Встроенные роли Microsoft Entra

В идентификаторе Microsoft Entra, если другим администратором или неадминистратором необходимо управлять ресурсами Microsoft Entra, вы назначаете им роль Microsoft Entra, которая предоставляет необходимые им разрешения. Например, можно назначить роли, чтобы разрешить добавление или изменение пользователей, сброс паролей пользователей, управление их лицензиями или управление доменными именами.

В этой статье перечислены встроенные роли Microsoft Entra, которые можно назначить, чтобы разрешить управление ресурсами Microsoft Entra. Сведения о назначении ролей см. в статье Назначение ролей Microsoft Entra пользователям. Дополнительные сведения о ролях для управления ресурсами Azure см. в статье Встроенные роли Azure.

Все роли

Администратор приложений

Это привилегированная роль. пользователи с этой ролью могут создавать и контролировать все аспекты корпоративных приложений, регистрации приложений, а также параметры прокси приложения. Обратите внимание, что пользователи с этой ролью не добавляются в качестве владельцев при создании регистраций приложений или корпоративных приложений.

Эта роль также предоставляет возможность предоставления согласия на делегированные разрешения и разрешения приложения, за исключением разрешений приложений для Azure AD Graph и Microsoft Graph.

Разработчик приложения

Это привилегированная роль. пользователи с этой ролью могут создавать регистрации приложений, когда для параметра "Пользователи могут регистрировать приложения" задано значение "Нет". Кроме того, эта роль позволяет давать согласие от своего имени, когда для параметра "Пользователи могут разрешать приложениям доступ к корпоративным данным от своего имени" задано значение "Нет". Пользователи, которым назначена эта роль, добавляются в качестве владельцев при создании регистраций приложений.

Автор атакующего кода

Пользователи с этой ролью могут создавать атакующие коды, однако не могут запускать и планировать их. Полезные данные атаки после этого становятся доступными для всех администраторов в клиенте, которые могут использовать их для моделирования.

Дополнительные сведения см. в разделе Microsoft Defender для Office 365 разрешения на портале Microsoft 365 Defender и разрешениях в Портал соответствия требованиям Microsoft Purview.

Администратор симуляции атаки

Пользователи с этой ролью могут создавать и администрировать все аспекты создания симуляции атаки, запускать или планировать симуляцию, а также просматривать ее результаты. Члены этой роли имеют доступ ко всем стимуляциям в клиенте.

Дополнительные сведения см. в разделе Microsoft Defender для Office 365 разрешения на портале Microsoft 365 Defender и разрешениях в Портал соответствия требованиям Microsoft Purview.

Администратор назначения атрибутов

Пользователи с этой ролью могут назначать и удалять пользовательские ключи атрибутов безопасности и значения для поддерживаемых объектов Microsoft Entra, таких как пользователи, субъекты-службы и устройства.

По умолчанию у глобального администратора и других ролей администратора нет разрешений на чтение, определение и назначение настраиваемых атрибутов безопасности. Для работы с настраиваемыми атрибутами безопасности необходима одна из ролей настраиваемых атрибутов безопасности.

Дополнительные сведения см. в разделе "Управление доступом к пользовательским атрибутам безопасности" в идентификаторе Microsoft Entra.

Читатель назначения атрибутов

Пользователи с этой ролью могут считывать пользовательские ключи и значения атрибутов безопасности для поддерживаемых объектов Microsoft Entra.

По умолчанию у глобального администратора и других ролей администратора нет разрешений на чтение, определение и назначение настраиваемых атрибутов безопасности. Для работы с настраиваемыми атрибутами безопасности необходима одна из ролей настраиваемых атрибутов безопасности.

Дополнительные сведения см. в разделе "Управление доступом к пользовательским атрибутам безопасности" в идентификаторе Microsoft Entra.

Администратор определения атрибутов

Пользователи с этой ролью могут определить допустимый набор настраиваемых атрибутов безопасности, которые могут быть назначены поддерживаемым объектам Microsoft Entra. Эта роль также может активировать и деактивировать настраиваемые атрибуты безопасности.

По умолчанию у глобального администратора и других ролей администратора нет разрешений на чтение, определение и назначение настраиваемых атрибутов безопасности. Для работы с настраиваемыми атрибутами безопасности необходима одна из ролей настраиваемых атрибутов безопасности.

Дополнительные сведения см. в разделе "Управление доступом к пользовательским атрибутам безопасности" в идентификаторе Microsoft Entra.

Читатель определения атрибутов

Пользователи с этой ролью могут читать определение настраиваемых атрибутов безопасности.

По умолчанию у глобального администратора и других ролей администратора нет разрешений на чтение, определение и назначение настраиваемых атрибутов безопасности. Для работы с настраиваемыми атрибутами безопасности необходима одна из ролей настраиваемых атрибутов безопасности.

Дополнительные сведения см. в разделе "Управление доступом к пользовательским атрибутам безопасности" в идентификаторе Microsoft Entra.

Администратор журнала атрибутов

Назначьте роль читателя журналов атрибутов пользователям, которым необходимо выполнить следующие задачи:

• Чтение журналов аудита для изменения значений настраиваемых атрибутов безопасности
• Чтение журналов аудита для изменений и назначений настраиваемых атрибутов безопасности
• Настройка параметров диагностики для настраиваемых атрибутов безопасности

Пользователи с этой ролью не могут считывать журналы аудита для других событий.

По умолчанию глобальный администратор и другие роли администратора не имеют разрешений на чтение журналов аудита для пользовательских атрибутов безопасности. Чтобы считывать журналы аудита для пользовательских атрибутов безопасности, необходимо назначить эту роль или роль читателя журналов атрибутов.

Дополнительные сведения см. в разделе "Управление доступом к пользовательским атрибутам безопасности" в идентификаторе Microsoft Entra.

Читатель журналов атрибутов

Назначьте роль читателя журналов атрибутов пользователям, которым необходимо выполнить следующие задачи:

• Чтение журналов аудита для изменения значений настраиваемых атрибутов безопасности
• Чтение журналов аудита для изменений и назначений настраиваемых атрибутов безопасности

Пользователи с этой ролью не могут выполнять следующие задачи:

• Настройка параметров диагностики для настраиваемых атрибутов безопасности
• Чтение журналов аудита для других событий

По умолчанию глобальный администратор и другие роли администратора не имеют разрешений на чтение журналов аудита для пользовательских атрибутов безопасности. Чтобы считывать журналы аудита для пользовательских атрибутов безопасности, необходимо назначить эту роль или роль администратора журнала атрибутов.

Дополнительные сведения см. в разделе "Управление доступом к пользовательским атрибутам безопасности" в идентификаторе Microsoft Entra.

Администратор проверки подлинности

Это привилегированная роль. Назначьте роль администратора проверки подлинности пользователям, которым необходимо выполнить следующие действия:

• Задайте или сбросьте любой метод проверки подлинности (включая пароли) для неадминистраторов и некоторых ролей. Список ролей, для которых администратор проверки подлинности может считывать или обновлять способы проверки подлинности, см. в разделе Кто может сбрасывать пароли.
• Требовать, чтобы пользователи, не являющиеся администраторами или назначенные некоторым ролям, повторно регистрировались в существующих учетных данных без пароля (например, MFA или FIDO), а также могут отозвать MFA на устройстве, что запрашивает MFA на следующем входе.
• Управление параметрами MFA на устаревшем портале управления MFA.
• Выполнение конфиденциальных действий для некоторых пользователей. Дополнительные сведения см. в разделе "Кто может выполнять конфиденциальные действия".
• Создание запросов в службу поддержки и управление ими в Azure и Центр администрирования Microsoft 365.

Пользователи с этой ролью не могут выполнять следующие действия:

• Не удается изменить учетные данные или сбросить MFA для членов и владельцев группы, назначаемой ролями.
• Не удается управлять токенами OATH оборудования.

В следующей таблице сравниваются возможности ролей, связанных с проверкой подлинности.

Должность	Управление методами проверки подлинности пользователя	Управление MFA для каждого пользователя	Управление параметрами MFA	Управление политикой выбора метода проверки подлинности	Управление политикой защиты паролем	Обновление конфиденциальных свойств	Удаление и восстановление пользователей
Администратор проверки подлинности	Да для некоторых пользователей	Да для некоторых пользователей	Да	No	Нет	Да для некоторых пользователей	Да для некоторых пользователей
Привилегированный администратор проверки подлинности	Да для всех пользователей	Да для всех пользователей	Нет	No	Нет	Да для всех пользователей	Да для всех пользователей
Администратор политики проверки подлинности	No	Да	Да	Да	Да	No	Нет
Администратор пользователей	Нет	No	No	No	Нет	Да для некоторых пользователей	Да для некоторых пользователей

Администратор расширения проверки подлинности

Это привилегированная роль. Назначьте роль администратора расширяемости проверки подлинности пользователям, которым необходимо выполнить следующие задачи:

• Создайте и управляйте всеми аспектами пользовательских расширений проверки подлинности.

Пользователи с этой ролью не могут выполнять следующие действия:

• Не удается назначить пользовательские расширения проверки подлинности приложениям, чтобы изменить интерфейс проверки подлинности, и не удается предоставить согласие на разрешения приложения или создать регистрации приложений, связанные с пользовательским расширением проверки подлинности. Вместо этого необходимо использовать роли администратора приложений, разработчика приложений или администратора облачных приложений.

Пользовательское расширение проверки подлинности — это конечная точка API, созданная разработчиком для событий проверки подлинности и зарегистрированная в идентификаторе Microsoft Entra. Администраторы приложений и владельцы приложений могут использовать пользовательские расширения проверки подлинности для настройки возможностей проверки подлинности приложения, таких как вход и регистрация, или сброс пароля.

Подробнее

Администратор политики проверки подлинности

Назначьте роль администратора политики проверки подлинности пользователям, которым необходимо выполнить следующие действия:

• Настройте политику методов проверки подлинности, параметры MFA на уровне клиента и политику защиты паролей, определяющие методы, которые могут регистрировать и использовать каждый пользователь.
• Управление параметрами защиты паролем: конфигурации смарт-блокировки и обновление списка настраиваемых запрещенных паролей.
• Управление параметрами MFA на устаревшем портале управления MFA.
• Создание и управление проверяемыми учетными данными.
• Создание запросов в службу поддержки Azure и управление ими.

Пользователи с этой ролью не могут выполнять следующие действия:

• Не удается обновить конфиденциальные свойства. Дополнительные сведения см. в разделе "Кто может выполнять конфиденциальные действия".
• Не удается удалить или восстановить пользователей. Дополнительные сведения см. в разделе "Кто может выполнять конфиденциальные действия".
• Не удается управлять токенами OATH оборудования.

В следующей таблице сравниваются возможности ролей, связанных с проверкой подлинности.

Должность	Управление методами проверки подлинности пользователя	Управление MFA для каждого пользователя	Управление параметрами MFA	Управление политикой выбора метода проверки подлинности	Управление политикой защиты паролем	Обновление конфиденциальных свойств	Удаление и восстановление пользователей
Администратор проверки подлинности	Да для некоторых пользователей	Да для некоторых пользователей	Да	No	Нет	Да для некоторых пользователей	Да для некоторых пользователей
Привилегированный администратор проверки подлинности	Да для всех пользователей	Да для всех пользователей	Нет	No	Нет	Да для всех пользователей	Да для всех пользователей
Администратор политики проверки подлинности	No	Да	Да	Да	Да	No	Нет
Администратор пользователей	Нет	No	No	No	Нет	Да для некоторых пользователей	Да для некоторых пользователей

Администратор Azure DevOps

Пользователи с этой ролью могут управлять всеми корпоративными политиками Azure DevOps, применимыми ко всем организациям Azure DevOps, поддерживаемым идентификатором Microsoft Entra. Пользователи этой роли могут управлять этими политиками, перейдя к любой организации Azure DevOps, поддерживаемой идентификатором Microsoft Entra компании. Кроме того, пользователи с этой ролью могут заявлять права собственности на потерянные организации Azure DevOps. Эта роль не предоставляет никаких других разрешений azure DevOps (например, администраторов коллекции проектов) в любой из организаций Azure DevOps, поддерживаемых организацией Microsoft Entra компании.

Администратор Azure Information Protection

пользователи с этой ролью имеют все разрешения в службе Azure Information Protection. Эта роль позволяет настраивать метки для политики Azure Information Protection, управлять шаблонами защиты и активировать защиту. Эта роль не предоставляет никаких разрешений на Защита идентификации Microsoft Entra, управление привилегированными пользователями, мониторинг работоспособности служб Microsoft 365, портала Microsoft 365 Defender или Портал соответствия требованиям Microsoft Purview.

Администратор набора ключей IEF B2C

Это привилегированная роль. Пользователь может создавать ключи политики и секреты для шифрования маркеров, подписи маркеров и шифрования и расшифровки утверждений, а также управлять этими ключами. Добавляя новые ключи в существующие контейнеры ключей, этот администратор с ограниченными правами может при необходимости менять секреты без влияния на существующие приложения. Этот пользователь может видеть полное содержимое секретов и даты окончания срока их действия даже после их создания.

Администратор политики IEF B2C

Пользователи с этой ролью могут создавать, читать, обновлять и удалять все настраиваемые политики в Azure AD B2C и, таким образом, имеют полный доступ к Identity Experience Framework в соответствующей организации Azure AD B2C. Изменяя политики, эти пользователи могут устанавливать прямую федерацию с внешними поставщиками удостоверений, изменять схемы каталогов, изменять все содержимое для пользователей (HTML, CSS, JavaScript), изменять требования к прохождению проверки подлинности, создавать пользователей, отправлять данные пользователей во внешние системы, включая полную миграцию, и изменять все сведения о пользователях, включая поля с такими конфиденциальными данными, как пароли и номера телефонов. Но в то же время пользователи с этой ролью не могут изменять ключи шифрования или секреты, используемые для федерации в организации.

администратора выставления счетов;

совершает покупки, управляет подписками, управляет запросами в службу поддержки и отслеживает работоспособность службы.

Администратор Cloud App Security

У пользователей с этой ролью есть полные разрешения в приложениях Defender для облака. Они могут добавлять администраторов, добавлять политики и параметры для приложений Microsoft Defender для облака, отправлять журналы и выполнять действия по управлению.

Администратор облачных приложений

Это привилегированная роль. пользователи с этой ролью имеют те же разрешения, что и для роли администратора приложений, за исключением возможности управления прокси приложения. Эта роль позволяет создавать и контролировать все аспекты корпоративных приложений и регистраций приложений. Пользователи, которым назначена эта роль, не добавляются в качестве владельцев при создании регистраций приложений или корпоративных приложений.

Эта роль также предоставляет возможность предоставления согласия на делегированные разрешения и разрешения приложения, за исключением разрешений приложений для Azure AD Graph и Microsoft Graph.

Администратор облачных устройств

Это привилегированная роль. Пользователи этой роли могут включать, отключать и удалять устройства в идентификаторе Microsoft Entra и читать ключи BitLocker Windows 10 (если они присутствуют) в портал Azure. Роль не предоставляет разрешения на управление любыми другими свойствами устройства.

Администратор соответствия требованиям

Пользователи с этой ролью имеют разрешения на управление функциями, связанными с соответствием требованиям, на портале Портал соответствия требованиям Microsoft Purview, Центр администрирования Microsoft 365, Azure и Microsoft 365 Defender. Назначаемые также могут управлять всеми функциями в Центре администрирования Exchange и создавать запросы в службу поддержки Для Azure и Microsoft 365. Дополнительные сведения см. в разделе "Роли и группы ролей" в Microsoft Defender для Office 365 и соответствии требованиям Microsoft Purview.

In	Разрешено
Портал соответствия требованиям Microsoft Purview	Защита данных организации и управление ими во всех службах Microsoft 365. Управление оповещениями по соответствию.
Диспетчер соответствия требованиям Microsoft Purview	Отслеживание, назначение и проверка деятельности организации на соответствие требованиям.
Портал Microsoft 365 Defender	Управление системой управления данными. Выполнение юридического расследование и анализа данных. Управление запросом субъекта данных. Эта роль имеет те же разрешения, что и группа ролей администратора соответствия требованиям в службе управления доступом на портале Microsoft 365 Defender.
Intune	Просмотр всех данных проверки Intune.
Microsoft Defender for Cloud Apps	Обладает разрешением только для чтения и может управлять оповещениями. Может создавать и изменять файловые политики и давать разрешение на управление файлом. Позволяет просматривать все встроенные отчеты в разделе "Управление данными".

Администратор данных соответствия

У пользователей с этой ролью есть разрешения на отслеживание данных на Портале соответствия требованиям Microsoft Purview, в Центре администрирования Microsoft 365 и Azure. Пользователи также могут отслеживать данные соответствия в центре администрирования Exchange, диспетчере соответствия требованиям и центре администрирования Teams и Skype для бизнеса и создавать запросы в службу поддержки для Azure и Microsoft 365. Дополнительные сведения о различиях между администратором соответствия требованиям и администратором данных соответствия требованиям см. в разделе "Роли и группы ролей" в Microsoft Defender для Office 365 и соответствии требованиям Microsoft Purview.

In	Разрешено
Портал соответствия требованиям Microsoft Purview	Отслеживает политики, связанные с соответствием требованиями, во всех службах Microsoft 365. Управление оповещениями по соответствию.
Диспетчер соответствия требованиям Microsoft Purview	Отслеживание, назначение и проверка деятельности организации на соответствие требованиям.
Портал Microsoft 365 Defender	Управление системой управления данными. Выполнение юридического расследование и анализа данных. Управление запросом субъекта данных. Эта роль имеет те же разрешения, что и группа ролей администратора данных соответствия требованиям в портале Microsoft 365 Defender на основе ролей.
Intune	Просмотр всех данных проверки Intune.
Microsoft Defender for Cloud Apps	Обладает разрешением только для чтения и может управлять оповещениями. Может создавать и изменять файловые политики и давать разрешение на управление файлом. Позволяет просматривать все встроенные отчеты в разделе "Управление данными".

Администратор условного доступа

Это привилегированная роль. Пользователи с этой ролью могут управлять параметрами условного доступа Microsoft Entra.

Лицо, утверждающее доступ к защищенному хранилищу

Управляет запросами microsoft Purview Customer Lockbox в вашей организации. Для запросов защищенного хранилища они получают уведомления по электронной почте и могут утверждать и отклонять запросы из Центра администрирования Microsoft 365. Они могут также выключать функции защищенного хранилища. Только глобальные администраторы могут сбрасывать пароли пользователей, которым назначены эти роли.

Администратор Аналитики компьютеров

Пользователи с этой ролью могут управлять службами портала "Аналитика компьютеров". В частности, возможностями просмотра наличных ресурсов, создания планов развертывания, просмотра развертывания и состояния работоспособности.

Читатели каталогов

Пользователи с этой ролью могут считывать основные сведения о каталогах. Эта роль должна использоваться в следующих целях:

• предоставление доступа на чтение лишь определенному набору гостевых пользователей, а не всем;
• Предоставление определенного набора пользователей, не являющихся администраторами, доступа к Центру администрирования Microsoft Entra, если для параметра "Ограничить доступ к Центру администрирования Microsoft Entra" задано значение "Да".
• предоставление субъектам-службам доступа к каталогам, для которых не установлен параметр Directory.Read.All.

Учетные записи синхронизации службы каталогов

Не используйте. Эта роль автоматически назначается службе Microsoft Entra Connect и не предназначена или не поддерживается для любого другого использования.

Редакторы каталогов

Это привилегированная роль. Пользователи с этой ролью могут читать и обновлять базовые сведения о пользователях, группах и субъектах-службах.

Администратор доменных имен

Это привилегированная роль. Пользователи с этой ролью могут управлять доменными именами (чтение, добавление, проверка, обновление и удаление). Они также могут считывать данные каталога о пользователях, группах и приложениях, поскольку эти объекты имеют зависимости от домена. Для локальных сред пользователи с этой ролью могут настроить доменные имена для федерации, чтобы для связанных пользователей всегда выполнялась проверка подлинности в локальной среде. Затем эти пользователи могут войти в службы на основе Microsoft Entra с помощью локальных паролей с помощью единого входа. Параметры федерации необходимо синхронизировать с помощью Microsoft Entra Connect, поэтому у пользователей также есть разрешения на управление Microsoft Entra Connect.

Администратор Dynamics 365

пользователи с этой ролью имеют глобальные разрешения в Microsoft Dynamics 365 Online (если служба используется), а также возможность управлять запросами в службу поддержки и отслеживать работоспособность службы. Дополнительные сведения см. в статье "Использование ролей администратора службы для управления клиентом".

администратор центра бизнеса Dynamics 365

Назначьте роль администратора Dynamics 365 Business Central пользователям, которым необходимо выполнить следующие задачи:

• Доступ к средам Dynamics 365 Business Central
• Выполнение всех административных задач в средах
• Управление жизненным циклом сред клиента
• Контроль расширений, установленных в средах
• Управление обновлениями сред
• Выполнение экспорта данных сред
• Чтение и настройка панелей мониторинга работоспособности служб Azure и Microsoft 365

Эта роль не предоставляет никаких разрешений для других продуктов Dynamics 365.

Администратор Edge

Пользователи с этой ролью могут создавать список сайтов предприятия, необходимый для работы в режиме Internet Explorer в Microsoft Edge, и управлять им. Эта роль предоставляет разрешения на создание, изменение и публикацию списка сайтов, а также позволяет управлять запросами в службу поддержки. Подробнее

Администратор Exchange

пользователи с этой ролью имеют глобальные разрешения в Microsoft Exchange Online (если служба используется). У них также есть возможность создавать все группы Microsoft 365 и управлять ими, а также управлять запросами в службу поддержки и отслеживать работоспособность служб. Дополнительные сведения см. в О ролях администратора в центре администрирования Microsoft 365.

Администратор получателей Exchange

Пользователи с этой ролью имеют доступ для чтения к получателям и доступ для записи к атрибутам получателей в Exchange Online. Дополнительные сведения см. в разделе "Получатели" в Exchange Server.

Администратор потоков пользователей с внешним идентификатором

Пользователи с этой ролью могут создавать потоки пользователей (также называемые "встроенными" политиками) и управлять ими на портале Azure. Эти пользователи могут настраивать содержимое HTML/CSS/JavaScript, изменять требования MFA, выбирать утверждения в маркере, управлять соединителями API и их учетными данными, а также настраивать параметры сеанса для всех потоков пользователей в организации Microsoft Entra. С другой стороны, пользователи с этой ролью не могут просматривать данные пользователей или вносить изменения в атрибуты, включенные в схему организации. Они также не могут изменять политики Identity Experience Framework (так называемые настраиваемые политики).

Администратор атрибутов потоков пользователей с внешним идентификатором

Пользователи с этой ролью добавляют или удаляют пользовательские атрибуты, доступные всем потокам пользователей в организации Microsoft Entra. Таким образом, эти пользователи могут изменять или добавлять новые элементы в схему конечного пользователя, влиять на поведение всех потоков пользователей и косвенно приводить к изменениям данных, запрашиваемых у конечных пользователей и в результате отправляемых в виде утверждений в приложения. Пользователи с этой ролью не могут изменять потоки пользователей.

Администратор внешних поставщиков удостоверений

Это привилегированная роль. Этот администратор управляет федерацией между организациями Microsoft Entra и внешними поставщиками удостоверений. Пользователи с этой ролью могут добавлять новые поставщики удостоверений и настраивать все доступные параметры (например, путь для проверки подлинности, идентификатор службы, назначенные контейнеры ключей). Этот пользователь может разрешить организации Microsoft Entra доверять аутентификации от внешних поставщиков удостоверений. Итоговое влияние на работу конечного пользователя зависит от типа организации:

• Организации Microsoft Entra для сотрудников и партнеров: добавление федерации (например, с Gmail) сразу повлияет на все приглашения гостей, которые еще не активированы. см. статью Добавление Google в качестве поставщика удостоверений для гостевых пользователей B2B;
• Организации Azure Active Directory B2C: добавление федерации (например, с Facebook или с другой организацией Microsoft Entra) не сразу влияет на потоки конечных пользователей, пока поставщик удостоверений не будет добавлен в поток пользователя (также называется встроенной политикой). Пример см. в статье Настройка учетной записи Microsoft в качестве поставщика удостоверений. Для изменения потоков пользователей требуется роль администратора потоков пользователей B2C с ограниченными правами.

Администратор Структуры

Пользователи с этой ролью имеют глобальные разрешения в Microsoft Fabric и Power BI, когда служба присутствует, а также возможность управлять запросами в службу поддержки и отслеживать работоспособности служб. Дополнительные сведения см. в разделе "Общие сведения о ролях администратора Fabric".

Глобальный администратор

Это привилегированная роль. Пользователи с этой ролью имеют доступ ко всем административным функциям в идентификаторе Microsoft Entra, а также службам, используюющим удостоверения Microsoft Entra, такие как портал Microsoft 365 Defender, Портал соответствия требованиям Microsoft Purview, Exchange Online, SharePoint Online и Skype для бизнеса Online. Глобальные администраторы могут просматривать журналы действий каталога. Кроме того, глобальные администраторы могут повысить свой уровень доступа и получить право управления всеми подписками и группами управления Azure. Это позволяет глобальным администраторам получить полный доступ ко всем ресурсам Azure с помощью соответствующего клиента Microsoft Entra. Пользователь, который регистрируется в организации Microsoft Entra, становится глобальным администратором. В компании может быть несколько глобальных администраторов. Глобальные администраторы могут сбросить пароль любого пользователя и администратора. Глобальный администратор не может удалить собственное назначение глобального администратора. Это позволит предотвратить ситуацию, когда у организации нет глобальных администраторов.

Глобальный читатель

Это привилегированная роль. Пользователи с этой ролью могут просматривать параметры и административные сведения в службах Microsoft 365, но не могут выполнять действия по управлению. Роль "Глобальный читатель" является аналогом роли "Глобальный администратор", но имеет доступ только на чтение. Назначайте роль "Глобальный читатель" вместо роли "Глобальный администратор" для планирования, аудита и исследований. Используйте роль "Глобальный читатель" в сочетании с другими ограниченными ролями администраторов, такими как "Администратор Exchange", для выполнения необходимых действий без использования роли "Глобальный администратор". Global Reader работает с Центр администрирования Microsoft 365, Центром администрирования Exchange, Центром администрирования SharePoint, Центром администрирования Teams, порталом Microsoft 365 Defender, Портал соответствия требованиям Microsoft Purview, портал Azure и Управление устройствами центре администрирования.

Пользователи с этой ролью не могут выполнять следующие действия:

• Не удается получить доступ к области "Службы покупки" в Центр администрирования Microsoft 365.

Глобальный администратор безопасного доступа

Назначьте роль глобального администратора безопасного доступа пользователям, которым необходимо выполнить следующие действия:

• Создание и управление всеми аспектами Интернет-доступ Microsoft Entra и Частный доступ Microsoft Entra
• Управление доступом к общедоступным и частным конечным точкам

Пользователи с этой ролью не могут выполнять следующие действия:

• Не удается управлять корпоративными приложениями, регистрациями приложений, условным доступом или параметрами прокси приложения

Подробнее

Администратор групп

Пользователи с этой ролью могут создавать группы и управлять ими, а также создавать параметры групп, такие как политики именования и срока действия, и управлять ими. Важно понимать, что при назначении пользователю этой роли он получит возможность управлять всеми группами в организации для различных рабочих нагрузок, таких как Teams, SharePoint и Yammer, в дополнение к Outlook. Пользователь также сможет управлять разными параметрами групп на разных порталах администрирования, таких как Центр администрирования Майкрософт и портал Azure, а также в центрах администрирования для определенных рабочих нагрузок, таких как центры администрирования Teams и SharePoint.

Приглашающий гостей

Пользователи в этой роли могут управлять приглашениями гостевых пользователей Microsoft Entra B2B, когда участники могут приглашать параметр пользователя в значение No. Дополнительные сведения о совместной работе B2B см. в описании совместной работы Microsoft Entra B2B. В нее не входят какие-либо другие разрешения.

Администратор службы технической поддержки

Это привилегированная роль. Пользователи с этой ролью могут изменять пароли, аннулировать токены обновления, создавать запросы в службу поддержки корпорации Майкрософт для служб Azure и Microsoft 365 и управлять ими, а также отслеживать работоспособность служб. После аннулирования маркера обновления пользователь должен выполнить вход еще раз. Наличие у администратора службы поддержки возможности сбросить пароль пользователя и сделать маркеры обновления недействительными, зависит от роли, которой назначен пользователь. Список ролей, для которых администратор службы технической поддержки может сбросить пароли и сделать маркеры обновления недействительными, см. в разделе Кто может сбрасывать пароли.

Пользователи с этой ролью не могут выполнять следующие действия:

• Не удается изменить учетные данные или сбросить MFA для членов и владельцев группы, назначаемой ролями.

Делегировать разрешения администратора в подмножества пользователей, а также применять политики к подмножеству пользователей можно с помощью административных единиц.

Эта роль ранее была названа администратором паролей в портал Azure. Он был переименован в службу "Администратор службы поддержки", чтобы выровнять существующее имя в API Microsoft Graph и Microsoft Graph PowerShell.

Администратор гибридных удостоверений

Это привилегированная роль. Пользователи этой роли могут создавать, администрировать и развертывать настройку конфигурации подготовки из Active Directory в идентификатор Microsoft Entra ID с помощью облачной подготовки, а также управлять Microsoft Entra Connect, сквозной проверкой подлинности (PTA), синхронизацией хэша паролей (PHS), простым единым входом (простой единый вход) и параметрами федерации. Не имеет доступа к управлению Microsoft Entra Connect Health. Эта роль также позволяет отслеживать журналы и устранять неполадки.

Администратор управления удостоверениями

Пользователи с этой ролью могут управлять конфигурацией Управление идентификацией Microsoft Entra, включая пакеты доступа, проверки доступа, каталоги и политики, обеспечивая утверждение и проверку доступа, а также гостевых пользователей, которые больше не нуждаются в доступе, удаляются.

Администратор Insights

Пользователям с этой ролью предоставляется доступ к полному набору административных возможностей приложения Microsoft Viva Insights. Эта роль позволяет считывать данные каталога, следить за работоспособностью служб, отправлять запросы в службу поддержки и получать доступ к аспектам параметров администратора Insights.

Подробнее

Аналитик Insights

Назначьте роль Аналитика Insights пользователям, которым требуется выполнять следующие операции:

• анализ данных в приложении Microsoft Viva Insights, но при этом он не должен иметь возможности управлять параметрами конфигурации;
• создание, управление и выполнение запросов;
• просмотр основных параметров и отчетов в Центре администрирования Microsoft 365;
• создание запросов на обслуживание и управление ими в Центре администрирования Microsoft 365.

Подробнее

Аналитика для руководителей компаний

Пользователи с этой ролью могут получить доступ к набору панелей мониторинга и аналитике через приложение Microsoft Viva Insights. Им полностью доступны все панели мониторинга и предлагаемые функции аналитики и исследования данных. Пользователи в этой роли не имеют доступа к параметрам конфигурации продукта, которые относятся к сфере ответственности администратора Insights.

Подробнее

Администратор Intune

Это привилегированная роль. пользователи с этой ролью имеют глобальные разрешения в Microsoft Intune Online (если служба используется). Кроме того, администраторы этой роли могут управлять пользователями и устройствами, чтобы связать политику, а также создавать группы и управлять ими. Дополнительные сведения см. в разделе управления администрированием на основе ролей (RBAC) с помощью Microsoft Intune.

Эта роль позволяет создавать все группы безопасности и управлять ими. Однако у администратора Intune нет прав администратора для групп Office. Это значит, что администратор не может изменять владельцев или членство групп Office в организации. Однако он может управлять созданной им группой Office, которая входит в состав его прав конечного пользователя. Таким образом, любая созданная им группа Office (не группа безопасности) должна включаться в квоту, размер которой составляет 250 групп.

Администратор Kaizala

Пользователи с этой ролью имеют глобальные разрешения на управление параметрами в Microsoft Kaizala при наличии этой службы, а также возможность управления запросами в службу поддержки и мониторинга работоспособности службы. Кроме того, пользователю доступны отчеты об установке и использовании Kaizala членами организации, а также бизнес-отчеты, создаваемые по действиям Kaizala.

Администратор знаний

Пользователи с этой ролью имеют полный доступ ко всем параметрам функций базы знаний, обучения и аналитики в Центре администрирования Microsoft 365. Они имеют общее представление о наборе продуктов, сведений о лицензировании и несут ответственность за контроль доступа. Администратор базы знаний может создавать и администрировать содержимое, например разделы, акронимы и учебные материалы. Кроме того, эти пользователи могут создать центры контента, отслеживать работоспособность служб и создавать запросы на обслуживание.

Управляющий базой знаний

Пользователи с этой ролью могут создавать и администрировать контент, например разделы, акронимы и обучающие материалы. Эти пользователи в основном отвечают за качество и структуру набора знаний. Этот пользователь имеет полные права на действия по управлению разделами (подтверждение, утверждение или удаление). Эта роль также позволяет управлять таксономиями в рамках средства управления хранилищем терминов и создавать центры контента.

Администратор лицензий

Пользователи этой роли могут читать, добавлять, удалять и обновлять назначения лицензий для пользователей, групп (с помощью группового лицензирования) и управлять расположением использования для пользователей. Роль не предоставляет возможности управления подписками или их приобретения, создания групп или управления ими, или создания и управления пользователями за пределами расположения использования. Данная роль не обладает доступом для просмотра, создания или управления запросами в службу поддержки.

Администратор рабочих процессов жизненного цикла

Это привилегированная роль. Назначьте роль администратора рабочих процессов жизненного цикла пользователям, которым необходимо выполнять следующие задачи:

• Создание всех аспектов рабочих процессов и задач, связанных с рабочими процессами жизненного цикла, и управление ими в идентификаторе Microsoft Entra
• Проверка выполнения запланированных рабочих процессов
• Запуск рабочих процессов по запросу
• Проверка журналов выполнения рабочего процесса

Читатель конфиденциальности данных Центра сообщений

Пользователи с этой ролью могут отслеживать все уведомления в Центре сообщений, включая сообщения о конфиденциальности данных. Читатели конфиденциальных данных Центра сообщений получают уведомления по электронной почте, в том числе относящиеся к конфиденциальности данных, и могут отменить подписку в его настройках. Чтение сообщений о конфиденциальности доступно только глобальным администраторам и читателям конфиденциальности данных Центра сообщений. Кроме того, эта роль включает возможность просмотра групп, доменов и подписок. Она не дает разрешения на просмотр, создание и обработку запросов на обслуживание.

Читатель центра сообщений

Пользователи с этой ролью могут отслеживать уведомления и рекомендации по обновлениям работоспособности в Центре сообщений для своей организации в настроенных службах, таких как Exchange, Intune и Microsoft Teams. Читатели Центра сообщений еженедельно получают по электронной почте хэш-коды публикаций, обновлений и могут размещать общедоступные публикации в центре сообщений в Microsoft 365. В идентификаторе Microsoft Entra пользователи, назначенные этой роли, будут иметь доступ только для чтения в службах Microsoft Entra, таких как пользователи и группы. Данная роль не обладает доступом для просмотра, создания или управления запросами в службу поддержки.

Администратор миграции Microsoft 365

Назначьте роль администратора миграции Microsoft 365 пользователям, которым необходимо выполнить следующие задачи:

• Используйте диспетчер миграции в Центр администрирования Microsoft 365 для управления миграцией содержимого в Microsoft 365, включая Teams, OneDrive для бизнеса и сайты SharePoint, из Google Drive, Dropbox, Box и Egnyte
• Выбор источников миграции, создание инвентаризаций миграции (например, списки пользователей Google Drive), планирование и выполнение миграции и скачивание отчетов
• Создание новых сайтов SharePoint, если целевые сайты еще не существуют, создайте списки SharePoint на сайтах администрирования SharePoint и создайте и обновите элементы в списках SharePoint.
• Управление параметрами проекта миграции и жизненным циклом миграции для задач
• Управление сопоставлениями разрешений из источника в назначение

Подробнее

Локальный администратор устройства, присоединенный к Microsoft Entra

эту роль можно назначить только в качестве роли дополнительного локального администратора в параметрах устройства. Пользователи с этой ролью становятся локальными администраторами компьютеров на всех устройствах Windows 10, присоединенных к идентификатору Microsoft Entra. У них нет возможности управлять объектами устройств в идентификаторе Microsoft Entra.

Администратор гарантии оборудования Майкрософт

Назначьте роль администратора гарантии оборудования Майкрософт пользователям, которым необходимо выполнить следующие задачи:

• Создание новых утверждений о гарантии для оборудования, изготовленного корпорацией Майкрософт, например Surface и HoloLens
• Поиск и чтение открытых или закрытых утверждений гарантии
• Поиск и чтение утверждений гарантии по серийным номерам
• Создание, чтение, обновление и удаление адресов доставки
• Чтение состояния доставки для открытых утверждений гарантии
• создание запросов на обслуживание и управление ими в Центре администрирования Microsoft 365.
• Чтение объявлений центра сообщений в Центр администрирования Microsoft 365

Утверждение гарантии — это запрос на ремонт оборудования или замена в соответствии с условиями гарантии. Дополнительные сведения см. в разделе "Самообслуживание" для запросов на обслуживание и гарантии Surface.

Специалист по гарантии оборудования Майкрософт

Назначьте роль специалиста по гарантии оборудования Майкрософт пользователям, которым необходимо выполнить следующие задачи:

• Создание новых утверждений о гарантии для оборудования, изготовленного корпорацией Майкрософт, например Surface и HoloLens
• Чтение утверждений о гарантии, которые они создали
• Чтение и обновление существующих адресов доставки
• Чтение состояния доставки для открытых утверждений о гарантии, которые они создали
• создание запросов на обслуживание и управление ими в Центре администрирования Microsoft 365.

Утверждение гарантии — это запрос на ремонт оборудования или замена в соответствии с условиями гарантии. Дополнительные сведения см. в разделе "Самообслуживание" для запросов на обслуживание и гарантии Surface.

Администратор современной коммерческой платформы

Не используйте. Эта роль автоматически назначается коммерческой платформой и не предназначена для любого другого использования. Этот процесс описан ниже.

Роль администратора современной коммерческой платформы предоставляет определенным пользователям разрешение на доступ к центру администрирования Microsoft 365, а также возможность видеть в левой области навигации элементы Главная, Выставление счетов и Поддержка. Содержимое, доступное в этих областях, контролируется ролями коммерческой платформы, назначенными пользователям для управления продуктами, которые они приобрели для себя или для организации. Это могут быть такие задачи, как оплата счетов или доступ к учетным записям и профилям выставления счетов.

Пользователи с ролью администратора современной коммерции обычно имеют административные разрешения в других системах приобретения Майкрософт, но не имеют роли глобального администратора или администратора выставления счетов, используемые для доступа к центру администрирования.

Когда назначается роль администратора современной коммерческой платформы

• Самостоятельная покупка в Центре администрирования Microsoft 365 — самостоятельная покупка дает пользователям возможность опробовать новые продукты, самостоятельно купив их или зарегистрировавшись в них. Управление этими продуктами осуществляется в центре администрирования. Пользователям, которые самостоятельно совершают покупку, назначается роль в коммерческой системе, а также роль администратора современной коммерческой платформы для управления покупками в центре администрирования. Администраторы могут блокировать самостоятельные покупки (для Fabric, Power BI, Power Apps, Power Automate) с помощью PowerShell. Дополнительные сведения см. на странице Вопросы и ответы по самостоятельной покупке.
• Покупки из коммерческой платформы Майкрософт— аналогично самостоятельной покупке, когда пользователь покупает продукт или службу из Microsoft AppSource или Azure Marketplace, роль администратора современной коммерции назначается, если у них нет роли глобального администратора или администратора выставления счетов. В некоторых случаях пользователям может запрещаться совершать эти покупки. Дополнительные сведения см. в статье Коммерческая платформа Майкрософт.
• Предложения от Майкрософт — официальное предложение от корпорации Майкрософт приобрести продукты и службы Майкрософт. Когда пользователь, принимающий предложение, не имеет роли глобального администратора или администратора выставления счетов в идентификаторе Microsoft Entra ID, они назначаются как для выполнения предложения, так и роли администратора современной коммерции для доступа к центру администрирования. При доступе к центру администрирования он может использовать только те функции, которые разрешены его коммерческой ролью.
• Коммерческие роли — некоторым пользователям назначаются коммерческие роли. Если пользователь не является глобальным администратором или администратором выставления счетов, он получает роль администратора современной коммерции, чтобы получить доступ к центру администрирования.

Когда назначение роли администратора современной коммерческой платформы пользователю отменяется, он утрачивает доступ к центру администрирования Microsoft 365. Если он управлял любыми продуктами для самостоятельного использования или для организации, то больше не сможет управлять ими. Это относится в том числе к назначению лицензий, изменению методов оплаты, оплате счетов и другим задачам управления подписками.

Network Administrator

Пользователи с этой ролью могут просматривать рекомендации по архитектуре периметра сети от Майкрософт, основанные на телеметрии сети, получаемой из расположений пользователей. Производительность сети для Microsoft 365 зависит от тщательного планирования корпоративной архитектуры периметра сети клиентов, которая, как правило, специфична для каждого расположения. Данная роль позволяет изменять обнаруженные расположения пользователей, настраивать их сетевые параметры и получать более оптимальную телеметрию и рекомендации по проектированию.

Администратор приложений Office

Пользователи с этой ролью могут управлять параметрами облака приложений Microsoft 365. Сюда входит управление облачными политиками, самостоятельное управление скачиванием и возможность просмотра отчета по приложениям Office. Эта роль также позволяет управлять запросами в службу поддержки и отслеживать работоспособность служб в главном центре администрирования. Пользователи, которым назначена эта роль, могут также управлять взаимодействием новых функций в приложениях Office.

Администратор фирменной символики организации

Назначьте роль администратора фирменной символики организации пользователям, которым необходимо выполнить следующие задачи:

• Управление всеми аспектами фирменной символики организации в клиенте
• Чтение, создание, обновление и удаление тем фирменной символики
• Управление темой фирменной символики по умолчанию и всеми темами локализации фирменной символики

Утверждающий организационные сообщения

Назначьте роль утверждающего сообщений организации пользователям, которым необходимо выполнить следующие задачи:

• Просмотр, утверждение или отклонение новых сообщений организации для доставки в Центр администрирования Microsoft 365 перед отправкой пользователям с помощью платформы сообщений организации Microsoft 365
• Чтение всех аспектов сообщений организации
• Чтение основных свойств всех ресурсов в Центре администрирования Microsoft 365

Запись сообщений организации

Назначьте роль записи сообщений организации пользователям, которым необходимо выполнить следующие задачи:

• Запись, публикация и удаление сообщений организации с помощью Центр администрирования Microsoft 365 или Microsoft Intune
• Управление параметрами доставки сообщений организации с помощью Центр администрирования Microsoft 365 или Microsoft Intune
• Чтение результатов доставки сообщений организации с помощью Центр администрирования Microsoft 365 или Microsoft Intune
• Просмотр отчетов об использовании и большинства параметров в Центр администрирования Microsoft 365, но не может вносить изменения.

Поддержка партнеров уровня 1

Это привилегированная роль. Не используйте. Эта роль устарела и будет удалена из идентификатора Microsoft Entra в будущем. Эта роль использовалась небольшим числом торговых представителей корпорации Майкрософт и не предназначена для общего использования.

Поддержка партнеров уровня 2

Это привилегированная роль. Не используйте. Эта роль устарела и будет удалена из идентификатора Microsoft Entra в будущем. Эта роль использовалась небольшим числом торговых представителей корпорации Майкрософт и не предназначена для общего использования.

Администратор паролей

Это привилегированная роль. Пользователи с этой ролью имеют ограниченные возможности управления паролями. Эта роль не позволяет управлять запросами на обслуживание или отслеживать работоспособность служб. Возможность администратора паролей сбрасывать пароль пользователя, зависит от роли, которой назначен пользователь. Список ролей, для которых администратор паролей может сбросить пароли, см. в разделе Кто может сбрасывать пароли.

Пользователи с этой ролью не могут выполнять следующие действия:

• Не удается изменить учетные данные или сбросить MFA для членов и владельцев группы, назначаемой ролями.

Администратор управления разрешениями

Назначьте роль администратора управления разрешениями пользователям, которым необходимо выполнить следующие задачи:

• Управление всеми аспектами Управление разрешениями Microsoft Entra, когда служба присутствует

Дополнительные сведения о ролях и политиках управления разрешениями см. в разделе "Просмотр сведений о ролях и политиках".

Администратор Power Platform

Пользователи с этой ролью могут создавать все аспекты сред, Power Apps, потоков и политик предотвращения потери данных и управлять ими. Кроме того, пользователи с этой ролью могут управлять запросами в службу поддержки и отслеживать работоспособность службы.

Администратор принтеров

Пользователи с этой ролью могут регистрировать принтеры и управлять всеми аспектами конфигурации всех принтеров в решении универсальной печати Майкрософт, в том числе параметрами соединителя универсальной печати. Они могут предоставлять согласие на все запросы делегирования разрешений на печать. Администраторы принтеров также имеют доступ к отчетам о печати.

Технический специалист по принтерам

Пользователи с этой ролью могут регистрировать принтеры и управлять состоянием принтера в решении универсальной печати Майкрософт. Им также доступно чтение всей информации о соединителях. Техническому специалисту по принтерам недоступны такие задачи, как предоставление пользователям разрешений и общего доступа к принтерам.

Привилегированный администратор проверки подлинности

Это привилегированная роль. Назначьте роль администратора привилегированной проверки подлинности пользователям, которым необходимо выполнить следующие действия:

• Задайте или сбросьте любой метод проверки подлинности (включая пароли) для любого пользователя, включая глобальных администраторов.
• Удалите или восстановите всех пользователей, включая глобальных администраторов. Дополнительные сведения см. в разделе "Кто может выполнять конфиденциальные действия".
• Принудительно заставить пользователей повторно зарегистрировать существующие учетные данные без пароля (например, MFA или FIDO) и отозвать MFA на устройстве, запрашивая MFA на следующем входе всех пользователей.
• Обновите конфиденциальные свойства для всех пользователей. Дополнительные сведения см. в разделе "Кто может выполнять конфиденциальные действия".
• Создание запросов в службу поддержки и управление ими в Azure и Центр администрирования Microsoft 365.

Пользователи с этой ролью не могут выполнять следующие действия:

• Не удается управлять MFA для каждого пользователя на устаревшем портале управления MFA.

В следующей таблице сравниваются возможности ролей, связанных с проверкой подлинности.

Должность	Управление методами проверки подлинности пользователя	Управление MFA для каждого пользователя	Управление параметрами MFA	Управление политикой выбора метода проверки подлинности	Управление политикой защиты паролем	Обновление конфиденциальных свойств	Удаление и восстановление пользователей
Администратор проверки подлинности	Да для некоторых пользователей	Да для некоторых пользователей	Да	No	Нет	Да для некоторых пользователей	Да для некоторых пользователей
Привилегированный администратор проверки подлинности	Да для всех пользователей	Да для всех пользователей	Нет	No	Нет	Да для всех пользователей	Да для всех пользователей
Администратор политики проверки подлинности	No	Да	Да	Да	Да	No	Нет
Администратор пользователей	Нет	No	No	No	Нет	Да для некоторых пользователей	Да для некоторых пользователей

Администратор привилегированных ролей

Это привилегированная роль. Пользователи с этой ролью могут управлять назначениями ролей в идентификаторе Microsoft Entra, а также в управление привилегированными пользователями Microsoft Entra. Они могут создавать группы и управлять ими, которые могут быть назначены ролям Microsoft Entra. Кроме того, эта роль позволяет управлять всеми аспектами управления привилегированными удостоверениями и административными единицами.

Читатель отчетов

Пользователи с этой ролью могут просматривать данные отчетов об использовании и панель мониторинга отчетов в Центр администрирования Microsoft 365 и пакет контекста внедрения в Fabric и Power BI. Кроме того, роль предоставляет доступ ко всем журналам входа, журналам аудита и отчетам о действиях в идентификаторе и данных Microsoft Graph, возвращаемых API отчетов Microsoft Graph. Пользователь с ролью "Читатель отчетов" имеет доступ только к релевантным метрикам использования и внедрения. Он не приобретает полномочия администратора по настройке или использованию центров администрирования отдельных продуктов (например, Excahange). Данная роль не обладает доступом для просмотра, создания или управления запросами в службу поддержки.

Администратор поиска

Пользователи с этой ролью имеют полный доступ ко всем функциям управления поиска (Майкрософт) в Центре администрирования Microsoft 365. Кроме того, эти пользователи могут просматривать Центр сообщений, отслеживать работоспособность служб и создавать запросы на обслуживание.

Редактор поиска

Пользователи с этой ролью могут создавать, изменять и удалять содержимое поиска (Майкрософт) в Центре администрирования Microsoft 365, включая закладки, расположения или вопросы и ответы.

Администратор безопасности

Это привилегированная роль. Пользователи с этой ролью имеют разрешения на управление функциями, связанными с безопасностью, на портале Microsoft 365 Defender, Защита идентификации Microsoft Entra, аутентификации Microsoft Entra Authentication, Azure Information Protection и Портал соответствия требованиям Microsoft Purview. Дополнительные сведения о разрешениях Office 365 см. в разделе "Роли и группы ролей" в Microsoft Defender для Office 365 и соответствии требованиям Microsoft Purview.

In	Разрешено
Портал Microsoft 365 Defender	Отслеживает политики, связанные с безопасностью во всех службах Microsoft 365. Управляет угрозами безопасности и оповещениями. Просмотр отчетов
Защита идентификации Microsoft Entra	Все разрешения роли читателя сведений о безопасности. Выполнение всех операций защиты идентификаторов, за исключением сброса паролей
Управление привилегированными пользователями	Все разрешения роли читателя сведений о безопасности. Не удается управлять назначениями ролей и параметрами ролей Microsoft Entra
Портал соответствия требованиям Microsoft Purview	Управление политиками безопасности. Просмотр, исследование и реагирование на угрозы безопасности. Просмотр отчетов
Расширенная защита от угроз Azure	Мониторинг и реагирование на подозрительные безопасные действия.
Microsoft Defender для конечной точки	Назначение ролей Управление группами компьютеров Настройка выявления угроз в конечной точке и автоматизированном исправлении. Просмотр, исследование и реагирование на оповещения. Просмотр инвентаризации устройств и компьютеров
Intune	Сопоставляется с ролью Диспетчера безопасности конечных точек Intune
Microsoft Defender for Cloud Apps	Добавление администраторов, политики и параметров, загрузка журналов и выполнение действия системы управления.
Работоспособность службы Microsoft 365	Просмотр состояния служб Microsoft 365
Смарт-блокировка	Укажите пороговое значение и длительность блокировки при событиях неудачного входа.
Защита паролем	Настройте пользовательский список запрещенных паролей или локальную защиту паролем.
Синхронизация между клиентами	Настройка параметров доступа между клиентами для пользователей в другом клиенте. Администраторы безопасности не могут напрямую создавать и удалять пользователей, но могут косвенно создавать и удалять синхронизированных пользователей из другого клиента, если оба клиента настроены для синхронизации между клиентами, что является привилегированным разрешением.

Оператор безопасности

Это привилегированная роль. Пользователи с этой ролью могут управлять оповещениями и иметь глобальный доступ только для чтения для функций, связанных с безопасностью, включая все сведения на портале Microsoft 365 Defender, Защита идентификации Microsoft Entra, управление привилегированными пользователями и Портал соответствия требованиям Microsoft Purview. Дополнительные сведения о разрешениях Office 365 см. в разделе "Роли и группы ролей" в Microsoft Defender для Office 365 и соответствии требованиям Microsoft Purview.

In	Разрешено
Портал Microsoft 365 Defender	Все разрешения роли читателя сведений о безопасности. Просмотр, исследование и реагирование на оповещения об угрозах безопасности. Управление параметрами безопасности на портале Microsoft 365 Defender
Защита идентификации Microsoft Entra	Все разрешения роли читателя сведений о безопасности. Выполняйте все операции защиты идентификаторов, за исключением настройки или изменения политик на основе рисков, сброса паролей и настройки сообщений электронной почты оповещений.
Управление привилегированными пользователями	Все разрешения роли читателя сведений о безопасности.
Портал соответствия требованиям Microsoft Purview	Все разрешения роли читателя сведений о безопасности. Просмотр, исследование и реагирование на оповещения системы безопасности.
Microsoft Defender для конечной точки	Все разрешения роли читателя сведений о безопасности. Просмотр, исследование и реагирование на оповещения системы безопасности. Если включить управление доступом на основе ролей в Microsoft Defender для конечной точки, пользователи с разрешениями только для чтения, такими как роль читателя безопасности, теряют доступ, пока они не будут назначены Microsoft Defender для конечной точки роли.
Intune	Все разрешения роли читателя сведений о безопасности.
Microsoft Defender for Cloud Apps	Все разрешения роли читателя сведений о безопасности. Просмотр, исследование и реагирование на оповещения системы безопасности.
Работоспособность службы Microsoft 365	Просмотр состояния служб Microsoft 365

Читатель сведений о безопасности

Это привилегированная роль. Пользователи с этой ролью имеют глобальный доступ только для чтения для функций, связанных с безопасностью, включая все сведения на портале Microsoft 365 Defender, Защита идентификации Microsoft Entra, управление привилегированными пользователями, а также возможность читать отчеты о входе в Microsoft Entra и журналы аудита, а также в Портал соответствия требованиям Microsoft Purview. Дополнительные сведения о разрешениях Office 365 см. в разделе "Роли и группы ролей" в Microsoft Defender для Office 365 и соответствии требованиям Microsoft Purview.

In	Разрешено
Портал Microsoft 365 Defender	Просмотр политик связанных с безопасностью во всех службах Microsoft 365. Просмотр угроз безопасности и оповещений. Просмотр отчетов
Защита идентификации Microsoft Entra	Просмотр всех отчетов защиты идентификаторов и обзор
Управление привилегированными пользователями	Имеет доступ только для чтения ко всем сведениям, представленным в Microsoft Entra управление привилегированными пользователями: политики и отчеты для назначений ролей Microsoft Entra и проверок безопасности. Не удается зарегистрироваться для Microsoft Entra управление привилегированными пользователями или внести в него какие-либо изменения. На портале управление привилегированными пользователями или с помощью PowerShell пользователь в этой роли может активировать дополнительные роли (например, администратор привилегированных ролей), если пользователь имеет право на их использование.
Портал соответствия требованиям Microsoft Purview	Просмотр политик безопасности Просмотр и анализ угроз безопасности. Просмотр отчетов
Microsoft Defender для конечной точки	Просмотр и анализ оповещений. Если включить управление доступом на основе ролей в Microsoft Defender для конечной точки, пользователи с разрешениями только для чтения, такими как роль читателя безопасности, теряют доступ, пока они не будут назначены Microsoft Defender для конечной точки роли.
Intune	Просмотр пользователя, устройства, соглашения о регистрации, настроек и сведений о приложении. Не может вносить изменения в Intune.
Microsoft Defender for Cloud Apps	Имеет разрешения на чтение.
Работоспособность службы Microsoft 365	Просмотр состояния служб Microsoft 365

Администратор службы поддержки

Пользователи с этой ролью могут создавать запросы в службу поддержки корпорации Майкрософт для служб Azure и Microsoft 365 и управлять ими, а также просматривать панель мониторинга служб и центр сообщений на портале Azure и в Центре администрирования Microsoft 365. Дополнительные сведения см. в О ролях администратора в центре администрирования Microsoft 365.

Администратор SharePoint

пользователи с этой ролью имеют глобальные разрешения в Microsoft SharePoint Online при наличии этой службы, возможность создавать все группы Microsoft 365 и управлять ими, а также управлять запросами в службу поддержки и отслеживать работоспособность служб. Дополнительные сведения см. в О ролях администратора в центре администрирования Microsoft 365.

Администратор SharePoint Embedded

Назначьте роль администратора SharePoint Embedded пользователям, которым необходимо выполнить следующие задачи:

• Выполнение всех задач с помощью PowerShell, API Microsoft Graph или Центра администрирования SharePoint
• Управление, настройка и обслуживание контейнеров SharePoint Embedded
• Перечисление контейнеров SharePoint Embedded и управление ими
• Перечисление разрешений и управление ими для контейнеров SharePoint Embedded
• Управление хранилищем контейнеров SharePoint Embedded в клиенте
• Назначение политик безопасности и соответствия контейнерам SharePoint Embedded
• Применение политик безопасности и соответствия контейнерам SharePoint Embedded в клиенте

Подробнее

Администратор Skype для бизнеса

Пользователи с этой ролью имеют глобальные разрешения в Microsoft Skype для бизнеса, когда служба присутствует, а также управление атрибутами пользователей skype в идентификаторе Microsoft Entra ID. Кроме того, эта роль позволяет управлять запросами в службу поддержки и отслеживать работоспособность служб, а также предоставляет доступ к центру администрирования Teams и Skype для бизнеса. Учетная запись также должна иметь лицензию Teams, иначе она не сможет запускать командлеты PowerShell Teams. Дополнительные сведения см. в статье Skype для бизнеса Сведения о лицензировании администратора Online и Teams по Skype для бизнеса лицензированию надстроек.

Администратор Teams

пользователи с этой ролью могут управлять всеми функциями рабочей нагрузки Microsoft Teams с помощью центра администрирования Microsoft Teams и Skype для бизнеса и соответствующих модулей PowerShell. Сюда входят, помимо прочего, все средства управления, связанные с телефонией, обменом сообщениями, собраниями и самими командами Teams. Кроме того, эта роль позволяет создавать все группы Microsoft 365 и управлять ими, а также управлять запросами в службу поддержки и отслеживать работоспособность служб.

Администратор связи Teams

пользователи с этой ролью могут управлять функциями рабочей нагрузки Microsoft Teams, связанными с голосовой связью и телефонией. Сюда входят средства управления для назначения номера телефона, политики голосовой связи и собраний, а также полный доступ к набору инструментов анализа вызовов.

Инженер службы поддержки связи Teams

пользователи с этой ролью могут устранять неполадки со связью в Microsoft Teams и Skype для бизнеса с помощью соответствующих средств для пользовательских вызовов в центре администрирования Microsoft Teams и Skype для бизнеса. Пользователи с этой ролью могут просматривать полные сведения о записях вызовов для всех задействованных участников. Данная роль не обладает доступом для просмотра, создания или управления запросами в службу поддержки.

Специалист службы поддержки связи Teams

пользователи с этой ролью могут устранять неполадки со связью в Microsoft Teams и Skype для бизнеса с помощью соответствующих средств для пользовательских вызовов в центре администрирования Microsoft Teams и Skype для бизнеса. Пользователи с этой ролью могут просматривать сведения об определенном пользователе только при его вызове. Данная роль не обладает доступом для просмотра, создания или управления запросами в службу поддержки.

Администраторы устройств Teams

Пользователи с этой ролью могут управлять устройствами, сертифицированными для Teams, из Центра администрирования Teams. Эта роль позволяет быстро просматривать все устройства и обеспечивает возможности поиска и фильтрации устройств. Пользователь может проверить сведения о каждом устройстве, включая учетную запись входа, а также марку и модель устройства. Пользователь может изменять параметры устройства и обновлять версии программного обеспечения. Эта роль не предоставляет разрешения на проверку действий в Teams и качества звонков устройства.

Администратор телефонии Teams

Назначьте роль администратора телефонии Teams пользователям, которым необходимо выполнить следующие задачи:

• Управление голосовой связью и телефонией, включая политики звонков, управление номерами телефонов и назначение, а также голосовые приложения
• Доступ только к отчетам об использовании общедоступной телефонной сети (ТСОП) из Центра администрирования Teams
• Просмотр страницы профиля пользователя
• Создание запросов в службу поддержки и управление ими в Azure и Центр администрирования Microsoft 365

Подробнее

Создатель клиента

Назначьте роль создателя клиента пользователям, которым необходимо выполнить следующие задачи:

• Создание клиентов Microsoft Entra и Azure Active Directory B2C, даже если переключатель создания клиента отключен в параметрах пользователя

Средство чтения сводки об использовании

Назначьте роль читателя сводных отчетов об использовании пользователям, которым необходимо выполнить следующие задачи в Центр администрирования Microsoft 365:

• Просмотр отчетов об использовании и оценка внедрения
• Чтение аналитических сведений организации, но не личных сведений (PII) пользователей

Эта роль позволяет пользователям просматривать данные уровня организации со следующими исключениями:

• Пользователи-члены могут просматривать данные и параметры управления пользователями.
• Гостевые пользователи, назначенные этой роли, не могут просматривать данные и параметры управления пользователями.

Администратор пользователей

Это привилегированная роль. Назначьте роль администратора пользователей пользователям, которым необходимо выполнить следующие действия:

Разрешение	Дополнительные сведения
Создание пользователей
Обновление большинства свойств пользователей для всех пользователей, включая всех администраторов	Кто может выполнять конфиденциальные действия
Обновление конфиденциальных свойств (включая имя участника-пользователя) для некоторых пользователей	Кто может выполнять конфиденциальные действия
Отключение или включение некоторых пользователей	Кто может выполнять конфиденциальные действия
Удаление или восстановление некоторых пользователей	Кто может выполнять конфиденциальные действия
Создание представлений пользователя и управление ими
Создание всех групп и управление ими
Назначение и чтение лицензий для всех пользователей, включая всех администраторов
Сброс паролей	Кто может сбрасывать пароли
Недопустимые маркеры обновления	Кто может сбрасывать пароли
Обновление ключей устройства (FIDO)
Изменение политик срока действия паролей
Создание запросов в службу поддержки и управление ими в Azure и Центр администрирования Microsoft 365
Мониторинг работоспособности служб

Пользователи с этой ролью не могут выполнять следующие действия:

• Не удается управлять MFA.
• Не удается изменить учетные данные или сбросить MFA для членов и владельцев группы, назначаемой ролями.
• Не удается управлять общими почтовыми ящиками.
• Не удается изменить вопросы безопасности для операции сброса пароля.

Диспетчер успешных операций с пользовательским интерфейсом

Назначьте роль диспетчера успешного взаимодействия пользователей пользователям, которым необходимо выполнить следующие задачи:

• Чтение отчетов об использовании на уровне организации для Приложения Microsoft 365 и служб, но не сведений о пользователях
• Просмотр отзывов о продуктах вашей организации, результатов опроса Net Promoter Score (NPS) и справки по выявлению возможностей для взаимодействия и обучения
• Чтение записей центра сообщений и данных о работоспособности служб

Подробнее

Администратор виртуальных посещений

Пользователи с этой ролью могут выполнять следующие задачи:

• Управление всеми аспектами виртуальных посещений в Bookings в Центре администрирования Microsoft 365 и в соединителе команд EHR
• Просмотр отчетов об использовании для виртуальных посещений в Центре администрирования Teams, Центр администрирования Microsoft 365, Fabric и Power BI
• Просмотр функций и параметров в Центре администрирования Microsoft 365, но не может изменять параметры.

Виртуальные визиты — это простой способ планирования онлайн-встреч и видео-встреч для сотрудников и участников. Например, отчеты об использовании могут показать, как отправление текстовых sms-сообщений перед встречами может уменьшить количество людей, которые являются на встречи.

Администратор целей Viva

Назначьте роль администратора Viva Goals пользователям, которым необходимо выполнить следующие задачи:

• Управление и настройка всех аспектов приложения Microsoft Viva Goals
• Настройка параметров администратора Microsoft Viva Goals
• Чтение сведений о клиенте Microsoft Entra
• Мониторинг работоспособности службы Microsoft 365
• Создание запросов на обслуживание Microsoft 365 и управление ими

Дополнительные сведения см. в разделе "Роли и разрешения" в разделе "Цели Viva" и "Введение в цели Microsoft Viva".

Администратор Viva Pulse

Назначьте роль администратора Viva Pulse пользователям, которым необходимо выполнить следующие задачи:

• Чтение и настройка всех параметров Viva Pulse
• Чтение основных свойств всех ресурсов в Центре администрирования Microsoft 365
• Чтение данных службы "Работоспособность служб Azure" и ее настройка
• Создание запросов в службу поддержки Azure и управление ими
• Чтение сообщений в центре сообщений Центра администрирования Microsoft 365, за исключением сообщений системы безопасности
• просмотр отчетов об использовании в Центре администрирования Microsoft 365;

Дополнительные сведения см. в разделе "Назначение администратора Viva Pulse" в Центр администрирования Microsoft 365.

Администратор Windows 365

Пользователи с этой ролью имеют глобальные разрешения на ресурсы Windows 365, если служба установлена. Кроме того, администраторы этой роли могут управлять пользователями и устройствами, чтобы связать политику, а также создавать группы и управлять ими.

Эта роль может создавать группы безопасности и управлять ими, но не имеет прав администратора в группах Microsoft 365. Это означает, что администраторы не могут изменять владельцев или членов групп Microsoft 365 в организации. Но они могут управлять созданной ими группой Microsoft 365, которая входит в область их привилегий конечных пользователей. Поэтому любая созданная ими группа Microsoft 365 (не группа безопасности) учитывается в их квоте на 250 групп.

Назначьте роль администратора Windows 365 пользователям, которым необходимо выполнять следующие задачи:

• Управление Облачный компьютер Windows 365 в Microsoft Intune
• Регистрация устройств и управление ими в идентификаторе Microsoft Entra, включая назначение пользователей и политик
• создание групп безопасности и управление ими (но не групп с возможностью назначения ролей);
• просмотр основных свойств в Центре администрирования Microsoft 365;
• просмотр отчетов об использовании в Центре администрирования Microsoft 365;
• Создание запросов в службу поддержки и управление ими в Azure и Центр администрирования Microsoft 365

Администратор развертывания Центра обновления Windows

Пользователи с этой ролью могут создавать и администрировать все аспекты развернутых экземпляров Центра обновления Windows с помощью службы развертывания Центра обновления Windows для бизнеса. С помощью службы развертывания пользователи могут задавать параметры, определяющие время и способ развертывания обновлений, а также выбирать предлагаемые обновления для групп устройств в своем арендаторе. Они также могут отслеживать процесс обновления.

Администратор Yammer

Назначьте роль администратора Yammer пользователям, которым необходимо выполнять следующие задачи:

• Управление всеми аспектами Yammer
• Создание, управление и восстановление групп Microsoft 365, но не групп с возможностью назначения ролей
• Просмотр данных о скрытых членах групп безопасности и групп Microsoft 365, включая группы с возможностью назначения ролей
• просмотр отчетов об использовании в Центре администрирования Microsoft 365;
• создание запросов на обслуживание и управление ими в Центре администрирования Microsoft 365.
• Просмотр объявлений в Центре сообщений, но не объявлений системы безопасности
• Просмотр работоспособности службы

Подробнее

Устаревшие роли

Не рекомендуется использовать следующие роли. Они устарели и будут удалены из идентификатора Microsoft Entra в будущем.

• Администратор отдельных лицензий
• Device Join (Присоединение устройства)
• Диспетчеры устройств
• Device Users (Пользователи устройства)
• Создатель проверенного пользователя электронной почты
• администратор почтовых ящиков;
• Присоединение устройства к рабочей области

Роли, не отображаемые на портале

Не все роли, возвращаемые PowerShell или API MS Graph, отображаются на портале Azure. В следующей таблице представлены различия.

Имя API	Название на портале Azure	Примечания.
Device Join (Присоединение устройства)	Устарело	Документация по устаревшим ролям
Диспетчеры устройств	Устарело	Документация по устаревшим ролям
Device Users (Пользователи устройства)	Устарело	Документация по устаревшим ролям
Учетные записи синхронизации службы каталогов	Не отображается, так как не должно использоваться.	Документация по учетным записям для синхронизации службы каталогов
Гостевой пользователь	Не отображается, так как не может использоваться.	Неприменимо
"Partner Tier 1 Support" (Поддержка для партнеров уровня 1);	Не отображается, так как не должно использоваться.	Документация по поддержке партнеров уровня 1
"Partner Tier 2 Support" (Поддержка для партнеров уровня 2);	Не отображается, так как не должно использоваться.	Документация по поддержке партнеров уровня 2
Гостевой пользователь с ограниченными правами	Не отображается, так как не может использоваться.	Неприменимо
User	Не отображается, так как не может использоваться.	Неприменимо
Присоединение устройства к рабочей области	Устарело	Документация по устаревшим ролям

Следующие шаги

• Назначение ролей Microsoft Entra группам
• Общие сведения о различных ролях
• Назначение пользователя в качестве администратора подписки Azure