Atribuir funções do Microsoft Entra em escopos diferentes

No Microsoft Entra ID, você normalmente atribui Microsoft Entra funções para que elas se apliquem a todo o locatário. No entanto, você também pode atribuir funções do Microsoft Entra para diferentes recursos, como unidades administrativas ou registros de aplicativo. Por exemplo, você pode atribuir a função de administrador de assistência técnica para que ela se aplique apenas a uma determinada unidade administrativa e não a todo o locatário. Os recursos aos quais uma atribuição de função se aplica também são chamados de escopo. Este artigo descreve como atribuir funções do Microsoft Entra no locatário, na unidade administrativa e nos escopos de registro de aplicativo. Para obter mais informações sobre o escopo, confira Visão geral do RBAC (controle de acesso baseado em função) no Microsoft Entra ID.

Pré-requisitos

• Administrador de Função com Privilégios.
• SDK do PowerShell do Microsoft Graph instalado ao usar o PowerShell.
• Consentimento do administrador ao usar o Explorador do Graph para a API do Microsoft Graph.

Para obter mais informações, confira Pré-requisitos para usar o PowerShell ou o Explorador do Graph.

Atribuir funções com escopo ao locatário

Esta seção descreve como atribuir funções no escopo do locatário.

Centro de administração do Microsoft Entra

1. Entre no Centro de administração do Microsoft Entra como, no mínimo, um Administrador de funções com privilégios.

2. Navegue até Identidade>Funções e administradores>Funções e administradores.

   

3. Selecione uma função para ver suas atribuições. Para ajudar você a encontrar a função necessária, use Adicionar filtros para filtrar as funções.

4. Selecione Adicionar atribuições e, em seguida, selecione os usuários que você deseja atribuir a essa função.

   

5. Selecione Adicionar para atribuir a função.

PowerShell

Siga estas etapas para atribuir funções do Microsoft Entra usando o PowerShell.

1. Abra uma janela do PowerShell. Se necessário, use Install-Module para instalar o PowerShell do Microsoft Graph. Para obter mais informações, confira Pré-requisitos para usar o PowerShell ou o Explorador do Graph.

   Install-Module Microsoft.Graph -Scope CurrentUser
   

2. Em uma janela do PowerShell, use Connect-MgGraph para entrar no seu locatário.

   Connect-MgGraph -Scopes "RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"
   

3. Use Get-MgUser para obter o usuário.

   $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"
   

4. Use Get-MgRoleManagementDirectoryRoleDefinition para obter a função que você quer atribuir.

   $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "displayName eq 'Billing Administrator'"
   

5. Defina o locatário como escopo da atribuição de função.

   $directoryScope = '/'
   

6. Use New-MgRoleManagementDirectoryRoleAssignment para atribuir a função.

   $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
      -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
      -RoleDefinitionId $roleDefinition.Id
   

API do Microsoft Graph

Siga estas instruções para atribuir uma função usando a API do Microsoft Graph no Explorador do Graph.

1. Entre no Explorador do Graph.

2. Use a API Listar usuários para obter o usuário.

   GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'
   

3. Use a API Listar roleDefinitions para obter a função que deseja atribuir.

   GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'Billing Administrator'
   

4. Use a API Criar unifiedRoleAssignment para atribuir a função.

   POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
   {
       "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
       "principalId": "<provide objectId of the user obtained above>",
       "roleDefinitionId": "<provide templateId of the role obtained above>",
       "directoryScopeId": "/"
   }
   

Atribuir funções com escopo a uma unidade administrativa

Esta seção descreve como atribuir funções em um escopo de unidade administrativa.

Centro de administração do Microsoft Entra

1. Entre no Centro de administração do Microsoft Entra como, no mínimo, um Administrador de funções com privilégios.

2. Navegue até Identidade>Funções e administradores>Unidades administrativas.

3. Selecione uma unidade administrativa.

   

4. Selecione Funções e administradores no menu de navegação à esquerda para ver a lista de todas as funções disponíveis a serem atribuídas em uma unidade administrativa.

   

5. Selecione uma função desejada.

6. Selecione Adicionar atribuições e, em seguida, selecione os usuários aos quais você deseja atribuir essa função.

7. Selecione Adicionar para atribuir a função com escopo na unidade administrativa.

PowerShell

Siga estas etapas para atribuir funções do Microsoft Entra no escopo da unidade administrativa usando o PowerShell.

1. Abra uma janela do PowerShell. Se necessário, use Install-Module para instalar o PowerShell do Microsoft Graph. Para obter mais informações, confira Pré-requisitos para usar o PowerShell ou o Explorador do Graph.

   Install-Module Microsoft.Graph -Scope CurrentUser
   

2. Em uma janela do PowerShell, use Connect-MgGraph para entrar no seu locatário.

   Connect-MgGraph -Scopes "Directory.Read.All","RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"
   

3. Use Get-MgUser para obter o usuário.

   $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"
   

4. Use Get-MgRoleManagementDirectoryRoleDefinition para obter a função que você quer atribuir.

   $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition `
      -Filter "displayName eq 'User Administrator'"
   

5. Use Get-MgDirectoryAdministrativeUnit para obter a unidade administrativa à qual você deseja definir o escopo da atribuição de função.

   $adminUnit = Get-MgDirectoryAdministrativeUnit -Filter "displayName eq 'Seattle Admin Unit'"
   $directoryScope = '/administrativeUnits/' + $adminUnit.Id
   

6. Use New-MgRoleManagementDirectoryRoleAssignment para atribuir a função.

   $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
      -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
      -RoleDefinitionId $roleDefinition.Id
   

API do Microsoft Graph

Siga estas instruções para atribuir uma função no escopo da unidade administrativa usando a API do Microsoft Graph no Explorador do Graph.

1. Entre no Explorador do Graph.

2. Use a API Listar usuários para obter o usuário.

   GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'
   

3. Use a API Listar roleDefinitions para obter a função que deseja atribuir.

   GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'User Administrator'
   

4. Use a API List administrativeUnits para obter a unidade administrativa à qual você deseja definir o escopo da atribuição de função.

   GET https://graph.microsoft.com/v1.0/directory/administrativeUnits?$filter=displayName eq 'Seattle Admin Unit'
   

5. Use a API Criar unifiedRoleAssignment para atribuir a função.

   POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
   {
       "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
       "principalId": "<provide objectId of the user obtained above>",
       "roleDefinitionId": "<provide templateId of the role obtained above>",
       "directoryScopeId": "/administrativeUnits/<provide objectId of the admin unit obtained above>"
   }
   

Atribuir funções com escopo para um registro de aplicativo

Esta seção descreve como atribuir funções em um escopo de registro de aplicativo.

Centro de administração do Microsoft Entra

1. Entre no Centro de administração do Microsoft Entra como, no mínimo, um Administrador de funções com privilégios.

2. Navegue até Identidade>Aplicativos>Registros de aplicativo.

3. Selecione um aplicativo. Você pode usar a caixa de pesquisa para localizar o aplicativo desejado.

   

4. Selecione Funções e administradores no menu de navegação à esquerda para ver a lista de todas as funções disponíveis a serem atribuídas em um registro de aplicativo.

   

5. Selecione uma função desejada.

6. Selecione Adicionar atribuições e, em seguida, selecione os usuários aos quais você deseja atribuir essa função.

   

7. Selecione Adicionar para atribuir a função com escopo no registro de aplicativo.

   

   

PowerShell

Siga estas etapas para atribuir funções do Microsoft Entra no escopo do aplicativo usando o PowerShell.

1. Abra uma janela do PowerShell. Se necessário, use Install-Module para instalar o PowerShell do Microsoft Graph. Para obter mais informações, confira Pré-requisitos para usar o PowerShell ou o Explorador do Graph.

   Install-Module Microsoft.Graph -Scope CurrentUser
   

2. Em uma janela do PowerShell, use Connect-MgGraph para entrar no seu locatário.

   Connect-MgGraph -Scopes "Application.Read.All","RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"
   

3. Use Get-MgUser para obter o usuário.

   $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"
   

4. Use Get-MgRoleManagementDirectoryRoleDefinition para obter a função que você quer atribuir.

   $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition `
      -Filter "displayName eq 'Application Administrator'"
   

5. Use Get-MgApplication para obter o registro de aplicativo que você deseja definir como escopo da atribuição de função.

   $appRegistration = Get-MgApplication -Filter "displayName eq 'f/128 Filter Photos'"
   $directoryScope = '/' + $appRegistration.Id
   

6. Use New-MgRoleManagementDirectoryRoleAssignment para atribuir a função.

   $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
      -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
      -RoleDefinitionId $roleDefinition.Id 
   

API do Microsoft Graph

Siga estas instruções para atribuir uma função no escopo do aplicativo usando a API do Microsoft Graph no Explorador do Graph.

1. Entre no Explorador do Graph.

2. Use a API Listar usuários para obter o usuário.

   GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'
   

3. Use a API Listar roleDefinitions para obter a função que deseja atribuir.

   GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'Application Administrator'
   

4. Use a API Listar aplicativos para obter a unidade administrativa à qual você deseja definir o escopo da atribuição de função.

   GET https://graph.microsoft.com/v1.0/applications?$filter=displayName eq 'f/128 Filter Photos'
   

5. Use a API Criar unifiedRoleAssignment para atribuir a função.

   POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
   
   {
       "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
       "principalId": "<provide objectId of the user obtained above>",
       "roleDefinitionId": "<provide templateId of the role obtained above>",
       "directoryScopeId": "/<provide objectId of the app registration obtained above>"
   }
   

Próximas etapas

• Lista de atribuições de função do Microsoft Entra.
• Atribuir funções aos usuários do Microsoft Entra.
• Atribuir funções aos grupos do Microsoft Entra