Inbyggda Microsoft Entra-roller

Om en annan administratör eller icke-administratör behöver hantera Microsoft Entra-resurser i Microsoft Entra-ID tilldelar du dem en Microsoft Entra-roll som ger de behörigheter de behöver. Du kan till exempel tilldela roller för att tillåta att användare läggs till eller ändras, återställa användarlösenord, hantera användarlicenser eller hantera domännamn.

I den här artikeln visas de inbyggda Microsoft Entra-roller som du kan tilldela för att tillåta hantering av Microsoft Entra-resurser. Information om hur du tilldelar roller finns i Tilldela Microsoft Entra-roller till användare. Om du letar efter roller för att hantera Azure-resurser kan du läsa inbyggda Azure-roller.

Alla roller

Appadministratör

Det här är en privilegierad roll. Användare i den här rollen kan skapa och hantera alla aspekter av företagsprogram, programregistreringar och programproxyinställningar. Observera att användare som tilldelats den här rollen inte läggs till som ägare när nya programregistreringar eller företagsprogram skapas.

Den här rollen ger också möjlighet att godkänna delegerade behörigheter och programbehörigheter, med undantag för programbehörigheter för Azure AD Graph och Microsoft Graph.

Programutvecklare

Det här är en privilegierad roll. Användare i den här rollen kan skapa programregistreringar när inställningen "Användare kan registrera program" är inställd på Nej. Den här rollen ger också behörighet att godkänna för ens egen räkning när inställningen "Användare kan samtycka till att appar får åtkomst till företagsdata för deras räkning" har angetts till Nej. Användare som tilldelats den här rollen läggs till som ägare när nya programregistreringar skapas.

Attack Payload Author

Användare i den här rollen kan skapa attacknyttolaster men inte starta eller schemalägga dem. Attacknyttolaster är sedan tillgängliga för alla administratörer i klientorganisationen som kan använda dem för att skapa en simulering.

Mer information finns i Microsoft Defender för Office 365 behörigheter i Microsoft 365 Defender-portalen och Behörigheter i efterlevnadsportal i Microsoft Purview.

Administratör för attacksimulering

Användare i den här rollen kan skapa och hantera alla aspekter av skapande av attacksimulering, start/schemaläggning av en simulering och granskning av simuleringsresultat. Medlemmar i den här rollen har den här åtkomsten för alla simuleringar i klientorganisationen.

Mer information finns i Microsoft Defender för Office 365 behörigheter i Microsoft 365 Defender-portalen och Behörigheter i efterlevnadsportal i Microsoft Purview.

Attributtilldelningsadministratör

Användare med den här rollen kan tilldela och ta bort nycklar och värden för anpassade säkerhetsattribut för Microsoft Entra-objekt som stöds, till exempel användare, tjänstens huvudnamn och enheter.

Som standard har global administratör och andra administratörsroller inte behörighet att läsa, definiera eller tilldela anpassade säkerhetsattribut. Om du vill arbeta med anpassade säkerhetsattribut måste du tilldelas någon av rollerna för anpassade säkerhetsattribut.

Mer information finns i Hantera åtkomst till anpassade säkerhetsattribut i Microsoft Entra-ID.

Attributtilldelningsläsare

Användare med den här rollen kan läsa anpassade nycklar och värden för säkerhetsattribut för Microsoft Entra-objekt som stöds.

Som standard har global administratör och andra administratörsroller inte behörighet att läsa, definiera eller tilldela anpassade säkerhetsattribut. Om du vill arbeta med anpassade säkerhetsattribut måste du tilldelas någon av rollerna för anpassade säkerhetsattribut.

Mer information finns i Hantera åtkomst till anpassade säkerhetsattribut i Microsoft Entra-ID.

Attributdefinitionsadministratör

Användare med den här rollen kan definiera en giltig uppsättning anpassade säkerhetsattribut som kan tilldelas till Microsoft Entra-objekt som stöds. Den här rollen kan också aktivera och inaktivera anpassade säkerhetsattribut.

Som standard har global administratör och andra administratörsroller inte behörighet att läsa, definiera eller tilldela anpassade säkerhetsattribut. Om du vill arbeta med anpassade säkerhetsattribut måste du tilldelas någon av rollerna för anpassade säkerhetsattribut.

Mer information finns i Hantera åtkomst till anpassade säkerhetsattribut i Microsoft Entra-ID.

Attributdefinitionsläsare

Användare med den här rollen kan läsa definitionen av anpassade säkerhetsattribut.

Som standard har global administratör och andra administratörsroller inte behörighet att läsa, definiera eller tilldela anpassade säkerhetsattribut. Om du vill arbeta med anpassade säkerhetsattribut måste du tilldelas någon av rollerna för anpassade säkerhetsattribut.

Mer information finns i Hantera åtkomst till anpassade säkerhetsattribut i Microsoft Entra-ID.

Administratör för attributlogg

Tilldela rollen Attributloggläsare till användare som behöver utföra följande uppgifter:

• Läsa granskningsloggar för värdeändringar för anpassade säkerhetsattribut
• Läsa granskningsloggar för definitionsändringar och tilldelningar för anpassade säkerhetsattribut
• Konfigurera diagnostikinställningar för anpassade säkerhetsattribut

Användare med den här rollen kan inte läsa granskningsloggar för andra händelser.

Som standard har global administratör och andra administratörsroller inte behörighet att läsa granskningsloggar för anpassade säkerhetsattribut. Om du vill läsa granskningsloggar för anpassade säkerhetsattribut måste du tilldelas den här rollen eller rollen Attributloggläsare.

Mer information finns i Hantera åtkomst till anpassade säkerhetsattribut i Microsoft Entra-ID.

Attributloggläsare

Tilldela rollen Attributloggläsare till användare som behöver utföra följande uppgifter:

• Läsa granskningsloggar för värdeändringar för anpassade säkerhetsattribut
• Läsa granskningsloggar för definitionsändringar och tilldelningar för anpassade säkerhetsattribut

Användare med den här rollen kan inte utföra följande uppgifter:

• Konfigurera diagnostikinställningar för anpassade säkerhetsattribut
• Läsa granskningsloggar för andra händelser

Som standard har global administratör och andra administratörsroller inte behörighet att läsa granskningsloggar för anpassade säkerhetsattribut. Om du vill läsa granskningsloggar för anpassade säkerhetsattribut måste du tilldelas den här rollen eller rollen Administratör för attributlogg.

Mer information finns i Hantera åtkomst till anpassade säkerhetsattribut i Microsoft Entra-ID.

Autentiseringsadministratör

Det här är en privilegierad roll. Tilldela rollen Autentiseringsadministratör till användare som behöver göra följande:

• Ange eller återställ valfri autentiseringsmetod (inklusive lösenord) för icke-administratörer och vissa roller. En lista över de roller som en autentiseringsadministratör kan läsa eller uppdatera autentiseringsmetoder finns i Vem kan återställa lösenord.
• Kräv att användare som inte är administratörer eller tilldelade till vissa roller ska registrera sig mot befintliga autentiseringsuppgifter som inte är lösenord (till exempel MFA eller FIDO) och kan även återkalla MFA på enheten, vilket uppmanar till MFA vid nästa inloggning.
• Hantera MFA-inställningar i den äldre MFA-hanteringsportalen.
• Utför känsliga åtgärder för vissa användare. Mer information finns i Vem kan utföra känsliga åtgärder.
• Skapa och hantera supportärenden i Azure och Administrationscenter för Microsoft 365.

Användare med den här rollen kan inte göra följande:

• Det går inte att ändra autentiseringsuppgifterna eller återställa MFA för medlemmar och ägare av en rolltilldelningsbar grupp.
• Det går inte att hantera OATH-maskinvarutoken.

I följande tabell jämförs funktionerna i autentiseringsrelaterade roller.

Roll	Hantera användarens autentiseringsmetoder	Hantera MFA per användare	Hantera MFA-inställningar	Hantera policyn för autentiseringsmetod	Hantera policyn för lösenordsskydd	Uppdatera känsliga egenskaper	Ta bort och återställa användare
Autentiseringsadministratör	Ja för vissa användare	Ja för vissa användare	Ja	Nej	Nej	Ja för vissa användare	Ja för vissa användare
Administratör för privilegierad autentisering	Ja för alla användare	Ja för alla användare	Nej	Nej	Nej	Ja för alla användare	Ja för alla användare
Administratör för autentiseringsprincip	Nej	Ja	Ja	Ja	Ja	Nej	Nej
Användaradministratör	Nej	Nej	Nej	Nej	Nej	Ja för vissa användare	Ja för vissa användare

Utökningsbarhetsadministratör för autentisering

Det här är en privilegierad roll. Tilldela rollen Utökningsbarhetsadministratör för autentisering till användare som behöver utföra följande uppgifter:

• Skapa och hantera alla aspekter av anpassade autentiseringstillägg.

Användare med den här rollen kan inte göra följande:

• Det går inte att tilldela anpassade autentiseringstillägg till program för att ändra autentiseringsupplevelsen och kan inte godkänna programbehörigheter eller skapa appregistreringar som är associerade med det anpassade autentiseringstillägget. I stället måste du använda rollerna Programadministratör, Programutvecklare eller Molnprogramadministratör.

Ett anpassat autentiseringstillägg är en API-slutpunkt som skapats av en utvecklare för autentiseringshändelser och är registrerad i Microsoft Entra-ID. Programadministratörer och programägare kan använda anpassade autentiseringstillägg för att anpassa programmets autentiseringsupplevelser, till exempel inloggning och registrering eller lösenordsåterställning.

Läs mer

Administratör av autentiseringsprincip

Tilldela rollen Administratör för autentiseringsprincip till användare som behöver göra följande:

• Konfigurera principen för autentiseringsmetoder, klientomfattande MFA-inställningar och lösenordsskyddsprincip som avgör vilka metoder varje användare kan registrera och använda.
• Hantera inställningar för lösenordsskydd: konfigurationer för smart utelåsning och uppdatering av listan över anpassade förbjudna lösenord.
• Hantera MFA-inställningar i den äldre MFA-hanteringsportalen.
• Skapa och hantera verifierbara autentiseringsuppgifter.
• Skapa och hantera Azure Support biljetter.

Användare med den här rollen kan inte göra följande:

• Det går inte att uppdatera känsliga egenskaper. Mer information finns i Vem kan utföra känsliga åtgärder.
• Det går inte att ta bort eller återställa användare. Mer information finns i Vem kan utföra känsliga åtgärder.
• Det går inte att hantera OATH-maskinvarutoken.

I följande tabell jämförs funktionerna i autentiseringsrelaterade roller.

Roll	Hantera användarens autentiseringsmetoder	Hantera MFA per användare	Hantera MFA-inställningar	Hantera policyn för autentiseringsmetod	Hantera policyn för lösenordsskydd	Uppdatera känsliga egenskaper	Ta bort och återställa användare
Autentiseringsadministratör	Ja för vissa användare	Ja för vissa användare	Ja	Nej	Nej	Ja för vissa användare	Ja för vissa användare
Administratör för privilegierad autentisering	Ja för alla användare	Ja för alla användare	Nej	Nej	Nej	Ja för alla användare	Ja för alla användare
Administratör för autentiseringsprincip	Nej	Ja	Ja	Ja	Ja	Nej	Nej
Användaradministratör	Nej	Nej	Nej	Nej	Nej	Ja för vissa användare	Ja för vissa användare

Azure DevOps-administratör

Användare med den här rollen kan hantera alla Azure DevOps-principer för företag, som gäller för alla Azure DevOps-organisationer som backas upp av Microsoft Entra-ID. Användare i den här rollen kan hantera dessa principer genom att gå till valfri Azure DevOps-organisation som backas upp av företagets Microsoft Entra-ID. Dessutom kan användare i den här rollen göra anspråk på ägarskap för överblivna Azure DevOps-organisationer. Den här rollen ger inga andra Azure DevOps-specifika behörigheter (till exempel Projektsamlingsadministratörer) i någon av De Azure DevOps-organisationer som backas upp av företagets Microsoft Entra-organisation.

Azure Information Protection-administratör

Användare med den här rollen har alla behörigheter i Azure Information Protection-tjänsten. Med den här rollen kan du konfigurera etiketter för Azure Information Protection-principen, hantera skyddsmallar och aktivera skydd. Den här rollen beviljar inga behörigheter i Microsoft Entra ID Protection, Privileged Identity Management, Monitor Microsoft 365 Service Health, Microsoft 365 Defender-portalen eller efterlevnadsportal i Microsoft Purview.

B2C IEF Keyset Administrator

Det här är en privilegierad roll. Användaren kan skapa och hantera principnycklar och hemligheter för tokenkryptering, tokensignaturer och anspråkskryptering. Genom att lägga till nya nycklar i befintliga nyckelcontainrar kan den här begränsade administratören återställa hemligheter efter behov utan att påverka befintliga program. Den här användaren kan se det fullständiga innehållet i dessa hemligheter och deras förfallodatum även när de har skapats.

B2C IEF Policy Administrator

Användare i den här rollen kan skapa, läsa, uppdatera och ta bort alla anpassade principer i Azure AD B2C och har därför fullständig kontroll över Identity Experience Framework i relevant Azure AD B2C-organisation. Genom att redigera principer kan den här användaren upprätta direkt federation med externa identitetsprovidrar, ändra katalogschemat, ändra allt användarbaserat innehåll (HTML, CSS, JavaScript), ändra kraven för att slutföra en autentisering, skapa nya användare, skicka användardata till externa system, inklusive fullständiga migreringar och redigera all användarinformation, inklusive känsliga fält som lösenord och telefonnummer. Den här rollen kan däremot inte ändra krypteringsnycklarna eller redigera hemligheterna som används för federation i organisationen.

Faktureringsadministratör

Gör inköp, hanterar prenumerationer, hanterar supportärenden och övervakar tjänstens hälsa.

Cloud App Security-administratör

Användare med den här rollen har fullständiga behörigheter i Defender för molnet Apps. De kan lägga till administratörer, lägga till principer och inställningar för Microsoft Defender för molnet Appar, ladda upp loggar och utföra styrningsåtgärder.

Molnappadministratör

Det här är en privilegierad roll. Användare i den här rollen har samma behörigheter som programadministratörsrollen, exklusive möjligheten att hantera programproxy. Den här rollen ger möjlighet att skapa och hantera alla aspekter av företagsprogram och programregistreringar. Användare som har tilldelats den här rollen läggs inte till som ägare när nya programregistreringar eller företagsprogram skapas.

Den här rollen ger också möjlighet att godkänna delegerade behörigheter och programbehörigheter, med undantag för programbehörigheter för Azure AD Graph och Microsoft Graph.

Molnenhetsadministratör

Det här är en privilegierad roll. Användare i den här rollen kan aktivera, inaktivera och ta bort enheter i Microsoft Entra-ID och läsa Windows 10 BitLocker-nycklar (om de finns) i Azure Portal. Rollen beviljar inte behörighet att hantera andra egenskaper på enheten.

Efterlevnadsadministratör

Användare med den här rollen har behörighet att hantera efterlevnadsrelaterade funktioner i efterlevnadsportal i Microsoft Purview, Administrationscenter för Microsoft 365, Azure och Microsoft 365 Defender-portalen. Tilldelare kan också hantera alla funktioner i administrationscentret för Exchange och skapa supportärenden för Azure och Microsoft 365. Mer information finns i Roller och rollgrupper i Microsoft Defender för Office 365 och Microsoft Purview-efterlevnad.

I	Kan göra
Efterlevnadsportal i Microsoft Purview	Skydda och hantera organisationens data i Microsoft 365-tjänster Hantera efterlevnadsaviseringar
Microsoft Purview Compliance Manager	Spåra, tilldela och verifiera organisationens regelefterlevnadsaktiviteter
Microsoft 365 Defender-portalen	Hantera datastyrning Utföra juridiska undersökningar och datautredningar Hantera begäran från datasubjekt Den här rollen har samma behörigheter som rollgruppen Efterlevnadsadministratör i rollbaserad åtkomstkontroll i Microsoft 365 Defender-portalen.
Intune	Visa alla Intune-granskningsdata
Microsoft Defender for Cloud Apps	Har skrivskyddade behörigheter och kan hantera aviseringar Kan skapa och ändra filprinciper och tillåta filstyrningsåtgärder Kan visa alla inbyggda rapporter under Datahantering

Administratör för efterlevnadsdata

Användare med den här rollen har behörighet att spåra data i efterlevnadsportal i Microsoft Purview, Administrationscenter för Microsoft 365 och Azure. Användare kan också spåra efterlevnadsdata i administrationscentret för Exchange, Efterlevnadshanteraren och Teams & Skype för företag administrationscenter och skapa supportärenden för Azure och Microsoft 365. Mer information om skillnaderna mellan efterlevnadsadministratör och efterlevnadsdataadministratör finns i Roller och rollgrupper i Microsoft Defender för Office 365 och Microsoft Purview-efterlevnad.

I	Kan göra
Efterlevnadsportal i Microsoft Purview	Övervaka efterlevnadsrelaterade principer i Microsoft 365-tjänster Hantera efterlevnadsaviseringar
Microsoft Purview Compliance Manager	Spåra, tilldela och verifiera organisationens regelefterlevnadsaktiviteter
Microsoft 365 Defender-portalen	Hantera datastyrning Utföra juridiska undersökningar och datautredningar Hantera begäran från datasubjekt Den här rollen har samma behörigheter som rollgruppen Administratör för efterlevnadsdata i rollbaserad åtkomstkontroll i Microsoft 365 Defender-portalen.
Intune	Visa alla Intune-granskningsdata
Microsoft Defender for Cloud Apps	Har skrivskyddade behörigheter och kan hantera aviseringar Kan skapa och ändra filprinciper och tillåta filstyrningsåtgärder Kan visa alla inbyggda rapporter under Datahantering

Administratör för villkorsstyrd åtkomst

Det här är en privilegierad roll. Användare med den här rollen har möjlighet att hantera inställningar för villkorsstyrd åtkomst i Microsoft Entra.

Customer LockBox Access-godkännare

Hanterar Microsoft Purview-kundlåsbox-begäranden i din organisation. De får e-postaviseringar för Kundlåsbox-begäranden och kan godkänna och neka begäranden från Administrationscenter för Microsoft 365. De kan också aktivera eller inaktivera funktionen Customer Lockbox. Endast globala administratörer kan återställa lösenorden för personer som har tilldelats den här rollen.

Administratör för Skrivbordsanalys

Användare i den här rollen kan hantera Desktop Analytics-tjänsten. Detta inkluderar möjligheten att visa tillgångsinventering, skapa distributionsplaner och visa distributions- och hälsostatus.

Katalogläsare

Användare i den här rollen kan läsa grundläggande kataloginformation. Den här rollen bör användas för:

• Bevilja en specifik uppsättning gästanvändare läsbehörighet i stället för att bevilja den till alla gästanvändare.
• Bevilja en specifik uppsättning icke-administratörsanvändare åtkomst till Administrationscenter för Microsoft Entra när "Begränsa åtkomst till Administrationscenter för Microsoft Entra" är inställt på "Ja".
• Bevilja tjänstens huvudnamn åtkomst till katalogen där Directory.Read.All inte är ett alternativ.

Katalogsynkroniseringskonton

Använd inte. Den här rollen tilldelas automatiskt till Microsoft Entra Connect-tjänsten och är inte avsedd eller stöds inte för någon annan användning.

Katalogförfattare

Det här är en privilegierad roll. Användare i den här rollen kan läsa och uppdatera grundläggande information om användare, grupper och tjänstens huvudnamn.

Domännamnsadministratör

Det här är en privilegierad roll. Användare med den här rollen kan hantera (läsa, lägga till, verifiera, uppdatera och ta bort) domännamn. De kan också läsa kataloginformation om användare, grupper och program, eftersom dessa objekt har domänberoenden. För lokala miljöer kan användare med den här rollen konfigurera domännamn för federation så att associerade användare alltid autentiseras lokalt. Dessa användare kan sedan logga in på Microsoft Entra-baserade tjänster med sina lokala lösenord via enkel inloggning. Federationsinställningar måste synkroniseras via Microsoft Entra Connect, så användarna har också behörighet att hantera Microsoft Entra Connect.

Dynamics 365-administratör

Användare med den här rollen har globala behörigheter inom Microsoft Dynamics 365 Online, när tjänsten finns, samt möjligheten att hantera supportärenden och övervaka tjänstens hälsa. Mer information finns i Använda tjänstadministratörsroller för att hantera din klientorganisation.

Dynamics 365 Business Central-administratör

Tilldela rollen Dynamics 365 Business Central-administratör till användare som behöver utföra följande uppgifter:

• Åtkomst Dynamics 365 Business Central-miljöer
• Utföra alla administrativa uppgifter i miljöer
• Hantera livscykeln för kundens miljöer
• Övervaka tilläggen som är installerade i miljöer
• Kontrollera uppgraderingar av miljöer
• Utföra dataexport av miljöer
• Läsa och konfigurera azure- och Microsoft 365-tjänsthälsoinstrumentpaneler

Den här rollen ger inga behörigheter för andra Dynamics 365 produkter.

Edge-administratör

Användare i den här rollen kan skapa och hantera företagswebbplatslistan som krävs för Internet Explorer-läge på Microsoft Edge. Den här rollen ger behörighet att skapa, redigera och publicera webbplatslistan och dessutom ge åtkomst till att hantera supportärenden. Läs mer

Exchange-administratör

Användare med den här rollen har globala behörigheter i Microsoft Exchange Online när tjänsten finns. Har också möjlighet att skapa och hantera alla Microsoft 365-grupper, hantera supportärenden och övervaka tjänstens hälsa. Mer information om Administrera administrationsroller i Microsoft 365 administrationscenter.

Exchange-mottagaradministratör

Användare med den här rollen har läsåtkomst till mottagare och skrivåtkomst till attributen för dessa mottagare i Exchange Online. Mer information finns i Mottagare i Exchange Server.

Administratör för externt ID-användarflöde

Användare med den här rollen kan skapa och hantera användarflöden (kallas även "inbyggda" principer) i Azure Portal. Dessa användare kan anpassa HTML/CSS/JavaScript-innehåll, ändra MFA-krav, välja anspråk i token, hantera API-anslutningsappar och deras autentiseringsuppgifter och konfigurera sessionsinställningar för alla användarflöden i Microsoft Entra-organisationen. Å andra sidan innehåller den här rollen inte möjligheten att granska användardata eller göra ändringar i de attribut som ingår i organisationsschemat. Ändringar av Identity Experience Framework-principer (även kallade anpassade principer) ligger också utanför omfånget för den här rollen.

Administratör för användarflödesattribut för externt ID

Användare med den här rollen lägger till eller tar bort anpassade attribut som är tillgängliga för alla användarflöden i Microsoft Entra-organisationen. Därför kan användare med den här rollen ändra eller lägga till nya element i slutanvändarschemat och påverka beteendet för alla användarflöden och indirekt resultera i ändringar i vilka data som kan efterfrågas av slutanvändare och slutligen skickas som anspråk till program. Den här rollen kan inte redigera användarflöden.

Administratör för extern identitetsprovider

Det här är en privilegierad roll. Den här administratören hanterar federation mellan Microsoft Entra-organisationer och externa identitetsprovidrar. Med den här rollen kan användare lägga till nya identitetsprovidrar och konfigurera alla tillgängliga inställningar (t.ex. autentiseringssökväg, tjänst-ID, tilldelade nyckelcontainrar). Den här användaren kan göra det möjligt för Microsoft Entra-organisationen att lita på autentiseringar från externa identitetsprovidrar. Den resulterande effekten på slutanvändarupplevelser beror på typen av organisation:

• Microsoft Entra-organisationer för anställda och partner: Tillägget av en federation (t.ex. med Gmail) påverkar omedelbart alla gästinbjudningar som ännu inte har lösts in. Se Lägga till Google som identitetsprovider för B2B-gästanvändare.
• Azure Active Directory B2C-organisationer: Tillägget av en federation (till exempel med Facebook eller med en annan Microsoft Entra-organisation) påverkar inte omedelbart slutanvändarflöden förrän identitetsprovidern har lagts till som ett alternativ i ett användarflöde (kallas även en inbyggd princip). Ett exempel finns i Konfigurera ett Microsoft-konto som identitetsprovider . För att ändra användarflöden krävs den begränsade rollen "B2C User Flow Administrator".

Infrastrukturadministratör

Användare med den här rollen har globala behörigheter inom Microsoft Fabric och Power BI, när tjänsten finns, samt möjligheten att hantera supportärenden och övervaka tjänstens hälsa. Mer information finns i Förstå administratörsroller för infrastrukturresurser.

Global administratör

Det här är en privilegierad roll. Användare med den här rollen har åtkomst till alla administrativa funktioner i Microsoft Entra-ID samt tjänster som använder Microsoft Entra-identiteter som Microsoft 365 Defender-portalen, efterlevnadsportal i Microsoft Purview, Exchange Online, SharePoint Online och Skype för företag Online. Globala administratörer kan visa katalogaktivitetsloggar. Dessutom kan globala administratörer öka sin åtkomst för att hantera alla Azure-prenumerationer och hanteringsgrupper. På så sätt kan globala administratörer få fullständig åtkomst till alla Azure-resurser med hjälp av respektive Microsoft Entra-klientorganisation. Den person som registrerar sig för Microsoft Entra-organisationen blir global administratör. Det kan finnas fler än en global administratör på företaget. Globala administratörer kan återställa lösenordet för alla användare och alla andra administratörer. En global administratör kan inte ta bort sin egen globala administratörstilldelning. Detta för att förhindra en situation där en organisation inte har några globala administratörer.

Global läsare

Det här är en privilegierad roll. Användare i den här rollen kan läsa inställningar och administrativ information i Microsoft 365-tjänster men kan inte vidta hanteringsåtgärder. Global läsare är den skrivskyddade motsvarigheten till global administratör. Tilldela global läsare i stället för global administratör för planering, granskningar eller undersökningar. Använd Global läsare i kombination med andra begränsade administratörsroller som Exchange-administratör för att göra det enklare att få jobbet gjort utan att tilldela rollen Global administratör. Global Läsare fungerar med Administrationscenter för Microsoft 365, Administrationscenter för Exchange, Administrationscenter för SharePoint, Administrationscenter för Teams, Microsoft 365 Defender-portalen, efterlevnadsportal i Microsoft Purview, Azure Portal och Enhetshantering administrationscenter.

Användare med den här rollen kan inte göra följande:

• Det går inte att komma åt området Köptjänster i Administrationscenter för Microsoft 365.

Global administratör för säker åtkomst

Tilldela rollen Global administratör för säker åtkomst till användare som behöver göra följande:

• Skapa och hantera alla aspekter av Microsoft Entra internetåtkomst och Microsoft Entra privatåtkomst
• Hantera åtkomst till offentliga och privata slutpunkter

Användare med den här rollen kan inte göra följande:

• Det går inte att hantera företagsprogram, programregistreringar, villkorlig åtkomst eller proxyinställningar för program

Läs mer

Gruppadministratör

Användare i den här rollen kan skapa/hantera grupper och dess inställningar som namngivnings- och förfalloprinciper. Det är viktigt att förstå att tilldela en användare till den här rollen ger dem möjlighet att hantera alla grupper i organisationen över olika arbetsbelastningar som Teams, SharePoint och Yammer utöver Outlook. Användaren kommer också att kunna hantera de olika gruppernas inställningar i olika administratörsportaler som Microsofts administrationscenter, Azure Portal och arbetsbelastningsspecifika som Teams- och SharePoint-administrationscenter.

Gäst inbjudare

Användare i den här rollen kan hantera inbjudningar till Microsoft Entra B2B-gästanvändare när inställningen Medlemmar kan bjuda in användare är inställd på Nej. Mer information om B2B-samarbete finns i Om Microsoft Entra B2B-samarbete. Den innehåller inga andra behörigheter.

Supportadministratör

Det här är en privilegierad roll. Användare med den här rollen kan ändra lösenord, ogiltigförklara uppdateringstoken, skapa och hantera supportförfrågningar med Microsoft för Azure- och Microsoft 365-tjänster och övervaka tjänstens hälsa. Om en uppdateringstoken ogiltigförklaras tvingar det användaren att logga in igen. Om en supportadministratör kan återställa en användares lösenord och ogiltigförklara uppdateringstoken beror på vilken roll användaren har tilldelats. En lista över de roller som en supportadministratör kan återställa lösenord för och ogiltigförklara uppdateringstoken finns i Vem kan återställa lösenord.

Användare med den här rollen kan inte göra följande:

• Det går inte att ändra autentiseringsuppgifterna eller återställa MFA för medlemmar och ägare av en rolltilldelningsbar grupp.

Det går att delegera administrativa behörigheter över delmängder av användare och tillämpa principer på en delmängd av användarna med administrativa enheter.

Den här rollen hette tidigare lösenordsadministratör i Azure Portal. Den har bytt namn till Supportadministratör för att anpassa till det befintliga namnet i Microsoft Graph API och Microsoft Graph PowerShell.

Hybrididentitetsadministratör

Det här är en privilegierad roll. Användare i den här rollen kan skapa, hantera och distribuera konfigurationskonfiguration från Active Directory till Microsoft Entra ID med cloud provisioning samt hantera Microsoft Entra Connect, direktautentisering (PTA), synkronisering av lösenordshash (PHS), sömlös enkel inloggning (sömlös enkel inloggning) och federationsinställningar. Har inte åtkomst till att hantera Microsoft Entra Connect Health. Användare kan också felsöka och övervaka loggar med hjälp av den här rollen.

Administratör för identitetsstyrning

Användare med den här rollen kan hantera Konfiguration av Styrning av Microsoft Entra-ID, inklusive åtkomstpaket, åtkomstgranskningar, kataloger och principer, säkerställa att åtkomst godkänns och granskas och gästanvändare som inte längre behöver åtkomst tas bort.

Insights-administratör

Användare i den här rollen kan komma åt alla administrativa funktioner i Microsoft Viva Insights-appen. Den här rollen har möjlighet att läsa kataloginformation, övervaka tjänstens hälsa, filsupportärenden och få åtkomst till inställningarna för Insights-administratören.

Läs mer

Insights-analytiker

Tilldela rollen Insights-analytiker till användare som behöver göra följande:

• Analysera data i Microsoft Viva Insights-appen, men kan inte hantera några konfigurationsinställningar
• Skapa, hantera och köra frågor
• Visa grundläggande inställningar och rapporter i Administrationscenter för Microsoft 365
• Skapa och hantera tjänstbegäranden i Administrationscenter för Microsoft 365

Läs mer

Insights Business Leader

Användare i den här rollen kan komma åt en uppsättning instrumentpaneler och insikter via Microsoft Viva Insights-appen. Detta inkluderar fullständig åtkomst till alla instrumentpaneler och presenterade insikter och funktioner för datautforskning. Användare i den här rollen har inte åtkomst till produktkonfigurationsinställningar, vilket är ansvaret för rollen Insights-administratör.

Läs mer

Intune-administratör

Det här är en privilegierad roll. Användare med den här rollen har globala behörigheter i Microsoft Intune Online när tjänsten finns. Dessutom innehåller den här rollen möjligheten att hantera användare och enheter för att associera principer, samt skapa och hantera grupper. Mer information finns i Rollbaserad administrationskontroll (RBAC) med Microsoft Intune.

Den här rollen kan skapa och hantera alla säkerhetsgrupper. Intune-administratören har dock inte administratörsbehörighet över Office-grupper. Det innebär att administratören inte kan uppdatera ägare eller medlemskap för alla Office-grupper i organisationen. Han/hon kan dock hantera den Office-grupp som han skapar och som ingår i slutanvändarbehörigheten. Därför bör alla Office-grupper (inte säkerhetsgrupper) som han/hon skapar räknas mot kvoten på 250.

Kaizala-administratör

Användare med den här rollen har globala behörigheter för att hantera inställningar i Microsoft Kaizala, när tjänsten finns, samt möjligheten att hantera supportärenden och övervaka tjänstens hälsa. Dessutom kan användaren komma åt rapporter som rör införande och användning av Kaizala av organisationsmedlemmar och affärsrapporter som genereras med hjälp av Kaizala-åtgärderna.

Kunskapsadministratör

Användare i den här rollen har fullständig åtkomst till alla inställningar för kunskap, inlärning och intelligenta funktioner i Administrationscenter för Microsoft 365. De har en allmän förståelse för produktsviten, licensieringsinformation och har ansvar för att kontrollera åtkomsten. Kunskapsadministratör kan skapa och hantera innehåll, till exempel ämnen, förkortningar och utbildningsresurser. Dessutom kan dessa användare skapa innehållscentra, övervaka tjänstens hälsa och skapa tjänstbegäranden.

Kunskapshanteraren

Användare i den här rollen kan skapa och hantera innehåll, till exempel ämnen, förkortningar och inlärningsinnehåll. Dessa användare ansvarar främst för kunskapens kvalitet och struktur. Den här användaren har fullständig behörighet till ämneshanteringsåtgärder för att bekräfta ett ämne, godkänna ändringar eller ta bort ett ämne. Den här rollen kan också hantera taxonomier som en del av verktyget för hantering av termlagringsplatser och skapa innehållscentra.

Licensadministratör

Användare i den här rollen kan läsa, lägga till, ta bort och uppdatera licenstilldelningar för användare, grupper (med gruppbaserad licensiering) och hantera användningsplatsen för användare. Rollen ger inte möjlighet att köpa eller hantera prenumerationer, skapa eller hantera grupper eller skapa eller hantera användare utanför användningsplatsen. Den här rollen har ingen åtkomst till att visa, skapa eller hantera supportärenden.

Administratör för livscykelarbetsflöden

Det här är en privilegierad roll. Tilldela rollen Administratör för livscykelarbetsflöden till användare som behöver utföra följande uppgifter:

• Skapa och hantera alla aspekter av arbetsflöden och uppgifter som är associerade med livscykelarbetsflöden i Microsoft Entra-ID
• Kontrollera körningen av schemalagda arbetsflöden
• Starta arbetsflödeskörningar på begäran
• Granska arbetsflödets körningsloggar

Sekretessläsare för Meddelandecenter

Användare i den här rollen kan övervaka alla meddelanden i Meddelandecenter, inklusive datasekretessmeddelanden. Sekretessläsare i Meddelandecenter får e-postaviseringar, inklusive sådana som rör datasekretess, och de kan avbryta prenumerationen med hjälp av Inställningar för Meddelandecenter. Endast den globala administratören och meddelandecentrets sekretessläsare kan läsa datasekretessmeddelanden. Dessutom innehåller den här rollen möjligheten att visa grupper, domäner och prenumerationer. Den här rollen har ingen behörighet att visa, skapa eller hantera tjänstbegäranden.

Meddelandecenterläsare

Användare i den här rollen kan övervaka meddelanden och rådgivande hälsouppdateringar i Meddelandecenter för organisationen på konfigurerade tjänster som Exchange, Intune och Microsoft Teams. Meddelandecenterläsare får veckovisa e-postsammandrag av inlägg, uppdateringar och kan dela inlägg i meddelandecenter i Microsoft 365. I Microsoft Entra-ID har användare som tilldelats den här rollen endast skrivskyddad åtkomst till Microsoft Entra-tjänster som användare och grupper. Den här rollen har ingen åtkomst till att visa, skapa eller hantera supportärenden.

Microsoft 365-migreringsadministratör

Tilldela rollen Microsoft 365 Migration Administrator till användare som behöver utföra följande uppgifter:

• Använd Migration Manager i Administrationscenter för Microsoft 365 för att hantera innehållsmigrering till Microsoft 365, inklusive Teams, OneDrive för företag och SharePoint-webbplatser, från Google Drive, Dropbox, Box och Egnyte
• Välj migreringskällor, skapa migreringsinventeringar (till exempel Google Drive-användarlistor), schemalägga och köra migreringar och ladda ned rapporter
• Skapa nya SharePoint-webbplatser om målwebbplatserna inte redan finns, skapa SharePoint-listor under SharePoint-administratörswebbplatserna och skapa och uppdatera objekt i SharePoint-listor
• Hantera inställningar för migreringsprojekt och migreringslivscykel för uppgifter
• Hantera behörighetsmappningar från källa till mål

Läs mer

Lokal administratör för Microsoft Entra-ansluten enhet

Den här rollen är endast tillgänglig för tilldelning som ytterligare en lokal administratör i Enhetsinställningar. Användare med den här rollen blir lokala datoradministratörer på alla Windows 10-enheter som är anslutna till Microsoft Entra-ID. De har inte möjlighet att hantera enhetsobjekt i Microsoft Entra-ID.

Microsofts administratör för maskinvarugaranti

Tilldela rollen Microsoft Hardware Warranty Administrator till användare som behöver utföra följande uppgifter:

• Skapa nya garantianspråk för Microsoft-tillverkad maskinvara, till exempel Surface och HoloLens
• Sök och läs öppna eller stängda garantianspråk
• Sök och läs garantianspråk efter serienummer
• Skapa, läsa, uppdatera och ta bort leveransadresser
• Läs leveransstatus för öppna garantianspråk
• Skapa och hantera tjänstbegäranden i Administrationscenter för Microsoft 365
• Läs meddelandecentermeddelanden i Administrationscenter för Microsoft 365

Ett garantianspråk är en begäran om att få maskinvaran reparerad eller ersatt i enlighet med garantivillkoren. Mer information finns i Självbetjäning av dina Surface-garanti- och servicebegäranden.

Microsoft Hardware Warranty Specialist

Tilldela rollen Microsoft Hardware Warranty Specialist till användare som behöver utföra följande uppgifter:

• Skapa nya garantianspråk för Microsoft-tillverkad maskinvara, till exempel Surface och HoloLens
• Läs garantianspråk som de har skapat
• Läsa och uppdatera befintliga leveransadresser
• Läs leveransstatus för öppna garantianspråk som de skapade
• Skapa och hantera tjänstbegäranden i Administrationscenter för Microsoft 365

Ett garantianspråk är en begäran om att få maskinvaran reparerad eller ersatt i enlighet med garantivillkoren. Mer information finns i Självbetjäning av dina Surface-garanti- och servicebegäranden.

Modern handelsadministratör

Använd inte. Den här rollen tilldelas automatiskt från Commerce och är inte avsedd eller stöds inte för någon annan användning. Se information nedan.

Rollen modern handelsadministratör ger vissa användare behörighet att komma åt Administrationscenter för Microsoft 365 och se de vänstra navigeringsposterna för Start, Fakturering och Support. Innehållet som är tillgängligt inom dessa områden styrs av handelsspecifika roller som tilldelas användare för att hantera produkter som de har köpt för sig själva eller din organisation. Detta kan omfatta uppgifter som att betala fakturor eller för åtkomst till faktureringskonton och faktureringsprofiler.

Användare med rollen modern handelsadministratör har vanligtvis administratörsbehörighet i andra Microsoft-inköpssystem, men har inte roller som global administratör eller faktureringsadministratör som används för att komma åt administrationscentret.

När tilldelas rollen modern handelsadministratör?

• Självbetjäningsköp i Administrationscenter för Microsoft 365 – Självbetjäningsköp ger användarna en chans att prova nya produkter genom att köpa eller registrera sig för dem på egen hand. Dessa produkter hanteras i administrationscentret. Användare som gör ett självbetjäningsköp tilldelas en roll i handelssystemet och rollen modern handelsadministratör så att de kan hantera sina inköp i administrationscentret. Administratörer kan blockera självbetjäningsköp (för Infrastrukturresurser, Power BI, Power Apps, Power Automate) via PowerShell. Mer information finns i Vanliga frågor och svar om självbetjäningsköp.
• Köp från Microsofts kommersiella marknadsplats – På samma sätt som självbetjäningsköp tilldelas rollen modern handelsadministratör om användaren inte har rollen Global administratör eller faktureringsadministratör när en användare köper en produkt eller tjänst från Microsoft AppSource eller Azure Marketplace. I vissa fall kan användare blockeras från att göra dessa inköp. Mer information finns i Microsofts kommersiella marknadsplats.
• Förslag från Microsoft – Ett förslag är ett formellt erbjudande från Microsoft för din organisation att köpa Microsofts produkter och tjänster. När den person som godkänner förslaget inte har en global administratörs- eller faktureringsadministratörsroll i Microsoft Entra-ID tilldelas de både en handelsspecifik roll för att slutföra förslaget och rollen Som modern handelsadministratör för åtkomst till administrationscentret. När de kommer åt administrationscentret kan de bara använda funktioner som är auktoriserade av deras handelsspecifika roll.
• Handelsspecifika roller – Vissa användare tilldelas handelsspecifika roller. Om en användare inte är global administratör eller faktureringsadministratör får de rollen Modern Commerce Administrator så att de kan komma åt administrationscentret.

Om rollen modern handelsadministratör inte har tilldelats från en användare förlorar de åtkomsten till Administrationscenter för Microsoft 365. Om de hanterar några produkter, antingen för sig själva eller för din organisation, kommer de inte att kunna hantera dem. Det kan vara att tilldela licenser, ändra betalningsmetoder, betala fakturor eller andra uppgifter för att hantera prenumerationer.

Nätverksadministratör

Användare i den här rollen kan granska rekommendationer för nätverksperimeterarkitektur från Microsoft som baseras på nätverkstelemetri från deras användarplatser. Nätverksprestanda för Microsoft 365 förlitar sig på noggrann nätverksperimeterarkitektur för företagskunder, vilket vanligtvis är användarplatsspecifikt. Den här rollen möjliggör redigering av identifierade användarplatser och konfiguration av nätverksparametrar för dessa platser för att underlätta förbättrade telemetrimätningar och designrekommendationer

Administratör för Office-appar

Användare i den här rollen kan hantera Molninställningar för Microsoft 365-appar. Detta omfattar hantering av molnprinciper, självbetjäningshantering för nedladdning och möjligheten att visa Office-appen s relaterade rapport. Den här rollen ger dessutom möjlighet att hantera supportärenden och övervaka tjänstens hälsa i huvudadministrationscentret. Användare som tilldelats den här rollen kan också hantera kommunikation av nya funktioner i Office-appen.

Organisationsanpassningsadministratör

Tilldela rollen Organisationsanpassningsadministratör till användare som behöver utföra följande uppgifter:

• Hantera alla aspekter av organisationsanpassning i en klientorganisation
• Läsa, skapa, uppdatera och ta bort varumärkesteman
• Hantera standardtemat för varumärkesanpassning och alla lokaliseringsteman för varumärkesanpassning

Godkännare för organisationsmeddelanden

Tilldela rollen Godkännare för organisationsmeddelanden till användare som behöver utföra följande uppgifter:

• Granska, godkänna eller avvisa nya organisationsmeddelanden för leverans i Administrationscenter för Microsoft 365 innan de skickas till användare med hjälp av Microsoft 365 Organizational Messages-plattformen
• Läs alla aspekter av organisationsmeddelanden
• Läsa grundläggande egenskaper för alla resurser i Administrationscenter för Microsoft 365

Författare av organisationsmeddelanden

Tilldela rollen Författare av organisationsmeddelanden till användare som behöver utföra följande uppgifter:

• Skriva, publicera och ta bort organisationsmeddelanden med hjälp av Administrationscenter för Microsoft 365 eller Microsoft Intune
• Hantera leveransalternativ för organisationsmeddelanden med hjälp av Administrationscenter för Microsoft 365 eller Microsoft Intune
• Läsa resultat av leverans av organisationsmeddelanden med hjälp av Administrationscenter för Microsoft 365 eller Microsoft Intune
• Visa användningsrapporter och de flesta inställningar i Administrationscenter för Microsoft 365, men kan inte göra ändringar

Stöd för partnernivå 1

Det här är en privilegierad roll. Använd inte. Den här rollen har blivit inaktuell och kommer att tas bort från Microsoft Entra-ID i framtiden. Den här rollen är avsedd för användning av ett litet antal Microsoft-återförsäljningspartners och är inte avsedd för allmän användning.

Support för partnernivå 2

Det här är en privilegierad roll. Använd inte. Den här rollen har blivit inaktuell och kommer att tas bort från Microsoft Entra-ID i framtiden. Den här rollen är avsedd för användning av ett litet antal Microsoft-återförsäljningspartners och är inte avsedd för allmän användning.

Lösenordsadministratör

Det här är en privilegierad roll. Användare med den här rollen har begränsad möjlighet att hantera lösenord. Den här rollen ger inte möjlighet att hantera tjänstbegäranden eller övervaka tjänstens hälsa. Om en lösenordsadministratör kan återställa en användares lösenord beror på vilken roll användaren har tilldelats. En lista över de roller som en lösenordsadministratör kan återställa lösenord för finns i Vem kan återställa lösenord.

Användare med den här rollen kan inte göra följande:

• Det går inte att ändra autentiseringsuppgifterna eller återställa MFA för medlemmar och ägare av en rolltilldelningsbar grupp.

Administratör för behörighetshantering

Tilldela rollen Administratör för behörighetshantering till användare som behöver utföra följande uppgifter:

• Hantera alla aspekter av Microsoft Entra – behörighetshantering när tjänsten finns

Läs mer om roller och principer för behörighetshantering i Visa information om roller/principer.

Power Platform-administratör

Användare i den här rollen kan skapa och hantera alla aspekter av miljöer, Power Apps, flöden, principer för dataförlustskydd. Dessutom kan användare med den här rollen hantera supportärenden och övervaka tjänstens hälsa.

Skrivaradministratör

Användare i den här rollen kan registrera skrivare och hantera alla aspekter av alla skrivarkonfigurationer i Microsoft Universal Print-lösningen, inklusive inställningarna för anslutningsprogrammet för universell utskrift. De kan godkänna alla delegerade begäranden om utskriftsbehörighet. Skrivaradministratörer har också åtkomst till utskriftsrapporter.

Skrivartekniker

Användare med den här rollen kan registrera skrivare och hantera skrivarstatus i Microsoft Universal Print-lösningen. De kan också läsa all anslutningsinformation. Nyckeluppgift som en skrivartekniker inte kan göra är att ange användarbehörigheter för skrivare och delningsskrivare.

Administratör av privilegierad autentisering

Det här är en privilegierad roll. Tilldela rollen Administratör för privilegierad autentisering till användare som behöver göra följande:

• Ange eller återställ valfri autentiseringsmetod (inklusive lösenord) för alla användare, inklusive globala administratörer.
• Ta bort eller återställa alla användare, inklusive globala administratörer. Mer information finns i Vem kan utföra känsliga åtgärder.
• Tvinga användare att registrera sig på nytt mot befintliga icke-lösenordsautentiseringsuppgifter (till exempel MFA eller FIDO) och återkalla MFA på enheten, vilket uppmanar till MFA vid nästa inloggning för alla användare.
• Uppdatera känsliga egenskaper för alla användare. Mer information finns i Vem kan utföra känsliga åtgärder.
• Skapa och hantera supportärenden i Azure och Administrationscenter för Microsoft 365.

Användare med den här rollen kan inte göra följande:

• Det går inte att hantera MFA per användare i den äldre MFA-hanteringsportalen.

I följande tabell jämförs funktionerna i autentiseringsrelaterade roller.

Roll	Hantera användarens autentiseringsmetoder	Hantera MFA per användare	Hantera MFA-inställningar	Hantera policyn för autentiseringsmetod	Hantera policyn för lösenordsskydd	Uppdatera känsliga egenskaper	Ta bort och återställa användare
Autentiseringsadministratör	Ja för vissa användare	Ja för vissa användare	Ja	Nej	Nej	Ja för vissa användare	Ja för vissa användare
Administratör för privilegierad autentisering	Ja för alla användare	Ja för alla användare	Nej	Nej	Nej	Ja för alla användare	Ja för alla användare
Administratör för autentiseringsprincip	Nej	Ja	Ja	Ja	Ja	Nej	Nej
Användaradministratör	Nej	Nej	Nej	Nej	Nej	Ja för vissa användare	Ja för vissa användare

Administratör för privilegierad roll

Det här är en privilegierad roll. Användare med den här rollen kan hantera rolltilldelningar i Microsoft Entra-ID samt i Microsoft Entra Privileged Identity Management. De kan skapa och hantera grupper som kan tilldelas till Microsoft Entra-roller. Dessutom möjliggör den här rollen hantering av alla aspekter av Privileged Identity Management och administrativa enheter.

Rapportläsare

Användare med den här rollen kan visa användningsrapporteringsdata och instrumentpanelen för rapporter i Administrationscenter för Microsoft 365 och implementeringskontextpaketet i Fabric och Power BI. Dessutom ger rollen åtkomst till alla inloggningsloggar, granskningsloggar och aktivitetsrapporter i Microsoft Entra-ID och data som returneras av Microsoft Graph-rapport-API:et. En användare som har tilldelats rollen Rapportläsare kan endast komma åt relevanta användnings- och implementeringsmått. De har inga administratörsbehörigheter för att konfigurera inställningar eller komma åt produktspecifika administrationscenter som Exchange. Den här rollen har ingen åtkomst till att visa, skapa eller hantera supportärenden.

Sökadministratör

Användare i den här rollen har fullständig åtkomst till alla Microsoft Search-hanteringsfunktioner i Administrationscenter för Microsoft 365. Dessutom kan dessa användare visa meddelandecentret, övervaka tjänstens hälsa och skapa tjänstbegäranden.

Sökredigeraren

Användare i den här rollen kan skapa, hantera och ta bort innehåll för Microsoft Search i Administrationscenter för Microsoft 365, inklusive bokmärken, Q&as och platser.

Säkerhetsadministratör

Det här är en privilegierad roll. Användare med den här rollen har behörighet att hantera säkerhetsrelaterade funktioner i Microsoft 365 Defender-portalen, Microsoft Entra ID Protection, Microsoft Entra Authentication, Azure Information Protection och efterlevnadsportal i Microsoft Purview. Mer information om Office 365-behörigheter finns i Roller och rollgrupper i Microsoft Defender för Office 365 och Microsoft Purview-efterlevnad.

I	Kan göra
Microsoft 365 Defender-portalen	Övervaka säkerhetsrelaterade principer i Microsoft 365-tjänster Hantera säkerhetshot och aviseringar Visa rapporter
Microsoft Entra ID Protection	Alla behörigheter för rollen Säkerhetsläsare Utför alla ID Protection-åtgärder förutom att återställa lösenord
Privileged Identity Management	Alla behörigheter för rollen Säkerhetsläsare Det går inte att hantera Microsoft Entra-rolltilldelningar eller -inställningar
Efterlevnadsportal i Microsoft Purview	Hantera säkerhetsprinciper Visa, undersöka och svara på säkerhetshot Visa rapporter
Azure Advanced Threat Protection	Övervaka och svara på misstänkt säkerhetsaktivitet
Microsoft Defender för Endpoint	Tilldela roller Hantera datorgrupper Konfigurera identifiering av slutpunktshot och automatiserad reparation Visa, undersöka och svara på aviseringar Visa datorer/enhetsinventering
Intune	Mappar till Intune Endpoint Security Manager-rollen
Microsoft Defender for Cloud Apps	Lägga till administratörer, lägga till principer och inställningar, ladda upp loggar och utföra styrningsåtgärder
Microsoft 365-tjänstens hälsa	Visa hälsotillståndet för Microsoft 365-tjänster
Smart utlåsning	Definiera tröskelvärdet och varaktigheten för utelåsningar när misslyckade inloggningshändelser inträffar.
Lösenordsskydd	Konfigurera en lista över anpassade förbjudna lösenord eller lokalt lösenordsskydd.
Synkronisering mellan klientorganisationer	Konfigurera åtkomstinställningar mellan klientorganisationer för användare i en annan klientorganisation. Säkerhetsadministratörer kan inte skapa och ta bort användare direkt, men kan indirekt skapa och ta bort synkroniserade användare från en annan klientorganisation när båda klienterna har konfigurerats för synkronisering mellan klientorganisationer, vilket är en privilegierad behörighet.

Säkerhetsoperator

Det här är en privilegierad roll. Användare med den här rollen kan hantera aviseringar och ha global skrivskyddad åtkomst till säkerhetsrelaterade funktioner, inklusive all information i Microsoft 365 Defender-portalen, Microsoft Entra ID Protection, Privileged Identity Management och efterlevnadsportal i Microsoft Purview. Mer information om Office 365-behörigheter finns i Roller och rollgrupper i Microsoft Defender för Office 365 och Microsoft Purview-efterlevnad.

I	Kan göra
Microsoft 365 Defender-portalen	Alla behörigheter för rollen Säkerhetsläsare Visa, undersöka och svara på aviseringar om säkerhetshot Hantera säkerhetsinställningar i Microsoft 365 Defender-portalen
Microsoft Entra ID Protection	Alla behörigheter för rollen Säkerhetsläsare Utför alla ID Protection-åtgärder förutom att konfigurera eller ändra riskbaserade principer, återställa lösenord och konfigurera aviserings-e-postmeddelanden.
Privileged Identity Management	Alla behörigheter för rollen Säkerhetsläsare
Efterlevnadsportal i Microsoft Purview	Alla behörigheter för rollen Säkerhetsläsare Visa, undersöka och svara på säkerhetsaviseringar
Microsoft Defender för Endpoint	Alla behörigheter för rollen Säkerhetsläsare Visa, undersöka och svara på säkerhetsaviseringar När du aktiverar rollbaserad åtkomstkontroll i Microsoft Defender för Endpoint förlorar användare med skrivskyddade behörigheter som rollen Säkerhetsläsare åtkomst tills de har tilldelats en Microsoft Defender för Endpoint roll.
Intune	Alla behörigheter för rollen Säkerhetsläsare
Microsoft Defender for Cloud Apps	Alla behörigheter för rollen Säkerhetsläsare Visa, undersöka och svara på säkerhetsaviseringar
Microsoft 365-tjänstens hälsa	Visa hälsotillståndet för Microsoft 365-tjänster

Säkerhetsläsare

Det här är en privilegierad roll. Användare med den här rollen har global skrivskyddad åtkomst till säkerhetsrelaterad funktion, inklusive all information i Microsoft 365 Defender-portalen, Microsoft Entra ID Protection, Privileged Identity Management samt möjligheten att läsa Microsoft Entra-inloggningsrapporter och granskningsloggar och i efterlevnadsportal i Microsoft Purview. Mer information om Office 365-behörigheter finns i Roller och rollgrupper i Microsoft Defender för Office 365 och Microsoft Purview-efterlevnad.

I	Kan göra
Microsoft 365 Defender-portalen	Visa säkerhetsrelaterade principer i Microsoft 365-tjänster Visa säkerhetshot och aviseringar Visa rapporter
Microsoft Entra ID Protection	Visa alla ID Protection-rapporter och översikt
Privileged Identity Management	Har skrivskyddad åtkomst till all information som visas i Microsoft Entra Privileged Identity Management: Principer och rapporter för Microsoft Entra-rolltilldelningar och säkerhetsgranskningar. Det går inte att registrera sig för Microsoft Entra Privileged Identity Management eller göra några ändringar i den. I portalen för privileged Identity Management eller via PowerShell kan någon i den här rollen aktivera ytterligare roller (till exempel Privilegierad rolladministratör) om användaren är berättigad till dem.
Efterlevnadsportal i Microsoft Purview	Visa säkerhetsprinciper Visa och undersöka säkerhetshot Visa rapporter
Microsoft Defender för Endpoint	Visa och undersöka aviseringar När du aktiverar rollbaserad åtkomstkontroll i Microsoft Defender för Endpoint förlorar användare med skrivskyddade behörigheter som rollen Säkerhetsläsare åtkomst tills de har tilldelats en Microsoft Defender för Endpoint roll.
Intune	Visar information om användare, enhet, registrering, konfiguration och program. Det går inte att göra ändringar i Intune.
Microsoft Defender for Cloud Apps	Har läsbehörigheter.
Microsoft 365-tjänstens hälsa	Visa hälsotillståndet för Microsoft 365-tjänster

Tjänstsupportadministratör

Användare med den här rollen kan skapa och hantera supportförfrågningar med Microsoft för Azure- och Microsoft 365-tjänster och visa instrumentpanelen för tjänsten och meddelandecentret i Azure Portal och Administrationscenter för Microsoft 365. Mer information om Administrera administrationsroller i Microsoft 365 administrationscenter.

SharePoint-administratör

Användare med den här rollen har globala behörigheter inom Microsoft Office SharePoint Online, när tjänsten finns, samt möjligheten att skapa och hantera alla Microsoft 365-grupper, hantera supportärenden och övervaka tjänstens hälsa. Mer information om Administrera administrationsroller i Microsoft 365 administrationscenter.

SharePoint Embedded-administratör

Tilldela rollen SharePoint Embedded-administratör till användare som behöver utföra följande uppgifter:

• Utföra alla uppgifter med hjälp av PowerShell, Microsoft Graph API eller Administrationscenter för SharePoint
• Hantera, konfigurera och underhålla SharePoint Embedded-containrar
• Räkna upp och hantera SharePoint Embedded-containrar
• Räkna upp och hantera behörigheter för SharePoint Embedded-containrar
• Hantera lagring av SharePoint Embedded-containrar i en klientorganisation
• Tilldela säkerhets- och efterlevnadsprinciper för SharePoint Embedded-containrar
• Tillämpa säkerhets- och efterlevnadsprinciper på SharePoint Embedded-containrar i en klientorganisation

Läs mer

Skype för företag administratör

Användare med den här rollen har globala behörigheter inom Microsoft Skype för företag, när tjänsten finns, samt hantera Skype-specifika användarattribut i Microsoft Entra-ID. Dessutom ger den här rollen möjlighet att hantera supportärenden och övervaka tjänstens hälsa samt att få åtkomst till Teams och Skype för företag administrationscenter. Kontot måste också vara licensierat för Teams eller så kan det inte köra Teams PowerShell-cmdletar. Mer information finns i Skype för företag onlineadministratörs- och Teams-licensieringsinformation på Skype för företag tilläggslicensiering.

Teams-administratör

Användare i den här rollen kan hantera alla aspekter av Microsoft Teams-arbetsbelastningen via administrationscentret för Microsoft Teams & Skype för företag och respektive PowerShell-moduler. Detta omfattar bland annat alla hanteringsverktyg som rör telefoni, meddelanden, möten och själva teamen. Den här rollen ger dessutom möjlighet att skapa och hantera alla Microsoft 365-grupper, hantera supportärenden och övervaka tjänstens hälsa.

Teams kommunikationsadministratör

Användare i den här rollen kan hantera aspekter av Microsoft Teams-arbetsbelastningen som rör röst - och telefoni. Detta omfattar hanteringsverktygen för telefonnummertilldelning, röst- och mötesprinciper och fullständig åtkomst till verktygsuppsättningen för samtalsanalys.

Supporttekniker för Teams-kommunikation

Användare i den här rollen kan felsöka kommunikationsproblem i Microsoft Teams & Skype för företag med hjälp av felsökningsverktygen för användarsamtal i administrationscentret för Microsoft Teams & Skype för företag. Användare i den här rollen kan visa fullständig samtalspostinformation för alla inblandade deltagare. Den här rollen har ingen åtkomst till att visa, skapa eller hantera supportärenden.

Supportspecialist för Teams-kommunikation

Användare i den här rollen kan felsöka kommunikationsproblem i Microsoft Teams & Skype för företag med hjälp av felsökningsverktygen för användarsamtal i administrationscentret för Microsoft Teams & Skype för företag. Användare i den här rollen kan bara visa användarinformation i anropet för den specifika användare som de har letat upp. Den här rollen har ingen åtkomst till att visa, skapa eller hantera supportärenden.

Administratör för Teams-enheter

Användare med den här rollen kan hantera Teams-certifierade enheter från administrationscentret för Teams. Med den här rollen kan du visa alla enheter med en snabb överblick, med möjlighet att söka efter och filtrera enheter. Användaren kan kontrollera information om varje enhet, inklusive loggat konto, märke och modell för enheten. Användaren kan ändra inställningarna på enheten och uppdatera programvaruversionerna. Den här rollen beviljar inte behörighet att kontrollera Teams-aktivitet och anropa enhetens kvalitet.

Teams telefoniadministratör

Tilldela rollen Teams telefoniadministratör till användare som behöver utföra följande uppgifter:

• Hantera röst- och telefoni, inklusive samtalsprinciper, telefonnummerhantering och tilldelning samt röstprogram
• Åtkomst till endast pstn-användningsrapporter (Public Switched Telephone Network) från Administrationscenter för Teams
• Visa sidan användarprofil
• Skapa och hantera supportärenden i Azure och Administrationscenter för Microsoft 365

Läs mer

Skapare av klientorganisation

Tilldela rollen Klientskapare till användare som behöver utföra följande uppgifter:

• Skapa både Microsoft Entra- och Azure Active Directory B2C-klientorganisationer även om växlingsknappen för att skapa klientorganisationen är inaktiverad i användarinställningarna

Läsare av användningssammanfattningsrapporter

Tilldela rollen Läsare för användningssammanfattningsrapporter till användare som behöver utföra följande uppgifter i Administrationscenter för Microsoft 365:

• Visa användningsrapporter och implementeringspoäng
• Läs organisationsinsikter, men inte personligt identifierbar information (PII) för användare

Den här rollen tillåter endast användare att visa data på organisationsnivå med följande undantag:

• Medlemsanvändare kan visa användarhanteringsdata och inställningar.
• Gästanvändare som tilldelats den här rollen kan inte visa användarhanteringsdata och inställningar.

Användaradministratör

Det här är en privilegierad roll. Tilldela rollen Användaradministratör till användare som behöver göra följande:

Behörighet	Mer information
Skapa användare
Uppdatera de flesta användaregenskaper för alla användare, inklusive alla administratörer	Vem kan utföra känsliga åtgärder
Uppdatera känsliga egenskaper (inklusive användarens huvudnamn) för vissa användare	Vem kan utföra känsliga åtgärder
Inaktivera eller aktivera vissa användare	Vem kan utföra känsliga åtgärder
Ta bort eller återställa vissa användare	Vem kan utföra känsliga åtgärder
Skapa och hantera användarvyer
Skapa och hantera alla grupper
Tilldela och läsa licenser för alla användare, inklusive alla administratörer
Återställa lösenord	Vem kan återställa lösenord
Ogiltigförklara uppdateringstoken	Vem kan återställa lösenord
Uppdatera enhetsnycklar (FIDO)
Uppdatera principer för förfallodatum för lösenord
Skapa och hantera supportärenden i Azure och Administrationscenter för Microsoft 365
Övervaka tjänstens hälsa

Användare med den här rollen kan inte göra följande:

• Det går inte att hantera MFA.
• Det går inte att ändra autentiseringsuppgifterna eller återställa MFA för medlemmar och ägare av en rolltilldelningsbar grupp.
• Det går inte att hantera delade postlådor.
• Det går inte att ändra säkerhetsfrågor för återställning av lösenord.

Hanteraren för användarupplevelse

Tilldela rollen User Experience Success Manager till användare som behöver utföra följande uppgifter:

• Läs användningsrapporter på organisationsnivå för Microsoft 365-applikationer och tjänster, men inte användarinformation
• Visa organisationens produktfeedback, NPS-undersökningsresultat (Net Promoter Score) och hjälp med artikelvyer för att identifiera kommunikation och utbildningsmöjligheter
• Läsa inlägg i meddelandecenter och tjänsthälsodata

Läs mer

Administratör för virtuella besök

Användare med den här rollen kan utföra följande uppgifter:

• Hantera och konfigurera alla aspekter av virtuella besök i bokningar i Administrationscenter för Microsoft 365 och i Teams EHR-anslutningsapp
• Visa användningsrapporter för virtuella besök i administrationscentret för Teams, Administrationscenter för Microsoft 365, Infrastrukturresurser och Power BI
• Visa funktioner och inställningar i Administrationscenter för Microsoft 365, men kan inte redigera några inställningar

Virtuella besök är ett enkelt sätt att schemalägga och hantera online- och videomöten för personal och deltagare. Användningsrapportering kan till exempel visa hur sändning av SMS före avtalade tider kan minska antalet personer som inte dyker upp för avtalade tider.

Viva-måladministratör

Tilldela rollen Viva-måladministratör till användare som behöver utföra följande uppgifter:

• Hantera och konfigurera alla aspekter av Microsoft Viva Goals-programmet
• Konfigurera administratörsinställningar för Microsoft Viva Goals
• Läs information om Microsoft Entra-klientorganisationen
• Övervaka Microsoft 365-tjänstens hälsa
• Skapa och hantera Microsoft 365-tjänstbegäranden

Mer information finns i Roller och behörigheter i Viva-mål och Introduktion till Microsoft Viva-mål.

Viva Pulse-administratör

Tilldela Rollen Viva Pulse-administratör till användare som behöver utföra följande uppgifter:

• Läsa och konfigurera alla inställningar för Viva Pulse
• Läsa grundläggande egenskaper för alla resurser i Administrationscenter för Microsoft 365
• Läsa och konfigurera Azure Service Health
• Skapa och hantera Azure Support biljetter
• Läsa meddelanden i Meddelandecenter i Administrationscenter för Microsoft 365, exklusive säkerhetsmeddelanden
• Läsa användningsrapporter i Administrationscenter för Microsoft 365

Mer information finns i Tilldela en Viva Pulse-administratör i Administrationscenter för Microsoft 365.

Windows 365-administratör

Användare med den här rollen har globala behörigheter för Windows 365-resurser när tjänsten finns. Dessutom innehåller den här rollen möjligheten att hantera användare och enheter för att associera principer, samt skapa och hantera grupper.

Den här rollen kan skapa och hantera säkerhetsgrupper, men har inte administratörsbehörighet över Microsoft 365-grupper. Det innebär att administratörer inte kan uppdatera ägare eller medlemskap i Microsoft 365-grupper i organisationen. De kan dock hantera den Microsoft 365-grupp som de skapar, vilket är en del av deras slutanvändarbehörigheter. Därför räknas alla Microsoft 365-grupper (inte säkerhetsgrupper) som de skapar mot deras kvot på 250.

Tilldela rollen Windows 365-administratör till användare som behöver utföra följande uppgifter:

• Hantera Windows 365 Molnbaserad dator i Microsoft Intune
• Registrera och hantera enheter i Microsoft Entra-ID, inklusive tilldelning av användare och principer
• Skapa och hantera säkerhetsgrupper, men inte rolltilldelningsbara grupper
• Visa grundläggande egenskaper i Administrationscenter för Microsoft 365
• Läsa användningsrapporter i Administrationscenter för Microsoft 365
• Skapa och hantera supportärenden i Azure och Administrationscenter för Microsoft 365

Distributionsadministratör för Windows Update

Användare i den här rollen kan skapa och hantera alla aspekter av Windows Update-distributioner via distributionstjänsten Windows Update för företag. Distributionstjänsten gör det möjligt för användare att definiera inställningar för när och hur uppdateringar distribueras och ange vilka uppdateringar som erbjuds till grupper av enheter i deras klientorganisation. Det gör det också möjligt för användare att övervaka uppdateringsstatusen.

Yammer-administratör

Tilldela Yammer-administratörsrollen till användare som behöver utföra följande uppgifter:

• Hantera alla aspekter av Yammer
• Skapa, hantera och återställa Microsoft 365-grupper, men inte rolltilldelningsbara grupper
• Visa dolda medlemmar i säkerhetsgrupper och Microsoft 365-grupper, inklusive rolltilldelningsbara grupper
• Läsa användningsrapporter i Administrationscenter för Microsoft 365
• Skapa och hantera tjänstbegäranden i Administrationscenter för Microsoft 365
• Visa meddelanden i Meddelandecenter, men inte säkerhetsmeddelanden
• Visa hälsotillstånd för tjänst

Läs mer

Inaktuella roller

Följande roller bör inte användas. De har blivit inaktuella och kommer att tas bort från Microsoft Entra-ID i framtiden.

• AdHoc-licensadministratör
• Enhetsanslutning
• Enhetshanteraren
• Enhetsanvändare
• E-postverifierad användarskapare
• Postlådeadministratör
• Anslut till arbetsplatsenhet

Roller som inte visas i portalen

Alla roller som returneras av PowerShell eller MS Graph API visas inte i Azure Portal. I följande tabell ordnas dessa skillnader.

API-namn	Azure Portal namn	Kommentar
Enhetsanslutning	Inaktuell	Dokumentation om inaktuella roller
Enhetshanteraren	Inaktuell	Dokumentation om inaktuella roller
Enhetsanvändare	Inaktuell	Dokumentation om inaktuella roller
Katalogsynkroniseringskonton	Visas inte eftersom den inte ska användas	Dokumentation om katalogsynkroniseringskonton
Gästanvändare	Visas inte eftersom den inte kan användas	NA
Support för partnernivå 1	Visas inte eftersom den inte ska användas	Supportdokumentation för partnernivå 1
Support för partnernivå 2	Visas inte eftersom den inte ska användas	Supportdokumentation för Partnernivå 2
Begränsad gästanvändare	Visas inte eftersom den inte kan användas	NA
User	Visas inte eftersom den inte kan användas	NA
Anslut till arbetsplatsenhet	Inaktuell	Dokumentation om inaktuella roller

Nästa steg

• Tilldela Microsoft Entra-roller till grupper
• Förstå de olika rollerna
• Tilldela en användare rollen som administratör för en Azure-prenumeration