排查分配给组的 Microsoft Entra 角色的问题

特权角色管理员可以创建符合角色分配条件的组。 具有此角色的用户可以看到此开关。

默认情况下，特权角色管理员负责管理可分配角色的组的成员身份，但你可以通过添加组所有者来委托管理可分配角色的组。

用户可能已通过可分配角色的组获取目录读取器。 可分配角色的组的所有成员和所有者都受到保护。 具有特权身份验证管理员角色的用户可以重置受保护用户的凭据。

用户可以是可分配角色的组的所有者。 我们保护可分配角色的组的所有者，以避免特权提升。 例如，如果将组 Contoso_Security_Admins 分配给安全管理员角色，其中 Bob 是组所有者，Alice 是组织中的密码管理员，则可能会出现这种情况。 如果没有这种保护措施，Alice 可以重置 Bob 的凭据并接管其身份。 之后，Alice 可以将自己或任何人添加到 Contoso_Security_Admins 组，成为组织中的安全管理员。 若要查明用户是否为组所有者，请获取该用户拥有的对象列表，并查看是否有组将 isAssignableToRole 设置为 true。 如果是，则用户是受保护的，并且该行为是设计的行为。 请参阅以下文档，了解如何获取拥有的对象：

• Get-MgUserOwnedObject
• 列出 ownedObjects

可以。 特权角色管理员可以对可分配角色的组创建访问评审。

可以。 用户管理员有权将任何组放入访问包中。 全局管理员没有任何更改，但用户管理员角色权限稍有更改。 若要将可分配角色的组放入访问包中，你必须是用户管理员，同时也是可分配角色的组的所有者。 下面是显示了哪些用户可以在“企业许可证管理”中创建访问包的完整表：

*组不可分配角色；也就是说，isAssignableToRole = false。 如果组可以分配角色，则创建访问包的人员也必须是可分配角色的组的所有者。

此答案仅适用于 Microsoft Entra ID P1 组织。

1. 至少以特权角色管理员身份登录到 Microsoft Entra 管理中心。
2. 浏览到“标识”>“用户”>“所有用户”。
3. 选择用户。
4. 选择“分配的角色”。
5. 选择要删除的角色分配。
6. 选择“移除分配”以移除直接角色分配。

若要移除间接角色分配，请从已分配角色的组中移除该用户。

执行以下步骤：

1. 登录 Microsoft Entra 管理中心。
2. 浏览到“标识”>“组”>“所有组”。
3. 选择“添加筛选器”。
4. 筛选到“角色可分配”。

执行以下步骤：

1. 登录 Microsoft Entra 管理中心。
2. 浏览到“标识”>“用户”>“所有用户”。
3. 选择用户。
4. 选择“分配的角色”。
5. 如果你有 Microsoft Entra ID P1 许可证，请查看“分配路径”列。
6. 如果你有 Microsoft Entra ID P2 许可证，请查看“成员身份”列。

如果将现有组分配给角色，则现有组所有者可以向该组添加其他成员，而新成员不会意识到他们将拥有该角色。 因为可分配角色的组功能强大，因此我们设置了很多限制来保护它们。 你不会希望发生会让管理组的人员感到意外的更改。

后续步骤

• 使用 Microsoft Entra 组管理角色分配