选择“添加筛选器”。
4. 筛选到“角色可分配”。

执行以下步骤：

1. 登录 Microsoft Entra 管理中心。
2. 浏览到“标识”>“用户”>“所有用户”。
3. 选择用户。
4. 选择“分配的角色”。
5. 如果你有 Microsoft Entra ID P1 许可证，请查看“分配路径”列。
6. 如果你有 Microsoft Entra ID P2 许可证，请查看“成员身份”列。

如果将现有组分配给角色，则现有组所有者可以向该组添加其他成员，而新成员不会意识到他们将拥有该角色。 因为可分配角色的组功能强大，因此我们设置了很多限制来保护它们。 你不会希望发生会让管理组的人员感到意外的更改。

后续步骤

• 使用 Microsoft Entra 组管理角色分配