Roles y permisos con privilegios en Microsoft Entra ID (versión preliminar)

Artículo
10/15/2024

Importante

La etiqueta de los roles y permisos con privilegios se encuentra actualmente en VERSIÓN PRELIMINAR. Consulte Términos de uso complementarios para las versiones preliminares de Microsoft Azure para conocer los términos legales que se aplican a las características de Azure que se encuentran en la versión beta, en versión preliminar o que todavía no se han publicado para que estén disponibles con carácter general.

Microsoft Entra ID tiene roles y permisos con privilegios. Estos roles y permisos se pueden usar para delegar la administración de recursos de directorio en otros usuarios, modificar credenciales y directivas de autenticación o autorización, o acceder a datos restringidos. Las asignaciones de roles con privilegios pueden dar lugar a la elevación de privilegios si no se usan de forma segura y prevista. En este artículo se describen los roles con privilegios y permisos, y los procedimientos de uso recomendados.

¿Qué roles y permisos tienen privilegios?

Para obtener una lista de los roles y permisos con privilegios, consulte Roles integrados de Microsoft Entra. También puede usar el Centro de administración de Microsoft Entra, Microsoft Graph PowerShell o Microsoft Graph API para identificar roles, permisos y asignaciones de roles con privilegios.

En el centro de administración de Microsoft Entra, busque la etiqueta CON PRIVILEGIOS.

Icono de etiqueta con privilegios.

En la página Roles y administradores, los roles con privilegios se identifican en la columna Con privilegios. En la columna Asignaciones se muestra el número de asignaciones de roles. También puede filtrar roles con privilegios.

Al ver los permisos de un rol con privilegios, puede ver qué permisos tienen privilegios. Si ve los permisos como un usuario predeterminado, no podrá ver qué permisos tienen privilegios.

Al crear un rol personalizado, puede ver qué permisos tienen privilegios y el rol personalizado se etiquetará como con privilegios.

En Microsoft Graph PowerShell, compruebe si la propiedad IsPrivileged está establecida en True.

Para enumerar roles con privilegios, use el comando Get-MgBetaRoleManagementDirectoryRoleDefinition.

Get-MgBetaRoleManagementDirectoryRoleDefinition -Filter "isPrivileged eq true" | Format-List

AllowedPrincipalTypes   :
Description             : Can create and manage all aspects of app registrations and enterprise apps.
DisplayName             : Application Administrator
Id                      : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users in this role can
                          add, manage, and configureenterprise applications, app registrations and manage on-premises
                          like app proxy.], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$m
                          etadata#roleManagement/directory/roleDefinitions('9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3')/inhe
                          ritsPermissionsFrom]}


AllowedPrincipalTypes   :
Description             : Can reset passwords for non-administrators and Helpdesk Administrators.
DisplayName             : Helpdesk Administrator
Id                      : 729827e3-9c14-49f7-bb1b-9608f156bbb8
InheritsPermissionsFrom : {88d8e3e3-8f55-4a1e-953a-9b9898b8876b}
IsBuiltIn               : True
IsEnabled               : True
IsPrivileged            : True
ResourceScopes          : {/}
RolePermissions         : {Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRolePermission}
TemplateId              : 729827e3-9c14-49f7-bb1b-9608f156bbb8
Version                 : 1
AdditionalProperties    : {[assignmentMode, allowed], [categories, identity], [richDescription, Users with this role
                          can change passwords, invalidate refresh tokens, manage service requests, and monitor
                          service health. Invalidating a refresh token forces the user to sign in again. Helpdesk
                          administrators can reset passwords and invalidate refresh tokens of other users who are
                          non-administrators or assigned the following roles only:
                          * Directory Readers
                          * Guest Inviter
                          * Helpdesk Administrator
                          * Message Center Reader
                          * Password Administrator
                          * Reports Reader], [inheritsPermissionsFrom@odata.context, https://graph.microsoft.com/beta/$
                          metadata#roleManagement/directory/roleDefinitions('729827e3-9c14-49f7-bb1b-9608f156bbb8')/inh
                          eritsPermissionsFrom]}

...

Para enumerar los permisos con privilegios, use el comando Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction.

Get-MgBetaRoleManagementDirectoryResourceNamespaceResourceAction -UnifiedRbacResourceNamespaceId "microsoft.directory" -Filter "isPrivileged eq true" | Format-List

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update all properties (including privileged properties) on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-allProperties-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/allProperties/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

ActionVerb                      : PATCH
AuthenticationContext           : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAuthenticationContextClassReference
AuthenticationContextId         :
Description                     : Update credentials on single-directory applications
Id                              : microsoft.directory-applications.myOrganization-credentials-update-patch
IsAuthenticationContextSettable :
IsPrivileged                    : True
Name                            : microsoft.directory/applications.myOrganization/credentials/update
ResourceScope                   : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRbacResourceScope
ResourceScopeId                 :
AdditionalProperties            : {}

...

Para enumerar las asignaciones de roles con privilegios, use el comando Get-MgBetaRoleManagementDirectoryRoleAssignment.

Get-MgBetaRoleManagementDirectoryRoleAssignment -ExpandProperty "roleDefinition" -Filter "roleDefinition/isPrivileged eq true" | Format-List

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

AppScope                : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphAppScope
AppScopeId              :
Condition               :
DirectoryScope          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
DirectoryScopeId        : /
Id                      : <Id>
Principal               : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphDirectoryObject
PrincipalId             : <PrincipalId>
PrincipalOrganizationId : <PrincipalOrganizationId>
ResourceScope           : /
RoleDefinition          : Microsoft.Graph.Beta.PowerShell.Models.MicrosoftGraphUnifiedRoleDefinition
RoleDefinitionId        : 62e90394-69f5-4237-9190-012177145e10
AdditionalProperties    : {}

...

En Microsoft Graph API, compruebe si la propiedad isPrivileged está establecida en true.

Para enumerar roles con privilegios, use la API List roleDefinitions.

GET https://graph.microsoft.com/beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true

Respuesta

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions",
    "value": [
        {
            "id": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "description": "Can manage secrets for federation and encryption in the Identity Experience Framework (IEF).",
            "displayName": "B2C IEF Keyset Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "aaf43236-0c0d-4d5f-883a-6955382ac081",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/b2cTrustFrameworkKeySet/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('aaf43236-0c0d-4d5f-883a-6955382ac081')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        },
        {
            "id": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "description": "Can configure identity providers for use in direct federation.",
            "displayName": "External Identity Provider Administrator",
            "isBuiltIn": true,
            "isEnabled": true,
            "isPrivileged": true,
            "resourceScopes": [
                "/"
            ],
            "templateId": "be2f45a1-457d-42af-a067-6ec1fa63bc45",
            "version": "1",
            "rolePermissions": [
                {
                    "allowedResourceActions": [
                        "microsoft.directory/domains/federation/update",
                        "microsoft.directory/identityProviders/allProperties/allTasks"
                    ],
                    "condition": null
                }
            ],
            "inheritsPermissionsFrom@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleDefinitions('be2f45a1-457d-42af-a067-6ec1fa63bc45')/inheritsPermissionsFrom",
            "inheritsPermissionsFrom": [
                {
                    "id": "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
                }
            ]
        }
    ]
}

Para enumerar los permisos con privilegios, use la API List resourceActions.

GET https://graph.microsoft.com/beta/roleManagement/directory/resourceNamespaces/microsoft.directory/resourceActions?$filter=isPrivileged eq true

Respuesta

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/resourceNamespaces('microsoft.directory')/resourceActions",
    "value": [
        {
            "actionVerb": "PATCH",
            "description": "Update application credentials",
            "id": "microsoft.directory-applications-credentials-update-patch",
            "isPrivileged": true,
            "name": "microsoft.directory/applications/credentials/update",
            "resourceScopeId": null
        },
        {
            "actionVerb": null,
            "description": "Manage all aspects of authorization policy",
            "id": "microsoft.directory-authorizationPolicy-allProperties-allTasks",
            "isPrivileged": true,
            "name": "microsoft.directory/authorizationPolicy/allProperties/allTasks",
            "resourceScopeId": null
        }
    ]
}

Para enumerar las asignaciones de roles con privilegios, use la API List unifiedRoleAssignments.

GET https://graph.microsoft.com/beta/roleManagement/directory/roleAssignments?$expand=roleDefinition&$filter=roleDefinition/isPrivileged eq true

Respuesta

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments(roleDefinition())",
    "value": [
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
            "roleDefinition": {
                "id": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "description": "Can manage Conditional Access capabilities.",
                "displayName": "Conditional Access Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "b1be1c3e-b65d-4f19-8427-f6fa0d97feb9",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/namedLocations/create",
                            "microsoft.directory/namedLocations/delete",
                            "microsoft.directory/namedLocations/standard/read",
                            "microsoft.directory/namedLocations/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/create",
                            "microsoft.directory/conditionalAccessPolicies/delete",
                            "microsoft.directory/conditionalAccessPolicies/standard/read",
                            "microsoft.directory/conditionalAccessPolicies/owners/read",
                            "microsoft.directory/conditionalAccessPolicies/policyAppliedTo/read",
                            "microsoft.directory/conditionalAccessPolicies/basic/update",
                            "microsoft.directory/conditionalAccessPolicies/owners/update",
                            "microsoft.directory/conditionalAccessPolicies/tenantDefault/update"
                        ],
                        "condition": null
                    }
                ]
            }
        },
        {
            "id": "{id}",
            "principalId": "{principalId}",
            "principalOrganizationId": "{principalOrganizationId}",
            "resourceScope": "/",
            "directoryScopeId": "/",
            "roleDefinitionId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
            "roleDefinition": {
                "id": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "description": "Can access to view, set and reset authentication method information for any non-admin user.",
                "displayName": "Authentication Administrator",
                "isBuiltIn": true,
                "isEnabled": true,
                "isPrivileged": true,
                "resourceScopes": [
                    "/"
                ],
                "templateId": "c4e39bd9-1100-46d3-8c65-fb160da0071f",
                "version": "1",
                "rolePermissions": [
                    {
                        "allowedResourceActions": [
                            "microsoft.directory/users/authenticationMethods/create",
                            "microsoft.directory/users/authenticationMethods/delete",
                            "microsoft.directory/users/authenticationMethods/standard/restrictedRead",
                            "microsoft.directory/users/authenticationMethods/basic/update",
                            "microsoft.directory/deletedItems.users/restore",
                            "microsoft.directory/users/delete",
                            "microsoft.directory/users/disable",
                            "microsoft.directory/users/enable",
                            "microsoft.directory/users/invalidateAllRefreshTokens",
                            "microsoft.directory/users/restore",
                            "microsoft.directory/users/basic/update",
                            "microsoft.directory/users/manager/update",
                            "microsoft.directory/users/password/update",
                            "microsoft.directory/users/userPrincipalName/update",
                            "microsoft.azure.serviceHealth/allEntities/allTasks",
                            "microsoft.azure.supportTickets/allEntities/allTasks",
                            "microsoft.office365.serviceHealth/allEntities/allTasks",
                            "microsoft.office365.supportTickets/allEntities/allTasks",
                            "microsoft.office365.webPortal/allEntities/standard/read"
                        ],
                        "condition": null
                    }
                ]
            }
        }
    ]
}

Procedimientos recomendados para usar roles con privilegios

Estos son algunos de los procedimientos recomendados para usar roles con privilegios.

Aplicación del principio de privilegios mínimos
Uso de Privileged Identity Management para conceder acceso Just-in-Time
Activación de la autenticación multifactor para todas las cuentas de administrador
Configuración de revisiones de acceso periódicas para revocar permisos innecesarios a lo largo del tiempo
Limitación del número de administradores globales a menos de cinco
Limitación del número de asignaciones de roles con privilegios a menos de 10

Para obtener más información, consulte Procedimientos recomendados para los roles de Microsoft Entra.

Permisos con privilegios frente a acciones protegidas

Los permisos con privilegios y las acciones protegidas son funcionalidades relacionadas con la seguridad que tienen diferentes propósitos. Los permisos que tienen la etiqueta CON PRIVILEGIOS le ayudan a identificar los permisos que pueden dar lugar a la elevación de privilegios si no se usan de forma segura y prevista. Las acciones protegidas son permisos de rol a los que se han asignado directivas de acceso condicional para mayor seguridad, como requerir la autenticación multifactor. Los requisitos de acceso condicional se aplican cuando un usuario realiza la acción protegida. Las acciones protegidas están actualmente en versión preliminar. Consulte ¿Qué son las acciones protegidas en Microsoft Entra ID? para obtener más información.

Funcionalidad	Permiso con privilegios	Acción protegida
Identificar los permisos que se deben usar de forma segura	✅
Requerir seguridad adicional para realizar una acción		✅

Terminología

Para comprender los roles y permisos con privilegios en Microsoft Entra ID, es útil conocer algunos de los términos siguientes.

Término	Definición
action	Una actividad que una entidad de seguridad puede realizar en un tipo de objeto. A veces se conoce como una operación.
permiso	Definición que especifica la actividad que una entidad de seguridad puede realizar en un tipo de objeto. Un permiso incluye una o varias acciones.
permiso con privilegios	En Microsoft Entra ID, permisos que se pueden usar para delegar la administración de recursos de directorio en otros usuarios, modificar credenciales y directivas de autenticación o autorización, o acceder a datos restringidos.
rol con privilegios	Un rol integrado o personalizado que tiene uno o varios permisos con privilegios.
asignación de roles con privilegios	Asignación de roles que usa un rol con privilegios.
elevación de privilegios	Cuando una entidad de seguridad obtiene más permisos de los que su rol asignado proporcionó inicialmente suplantando otro rol.
acción protegida	Permisos con acceso condicional aplicado para mayor seguridad.

Cómo comprender los permisos de rol

El esquema de los permisos sigue de forma general el formato REST de Microsoft Graph:

<namespace>/<entity>/<propertySet>/<action>

Por ejemplo:

microsoft.directory/applications/credentials/update

Elemento de permiso	Descripción
espacio de nombres	Producto o servicio que expone la tarea y al que se le antepone `microsoft`. Por ejemplo, todas las tareas de Microsoft Entra ID usan el espacio de nombres `microsoft.directory`.
Entidad	Característica o componente lógicos que expone el servicio en Microsoft Graph. Por ejemplo, Microsoft Entra ID expone usuarios y grupos, OneNote expone notas y Exchange expone buzones y calendarios. Existe la palabra clave especial `allEntities` para especificar todas las entidades de un espacio de nombres. Se utiliza a menudo en roles que conceden acceso a un producto completo.
propertySet	Propiedades específicas o aspectos de la entidad para los que se concede el acceso. Por ejemplo, `microsoft.directory/applications/authentication/read` permite leer la dirección URL de respuesta, la dirección URL de cierre de sesión y la propiedad de flujo implícita en el objeto de aplicación en Microsoft Entra ID. `allProperties` designa todas las propiedades de la entidad, incluidas las propiedades con privilegios. `standard` designa las propiedades comunes, pero excluye las que tienen privilegios relacionados con la acción `read`. Por ejemplo, `microsoft.directory/user/standard/read` incluye la capacidad de leer propiedades estándar, como el número de teléfono público y la dirección de correo electrónico, pero no el número de teléfono secundario privado ni la dirección de correo electrónico que se usa para la autenticación multifactor. `basic` designa las propiedades comunes, pero excluye las que tienen privilegios relacionados con la acción `update`. El conjunto de propiedades que puede leer puede ser diferente de lo que puede actualizar. Este es el motivo por el que existen las palabras clave `standard` y `basic` para reflejarlo.
action	Operación que se concede, normalmente crear, leer, actualizar o eliminar (CRUD). Existe la palabra clave especial `allTasks` para especificar todas las capacidades anteriores (crear, leer, actualizar y eliminar).

Comparación de roles de autenticación

En la tabla siguiente se comparan las funcionalidades de roles relacionados con la autenticación.

Role	Administrar los métodos de autenticación del usuario	Administrar MFA por usuario	Administrar la configuración de MFA	Administrar la directiva del método de autenticación	Administrar la directiva de protección de contraseñas	Actualizar las propiedades confidenciales	Eliminar y restaurar usuarios
Administrador de autenticación	Sí, para algunos usuarios	Sí, para algunos usuarios	Sí	No	No	Sí, para algunos usuarios	Sí, para algunos usuarios
Administrador de autenticación con privilegios	Sí, para todos los usuarios	Sí, para todos los usuarios	No	N.º	No	Sí, para todos los usuarios	Sí, para todos los usuarios
Administrador de directivas de autenticación	No	Sí	Sí	Sí	Sí	No	No
Administrador de usuarios	No	N.º	N.º	N.º	No	Sí, para algunos usuarios	Sí, para algunos usuarios

Quién puede restablecer las contraseñas

En la tabla siguiente, las columnas enumeran los roles que pueden restablecer las contraseñas e invalidar tokens de actualización. Las filas enumeran los roles para los que se puede restablecer la contraseña. Por ejemplo, un administrador de contraseñas puede restablecer la contraseña para lector de directorios, Invitador de usuarios invitados, administrador de contraseñasy usuarios sin rol de administrador. Si a un usuario se le asigna cualquier otro rol, el administrador de contraseñas no puede restablecer su contraseña.

La tabla siguiente es para los roles asignados en el ámbito de un inquilino. En el caso de los roles asignados en el ámbito de una unidad administrativa, se aplican restricciones adicionales.

Rol para el que se puede restablecer la contraseña	Administrador de contraseñas	Administrador del departamento de soporte técnico	Administrador de autenticación	Administrador de usuarios	Administración de autenticación con privilegios	Administrador global
Administrador de autenticación			✅		✅	✅
Lectores de directorios	✅	✅	✅	✅	✅	✅
Administrador global					✅	✅*
Administrador de grupos				✅	✅	✅
Invitador de usuarios	✅	✅	✅	✅	✅	✅
Administrador del departamento de soporte técnico		✅		✅	✅	✅
Lector del Centro de mensajes		✅	✅	✅	✅	✅
Administrador de contraseñas	✅	✅	✅	✅	✅	✅
Administración de autenticación con privilegios					✅	✅
Administrador de roles con privilegios					✅	✅
Lector de informes		✅	✅	✅	✅	✅
User (sin rol de administrador)	✅	✅	✅	✅	✅	✅
User (sin rol de administrador, pero miembro o propietario de un grupo al que se pueden asignar roles)					✅	✅
Usuario con un rol con ámbito a una unidad administrativa de administración restringida					✅	✅
Administración de usuarios				✅	✅	✅
Administrador de éxito de la experiencia del usuario		✅	✅	✅	✅	✅
Resumen de uso de Lector de informes		✅	✅	✅	✅	✅
Otros roles integrados y personalizados					✅	✅

Importante

El rol Soporte para asociados de nivel 2 puede restablecer las contraseñas e invalidar los tokens de actualización para todos los no administradores y los administradores (incluidos los administradores globales). El rol Soporte para asociados de nivel 1puede restablecer las contraseñas e invalidar los tokens de actualización solo para los usuarios que no sean administradores. Estos roles no se deben usar porque están en desuso.

La capacidad de restablecer una contraseña incluye la capacidad de actualizar las siguientes propiedades confidenciales necesarias para el autoservicio de restablecimiento de contraseña:

businessPhones
mobilePhone
otherMails

Quién puede realizar acciones confidenciales

Algunos administradores pueden realizar las siguientes acciones confidenciales para algunos usuarios. Todos los usuarios pueden leer las propiedades confidenciales.

Acción confidencial	Nombre de propiedad confidencial
Deshabilitar o habilitar usuarios	`accountEnabled`
Actualizar el teléfono de la empresa	`businessPhones`
Actualizar el teléfono móvil	`mobilePhone`
Actualizar el identificador inmutable local	`onPremisesImmutableId`
Actualizar otros correos electrónicos	`otherMails`
Actualizar el perfil de contraseña	`passwordProfile`
Actualizar el nombre principal de usuario	`userPrincipalName`
Eliminar o restaurar usuarios	No aplicable

En la tabla siguiente, las columnas enumeran los roles que pueden realizar las acciones confidenciales. Las filas enumeran los roles en los que se puede realizar la acción confidencial.

La tabla siguiente es para los roles asignados en el ámbito de un inquilino. En el caso de los roles asignados en el ámbito de una unidad administrativa, se aplican restricciones adicionales.

Rol en el que se puede realizar una acción confidencial	Administrador de autenticación	Administrador de usuarios	Administración de autenticación con privilegios	Administrador global
Administrador de autenticación	✅		✅	✅
Lectores de directorios	✅	✅	✅	✅
Administrador global			✅	✅
Administrador de grupos		✅	✅	✅
Invitador de usuarios	✅	✅	✅	✅
Administrador del departamento de soporte técnico		✅	✅	✅
Lector del Centro de mensajes	✅	✅	✅	✅
Administrador de contraseñas	✅	✅	✅	✅
Administración de autenticación con privilegios			✅	✅
Administrador de roles con privilegios			✅	✅
Lector de informes	✅	✅	✅	✅
User (sin rol de administrador)	✅	✅	✅	✅
User (sin rol de administrador, pero miembro o propietario de un grupo al que se pueden asignar roles)			✅	✅
Usuario con un rol con ámbito a una unidad administrativa de administración restringida			✅	✅
Administración de usuarios		✅	✅	✅
Administrador de éxito de la experiencia del usuario	✅	✅	✅	✅
Resumen de uso de Lector de informes	✅	✅	✅	✅
Otros roles integrados y personalizados			✅	✅

Compartir a través de

Roles y permisos con privilegios en Microsoft Entra ID (versión preliminar)

¿Qué roles y permisos tienen privilegios?

Procedimientos recomendados para usar roles con privilegios

Permisos con privilegios frente a acciones protegidas

Terminología

Cómo comprender los permisos de rol

Comparación de roles de autenticación

Quién puede restablecer las contraseñas

Quién puede realizar acciones confidenciales

Pasos siguientes

Comentarios

Recursos adicionales