Funções incorporadas do Microsoft Entra

Na ID do Microsoft Entra, se outro administrador ou não administrador precisar gerenciar os recursos do Microsoft Entra, atribua-lhes uma função do Microsoft Entra que forneça as permissões necessárias. Por exemplo, você pode atribuir funções para permitir adicionar ou alterar usuários, redefinir senhas de usuário, gerenciar licenças de usuário ou gerenciar nomes de domínio.

Este artigo lista as funções internas do Microsoft Entra que você pode atribuir para permitir o gerenciamento de recursos do Microsoft Entra. Para obter informações sobre a atribuição de funções, veja Atribuir funções do Microsoft Entra aos utilizadores. Se você estiver procurando funções para gerenciar recursos do Azure, consulte Funções internas do Azure.

Todas as funções

Administrador da Aplicação

Trata-se de um papel privilegiado. Os utilizadores nesta função podem criar e gerir todos os aspetos das aplicações empresariais, registos de aplicações e definições do proxy de aplicações. Observe que os usuários atribuídos a essa função não são adicionados como proprietários ao criar novos registros de aplicativos ou aplicativos corporativos.

Essa função também concede a capacidade de consentir permissões delegadas e permissões de aplicativo, com exceção das permissões de aplicativo para o Azure AD Graph e o Microsoft Graph.

Programador de Aplicações

Trata-se de um papel privilegiado. Os usuários nessa função podem criar registros de aplicativos quando a configuração "Usuários podem registrar aplicativos" estiver definida como Não. Essa função também concede permissão para consentir em nome próprio quando a configuração "Usuários podem consentir que aplicativos acessem dados da empresa em seu nome" está definida como Não. Os utilizadores atribuídos a esta função são adicionados como proprietários ao criar novos registos de aplicações.

Autor da carga útil de ataque

Os usuários nessa função podem criar cargas úteis de ataque, mas não realmente iniciá-las ou programá-las. As cargas úteis de ataque ficam então disponíveis para todos os administradores no locatário que podem usá-las para criar uma simulação.

Para obter mais informações, consulte Permissões do Microsoft Defender para Office 365 no portal do Microsoft 365 Defender e Permissões no portal de conformidade do Microsoft Purview.

Administrador de Simulação de Ataque

Os usuários nessa função podem criar e gerenciar todos os aspetos da criação de simulação de ataque, lançamento/agendamento de uma simulação e revisão dos resultados da simulação. Os membros dessa função têm esse acesso para todas as simulações no locatário.

Para obter mais informações, consulte Permissões do Microsoft Defender para Office 365 no portal do Microsoft 365 Defender e Permissões no portal de conformidade do Microsoft Purview.

Administrador de Atribuição de Atributos

Os usuários com essa função podem atribuir e remover chaves e valores de atributos de segurança personalizados para objetos do Microsoft Entra suportados, como usuários, entidades de serviço e dispositivos.

Por padrão, o Administrador Global e outras funções de administrador não têm permissões para ler, definir ou atribuir atributos de segurança personalizados. Para trabalhar com atributos de segurança personalizados, você deve receber uma das funções de atributo de segurança personalizado.

Para obter mais informações, consulte Gerenciar o acesso a atributos de segurança personalizados no Microsoft Entra ID.

Leitor de atribuição de atributos

Os usuários com essa função podem ler chaves e valores de atributos de segurança personalizados para objetos do Microsoft Entra suportados.

Por padrão, o Administrador Global e outras funções de administrador não têm permissões para ler, definir ou atribuir atributos de segurança personalizados. Para trabalhar com atributos de segurança personalizados, você deve receber uma das funções de atributo de segurança personalizado.

Para obter mais informações, consulte Gerenciar o acesso a atributos de segurança personalizados no Microsoft Entra ID.

Administrador de Definição de Atributo

Os usuários com essa função podem definir um conjunto válido de atributos de segurança personalizados que podem ser atribuídos a objetos do Microsoft Entra suportados. Essa função também pode ativar e desativar atributos de segurança personalizados.

Por padrão, o Administrador Global e outras funções de administrador não têm permissões para ler, definir ou atribuir atributos de segurança personalizados. Para trabalhar com atributos de segurança personalizados, você deve receber uma das funções de atributo de segurança personalizado.

Para obter mais informações, consulte Gerenciar o acesso a atributos de segurança personalizados no Microsoft Entra ID.

Leitor de definição de atributo

Os usuários com essa função podem ler a definição de atributos de segurança personalizados.

Por padrão, o Administrador Global e outras funções de administrador não têm permissões para ler, definir ou atribuir atributos de segurança personalizados. Para trabalhar com atributos de segurança personalizados, você deve receber uma das funções de atributo de segurança personalizado.

Para obter mais informações, consulte Gerenciar o acesso a atributos de segurança personalizados no Microsoft Entra ID.

Administrador de log de atributos

Atribua a função Leitor de Log de Atributos aos usuários que precisam executar as seguintes tarefas:

• Ler logs de auditoria para alterações de valor de atributo de segurança personalizado
• Ler logs de auditoria para alterações e atribuições de definição de atributo de segurança personalizado
• Definir configurações de diagnóstico para atributos de segurança personalizados

Os usuários com essa função não podem ler logs de auditoria para outros eventos.

Por padrão, o Administrador Global e outras funções de administrador não têm permissões para ler logs de auditoria para atributos de segurança personalizados. Para ler logs de auditoria para atributos de segurança personalizados, você deve receber essa função ou a função Leitor de Log de Atributos.

Para obter mais informações, consulte Gerenciar o acesso a atributos de segurança personalizados no Microsoft Entra ID.

Leitor de log de atributos

Atribua a função Leitor de Log de Atributos aos usuários que precisam executar as seguintes tarefas:

• Ler logs de auditoria para alterações de valor de atributo de segurança personalizado
• Ler logs de auditoria para alterações e atribuições de definição de atributo de segurança personalizado

Os usuários com essa função não podem executar as seguintes tarefas:

• Definir configurações de diagnóstico para atributos de segurança personalizados
• Ler logs de auditoria para outros eventos

Por padrão, o Administrador Global e outras funções de administrador não têm permissões para ler logs de auditoria para atributos de segurança personalizados. Para ler logs de auditoria para atributos de segurança personalizados, você deve receber essa função ou a função de Administrador de Log de Atributos.

Para obter mais informações, consulte Gerenciar o acesso a atributos de segurança personalizados no Microsoft Entra ID.

Administrador de Autenticação

Trata-se de um papel privilegiado. Atribua a função de Administrador de Autenticação aos usuários que precisam fazer o seguinte:

• Defina ou redefina qualquer método de autenticação (incluindo senhas) para não administradores e algumas funções. Para obter uma lista das funções que um Administrador de Autenticação pode ler ou atualizar métodos de autenticação, consulte Quem pode redefinir senhas.
• Exija que os usuários que não são administradores ou atribuídos a algumas funções se registrem novamente em relação às credenciais não senhas existentes (por exemplo, MFA ou FIDO) e também pode revogar o MFA de memória no dispositivo, que solicita MFA no próximo login.
• Gerencie as configurações de MFA no portal de gerenciamento de MFA herdado.
• Execute ações confidenciais para alguns usuários. Para obter mais informações, consulte Quem pode executar ações confidenciais.
• Crie e gerencie tíquetes de suporte no Azure e no centro de administração do Microsoft 365.

Os usuários com essa função não podem fazer o seguinte:

• Não é possível alterar as credenciais ou redefinir a MFA para membros e proprietários de um grupo atribuível por função.
• Não é possível gerenciar tokens OATH de hardware.

A tabela a seguir compara os recursos de funções relacionadas à autenticação.

Função	Gerir os métodos de autenticação do utilizador	Ativar a MFA por utilizador	Gerir as definições da MFA	Gerir a política do método de autenticação	Gerir a política de proteção de palavras-passe	Atualizar as propriedades confidenciais	Eliminar e restaurar utilizadores
Administrador de autenticação	Sim para alguns utilizadores	Sim para alguns utilizadores	Sim	No	No	Sim para alguns utilizadores	Sim para alguns utilizadores
Administrador de autenticação privilegiada	Sim para todos os utilizadores	Sim para todos os utilizadores	No	No	No	Sim para todos os utilizadores	Sim para todos os utilizadores
Administrador de políticas de autenticação	Não	Sim	Sim	Sim	Sim	No	No
Administrador de Utilizadores	No	No	No	No	No	Sim para alguns utilizadores	Sim para alguns utilizadores

Administrador de Extensibilidade de Autenticação

Trata-se de um papel privilegiado. Atribua a função de Administrador de Extensibilidade de Autenticação aos usuários que precisam executar as seguintes tarefas:

• Crie e gerencie todos os aspetos das extensões de autenticação personalizadas.

Os usuários com essa função não podem fazer o seguinte:

• Não é possível atribuir extensões de autenticação personalizadas a aplicativos para modificar as experiências de autenticação e não pode consentir com permissões de aplicativo ou criar registros de aplicativo associados à extensão de autenticação personalizada. Em vez disso, você deve usar as funções de Administrador de Aplicativos, Desenvolvedor de Aplicativos ou Administrador de Aplicativos na Nuvem.

Uma extensão de autenticação personalizada é um ponto de extremidade de API criado por um desenvolvedor para eventos de autenticação e está registrado no Microsoft Entra ID. Os administradores e proprietários de aplicativos podem usar extensões de autenticação personalizadas para personalizar as experiências de autenticação de seus aplicativos, como entrar e se inscrever ou redefinir senha.

Mais informações

Administrador da Política de Autenticação

Atribua a função de Administrador de Política de Autenticação aos usuários que precisam fazer o seguinte:

• Configure a política de métodos de autenticação, as configurações de MFA em todo o locatário e a política de proteção por senha que determinam quais métodos cada usuário pode registrar e usar.
• Gerenciar configurações de proteção por senha: configurações inteligentes de bloqueio e atualização da lista de senhas proibidas personalizadas.
• Gerencie as configurações de MFA no portal de gerenciamento de MFA herdado.
• Crie e gerencie credenciais verificáveis.
• Crie e gerencie tíquetes de suporte do Azure.

Os usuários com essa função não podem fazer o seguinte:

• Não é possível atualizar propriedades confidenciais. Para obter mais informações, consulte Quem pode executar ações confidenciais.
• Não é possível excluir ou restaurar usuários. Para obter mais informações, consulte Quem pode executar ações confidenciais.
• Não é possível gerenciar tokens OATH de hardware.

A tabela a seguir compara os recursos de funções relacionadas à autenticação.

Função	Gerir os métodos de autenticação do utilizador	Ativar a MFA por utilizador	Gerir as definições da MFA	Gerir a política do método de autenticação	Gerir a política de proteção de palavras-passe	Atualizar as propriedades confidenciais	Eliminar e restaurar utilizadores
Administrador de autenticação	Sim para alguns utilizadores	Sim para alguns utilizadores	Sim	No	No	Sim para alguns utilizadores	Sim para alguns utilizadores
Administrador de autenticação privilegiada	Sim para todos os utilizadores	Sim para todos os utilizadores	No	No	No	Sim para todos os utilizadores	Sim para todos os utilizadores
Administrador de políticas de autenticação	Não	Sim	Sim	Sim	Sim	No	No
Administrador de Utilizadores	No	No	No	No	No	Sim para alguns utilizadores	Sim para alguns utilizadores

Administrador de DevOps do Azure

Os usuários com essa função podem gerenciar todas as políticas de DevOps do Azure corporativas, aplicáveis a todas as organizações de DevOps do Azure apoiadas pela ID do Microsoft Entra. Os usuários nessa função podem gerenciar essas políticas navegando para qualquer organização do Azure DevOps que seja apoiada pela ID do Microsoft Entra da empresa. Além disso, os usuários nessa função podem reivindicar a propriedade de organizações órfãs do Azure DevOps. Essa função não concede outras permissões específicas do Azure DevOps (por exemplo, Administradores de Coleção de Projetos) dentro de qualquer uma das organizações de DevOps do Azure apoiadas pela organização Microsoft Entra da empresa.

Administrador de Proteção de Informações do Azure

Os usuários com essa função têm todas as permissões no serviço Proteção de Informações do Azure. Essa função permite configurar rótulos para a política de Proteção de Informações do Azure, gerenciar modelos de proteção e ativar a proteção. Esta função não concede permissões no Microsoft Entra ID Protection, Privileged Identity Management, Monitor Microsoft 365 Service Health, Microsoft 365 Defender portal ou Microsoft Purview compliance portal.

Administrador de Conjuntos de Chaves B2C IEF

Trata-se de um papel privilegiado. O usuário pode criar e gerenciar chaves de política e segredos para criptografia de token, assinaturas de token e criptografia/descriptografia de declaração. Ao adicionar novas chaves a contêineres de chaves existentes, esse administrador limitado pode rolar segredos conforme necessário sem afetar os aplicativos existentes. Este usuário pode ver o conteúdo completo desses segredos e suas datas de validade, mesmo após a sua criação.

Administrador de Políticas B2C IEF

Os usuários nessa função têm a capacidade de criar, ler, atualizar e excluir todas as políticas personalizadas no Azure AD B2C e, portanto, têm controle total sobre a Estrutura de Experiência de Identidade na organização relevante do Azure AD B2C. Ao editar políticas, esse usuário pode estabelecer federação direta com provedores de identidade externos, alterar o esquema de diretório, alterar todo o conteúdo voltado para o usuário (HTML, CSS, JavaScript), alterar os requisitos para concluir uma autenticação, criar novos usuários, enviar dados do usuário para sistemas externos, incluindo migrações completas, e editar todas as informações do usuário, incluindo campos confidenciais, como senhas e números de telefone. Por outro lado, essa função não pode alterar as chaves de criptografia ou editar os segredos usados para federação na organização.

Administrador de Faturação

Faz compras, gerencia assinaturas, gerencia tíquetes de suporte e monitora a integridade do serviço.

Administrador de Segurança de Aplicações na Nuvem

Os usuários com essa função têm permissões totais no Defender for Cloud Apps. Eles podem adicionar administradores, adicionar políticas e configurações do Microsoft Defender for Cloud Apps, carregar logs e executar ações de governança.

Administrador de Aplicações na Cloud

Trata-se de um papel privilegiado. Os utilizadores nesta função têm as mesmas permissões que a função de Administrador de Aplicação, à exceção da capacidade de gerir o proxy de aplicações. Esta função fornece a capacidade de criar e gerir todos os aspetos das aplicações empresariais e dos registos de aplicações. Os utilizadores atribuídos a esta função não são adicionados como proprietários ao criar novos registos de aplicação ou aplicações empresariais.

Essa função também concede a capacidade de consentir permissões delegadas e permissões de aplicativo, com exceção das permissões de aplicativo para o Azure AD Graph e o Microsoft Graph.

Administrador de dispositivos na nuvem

Trata-se de um papel privilegiado. Os usuários nessa função podem habilitar, desabilitar e excluir dispositivos no Microsoft Entra ID e ler chaves BitLocker do Windows 10 (se houver) no portal do Azure. A função não concede permissões para gerenciar quaisquer outras propriedades no dispositivo.

Administrador de conformidade

Os usuários com essa função têm permissões para gerenciar recursos relacionados à conformidade no portal de conformidade do Microsoft Purview, no centro de administração do Microsoft 365, no Azure e no portal do Microsoft 365 Defender. Os cessionários também podem gerenciar todos os recursos no centro de administração do Exchange e criar tíquetes de suporte para o Azure e o Microsoft 365. Para obter mais informações, consulte Funções e grupos de funções no Microsoft Defender para Office 365 e conformidade com o Microsoft Purview.

Em	Pode fazer
Portal de conformidade do Microsoft Purview	Proteja e gerencie os dados da sua organização nos serviços do Microsoft 365 Gerenciar alertas de conformidade
Gerente de Conformidade Microsoft Purview	Rastreie, atribua e verifique as atividades de conformidade regulatória da sua organização
Portal do Microsoft 365 Defender	Gerenciar governança de dados Realizar investigação legal e de dados Gerir Pedido do Titular dos Dados Essa função tem as mesmas permissões que o grupo de funções Administrador de Conformidade no controle de acesso baseado em função do portal do Microsoft 365 Defender.
Intune	Exibir todos os dados de auditoria do Intune
Aplicativos do Microsoft Defender para Nuvem	Tem permissões somente leitura e pode gerenciar alertas Pode criar e modificar políticas de arquivo e permitir ações de governança de arquivos Pode visualizar todos os relatórios internos em Gerenciamento de Dados

Administrador de dados de conformidade

Os usuários com essa função têm permissões para rastrear dados no portal de conformidade do Microsoft Purview, no centro de administração do Microsoft 365 e no Azure. Os usuários também podem rastrear dados de conformidade no centro de administração do Exchange, no Gerenciador de Conformidade e no Centro de administração do Teams & Skype for Business e criar tíquetes de suporte para o Azure e o Microsoft 365. Para obter mais informações sobre as diferenças entre Administrador de Conformidade e Administrador de Dados de Conformidade, consulte Funções e grupos de funções no Microsoft Defender para Office 365 e conformidade com o Microsoft Purview.

Em	Pode fazer
Portal de conformidade do Microsoft Purview	Monitore políticas relacionadas à conformidade nos serviços do Microsoft 365 Gerenciar alertas de conformidade
Gerente de Conformidade Microsoft Purview	Rastreie, atribua e verifique as atividades de conformidade regulatória da sua organização
Portal do Microsoft 365 Defender	Gerenciar governança de dados Realizar investigação legal e de dados Gerir Pedido do Titular dos Dados Essa função tem as mesmas permissões que o grupo de funções Administrador de Dados de Conformidade no controle de acesso baseado em função do portal do Microsoft 365 Defender.
Intune	Exibir todos os dados de auditoria do Intune
Aplicativos do Microsoft Defender para Nuvem	Tem permissões somente leitura e pode gerenciar alertas Pode criar e modificar políticas de arquivo e permitir ações de governança de arquivos Pode visualizar todos os relatórios internos em Gerenciamento de Dados

Administrador de Acesso Condicional

Trata-se de um papel privilegiado. Os usuários com essa função têm a capacidade de gerenciar as configurações de Acesso Condicional do Microsoft Entra.

Aprovador de Acesso ao Customer LockBox

Gerencia as solicitações do Microsoft Purview Customer Lockbox em sua organização. Eles recebem notificações por email para solicitações do Customer Lockbox e podem aprovar e negar solicitações do Centro de administração do Microsoft 365. Eles também podem ativar ou desativar o recurso Customer Lockbox. Apenas os Administradores Globais podem repor as palavras-passe das pessoas atribuídas a esta função.

Administrador do Desktop Analytics

Os usuários nessa função podem gerenciar o serviço Desktop Analytics. Isso inclui a capacidade de exibir o inventário de ativos, criar planos de implantação e exibir a implantação e o status de integridade.

Leitores de Diretório

Os usuários nessa função podem ler informações básicas de diretório. Esta função deve ser utilizada para:

• Conceder a um conjunto específico de usuários convidados acesso de leitura em vez de concedê-lo a todos os usuários convidados.
• Conceder a um conjunto específico de usuários não administradores acesso ao centro de administração do Microsoft Entra quando "Restringir acesso ao centro de administração do Microsoft Entra" estiver definido como "Sim".
• Conceder às entidades de serviço acesso ao diretório onde Directory.Read.All não é uma opção.

Contas de sincronização de diretórios

Não utilizar. Esta função é atribuída automaticamente ao serviço Microsoft Entra Connect e não se destina nem tem suporte para qualquer outro uso.

Escritores de Diretórios

Trata-se de um papel privilegiado. Os usuários nessa função podem ler e atualizar informações básicas de usuários, grupos e entidades de serviço.

Administrador de Nomes de Domínio

Trata-se de um papel privilegiado. Os usuários com essa função podem gerenciar (ler, adicionar, verificar, atualizar e excluir) nomes de domínio. Eles também podem ler informações de diretório sobre usuários, grupos e aplicativos, pois esses objetos possuem dependências de domínio. Para ambientes locais, os usuários com essa função podem configurar nomes de domínio para federação para que os usuários associados sejam sempre autenticados localmente. Esses usuários podem entrar nos serviços baseados no Microsoft Entra com suas senhas locais por meio do logon único. As configurações de federação precisam ser sincronizadas via Microsoft Entra Connect, para que os usuários também tenham permissões para gerenciar o Microsoft Entra Connect.

Administrador do Dynamics 365

Os usuários com essa função têm permissões globais no Microsoft Dynamics 365 Online, quando o serviço está presente, bem como a capacidade de gerenciar tíquetes de suporte e monitorar a integridade do serviço. Para obter mais informações, consulte Usar funções de administrador de serviço para gerenciar seu locatário.

Dynamics 365 Administrador Central de Empresas

Atribua a função de Administrador do Dynamics 365 Business Central aos usuários que precisam executar as seguintes tarefas:

• Acesso Dynamics 365 ambientes Business Central
• Executar todas as tarefas administrativas em ambientes
• Gerencie o ciclo de vida dos ambientes do cliente
• Supervisionar as extensões instaladas em ambientes
• Controle upgrades de ambientes
• Realizar exportações de dados de ambientes
• Ler e configurar painéis de integridade do serviço Azure e Microsoft 365

Esta função não fornece permissões para outros produtos Dynamics 365.

Administrador de Borda

Os usuários nessa função podem criar e gerenciar a lista de sites corporativos necessária para o modo Internet Explorer no Microsoft Edge. Essa função concede permissões para criar, editar e publicar a lista de sites e, adicionalmente, permite acesso para gerenciar tíquetes de suporte. Mais informações

Administrador do Exchange

Os usuários com essa função têm permissões globais no Microsoft Exchange Online, quando o serviço está presente. Também tem a capacidade de criar e gerenciar todos os grupos do Microsoft 365, gerenciar tíquetes de suporte e monitorar a integridade do serviço. Para mais informações, consulte Sobre funções de administrador no centro de administração do Microsoft 365.

Administrador de destinatários do Exchange

Os usuários com essa função têm acesso de leitura aos destinatários e acesso de gravação aos atributos desses destinatários no Exchange Online. Para obter mais informações, consulte Destinatários no Exchange Server.

Administrador de fluxo de usuário de ID externo

Os usuários com essa função podem criar e gerenciar fluxos de usuários (também chamados de políticas "internas") no portal do Azure. Esses usuários podem personalizar o conteúdo HTML/CSS/JavaScript, alterar os requisitos de MFA, selecionar declarações no token, gerenciar conectores de API e suas credenciais e definir configurações de sessão para todos os fluxos de usuários na organização do Microsoft Entra. Por outro lado, essa função não inclui a capacidade de revisar dados do usuário ou fazer alterações nos atributos incluídos no esquema da organização. As alterações nas políticas do Identity Experience Framework (também conhecidas como políticas personalizadas) também estão fora do escopo dessa função.

Administrador de Atributos de Fluxo de Usuário de ID Externo

Os usuários com essa função adicionam ou excluem atributos personalizados disponíveis para todos os fluxos de usuários na organização do Microsoft Entra. Como tal, os usuários com essa função podem alterar ou adicionar novos elementos ao esquema do usuário final e afetar o comportamento de todos os fluxos de usuários e, indiretamente, resultar em alterações nos dados que podem ser solicitados aos usuários finais e, finalmente, enviados como declarações para aplicativos. Essa função não pode editar fluxos de usuário.

Administrador de Provedor de Identidade Externo

Trata-se de um papel privilegiado. Este administrador gerencia a federação entre organizações do Microsoft Entra e provedores de identidade externos. Com essa função, os usuários podem adicionar novos provedores de identidade e definir todas as configurações disponíveis (por exemplo, caminho de autenticação, ID de serviço, contêineres de chave atribuídos). Esse usuário pode habilitar a organização do Microsoft Entra para confiar em autenticações de provedores de identidade externos. O impacto resultante nas experiências do usuário final depende do tipo de organização:

• Organizações do Microsoft Entra para funcionários e parceiros: a adição de uma federação (por exemplo, com o Gmail) afetará imediatamente todos os convites de convidados ainda não resgatados. Consulte Adicionar o Google como um provedor de identidade para usuários convidados B2B.
• Organizações B2C do Azure Ative Directory: a adição de uma federação (por exemplo, com o Facebook ou com outra organização do Microsoft Entra) não afeta imediatamente os fluxos de usuários finais até que o provedor de identidade seja adicionado como uma opção em um fluxo de usuário (também chamado de política interna). Consulte Configurando uma conta da Microsoft como um provedor de identidade para obter um exemplo. Para alterar os fluxos de usuários, é necessária a função limitada de "Administrador de Fluxo de Usuário B2C".

Administrador de malha

Os usuários com essa função têm permissões globais no Microsoft Fabric e no Power BI, quando o serviço está presente, bem como a capacidade de gerenciar tíquetes de suporte e monitorar a integridade do serviço. Para obter mais informações, consulte Noções básicas sobre funções de administrador da malha.

Administrador Global

Trata-se de um papel privilegiado. Os usuários com essa função têm acesso a todos os recursos administrativos no Microsoft Entra ID, bem como a serviços que usam identidades do Microsoft Entra, como o portal Microsoft 365 Defender, o portal de conformidade Microsoft Purview, o Exchange Online, o SharePoint Online e o Skype for Business Online. Os Administradores Globais podem visualizar os logs de Atividades do Diretório. Além disso, os Administradores Globais podem elevar seu acesso para gerenciar todas as assinaturas e grupos de gerenciamento do Azure. Isso permite que os Administradores Globais obtenham acesso total a todos os recursos do Azure usando o respetivo locatário do Microsoft Entra. A pessoa que se inscreve na organização do Microsoft Entra torna-se um Administrador Global. Pode haver mais do que um Administrador Global na sua empresa. Os Administradores Globais podem redefinir a senha de qualquer usuário e de todos os outros administradores. Um Administrador Global não pode remover sua própria atribuição de Administrador Global. Isso é para evitar uma situação em que uma organização tem zero Administradores Globais.

Leitor Global

Trata-se de um papel privilegiado. Os usuários nessa função podem ler configurações e informações administrativas nos serviços do Microsoft 365, mas não podem executar ações de gerenciamento. O Global Reader é a contrapartida somente leitura do Global Administrator. Atribua Leitor Global em vez de Administrador Global para planejamento, auditorias ou investigações. Use o Global Reader em combinação com outras funções de administrador limitadas, como Administrador do Exchange, para facilitar o trabalho sem a atribuição da função de Administrador Global. O Global Reader funciona com o centro de administração do Microsoft 365, o centro de administração do Exchange, o centro de administração do SharePoint, o centro de administração do Teams, o portal do Microsoft 365 Defender, o portal de conformidade do Microsoft Purview, o portal do Azure e o centro de administração do Gerenciamento de Dispositivos.

Os usuários com essa função não podem fazer o seguinte:

• Não é possível aceder à área Serviços de Compra no centro de administração do Microsoft 365.

Administrador de Acesso Seguro Global

Atribua a função de Administrador Global de Acesso Seguro aos usuários que precisam fazer o seguinte:

• Criar e gerenciar todos os aspetos do Microsoft Entra Internet Access e Microsoft Entra Private Access
• Gerencie o acesso a pontos de extremidade públicos e privados

Os usuários com essa função não podem fazer o seguinte:

• Não é possível gerenciar aplicativos corporativos, registros de aplicativos, acesso condicional ou configurações de proxy de aplicativo

Mais informações

Administrador de Grupos

Os usuários nessa função podem criar/gerenciar grupos e suas configurações, como políticas de nomenclatura e expiração. É importante entender que atribuir um usuário a essa função dá a ele a capacidade de gerenciar todos os grupos da organização em várias cargas de trabalho, como Teams, SharePoint, Yammer, além do Outlook. Além disso, o usuário poderá gerenciar as várias configurações de grupos em vários portais de administração, como o centro de administração da Microsoft, o portal do Azure, bem como os específicos da carga de trabalho, como os centros de administração do Teams e do SharePoint.

Convidado Inviter

Os usuários nessa função podem gerenciar convites de usuário convidado do Microsoft Entra B2B quando a configuração Membros podem convidar usuário estiver definida como Não. Mais informações sobre colaboração B2B em Sobre a colaboração B2B do Microsoft Entra. Não inclui quaisquer outras permissões.

Administrador do Helpdesk

Trata-se de um papel privilegiado. Os usuários com essa função podem alterar senhas, invalidar tokens de atualização, criar e gerenciar solicitações de suporte com a Microsoft para serviços do Azure e do Microsoft 365 e monitorar a integridade do serviço. Invalidar um token de atualização força o usuário a entrar novamente. Se um Administrador de Helpdesk pode redefinir a senha de um usuário e invalidar tokens de atualização depende da função atribuída ao usuário. Para obter uma lista das funções para as quais um Administrador de Helpdesk pode redefinir senhas e invalidar tokens de atualização, consulte Quem pode redefinir senhas.

Os usuários com essa função não podem fazer o seguinte:

• Não é possível alterar as credenciais ou redefinir a MFA para membros e proprietários de um grupo atribuível por função.

Delegar permissões administrativas sobre subconjuntos de usuários e aplicar políticas a um subconjunto de usuários é possível com Unidades Administrativas.

Essa função foi anteriormente nomeada Administrador de Senha no portal do Azure. Ele foi renomeado para Helpdesk Administrator para se alinhar com o nome existente na API do Microsoft Graph e no Microsoft Graph PowerShell.

Administrador de identidade híbrida

Trata-se de um papel privilegiado. Os usuários nessa função podem criar, gerenciar e implantar a configuração de provisionamento do Ative Directory para o Microsoft Entra ID usando o Cloud Provisioning, bem como gerenciar o Microsoft Entra Connect, autenticação de passagem (PTA), sincronização de hash de senha (PHS), logon único contínuo (SSO contínuo) e configurações de federação. Não tem acesso para gerenciar o Microsoft Entra Connect Health. Os usuários também podem solucionar problemas e monitorar logs usando essa função.

Administrador de Governança de Identidade

Os usuários com essa função podem gerenciar a configuração de Governança de ID do Microsoft Entra, incluindo pacotes de acesso, revisões de acesso, catálogos e políticas, garantindo que o acesso seja aprovado e revisado e que os usuários convidados que não precisam mais de acesso sejam removidos.

Administrador de Insights

Os usuários nessa função podem acessar o conjunto completo de recursos administrativos no aplicativo Microsoft Viva Insights. Essa função tem a capacidade de ler informações de diretório, monitorar a integridade do serviço, tíquetes de suporte a arquivos e acessar os aspetos de configurações do Administrador de Insights.

Mais informações

Analista de Insights

Atribua a função de Analista de Insights aos usuários que precisam fazer o seguinte:

• Analise dados no aplicativo Microsoft Viva Insights, mas não pode gerenciar nenhuma definição de configuração
• Criar, gerenciar e executar consultas
• Ver definições básicas e relatórios no centro de administração do Microsoft 365
• Criar e gerenciar solicitações de serviço no centro de administração do Microsoft 365

Mais informações

Líder de Negócios Insights

Os usuários nessa função podem acessar um conjunto de painéis e informações por meio do aplicativo Microsoft Viva Insights. Isso inclui acesso total a todos os painéis e informações apresentadas e funcionalidade de exploração de dados. Os usuários nessa função não têm acesso às definições de configuração do produto, que é de responsabilidade da função Administrador do Insights.

Mais informações

Administrador do Intune

Trata-se de um papel privilegiado. Os usuários com essa função têm permissões globais no Microsoft Intune Online, quando o serviço está presente. Além disso, essa função contém a capacidade de gerenciar usuários e dispositivos para associar políticas, bem como criar e gerenciar grupos. Para obter mais informações, consulte RBAC (controle de administração baseado em função) com o Microsoft Intune.

Essa função pode criar e gerenciar todos os grupos de segurança. No entanto, o Administrador do Intune não tem direitos de administrador sobre grupos do Office. Isso significa que o administrador não pode atualizar proprietários ou associações de todos os grupos do Office na organização. No entanto, ele / ela pode gerenciar o grupo do Office que ele cria que vem como parte de seus privilégios de usuário final. Assim, qualquer grupo do Office (não grupo de segurança) que ele / ela cria deve ser contado em relação à sua quota de 250.

Kaizala Administrador

Os usuários com essa função têm permissões globais para gerenciar configurações no Microsoft Kaizala, quando o serviço está presente, bem como a capacidade de gerenciar tíquetes de suporte e monitorar a integridade do serviço. Além disso, o usuário pode acessar relatórios relacionados à adoção e uso do Kaizala pelos membros da Organização e relatórios de negócios gerados usando as ações do Kaizala.

Administrador do Conhecimento

Os utilizadores nesta função têm acesso total a todas as definições de conhecimento, aprendizagem e funcionalidades inteligentes no centro de administração do Microsoft 365. Eles têm uma compreensão geral do conjunto de produtos, detalhes de licenciamento e têm a responsabilidade de controlar o acesso. O Administrador de Conhecimento pode criar e gerenciar conteúdo, como tópicos, siglas e recursos de aprendizagem. Além disso, esses usuários podem criar centros de conteúdo, monitorar a integridade do serviço e criar solicitações de serviço.

Gestor da Base de Dados de Conhecimento

Os usuários nessa função podem criar e gerenciar conteúdo, como tópicos, siglas e conteúdo de aprendizagem. Estes utilizadores são os principais responsáveis pela qualidade e estrutura do conhecimento. Esse usuário tem direitos totais para ações de gerenciamento de tópicos para confirmar um tópico, aprovar edições ou excluir um tópico. Essa função também pode gerenciar taxonomias como parte da ferramenta de gerenciamento de repositório de termos e criar centros de conteúdo.

Administrador de Licenças

Os usuários nessa função podem ler, adicionar, remover e atualizar atribuições de licença em usuários, grupos (usando licenciamento baseado em grupo) e gerenciar o local de uso em usuários. A função não concede a capacidade de comprar ou gerenciar assinaturas, criar ou gerenciar grupos, ou criar ou gerenciar usuários além do local de uso. Essa função não tem acesso para exibir, criar ou gerenciar tíquetes de suporte.

Administrador de fluxos de trabalho de ciclo de vida

Trata-se de um papel privilegiado. Atribua a função de Administrador de Fluxos de Trabalho de Ciclo de Vida aos usuários que precisam executar as seguintes tarefas:

• Crie e gerencie todos os aspetos de fluxos de trabalho e tarefas associadas aos Fluxos de Trabalho do Ciclo de Vida no Microsoft Entra ID
• Verificar a execução de fluxos de trabalho agendados
• Iniciar execuções de fluxo de trabalho sob demanda
• Inspecionar logs de execução do fluxo de trabalho

Leitor de Privacidade do Centro de Mensagens

Os utilizadores nesta função podem monitorizar todas as notificações no Centro de Mensagens, incluindo mensagens de privacidade de dados. Os leitores de privacidade do Message Center recebem notificações por e-mail, incluindo aquelas relacionadas à privacidade de dados, e podem cancelar a inscrição usando as Preferências do Message Center. Apenas o Administrador Global e o Leitor de Privacidade do Centro de Mensagens podem ler mensagens de privacidade de dados. Além disso, essa função contém a capacidade de exibir grupos, domínios e assinaturas. Essa função não tem permissão para exibir, criar ou gerenciar solicitações de serviço.

Leitor do Centro de Mensagens

Os usuários nessa função podem monitorar notificações e atualizações de integridade de aviso no Centro de mensagens para sua organização em serviços configurados, como Exchange, Intune e Microsoft Teams. Os leitores do Centro de Mensagens recebem resumos semanais de e-mails de postagens, atualizações e podem compartilhar postagens do centro de mensagens no Microsoft 365. No Microsoft Entra ID, os usuários atribuídos a essa função só terão acesso somente leitura nos serviços do Microsoft Entra, como usuários e grupos. Essa função não tem acesso para exibir, criar ou gerenciar tíquetes de suporte.

Administrador de migração do Microsoft 365

Atribua a função de Administrador de Migração do Microsoft 365 aos usuários que precisam executar as seguintes tarefas:

• Use o Gerenciador de Migração no centro de administração do Microsoft 365 para gerenciar a migração de conteúdo para o Microsoft 365, incluindo sites do Teams, OneDrive for Business e SharePoint, do Google Drive, Dropbox, Box e Egnyte
• Selecione fontes de migração, crie inventários de migração (como listas de usuários do Google Drive), agende e execute migrações e faça download de relatórios
• Crie novos sites do SharePoint se os sites de destino ainda não existirem, crie listas do SharePoint nos sites de administração do SharePoint e crie e atualize itens nas listas do SharePoint
• Gerenciar configurações de projeto de migração e ciclo de vida de migração para tarefas
• Gerenciar mapeamentos de permissão da origem ao destino

Mais informações

Administrador Local de Dispositivo Ingressado no Microsoft Entra

Esta função está disponível para atribuição apenas como um administrador local adicional nas configurações do dispositivo. Os usuários com essa função tornam-se administradores de máquinas locais em todos os dispositivos Windows 10 que ingressaram na ID do Microsoft Entra. Eles não têm a capacidade de gerenciar objetos de dispositivos no Microsoft Entra ID.

Administrador de Garantia de Hardware da Microsoft

Atribua a função de Administrador de Garantia de Hardware da Microsoft aos usuários que precisam executar as seguintes tarefas:

• Crie novas reclamações de garantia para hardware fabricado pela Microsoft, como o Surface e o HoloLens
• Pesquisar e ler reclamações de garantia abertas ou fechadas
• Pesquisar e ler reclamações de garantia por número de série
• Criar, ler, atualizar e excluir endereços de remessa
• Leia o status do envio para reclamações de garantia em aberto
• Criar e gerenciar solicitações de serviço no centro de administração do Microsoft 365
• Leia os anúncios do centro de mensagens no centro de administração do Microsoft 365

Uma reclamação de garantia é um pedido para que o hardware seja reparado ou substituído de acordo com os termos da garantia. Para obter mais informações, consulte Autoatendimento à garantia do Surface & solicitações de serviço.

Especialista em Garantia de Hardware Microsoft

Atribua a função de Especialista em Garantia de Hardware da Microsoft aos usuários que precisam executar as seguintes tarefas:

• Crie novas reclamações de garantia para hardware fabricado pela Microsoft, como o Surface e o HoloLens
• Leia as reclamações de garantia que eles criaram
• Ler e atualizar endereços de envio existentes
• Leia o status do envio para reclamações de garantia aberta que eles criaram
• Criar e gerenciar solicitações de serviço no centro de administração do Microsoft 365

Uma reclamação de garantia é um pedido para que o hardware seja reparado ou substituído de acordo com os termos da garantia. Para obter mais informações, consulte Autoatendimento à garantia do Surface & solicitações de serviço.

Administrador de Comércio Moderno

Não utilizar. Esta função é atribuída automaticamente a partir do Comércio e não se destina nem é suportada para qualquer outra utilização. Veja os detalhes abaixo.

A função de Administrador de Comércio Moderno dá permissão a determinados usuários para acessar o Centro de administração do Microsoft 365 e ver as entradas de navegação à esquerda para Casa, Cobrança e Suporte. O conteúdo disponível nessas áreas é controlado por funções específicas do comércio atribuídas aos usuários para gerenciar produtos que eles compraram para si mesmos ou para sua organização. Isso pode incluir tarefas como pagar contas ou para acessar contas de faturamento e perfis de cobrança.

Os usuários com a função de Administrador de Comércio Moderno normalmente têm permissões administrativas em outros sistemas de compras da Microsoft, mas não têm as funções de Administrador Global ou Administrador de Cobrança usadas para acessar o centro de administração.

Quando é atribuída a função de Administrador de Comércio Moderno?

• Compra de autoatendimento no centro de administração do Microsoft 365 – A compra de autoatendimento dá aos usuários a chance de experimentar novos produtos comprando ou inscrevendo-se por conta própria. Esses produtos são gerenciados no centro de administração. Os usuários que fazem uma compra de autoatendimento recebem uma função no sistema de comércio e a função de Administrador de Comércio Moderno para que possam gerenciar suas compras no centro de administração. Os administradores podem bloquear compras de autoatendimento (para Malha, Power BI, Power Apps, Power Automate) por meio do PowerShell. Para obter mais informações, consulte Perguntas frequentes sobre compras de autoatendimento.
• Compras no mercado comercial da Microsoft – Semelhante à compra de autoatendimento, quando um usuário compra um produto ou serviço do Microsoft AppSource ou do Azure Marketplace, a função de Administrador de Comércio Moderno é atribuída se ele não tiver a função de Administrador Global ou Administrador de Cobrança. Em alguns casos, os usuários podem ser impedidos de fazer essas compras. Para obter mais informações, consulte Microsoft commercial marketplace.
• Propostas da Microsoft – Uma proposta é uma oferta formal da Microsoft para a sua organização comprar produtos e serviços Microsoft. Quando a pessoa que está aceitando a proposta não tem uma função de Administrador Global ou Administrador de Cobrança na ID do Microsoft Entra, ela recebe uma função específica de comércio para concluir a proposta e a função de Administrador de Comércio Moderno para acessar o centro de administração. Quando acedem ao centro de administração, só podem utilizar funcionalidades autorizadas pela sua função específica do comércio.
• Funções específicas do comércio – Alguns usuários recebem funções específicas do comércio. Se um usuário não for um Administrador Global ou Administrador de Cobrança, ele receberá a função de Administrador de Comércio Moderno para poder acessar o centro de administração.

Se a função de Administrador de Comércio Moderno não for atribuída a um usuário, ele perderá o acesso ao Centro de administração do Microsoft 365. Se eles estavam gerenciando quaisquer produtos, seja para si mesmos ou para sua organização, eles não serão capazes de gerenciá-los. Isso pode incluir atribuir licenças, alterar métodos de pagamento, pagar contas ou outras tarefas para gerenciar assinaturas.

Administrador de Redes

Os usuários nessa função podem revisar as recomendações de arquitetura de perímetro de rede da Microsoft baseadas na telemetria de rede de seus locais de usuário. O desempenho de rede para o Microsoft 365 depende de uma cuidadosa arquitetura de perímetro de rede do cliente corporativo, que geralmente é específica do local do usuário. Essa função permite a edição de locais de usuários descobertos e a configuração de parâmetros de rede para esses locais para facilitar medições de telemetria aprimoradas e recomendações de projeto

Administrador de Aplicativos do Office

Os usuários nessa função podem gerenciar as configurações de nuvem dos aplicativos do Microsoft 365. Isso inclui o gerenciamento de políticas de nuvem, o gerenciamento de download de autoatendimento e a capacidade de exibir relatórios relacionados a aplicativos do Office. Essa função também concede a capacidade de gerenciar tíquetes de suporte e monitorar a integridade do serviço no centro de administração principal. Os usuários atribuídos a essa função também podem gerenciar a comunicação de novos recursos em aplicativos do Office.

Administrador de Branding Organizacional

Atribua a função de Administrador de Branding Organizacional aos usuários que precisam executar as seguintes tarefas:

• Gerenciar todos os aspetos da marca organizacional em um locatário
• Leia, crie, atualize e exclua temas de identidade visual
• Gerencie o tema de identidade visual padrão e todos os temas de localização de identidade visual

Aprovador de Mensagens Organizacionais

Atribua a função de Aprovador de Mensagens Organizacionais aos usuários que precisam executar as seguintes tarefas:

• Revise, aprove ou rejeite novas mensagens organizacionais para entrega no centro de administração do Microsoft 365 antes de serem enviadas aos usuários usando a plataforma de Mensagens Organizacionais do Microsoft 365
• Leia todos os aspetos das mensagens organizacionais
• Leia as propriedades básicas em todos os recursos no centro de administração do Microsoft 365

Gravador de mensagens organizacionais

Atribua a função Gravador de Mensagens Organizacionais aos usuários que precisam executar as seguintes tarefas:

• Escrever, publicar e excluir mensagens organizacionais usando o Centro de administração do Microsoft 365 ou o Microsoft Intune
• Gerenciar opções de entrega de mensagens organizacionais usando o Centro de administração do Microsoft 365 ou o Microsoft Intune
• Ler resultados de entrega de mensagens organizacionais usando o Centro de administração do Microsoft 365 ou o Microsoft Intune
• Exibir relatórios de uso e a maioria das configurações no Centro de administração do Microsoft 365, mas não pode fazer alterações

Suporte de nível 1 do parceiro

Trata-se de um papel privilegiado. Não utilizar. Esta função foi preterida e será removida do Microsoft Entra ID no futuro. Esta função destina-se a ser utilizada por um pequeno número de parceiros de revenda da Microsoft e não se destina a utilização geral.

Suporte de nível 2 do parceiro

Trata-se de um papel privilegiado. Não utilizar. Esta função foi preterida e será removida do Microsoft Entra ID no futuro. Esta função destina-se a ser utilizada por um pequeno número de parceiros de revenda da Microsoft e não se destina a utilização geral.

Administrador de senha

Trata-se de um papel privilegiado. Os usuários com essa função têm capacidade limitada de gerenciar senhas. Essa função não concede a capacidade de gerenciar solicitações de serviço ou monitorar a integridade do serviço. Se um administrador de senha pode redefinir a senha de um usuário depende da função que o usuário está atribuído. Para obter uma lista das funções para as quais um Administrador de Senhas pode redefinir senhas, consulte Quem pode redefinir senhas.

Os usuários com essa função não podem fazer o seguinte:

• Não é possível alterar as credenciais ou redefinir a MFA para membros e proprietários de um grupo atribuível por função.

Administrador de Gerenciamento de Permissões

Atribua a função de Administrador de Gerenciamento de Permissões aos usuários que precisam executar as seguintes tarefas:

• Gerencie todos os aspetos do Gerenciamento de Permissões do Microsoft Entra, quando o serviço estiver presente

Saiba mais sobre as funções e políticas do Gerenciamento de Permissões em Exibir informações sobre funções/políticas.

Administrador da Power Platform

Os usuários nessa função podem criar e gerenciar todos os aspetos de ambientes, Power Apps, fluxos, políticas de prevenção de perda de dados. Além disso, os usuários com essa função têm a capacidade de gerenciar tíquetes de suporte e monitorar a integridade do serviço.

Administrador de Impressoras

Os usuários nessa função podem registrar impressoras e gerenciar todos os aspetos de todas as configurações de impressora na solução Microsoft Universal Print, incluindo as configurações do Universal Print Connector. Eles podem consentir com todas as solicitações de permissão de impressão delegadas. Os administradores de impressora também têm acesso a relatórios de impressão.

Técnico de Impressão

Os usuários com essa função podem registrar impressoras e gerenciar o status da impressora na solução Microsoft Universal Print. Eles também podem ler todas as informações do conector. A principal tarefa que um técnico de impressora não pode fazer é definir permissões de usuário em impressoras e compartilhar impressoras.

Administrador de Autenticação Privilegiada

Trata-se de um papel privilegiado. Atribua a função de Administrador de Autenticação Privilegiada aos usuários que precisam fazer o seguinte:

• Defina ou redefina qualquer método de autenticação (incluindo senhas) para qualquer usuário, incluindo Administradores Globais.
• Exclua ou restaure todos os usuários, incluindo Administradores Globais. Para obter mais informações, consulte Quem pode executar ações confidenciais.
• Forçar os usuários a se registrarem novamente em relação à credencial não senha existente (como MFA ou FIDO) e revogar a MFA de memória no dispositivo, solicitando MFA no próximo login de todos os usuários.
• Atualize propriedades confidenciais para todos os usuários. Para obter mais informações, consulte Quem pode executar ações confidenciais.
• Crie e gerencie tíquetes de suporte no Azure e no centro de administração do Microsoft 365.

Os usuários com essa função não podem fazer o seguinte:

• Não é possível gerenciar MFA por usuário no portal de gerenciamento de MFA herdado.

A tabela a seguir compara os recursos de funções relacionadas à autenticação.

Função	Gerir os métodos de autenticação do utilizador	Ativar a MFA por utilizador	Gerir as definições da MFA	Gerir a política do método de autenticação	Gerir a política de proteção de palavras-passe	Atualizar as propriedades confidenciais	Eliminar e restaurar utilizadores
Administrador de autenticação	Sim para alguns utilizadores	Sim para alguns utilizadores	Sim	No	No	Sim para alguns utilizadores	Sim para alguns utilizadores
Administrador de autenticação privilegiada	Sim para todos os utilizadores	Sim para todos os utilizadores	No	No	No	Sim para todos os utilizadores	Sim para todos os utilizadores
Administrador de políticas de autenticação	Não	Sim	Sim	Sim	Sim	No	No
Administrador de Utilizadores	No	No	No	No	No	Sim para alguns utilizadores	Sim para alguns utilizadores

Administrador de Funções com Privilégios

Trata-se de um papel privilegiado. Os usuários com essa função podem gerenciar atribuições de função no Microsoft Entra ID, bem como no Microsoft Entra Privileged Identity Management. Eles podem criar e gerenciar grupos que podem ser atribuídos a funções do Microsoft Entra. Além disso, esta função permite a gestão de todos os aspetos da Gestão de Identidade Privilegiada e unidades administrativas.

Leitor de Relatórios

Os usuários com essa função podem exibir dados de relatório de uso e o painel de relatórios no centro de administração do Microsoft 365 e o pacote de contexto de adoção no Fabric e no Power BI. Além disso, a função fornece acesso a todos os logs de entrada, logs de auditoria e relatórios de atividade na ID do Microsoft Entra e dados retornados pela API de relatórios do Microsoft Graph. Um usuário atribuído à função Leitor de Relatórios pode acessar apenas métricas relevantes de uso e adoção. Eles não têm permissões de administrador para definir configurações ou acessar os centros de administração específicos do produto, como o Exchange. Essa função não tem acesso para exibir, criar ou gerenciar tíquetes de suporte.

Administrador de Pesquisa

Os usuários nessa função têm acesso total a todos os recursos de gerenciamento da Pesquisa da Microsoft no centro de administração do Microsoft 365. Além disso, esses usuários podem exibir o centro de mensagens, monitorar a integridade do serviço e criar solicitações de serviço.

Editor de Pesquisa

Os utilizadores nesta função podem criar, gerir e eliminar conteúdo para o Microsoft Search no centro de administração do Microsoft 365, incluindo marcadores, perguntas e respostas e localizações.

Administrador de Segurança

Trata-se de um papel privilegiado. Os usuários com essa função têm permissões para gerenciar recursos relacionados à segurança no portal Microsoft 365 Defender, Proteção de ID do Microsoft Entra, Autenticação do Microsoft Entra, Proteção de Informações do Azure e Portal de conformidade do Microsoft Purview. Para obter mais informações sobre as permissões do Office 365, consulte Funções e grupos de funções no Microsoft Defender para Office 365 e conformidade com o Microsoft Purview.

Em	Pode fazer
Portal do Microsoft 365 Defender	Monitorar políticas relacionadas à segurança nos serviços do Microsoft 365 Gerencie ameaças e alertas de segurança Ver relatórios
Proteção de ID do Microsoft Entra	Todas as permissões da função Leitor de Segurança Execute todas as operações de Proteção de ID, exceto a redefinição de senhas
Privileged Identity Management	Todas as permissões da função Leitor de Segurança Não é possível gerenciar atribuições ou configurações de função do Microsoft Entra
Portal de conformidade do Microsoft Purview	Manage security policies (Gerir políticas de segurança) Visualize, investigue e responda a ameaças à segurança Ver relatórios
Azure Advanced Threat Protection	Monitorize e responda a atividades de segurança suspeitas
Microsoft Defender para Ponto de Extremidade	Atribuir funções Gerir grupos de computadores Configurar a deteção de ameaças de endpoint e a correção automatizada Visualizar, investigar e responder a alertas Ver inventário de máquinas/dispositivos
Intune	Mapeia para a função Intune Endpoint Security Manager
Aplicativos do Microsoft Defender para Nuvem	Adicione administradores, adicione políticas e configurações, carregue logs e execute ações de governança
Estado de funcionamento do serviço Microsoft 365	Exibir a integridade dos serviços do Microsoft 365
Bloqueio inteligente	Defina o limite e a duração dos bloqueios quando ocorrerem eventos de entrada com falha.
Proteção por palavra-passe	Configure a lista de senhas proibidas personalizadas ou a proteção por senha local.
Sincronização entre locatários	Configure as configurações de acesso entre locatários para usuários em outro locatário. Os administradores de segurança não podem criar e excluir usuários diretamente, mas podem criar e excluir indiretamente usuários sincronizados de outro locatário quando ambos os locatários estão configurados para sincronização entre locatários, que é uma permissão privilegiada.

Operador de Segurança

Trata-se de um papel privilegiado. Os usuários com essa função podem gerenciar alertas e ter acesso global somente leitura em recursos relacionados à segurança, incluindo todas as informações no portal Microsoft 365 Defender, Microsoft Entra ID Protection, Privileged Identity Management e portal de conformidade Microsoft Purview. Para obter mais informações sobre as permissões do Office 365, consulte Funções e grupos de funções no Microsoft Defender para Office 365 e conformidade com o Microsoft Purview.

Em	Pode fazer
Portal do Microsoft 365 Defender	Todas as permissões da função Leitor de Segurança Visualize, investigue e responda a alertas de ameaças à segurança Gerenciar configurações de segurança no portal do Microsoft 365 Defender
Proteção de ID do Microsoft Entra	Todas as permissões da função Leitor de Segurança Execute todas as operações de Proteção de ID, exceto para configurar ou alterar políticas baseadas em risco, redefinir senhas e configurar e-mails de alerta.
Privileged Identity Management	Todas as permissões da função Leitor de Segurança
Portal de conformidade do Microsoft Purview	Todas as permissões da função Leitor de Segurança Visualize, investigue e responda a alertas de segurança
Microsoft Defender para Ponto de Extremidade	Todas as permissões da função Leitor de Segurança Visualize, investigue e responda a alertas de segurança Quando você ativa o controle de acesso baseado em função no Microsoft Defender for Endpoint, os usuários com permissões somente leitura, como a função Leitor de Segurança, perdem o acesso até que lhes seja atribuída uma função do Microsoft Defender for Endpoint.
Intune	Todas as permissões da função Leitor de Segurança
Aplicativos do Microsoft Defender para Nuvem	Todas as permissões da função Leitor de Segurança Visualize, investigue e responda a alertas de segurança
Estado de funcionamento do serviço Microsoft 365	Exibir a integridade dos serviços do Microsoft 365

Leitor de Segurança

Trata-se de um papel privilegiado. Os usuários com essa função têm acesso global somente leitura no recurso relacionado à segurança, incluindo todas as informações no portal Microsoft 365 Defender, Proteção de ID do Microsoft Entra, Gerenciamento Privilegiado de Identidades, bem como a capacidade de ler relatórios de entrada e logs de auditoria do Microsoft Entra e no portal de conformidade do Microsoft Purview. Para obter mais informações sobre as permissões do Office 365, consulte Funções e grupos de funções no Microsoft Defender para Office 365 e conformidade com o Microsoft Purview.

Em	Pode fazer
Portal do Microsoft 365 Defender	Exibir políticas relacionadas à segurança nos serviços do Microsoft 365 Ver ameaças e alertas de segurança Ver relatórios
Proteção de ID do Microsoft Entra	Ver todos os relatórios e visão geral da Proteção de ID
Privileged Identity Management	Tem acesso somente leitura a todas as informações exibidas no Microsoft Entra Privileged Identity Management: Políticas e relatórios para atribuições de função e revisões de segurança do Microsoft Entra. Não é possível se inscrever no Microsoft Entra Privileged Identity Management ou fazer alterações nele. No portal de Gerenciamento de Identidades Privilegiadas ou por meio do PowerShell, alguém nessa função pode ativar funções adicionais (por exemplo, Administrador de Função Privilegiada), se o usuário estiver qualificado para elas.
Portal de conformidade do Microsoft Purview	Ver as políticas de segurança Visualize e investigue ameaças à segurança Ver relatórios
Microsoft Defender para Ponto de Extremidade	Ver e investigar alertas Quando você ativa o controle de acesso baseado em função no Microsoft Defender for Endpoint, os usuários com permissões somente leitura, como a função Leitor de Segurança, perdem o acesso até que lhes seja atribuída uma função do Microsoft Defender for Endpoint.
Intune	Exibe informações de usuário, dispositivo, registro, configuração e aplicativo. Não é possível fazer alterações no Intune.
Aplicativos do Microsoft Defender para Nuvem	Tem permissões de leitura.
Estado de funcionamento do serviço Microsoft 365	Exibir a integridade dos serviços do Microsoft 365

Administrador de Suporte de Serviços

Os usuários com essa função podem criar e gerenciar solicitações de suporte com a Microsoft para serviços do Azure e do Microsoft 365 e exibir o painel de serviços e o centro de mensagens no portal do Azure e no centro de administração do Microsoft 365. Para mais informações, consulte Sobre funções de administrador no centro de administração do Microsoft 365.

Administrador do SharePoint

Os usuários com essa função têm permissões globais no Microsoft SharePoint Online, quando o serviço está presente, bem como a capacidade de criar e gerenciar todos os grupos do Microsoft 365, gerenciar tíquetes de suporte e monitorar a integridade do serviço. Para mais informações, consulte Sobre funções de administrador no centro de administração do Microsoft 365.

Administrador incorporado do SharePoint

Atribua a função de Administrador Incorporado do SharePoint aos usuários que precisam executar as seguintes tarefas:

• Execute todas as tarefas usando o PowerShell, a API do Microsoft Graph ou o centro de administração do SharePoint
• Gerencie, configure e mantenha contêineres do SharePoint Embedded
• Enumerar e gerenciar contêineres do SharePoint Embedded
• Enumerar e gerenciar permissões para contêineres do SharePoint Embedded
• Gerenciar o armazenamento de contêineres do SharePoint Embedded em um locatário
• Atribuir políticas de segurança e conformidade em contêineres do SharePoint Embedded
• Aplicar políticas de segurança e conformidade em contêineres do SharePoint Embedded em um locatário

Mais informações

Administrador do Skype for Business

Os usuários com essa função têm permissões globais no Microsoft Skype for Business, quando o serviço está presente, bem como gerenciam atributos de usuário específicos do Skype na ID do Microsoft Entra. Além disso, essa função concede a capacidade de gerenciar tíquetes de suporte e monitorar a integridade do serviço, além de acessar o Centro de administração do Teams e do Skype for Business. A conta também deve ser licenciada para o Teams ou não pode executar cmdlets do Teams PowerShell. Para obter mais informações, consulte Informações de licenciamento do Skype for Business Online Admin e Teams em Licenciamento de complementos do Skype for Business.

Administrador de Equipas

Os usuários nessa função podem gerenciar todos os aspetos da carga de trabalho do Microsoft Teams por meio do centro de administração do Microsoft Teams & Skype for Business e dos respetivos módulos do PowerShell. Isso inclui, entre outras áreas, todas as ferramentas de gestão relacionadas a telefonia, mensagens, reuniões e as próprias equipes. Essa função também concede a capacidade de criar e gerenciar todos os grupos do Microsoft 365, gerenciar tíquetes de suporte e monitorar a integridade do serviço.

Administrador de Comunicações do Teams

Os usuários nessa função podem gerenciar aspetos da carga de trabalho do Microsoft Teams relacionados à voz ou telefonia. Isso inclui as ferramentas de gerenciamento para atribuição de número de telefone, políticas de voz e reunião e acesso total ao conjunto de ferramentas de análise de chamadas.

Engenheiro de Suporte de Comunicação de Equipes

Os usuários nessa função podem solucionar problemas de comunicação no Microsoft Teams & Skype for Business usando as ferramentas de solução de problemas de chamada de usuário no centro de administração do Microsoft Teams & Skype for Business. Os usuários nessa função podem exibir informações completas de registro de chamadas para todos os participantes envolvidos. Essa função não tem acesso para exibir, criar ou gerenciar tíquetes de suporte.

Especialista em Suporte de Comunicação de Equipes

Os usuários nessa função podem solucionar problemas de comunicação no Microsoft Teams & Skype for Business usando as ferramentas de solução de problemas de chamada de usuário no centro de administração do Microsoft Teams & Skype for Business. Os usuários nessa função só podem exibir os detalhes do usuário na chamada para o usuário específico que pesquisaram. Essa função não tem acesso para exibir, criar ou gerenciar tíquetes de suporte.

Administrador de dispositivos do Teams

Os usuários com essa função podem gerenciar dispositivos certificados pelo Teams no centro de administração do Teams. Esta função permite visualizar todos os dispositivos de uma só vez, com a capacidade de pesquisar e filtrar dispositivos. O usuário pode verificar os detalhes de cada dispositivo, incluindo conta logada, marca e modelo do dispositivo. O usuário pode alterar as configurações no dispositivo e atualizar as versões do software. Essa função não concede permissões para verificar a atividade do Teams e a qualidade da chamada do dispositivo.

Administrador de Telefonia do Teams

Atribua a função de Administrador de Telefonia do Teams aos usuários que precisam executar as seguintes tarefas:

• Gerencie voz e telefonia, incluindo políticas de chamadas, gerenciamento e atribuição de números de telefone e aplicativos de voz
• Acesso apenas a relatórios de utilização da Rede Telefónica Pública Comutada (PSTN) a partir do centro de administração do Teams
• Ver página de perfil de utilizador
• Criar e gerenciar tíquetes de suporte no Azure e no centro de administração do Microsoft 365

Mais informações

Criador de inquilinos

Atribua a função de Criador de Locatário aos usuários que precisam executar as seguintes tarefas:

• Crie locatários do Microsoft Entra e do Azure Ative Directory B2C, mesmo que a alternância de criação de locatário esteja desativada nas configurações do usuário

Leitor de relatórios de resumo de uso

Atribua a função Leitor de Relatórios de Resumo de Uso aos usuários que precisam executar as seguintes tarefas no Centro de administração do Microsoft 365:

• Exibir os relatórios de uso e a pontuação de adoção
• Leia insights organizacionais, mas não informações de identificação pessoal (PII) dos usuários

Essa função só permite que os usuários exibam dados no nível organizacional com as seguintes exceções:

• Os usuários membros podem visualizar dados e configurações de gerenciamento de usuários.
• Os usuários convidados atribuídos a essa função não podem exibir dados e configurações de gerenciamento de usuários.

Administrador de Utilizadores

Trata-se de um papel privilegiado. Atribua a função de Administrador de Usuários aos usuários que precisam fazer o seguinte:

Permissão	Mais informações
Criar utilizadores
Atualizar a maioria das propriedades de usuário para todos os usuários, incluindo todos os administradores	Quem pode executar ações sensíveis
Atualizar propriedades confidenciais (incluindo o nome principal do usuário) para alguns usuários	Quem pode executar ações sensíveis
Desativar ou ativar alguns utilizadores	Quem pode executar ações sensíveis
Excluir ou restaurar alguns usuários	Quem pode executar ações sensíveis
Criar e gerenciar visualizações de usuário
Criar e gerir todos os grupos
Atribuir e ler licenças para todos os utilizadores, incluindo todos os administradores
Repor palavras-passe	Quem pode repor palavras-passe
Invalidar tokens de atualização	Quem pode repor palavras-passe
Atualizar chaves de dispositivo (FIDO)
Atualizar políticas de expiração de senha
Criar e gerenciar tíquetes de suporte no Azure e no centro de administração do Microsoft 365
Monitorizar o estado de funcionamento do serviço

Os usuários com essa função não podem fazer o seguinte:

• Não é possível gerenciar MFA.
• Não é possível alterar as credenciais ou redefinir a MFA para membros e proprietários de um grupo atribuível por função.
• Não é possível gerenciar caixas de correio compartilhadas.
• Não é possível modificar perguntas de segurança para a operação de redefinição de senha.

Gerente de Sucesso da Experiência do Usuário

Atribua a função Gerenciador de Sucesso da Experiência do Usuário aos usuários que precisam executar as seguintes tarefas:

• Leia relatórios de uso em nível organizacional para aplicativos e serviços do Microsoft 365, mas não detalhes do usuário
• Veja o feedback sobre os produtos da sua organização, os resultados da pesquisa Net Promoter Score (NPS) e as visualizações dos artigos de ajuda para identificar oportunidades de comunicação e treinamento
• Ler publicações do centro de mensagens e dados de estado de funcionamento do serviço

Mais informações

Administrador de Visitas Virtuais

Os usuários com essa função podem executar as seguintes tarefas:

• Gerencie e configure todos os aspetos das Visitas Virtuais em Reservas no centro de administração do Microsoft 365 e no conector EHR do Teams
• Exibir relatórios de uso de Visitas Virtuais no centro de administração do Teams, no centro de administração do Microsoft 365, no Fabric e no Power BI
• Exibir recursos e configurações no Centro de administração do Microsoft 365, mas não pode editar nenhuma configuração

As visitas virtuais são uma maneira simples de agendar e gerenciar compromissos on-line e por vídeo para funcionários e participantes. Por exemplo, o relatório de uso pode mostrar como o envio de mensagens de texto SMS antes de compromissos pode reduzir o número de pessoas que não comparecem aos compromissos.

Administrador Viva Goals

Atribua a função de Administrador de Metas Viva aos usuários que precisam executar as seguintes tarefas:

• Gerenciar e configurar todos os aspetos do aplicativo Microsoft Viva Goals
• Definir configurações de administrador do Microsoft Viva Goals
• Leia as informações do locatário do Microsoft Entra
• Monitorar a integridade do serviço Microsoft 365
• Criar e gerenciar solicitações de serviço do Microsoft 365

Para obter mais informações, consulte Funções e permissões no Viva Goals e Introdução ao Microsoft Viva Goals.

Administrador Viva Pulse

Atribua a função de Administrador do Viva Pulse aos usuários que precisam executar as seguintes tarefas:

• Leia e configure todas as configurações do Viva Pulse
• Leia as propriedades básicas em todos os recursos no centro de administração do Microsoft 365
• Ler e configurar o Estado de Funcionamento do Serviço do Azure
• Criar e gerenciar tíquetes de suporte do Azure
• Ler mensagens no Centro de Mensagens no Centro de administração do Microsoft 365, excluindo mensagens de segurança
• Ler relatórios de utilização no centro de administração do Microsoft 365

Para obter mais informações, consulte Atribuir um administrador do Viva Pulse no centro de administração do Microsoft 365.

Administrador do Windows 365

Os usuários com essa função têm permissões globais nos recursos do Windows 365, quando o serviço está presente. Além disso, essa função contém a capacidade de gerenciar usuários e dispositivos para associar políticas, bem como criar e gerenciar grupos.

Essa função pode criar e gerenciar grupos de segurança, mas não tem direitos de administrador sobre grupos do Microsoft 365. Isso significa que os administradores não podem atualizar proprietários ou associações de grupos do Microsoft 365 na organização. No entanto, eles podem gerenciar o grupo do Microsoft 365 que criam, que faz parte de seus privilégios de usuário final. Assim, qualquer grupo do Microsoft 365 (não grupo de segurança) que eles criam é contado em sua cota de 250.

Atribua a função de Administrador do Windows 365 aos usuários que precisam executar as seguintes tarefas:

• Gerir computadores na nuvem do Windows 365 no Microsoft Intune
• Registrar e gerenciar dispositivos no Microsoft Entra ID, incluindo a atribuição de usuários e políticas
• Criar e gerenciar grupos de segurança, mas não grupos atribuíveis a funções
• Ver propriedades básicas no centro de administração do Microsoft 365
• Ler relatórios de utilização no centro de administração do Microsoft 365
• Criar e gerenciar tíquetes de suporte no Azure e no centro de administração do Microsoft 365

Administrador de Implantação do Windows Update

Os usuários nessa função podem criar e gerenciar todos os aspetos das implantações do Windows Update por meio do serviço de implantação do Windows Update for Business. O serviço de implantação permite que os usuários definam configurações para quando e como as atualizações são implantadas e especifiquem quais atualizações são oferecidas a grupos de dispositivos em seu locatário. Ele também permite que os usuários monitorem o progresso da atualização.

Administrador do Yammer

Atribua a função de Administrador do Yammer aos usuários que precisam executar as seguintes tarefas:

• Gerenciar todos os aspetos do Yammer
• Criar, gerenciar e restaurar grupos do Microsoft 365, mas não grupos atribuíveis por função
• Exibir os membros ocultos de grupos de segurança e grupos do Microsoft 365, incluindo grupos atribuíveis de função
• Ler relatórios de utilização no centro de administração do Microsoft 365
• Criar e gerenciar solicitações de serviço no centro de administração do Microsoft 365
• Ver anúncios no Centro de mensagens, mas não anúncios de segurança
• Ver estado de funcionamento do serviço

Mais informações

Funções preteridas

As seguintes funções não devem ser usadas. Eles foram preteridos e serão removidos do Microsoft Entra ID no futuro.

• Administrador de Licenças AdHoc
• Adesão ao dispositivo
• Gerenciadores de dispositivos
• Utilizadores de dispositivos
• Criador de usuário verificado por e-mail
• Administrador de Caixa de Correio
• Ingresso no dispositivo do local de trabalho

Funções não mostradas no portal

Nem todas as funções retornadas pelo PowerShell ou pela API do MS Graph são visíveis no portal do Azure. A tabela a seguir organiza essas diferenças.

Nome da API	Nome do portal do Azure	Notas
Adesão ao dispositivo	Preterido	Documentação de funções preteridas
Gerenciadores de dispositivos	Preterido	Documentação de funções preteridas
Utilizadores de dispositivos	Preterido	Documentação de funções preteridas
Contas de sincronização de diretórios	Não mostrado porque não deve ser usado	Documentação de Contas de Sincronização de Diretórios
Utilizador Convidado	Não mostrado porque não pode ser usado	ND
Suporte de nível 1 para parceiros	Não mostrado porque não deve ser usado	Documentação de suporte do Partner Tier1
Suporte de nível 2 para parceiros	Não mostrado porque não deve ser usado	Documentação de suporte do Partner Tier2
Usuário convidado restrito	Não mostrado porque não pode ser usado	ND
User	Não mostrado porque não pode ser usado	ND
Ingresso no dispositivo do local de trabalho	Preterido	Documentação de funções preteridas

Próximos passos

• Atribuir funções do Microsoft Entra a grupos
• Compreender as diferentes funções
• Atribuir um utilizador como administrador de uma subscrição de Azure