访问此页面需要授权。 可以尝试 登录 或 更改目录 。 访问此页面需要授权。 可以尝试 更改目录 。 在 Microsoft Entra ID 中，如果另一个管理员或非管理员需要管理 Microsoft Entra 资源，请为其分配一个提供所需权限的 Microsoft Entra 角色。 例如，可分配允许添加或更改用户、重置用户密码、管理用户许可证或管理域名的角色。 本文列出了可以分配以允许管理 Microsoft Entra 资源的 Microsoft Entra 内置角色。 有关如何分配角色的信息，请参阅 分配Microsoft Entra 角色 。 如果正在查找用于管理 Azure 资源的角色，请参阅 Azure 内置角色 。 本文列出了 内置 角色使用的权限。 目前只有一部分权限可用于 自定义 角色。 有关创建自定义角色的详细信息，请参阅 Microsoft Entra ID中的自定义角色 。 将代理ID管理员角色分配给需要执行以下任务的用户： 管理租户中的代理标识、代理标识蓝图主体、代理标识蓝图和代理用户的完整生命周期 永久删除和还原已删除的代理标识、代理标识蓝图主体、代理标识蓝图和代理用户 管理许可证、使刷新令牌失效，以及撤销代理用户的登录会话 读取审核日志和登录报告的所有属性 读取组织的标准属性、策略、外部用户配置文件、隐藏的组成员和用户的批量作业 创建Microsoft 365组作为所有者 读取和配置Azure和Microsoft 365服务运行状况和支持票证 创建和管理Azure并Microsoft 365服务运行状况和支持票证 将代理ID开发者角色分配给需要执行以下任务的用户： 在租户中创建代理标识蓝图及其代理标识蓝图主体。 用户将添加为已创建的代理标识蓝图及其代理标识蓝图主体的所有者。 将代理注册管理员角色分配给需要执行以下任务的用户： 管理 Microsoft Entra ID 中 AI 代理的元数据 将代理注册表专用角色分配给其他用户或代理访问注册表 这是 特权角色 。 将 AI 管理员角色分配给需要执行以下任务的用户： 管理 Microsoft Copilot 的所有方面 从 Microsoft 365 管理中心的“集成应用”页管理与 AI 相关的企业服务、扩展性和 copilot 代理 管理 Microsoft Entra ID 中的管理员同意请求策略 允许用户安装应用或为组织中的用户安装应用（如果应用不需要权限） 读取和配置 Azure 和 Microsoft 365 服务运行状况仪表板 查看使用情况报告、采用见解和组织见解 在 Azure 和 Microsoft 365 管理中心创建和管理支持工单 管理代理标识、代理标识蓝图、代理标识蓝图主体和代理用户的完整生命周期，包括还原已删除的项 这是 特权角色 。 将 AI 读取者角色分配给需要执行以下任务的用户： 阅读 Microsoft Copilot 的所有方面 读取与 AI 相关的企业服务、扩展性和 copilot 代理 读取目录对象的信息，包括应用程序、用户、组、代理标识、代理标识蓝图、代理标识蓝图主体和代理用户 读取和配置 Azure 和 Microsoft 365 服务运行状况仪表板 这是 特权角色 。 充当此角色的用户可以创建和管理企业应用程序、应用程序注册和应用程序代理设置的所有方面。 请注意，在创建新应用程序注册或企业应用程序时，不会将分配到此角色的用户添加为所有者。 此角色还可授予许可委托的权限和应用程序权限的能力（Azure AD Graph 和 Microsoft Graph 的应用程序权限除外）。 此异常意味着你仍然可以同意其他应用的应用程序权限（例如， 其他 Microsoft应用、第三方应用或已注册的应用）。 你仍然可以 请求 这些权限作为应用注册的一部分，但 授予 （即同意）这些权限需要更特权的管理员，例如特权角色管理员。 此角色授予管理应用程序凭据这一功能。 分配此角色的用户可以将凭据添加到应用程序，并使用这些凭据模拟应用程序的标识。 如果向应用程序标识授予了对资源的访问权限，例如创建或更新用户或其他对象的能力，则分配给此角色的用户可以在模拟应用程序时执行这些作。 模拟应用程序标识的能力可能是用户通过角色分配可以执行的作的特权提升。 请务必了解，将用户分配到应用程序管理员角色可让他们模拟应用程序的标识。 这是 特权角色 。 在将设置“用户可以注册应用程序”设置为“否”时，充当此角色的用户可以创建应用程序注册。 当“用户可以同意应用代表他们访问公司数据”设置设为“否”时，此角色还能够代表自己授权同意。 在创建新应用程序注册时，会将分配到此角色的用户添加为所有者。 拥有此角色的用户可以创建攻击有效负载，但不能实际启动或调度它们。 然后，租户中的所有管理员都可以使用攻击有效负载创建模拟。 对报告的访问权限仅限于用户执行的模拟，并且此角色不授予对聚合报告（如培训效能、重复罪犯、培训完成或用户覆盖范围）的访问权限。 有关详细信息，请参阅以下文章： Microsoft Defender门户中的Microsoft Defender for Office 365权限 Microsoft Purview 门户中的权限 拥有此角色的用户可以创建和管理攻击模拟创建的所有方面、启动/调度模拟以及查看模拟结果。 此角色的成员对租户中的所有模拟具有此访问权限。 有关详细信息，请参阅以下文章： Microsoft Defender门户中的Microsoft Defender for Office 365权限 Microsoft Purview 门户中的权限 具有此角色的用户可以为受支持的 Microsoft Entra 对象（例如用户、服务主体和设备）分配和删除自定义安全属性键和值。 默认情况下， 全局管理员 和其他管理员角色无权读取、定义或分配自定义安全属性。 有关详细信息，请参阅 管理对 Microsoft Entra ID 中自定义安全属性的访问 。 具有此角色的用户可以读取受支持的 Microsoft Entra 对象的自定义安全属性键和值。 默认情况下， 全局管理员 和其他管理员角色无权读取、定义或分配自定义安全属性。 有关详细信息，请参阅 管理对 Microsoft Entra ID 中自定义安全属性的访问 。 具有此角色的用户可以定义一组有效的自定义安全属性，可以将这些属性分配给受支持的 Microsoft Entra 对象。 此角色还可以激活和停用自定义安全属性。 默认情况下， 全局管理员 和其他管理员角色无权读取、定义或分配自定义安全属性。 有关详细信息，请参阅 管理对 Microsoft Entra ID 中自定义安全属性的访问 。 具有此角色的用户可以读取自定义安全属性的定义。 默认情况下， 全局管理员 和其他管理员角色无权读取、定义或分配自定义安全属性。 有关详细信息，请参阅 管理对 Microsoft Entra ID 中自定义安全属性的访问 。 为需要执行以下任务的用户分配属性日志读取者角色： 读取自定义安全属性值更改的审核日志 读取自定义安全属性定义更改和分配的审核日志 具有此角色的用户 无法 读取其他事件的审核日志。 默认情况下， 全局管理员 和其他管理员角色无权读取、定义或分配自定义安全属性。 有关详细信息，请参阅 管理对 Microsoft Entra ID 中自定义安全属性的访问 。 为需要执行以下任务的用户分配属性日志读取者角色： 读取自定义安全属性值更改的审核日志 读取自定义安全属性定义更改和分配的审核日志 具有此角色的用户 无法 执行以下任务： 默认情况下， 全局管理员 和其他管理员角色无权读取、定义或分配自定义安全属性。 有关详细信息，请参阅 管理对 Microsoft Entra ID 中自定义安全属性的访问 。 这是 特权角色 。 将属性预配管理员角色分配给需要执行以下任务的用户： 在应用程序中预配时，读取和写入自定义安全属性的属性映射。 在应用程序中预配时，读取和写入自定义安全属性的预配和审核日志。 具有此角色的用户无法读取其他事件的审核日志。 此角色必须与云应用程序管理员或应用程序管理员角色（从最低到大多数特权）结合使用才能读取预配配置。 此角色无法创建自定义安全属性集或直接分配或更新用户对象的自定义安全属性值。 此角色只能在预配应用中配置自定义安全属性的流。 这是 特权角色 。 将属性预配读取者角色分配给需要执行以下任务的用户： 在应用程序中预配时，读取自定义安全属性的属性映射。 在应用程序中预配时，读取自定义安全属性的预配和审核日志。 具有此角色的用户无法读取其他事件的审核日志。 此角色必须与云应用程序管理员或应用程序管理员角色（从最低到大多数特权）一起使用，才能读取预配配置。 这是 特权角色 。 将身份验证管理员角色分配给需要执行以下任务的用户： 为非管理员和某些角色设置或重置任何身份验证方法（包括密码）。 有关身份验证管理员可以读取或更新身份验证方法的角色的列表，请参阅 谁可以重置密码 。 要求非管理员或分配给某些角色的用户重新注册现有非密码凭据（例如 MFA 或 FIDO），还可以撤销 设备上的 MFA ，这会在下一次登录时提示 MFA。 在旧版 MFA 管理门户中管理 MFA 设置。 对某些用户执行敏感操作。 有关详细信息，请参阅 谁可以执行敏感操作 。 在 Azure 和 Microsoft 365 管理中心创建和管理支持工单。 具有此角色的用户 无法 执行以下作： 无法更改可 分配角色组 的成员和所有者的凭据或重置 MFA。 无法管理硬件 OATH 令牌。 下表比较了与身份验证相关的角色的功能。 具有此角色的用户可以更改可能有权访问 Microsoft Entra ID 内外敏感或私有信息或关键配置的用户的凭据。 更改用户的凭据可能意味着假定用户标识和权限的能力。 例如： 应用程序注册和企业应用程序所有者，可以管理他们拥有的应用的凭据。 这些应用程序可能在 Microsoft Entra ID 或其他位置拥有未授予身份验证管理员的特权。 通过此路径，身份验证管理员可以假定应用程序所有者的标识，然后通过更新应用程序的凭据来进一步假定特权应用程序的标识。 Azure 订阅所有者，可能对 Azure 中的敏感或私有信息或关键配置拥有访问权限。 安全组和 Microsoft 365 组所有者，可以管理组成员资格。 这些组可能会授予对 Microsoft Entra ID 或其他位置敏感或私有信息或关键配置的访问权限。 Microsoft Entra ID 之外的其他服务的管理员，例如 Exchange Online、Microsoft Defender XDR 门户、Microsoft Purview 门户和人力资源系统。 非行政人员，如高管、法律顾问和人力资源员工，他们可能有权访问敏感信息或私人信息。 这是 特权角色 。 将“身份验证扩展性管理员”角色分配给需要执行以下任务的用户： 创建并管理自定义身份验证扩展的所有方面。 具有此角色的用户 无法 执行以下作： 无法将自定义身份验证扩展分配给应用程序以修改身份验证体验，也无法同意应用程序权限或创建与自定义身份验证扩展关联的应用注册。 相反，你必须使用“应用程序管理员”、“应用程序开发人员”或“云应用程序管理员”角色。 自定义身份验证扩展是由开发人员为身份验证事件创建的 API 终结点，并在 Microsoft Entra ID 中注册。 应用程序管理员和应用程序所有者可以使用自定义身份验证扩展来自定义其应用程序的身份验证体验，例如登录和注册或密码重置。 将身份验证扩展性密码管理员角色分配给需要执行以下任务的用户： 触发密码提交事件以进行自定义身份验证，将用户密码从外部标识系统迁移到 Microsoft Entra 外部 ID。 将身份验证策略管理员角色分配给需要执行以下任务的用户： 配置身份验证方法策略、租户范围的 MFA 设置及密码保护策略，用于确定每个用户可以注册和使用的方法。 管理密码保护设置：智能锁定配置及更新自定义受禁密码列表。 在旧版 MFA 管理门户中管理 MFA 设置。 创建和管理 Azure 支持票证。 具有此角色的用户 无法 执行以下作： 无法更新敏感属性。 有关详细信息，请参阅 谁可以执行敏感操作 。 无法删除或还原用户。 有关详细信息，请参阅 谁可以执行敏感操作 。 无法管理硬件 OATH 令牌。 下表比较了与身份验证相关的角色的功能。 Azure DevOps 管理员 具有此角色的用户可以管理所有企业 Azure DevOps 策略（适用于 Microsoft Entra ID 支持的所有 Azure DevOps 组织）。 充当此角色的用户可以通过导航到由公司 Microsoft Entra ID 支持的任何 Azure DevOps 组织来管理这些策略。 此外，充当此角色的用户还可以声明孤立 Azure DevOps 组织的所有权。 此角色不会授予该公司 Microsoft Entra ID 组织支持的任何 Azure DevOps 组织内的任何其他 Azure DevOps 特定权限（例如，项目集合管理员）。 具有此角色的用户拥有 Azure 信息保护服务中的所有权限。 此角色可以配置 Azure 信息保护策略的标签、管理保护模板，以及激活保护。 此角色不会在 Microsoft Entra ID 保护、Privileged Identity Management、Monitor Microsoft 365 服务运行状况、Microsoft Defender XDR 门户或 Microsoft Purview 门户授予任何权限。 这是 特权角色 。 分配给此角色的用户可以创建和管理用于令牌加密、令牌签名和声明加密/解密的策略密钥和机密。 他们可以向现有密钥容器添加新密钥，从而启用机密滚动更新，而不会影响现有应用程序。 此外，此角色中的用户可以查看这些机密的完整详细信息，包括其到期日期，即使在创建后也是如此。 这是一个敏感角色。 在预生产与生产期间，应仔细审核并分配密钥集管理员角色。 充当此角色的用户可以在 Azure AD B2C 中创建、读取、更新和删除所有自定义策略，因此对相关 Azure AD B2C 组织中的 Identity Experience Framework 拥有完全控制权。 通过编辑策略，此用户可以直接与外部标识提供者建立联合、更改目录架构、更改所有面向用户的内容（HTML、CSS、JavaScript）、更改完成身份验证所需满足的要求、创建新用户、将用户数据发送到外部系统（包括完整迁移），以及编辑所有用户信息（包括密码和电话号码等敏感字段）。 相比之下，此角色无法更改加密密钥，也不能编辑组织中用于联合身份验证的机密。 B2 IEF 策略管理员是一个高度敏感的角色，应该为生产中的组织分配非常有限的角色。 应该密切审核这些用户（尤其是生产环境中的组织的用户）的活动。 进行采购、管理订阅、管理支持票证，以及监视服务运行状况。 Cloud App Security 管理员 充当此角色的用户在 Defender for Cloud 应用中享有全部权限。 他们可以添加管理员、添加 Microsoft Defender for Cloud 应用策略和设置、上传日志以及执行治理操作。 这是 特权角色 。 充当此角色的用户具有与应用程序管理员角色相同的权限，但不包括管理应用程序代理的权限。 此角色授予创建和管理企业应用程序和应用程序注册的所有方面的权限。 在创建新应用程序注册或企业应用程序时，不会将分配到此角色的用户添加为所有者。 此角色还可授予许可委托的权限和应用程序权限的能力（Azure AD Graph 和 Microsoft Graph 的应用程序权限除外）。 此异常意味着你仍然可以同意其他应用的应用程序权限（例如， 其他 Microsoft应用、第三方应用或已注册的应用）。 你仍然可以 请求 这些权限作为应用注册的一部分，但 授予 （即同意）这些权限需要更特权的管理员，例如特权角色管理员。 此角色授予管理应用程序凭据这一功能。 分配此角色的用户可以将凭据添加到应用程序，并使用这些凭据模拟应用程序的标识。 如果向应用程序标识授予了对资源的访问权限，例如创建或更新用户或其他对象的能力，则分配给此角色的用户可以在模拟应用程序时执行这些作。 模拟应用程序标识的能力可能是用户通过角色分配可以执行的作的特权提升。 请务必了解，将用户分配到应用程序管理员角色可让他们模拟应用程序的标识。 这是 特权角色 。 充当此角色的用户可以在 Microsoft Entra ID 中启用、禁用和删除设备，并可以在 Azure 门户中读取 Windows 10 BitLocker 密钥（如果有）。 该角色不能授予设备上其他任何属性的管理权限。 具有此角色的用户有权在 Microsoft Purview 门户、Microsoft 365 管理中心、Azure 和 Microsoft Defender 门户中管理与合规性相关的功能。 被分配者还可以在 Exchange 管理中心内管理所有功能，并可创建适用于 Azure 和 Microsoft 365 的支持票证。 有关详细信息，请参阅 Microsoft Defender for Office 365 和 Microsoft Purview 中的角色和角色组 。 具有此角色的用户有权跟踪 Microsoft Purview 门户、Microsoft 365 管理中心和 Azure 中的数据。 这些用户还可以在 Exchange 管理中心、Compliance Manager、Teams 和 Skype for Business 管理中心跟踪合规数据，并可创建适用于 Azure 和 Microsoft 365 的支持票证。 有关合规性管理员与合规性数据管理员之间的差别的详细信息，请参阅 Microsoft Defender for Office 365 和 Microsoft Purview 合规性中的角色和角色组 。 这是 特权角色 。 具有此角色的用户能够管理 Microsoft Entra 条件访问设置。 将“客户委派管理员关系管理员”角色分配给需要执行以下任务的用户： 接受来自其租户的合作伙伴的精细委派管理员权限（GDAP）关系。 列出和查看与合作伙伴的 GDAP 关系。 终止与合作伙伴的 GDAP 关系。 管理你的组织中的 Microsoft Purview 客户密码箱请求 。 他们接收客户密码箱请求的电子邮件通知，并且可以批准和拒绝来自 Microsoft 365 管理中心的请求。 他们还可以开启或关闭客户密码箱功能。 只有全局管理员可以重置分配到此角色的用户的密码。 此角色中的用户可以管理桌面分析服务。 此权限包括查看资产库存、创建部署计划、查看部署和运行状况。 充当此角色的用户可以读取基本的目录信息。 应将此角色用于： 为特定的一组来宾用户授予读取访问权限，而不是将此权限授予所有来宾用户。 当“限制对 Microsoft Entra 管理中心的访问”设置为“是”时，为一组特定的非管理员用户授予对 Microsoft Entra 管理中心的访问权限。 当“Directory.Read.All”不是选项时，为服务主体授予对目录的访问权限。 请勿使用。 此角色自动分配给 Microsoft Entra Connect 服务，不可用于其他任何用途。 这是 特权角色 。 此角色中的用户可以读取和更新用户、组和服务主体的基本信息。 这是 特权角色 。 具有此角色的用户可以管理（读取、添加、验证、更新和删除）域名。 他们还可以读取有关用户、组和应用程序的目录信息，因为这些对象拥有域依赖项。 对于本地环境，具有此角色的用户可以配置联合身份验证的域名，以便始终在本地对关联的用户进行身份验证。 然后，这些用户可以通过单一登录，使用其本地密码登录到基于 Microsoft Entra 的服务。 联合设置需要通过 Microsoft Entra Connect 同步，使得用户还有权管理 Microsoft Entra Connect。 将 Dragon 管理员角色分配给需要执行以下任务的用户： 在 Dragon 管理中心管理管理管理体验的各个方面 管理电子健康记录（EHR）系统中嵌入的各种临床应用程序的经验 配置临床应用程序，例如管理设置、查看分析和处理库对象 在 Dragon 管理中心为其组织创建、管理和查看其组织的支持票证 为组织购买的许可证创建、查看、管理和监视计费计划（可能需要其他角色） Dynamics 365 管理员 将 Dynamics 365 管理员角色分配给需要管理 Dynamics 365 服务的各个方面（包括配置、用户管理和支持票证）的用户。 Dynamics 365 Business Central 管理员 将 Dynamics 365 Business Central Administrator 角色分配给需要执行以下任务的用户： 访问 Dynamics 365 Business Central 环境 读取和配置 Azure 和 Microsoft 365 服务运行状况仪表板 此角色不提供其他 Dynamics 365 产品的任何权限。 此角色的用户可以在 Microsoft Edge 上创建和管理 Internet Explorer 模式所需的企业站点列表。 此角色授予创建、编辑和发布站点列表的权限，此外还允许访问管理支持票证。 将 Entra 备份管理员角色分配给需要执行以下任务的用户： 创建过去备份的差异报表（预览作业），并选择性地包括范围筛选器 比较备份和恢复范围内已更改的目录对象的状态 筛选支持的范围筛选器的目录对象 列出所有作业，包括预览作业和恢复作业 触发恢复作业，并选择性地包括范围筛选器 将 Entra 备份读取者角色分配给需要执行以下任务的用户： 创建过去备份的差异报表（预览作业），并选择性地包括范围筛选器 比较备份和恢复范围内已更改的目录对象的状态 筛选支持的范围筛选器的目录对象 查看所有作业，包括预览作业和恢复作业 Entra SOC 标识响应程序 这是 特权角色 。 将 Entra SOC 标识响应者角色分配给需要从Microsoft Defender门户执行以下任务的用户： 在活动安全事件期间禁用和启用用户帐户 通过使刷新令牌失效来撤销已泄露用户的活动登录会话 具有此角色的用户具有 Microsoft Exchange Online 内的全局权限（如果该服务存在）。 另外还能够创建和管理所有 Microsoft 365 组，管理支持票证并监视服务运行状况。 有关详细信息，请参阅 关于 Microsoft 365 管理中心内的管理员角色 。 在 Microsoft Graph API 和 Microsoft Graph PowerShell 中，此角色名为“Exchange 服务管理员”。 在 Azure 门户中 ，它名为 Exchange 管理员。 在 Exchange 管理中心 ，它名为“Exchange Online 管理员”。 将 Exchange 备份管理员角色分配给需要执行以下任务的用户： 管理 exchange Online Microsoft 365 备份的各个方面 备份和还原内容，包括 Exchange Online 的精细还原 为 Exchange Online 创建、编辑和管理备份配置策略 执行 Exchange Online 的还原作 Exchange 收件人管理员 具有此角色的用户在 Exchange Online 中拥有对收件人的读取访问权限，以及对这些收件人的属性的写入权限。 有关详细信息，请参阅 Exchange Server 中的收件人 。 具有此角色的用户可以在 Azure 门户中创建和管理用户流（也称为“内置”策略）。 这些用户可以自定义 HTML/CSS/JavaScript 内容、更改 MFA 要求、在令牌中选择声明、管理 API 连接器及其凭据，以及为 Microsoft Entra 组织中的所有用户流配置会话设置。 但是，此角色无法查看用户数据，也无法对组织架构中包含的属性进行更改。 对 Identity Experience Framework 策略（也称为自定义策略）的更改也超出了此角色的权限范围。 具有此角色的用户可以添加或删除适用于 Microsoft Entra 组织中所有用户流的自定义属性。 因此，具有此角色的用户可以更改或向最终用户架构添加新元素，并影响所有用户流的行为，并间接导致对最终用户可能要求的数据进行更改，并最终作为声明发送到应用程序。 此角色无法编辑用户流。 这是 特权角色 。 此管理员可以管理 Microsoft Entra 组织与外部标识提供者之间的联合。 用户可以使用此角色添加新的标识提供者及配置所有可用设置（例如身份验证路径、服务 ID 和分配的密钥容器）。 此用户可让 Microsoft Entra 组织信任来自外部标识提供者的身份验证。 对最终用户体验造成的影响取决于组织类型： 员工与合作伙伴的 Microsoft Entra 组织：添加联合身份验证（例如使用 Gmail）会立即影响所有尚未兑换的来宾邀请。 请参阅 将 Google 添加为 B2B 来宾用户的标识提供者 。 Azure Active Directory B2C 组织：在将标识提供者添加为用户流（也称为内置策略）中的一个选项之前，添加联合身份验证（例如，使用 Facebook 或另一个 Microsoft Entra 组织）不会立即影响最终用户流。 有关示例，请参阅 将 Microsoft 帐户配置为标识提供者 。 若要更改用户流，需要使用受限角色“B2C 用户流管理员”。 具有此角色的用户具有 Microsoft Fabric 和 Power BI 内的全局权限（如果该服务存在），并且能够管理支持票证和监视服务运行状况。 有关详细信息，请参阅 了解 Fabric 管理员角色 。 这是 特权角色 。 具有此角色的用户有权访问 Microsoft Entra ID 中的所有管理功能，以及使用 Microsoft Defender 门户、Microsoft Purview 门户、Exchange Online、SharePoint Online 和 Skype for Business Online 等Microsoft Entra 标识的服务。 全局管理员可以查看目录活动日志。 此外，全局管理员还可以 提升访问权限 ，以管理所有 Azure 订阅和管理组。 这允许全局管理员使用各自的 Microsoft Entra 租户获得对所有 Azure 资源的完全访问权限。 注册 Microsoft Entra 组织的人员将成为全局管理员。 公司中可以有多个全局管理员。 全局管理员可以为任何用户和所有其他管理员重置密码。 全局管理员无法删除其自己的全局管理员分配。 这是为了防止组织无全局管理员的情况。 作为最佳做法，Microsoft 建议将“全局管理员”角色分配给组织中五个以下的人员。 有关详细信息，请参阅 Microsoft Entra 角色最佳做法 。 这是 特权角色 。 充当此角色的用户可以跨 Microsoft 365 服务读取设置和管理信息，但无法执行管理操作。 全局读取者是对应于全局管理员的只读角色。 满足规划、审核或调查目的时，请分配全局读取者，而不要分配全局管理员。 将全局读取者与其他受限管理员角色（例如 Exchange 管理员）结合使用可以更轻松地完成工作，且无需分配全局管理员角色。 全局读取者适用于 Microsoft 365 管理中心、Exchange 管理中心、SharePoint 管理中心、Teams 管理中心、Microsoft Defender 门户、Microsoft Purview 门户、Azure 门户和设备管理管理中心。 具有此角色的用户 无法 执行以下作： 无法访问 Microsoft 365 管理中心的“购买服务”区域。 OneDrive 管理中心 - OneDrive 管理中心不支持全局读取者角色 Microsoft Defender 门户 - 全局读取者无法执行内容搜索或查看安全功能分数。 Teams 管理中心 - 全局读取者无法读取“Teams 生命周期”、“分析和报告”、“IP 电话设备管理”和“应用目录”。 有关详细信息，请参阅 使用 Microsoft Teams 管理员角色来管理 Teams 。 Privileged Access Management 不支持全局读取者角色。 Azure 信息保护 - 仅当 Microsoft Entra 组织不在 统一标记平台 上时，才支持全局读取者 在中心位置进行报告 。 SharePoint - 全局读取者对 SharePoint Online PowerShell cmdlet 和读取 API 具有读取访问权限。 Power Platform 管理中心 - Power Platform 管理中心尚不支持全局读取者。 Microsoft Purview 不支持全局读者角色。 将全局安全访问管理员角色分配给需要执行以下操作的用户： 创建和管理 Microsoft Entra Internet 访问和 Microsoft Entra 专用访问的所有方面 管理对公共终结点和专用终结点的访问 具有此角色的用户 无法 执行以下作： 无法管理企业应用程序、应用程序注册、条件访问或应用程序代理设置 将全局安全访问日志读取者角色分配给需要执行以下作的用户： 读取 Microsoft Entra Internet 访问 和 Microsoft Entra 专用访问 中的网络流量日志供指定安全人员分析 查看日志详细信息，例如会话、连接和事务 根据 IP 地址和域等条件筛选日志 此角色中的用户可以创建/管理组及其设置，如命名和过期策略。 重要的是要了解，将用户分配到此角色后，他们还可以跨各种工作负荷（如 Teams、SharePoint、Yammer 和 Outlook）管理组织中的所有组。 此外，用户还能够跨各种管理门户（如 Microsoft 管理中心、Azure 门户）以及特定于工作负荷的门户（如 Teams 和 SharePoint 管理中心）管理各种组设置。 此角色的用户可在“成员可以邀请”用户设置设置为“否”时管理 Microsoft Entra B2B 来宾用户邀请。 关于 Microsoft Entra B2B 协作 中提供了有关 B2B 协作的详细信息。 它不包括任何其他权限。 这是 特权角色 。 具有此角色的用户可以通过 Microsoft 为 Azure 和 Microsoft 365 服务更改密码、使刷新令牌无效、创建和管理支持请求，以及监视服务运行状况。 使刷新令牌失效会强制用户重新登录。 支持管理员是否可以重置用户的密码和使刷新令牌失效取决于分配给用户的角色。 有关支持管理员可以为其重置密码和使刷新令牌失效的角色的列表，请参阅 谁可以重置密码 。 具有此角色的用户 无法 执行以下作： 无法更改可 分配角色组 的成员和所有者的凭据或重置 MFA。 具有此角色的用户可以更改可能有权访问 Microsoft Entra ID 内外敏感或私有信息或关键配置的用户的密码。 更改用户的密码可能意味着假定用户标识和权限的能力。 例如： 应用程序注册和企业应用程序所有者，可以管理他们拥有的应用的凭据。 这些应用程序可能在 Microsoft Entra ID 或其他位置拥有未授予支持人员管理员的特权。 通过此路径，支持人员管理员可能能够假定应用程序所有者的身份，然后通过更新应用程序的凭据来进一步假定特权应用程序的标识。 Azure 订阅所有者，可能对 Azure 中的敏感或私有信息或关键配置具有访问权限。 安全组和 Microsoft 365 组所有者，可以管理组成员资格。 这些组可能会授予对 Microsoft Entra ID 或其他位置敏感或私有信息或关键配置的访问权限。 Microsoft Entra ID 之外的其他服务的管理员，例如 Exchange Online、Microsoft Defender 门户、Microsoft Purview 门户和人力资源系统。 高级管理人员、法律顾问和人力资源员工之类的非管理员，可能有权访问敏感或私有信息。 可以通过 管理单元 将管理权限委派给部分用户，并将策略应用到一部分用户。 此角色以前在 Azure 门户中 名为密码管理员。 它已重命名为“帮助台管理员”，以便与 Microsoft Graph API 和 Microsoft Graph PowerShell 中的现有名称保持一致。 这是 特权角色 。 具有此角色的用户可以使用云预配系统创建、管理和部署从 Active Directory 到 Microsoft Entra ID 的预配配置设置，还可管理 Microsoft Entra Connect、直通身份验证 (PTA)、密码哈希同步 (PHS)、无缝单一登录（无缝 SSO）和联合设置。 无权管理 Microsoft Entra Connect Health。 用户还可以使用此角色对日志进行故障排除和监视。 Identity Governance 管理员 具有此角色的用户可以管理 Microsoft Entra ID 治理 配置（包括访问包、访问评审、目录和策略），从而确保访问获得批准和评审，以及删除不再需要访问权限的来宾用户。 具有此角色的用户可以访问 Microsoft Viva Insights 应用中的全套管理功能。 此角色能够读取目录信息，监视服务运行状况，提交支持票证，并访问 Insights 各方面的管理员设置。 将 Insights 分析师角色分配给需要执行以下任务的用户： 在 Microsoft Viva Insights 应用中分析数据，但无法管理任何配置设置 在 Microsoft 365 管理中心查看基本设备和报告 在 Microsoft 365 管理中心创建和管理服务请求 具有此角色的用户可以通过 Microsoft Viva Insights 应用访问一组仪表板和见解。 其中包括对所有仪表板以及提供的见解和数据探索功能的完全访问权限。 具有此角色的用户无权访问由 Insights 管理员角色负责的产品配置设置。 这是 特权角色 。 具有此角色的用户具有 Microsoft Intune Online 内的全局权限（如果该服务存在）。 此外，此角色包含管理以关联策略，以及创建和管理组的用户和设备的能力。 有关详细信息，请参阅 Microsoft Intune 的基于角色的管理控制 (RBAC) 。 此角色可创建和管理所有安全组。 但是，Intune 管理员对 Microsoft 365 组没有管理员权限。 这意味着管理员无法更新组织中所有 Microsoft 365 组的所有者或成员身份， 但可以管理他们自己创建的 Microsoft 365 组，这是其最终用户权限的一部分。 因此，他们创建的任何 Microsoft 365 组（非安全组）都应计入其 250 的配额。 在 Microsoft Graph API 和 Microsoft Graph PowerShell 中，此角色名为“Intune 服务管理员”。 在 Azure 门户中 ，它名为 Intune 管理员。 将 IoT 设备管理员角色分配给需要执行以下任务的用户： 使用设备模板预配新的 IoT 设备 配置用于 IoT 设备身份验证的证书 管理 IoT 设备模板的生命周期 具有此角色的用户拥有在 Microsoft Kaizala 中管理设置的全局权限（如果该服务存在），并且能够管理支持票证和监视服务运行状况。 此外，用户还可以访问与组织成员采用和使用 Kaizala 有关的报告，以及使用 Kaizala 操作生成的业务报告。 充当此角色的用户对 Microsoft 365 管理中心内的所有知识、学习和智能功能设置拥有完全访问权限。 用户大致了解产品套件、许可详细信息，并负责控制访问权限。 知识管理员可创建和管理内容，例如主题、首字母缩写词和学习资源。 此外，这些用户可以创建内容中心、监视服务运行状况和创建服务请求。 具有此角色的用户可以创建和管理内容，例如主题、首字母缩写词和学习内容。 这些用户主要负责知识的质量和结构。 此用户对主题管理操作具有完整权限，可确认主题、批准编辑或删除主题。 此角色还可以管理作为术语库管理工具的一部分的分类并创建内容中心。 具有此角色的用户可以读取、添加、删除和更新用户、组（使用基于组的许可）的许可证分配，以及管理用户的使用位置。 该角色不授予在使用位置之外购买或管理订阅、创建或管理组，或者创建或管理用户的权限。 此角色无权查看、创建或管理支持票证。 这是 特权角色 。 将生命周期工作流管理员角色分配给需要执行以下任务的用户： 在 Microsoft Entra ID 中创建和管理与生命周期工作流关联的工作流和任务的所有方面 充当此角色的用户可以监视消息中心的所有通知，包括数据隐私消息。 消息中心隐私读取者会收到电子邮件通知（包括与数据隐私相关的通知），并可以使用邮件中心首选项取消订阅。 只有全局管理员和消息中心隐私读取者才能阅读数据隐私消息。 此外，此角色还能查看组、域和订阅。 此角色无权查看、创建或管理服务请求。 此角色中的用户可以监视 消息中心的 通知和咨询运行状况更新，以监视其组织的已配置服务（如 Exchange、Intune 和 Microsoft Teams）。 消息中心读者会收到包含帖子和更新的每周电子邮件摘要，并能在 Microsoft 365 内共享消息中心帖子。 在 Microsoft Entra ID 中，分配有此角色的用户仅对 Microsoft Entra 服务（如用户和组）具有只读访问权限。 此角色无权查看、创建或管理支持票证。 Microsoft 365 备份管理员 将Microsoft 365 备份管理员角色分配给需要执行以下任务的用户： 管理 Microsoft 365 备份的所有方面 为 SharePoint、OneDrive 和 Exchange Online 创建、编辑和管理备份配置策略 对备份的 SharePoint 网站、OneDrive 帐户和 Exchange 邮箱执行还原作 Microsoft 365 迁移管理员

将 Microsoft 365 迁移管理员角色分配给需要执行以下任务的用户： 使用 Microsoft 365 管理中心中的迁移管理器管理从 Google Drive、Dropbox、Box 和 Egnyte 到 Microsoft 365（包括 Teams、OneDrive for Business 和 SharePoint 网站）的内容迁移 选择迁移源、创建迁移清单（如 Google Drive 用户列表）、计划和执行迁移，下载报告 如果目标网站尚不存在，请创建新的 SharePoint 网站，在 SharePoint 管理员网站下创建 SharePoint 列表，并在 SharePoint 列表中创建和更新项目 管理任务的迁移项目设置和迁移生命周期 此角色不允许使用 SharePoint 管理中心从文件共享源进行迁移。 可以使用 SharePoint 管理员角色从文件共享源进行迁移。 Microsoft Entra 联接设备本地管理员 此角色仅适用于 在设备设置 中作为其他本地管理员进行分配。 具有此角色的用户将成为已加入Microsoft Entra ID的所有Windows 10或更新设备上的本地计算机管理员。 它们无法管理Microsoft Entra ID中的设备对象。 Microsoft Graph 数据连接管理员 将 Microsoft Graph 数据连接管理员角色分配给需要执行以下任务的用户： 访问 Microsoft Graph Data Connect 的完整管理功能集 在租户中管理 Microsoft Graph 数据连接设置 启用或禁用 Microsoft Graph 数据连接服务 在 Microsoft Graph Data Connect 中配置数据集工作负载选择 在 Microsoft Graph Data Connect 中配置跨租户数据移动设置 查看、批准或拒绝 Microsoft Graph Data Connect 的应用程序授权请求 查看、创建、更新或删除 Microsoft Graph Data Connect 的应用程序注册 Microsoft 硬件保修管理员 将 Microsoft 硬件保修管理员角色分配给需要执行以下任务的用户： 创建 Microsoft 制造硬件（如 Surface 和 HoloLens）新的保修索赔 搜索并读取未完成或已完成的保修索赔 创建、读取、更新和删除发货地址 读取未完成的保修索赔的发货状态 在 Microsoft 365 管理中心创建和管理服务请求 读取 Microsoft 365 管理中心的消息中心公告 保修索赔指根据保修条款请求维修或更换硬件。 有关详细信息，请参阅 Surface 自助服务保修和服务请求 。 Microsoft 硬件保修专家 将 Microsoft 硬件保修专家角色分配给需要执行以下任务的用户： 创建 Microsoft 制造硬件（如 Surface 和 HoloLens）新的保修索赔 读取其创建的未完成的保修索赔的发货状态 在 Microsoft 365 管理中心创建和管理服务请求 保修索赔指根据保修条款请求维修或更换硬件。 有关详细信息，请参阅 Surface 自助服务保修和服务请求 。 充当此角色的用户可以查看 Microsoft 根据其用户位置发出的网络遥测数据提供的网络外围体系结构建议。 Microsoft 365 的网络性能依赖于精心规划的企业客户网络外围体系结构，而该体系结构通常特定于用户位置。 此角色允许编辑这些位置的已发现用户位置和网络参数配置，以便改进遥测度量和设计建议。 充当此角色的用户可以管理 Microsoft 365 应用的云设置。 这包括云策略管理、自助下载管理，以及查看与 Office 应用相关的报表的功能。 此外，该角色还可以在主管理中心管理支持票证和监视服务运行状况。 分配了此角色的用户还可以管理 Office 应用中新功能的通信。 将组织品牌打造管理员角色分配给需要执行以下任务的用户： 管理租户中组织品牌打造的各个方面 读取、创建、更新和删除品牌打造主题 管理默认品牌打造主题和所有品牌打造本地化主题 将组织数据源管理员角色分配给需要执行以下任务的用户： 管理与引入和管理 Microsoft 365 和 Microsoft Viva 应用程序的组织数据相关的设置 在 Microsoft 365 和 Microsoft Viva 应用程序中上传、更新和删除引入的组织数据 将组织消息审批者角色分配给需要执行以下任务的用户： 在使用 Microsoft 365 组织消息平台向用户发送要传递的新组织消息之前，请在Microsoft 365 管理中心中审阅、批准或拒绝这些消息 在 Microsoft 365 管理中心读取所有资源的基本属性 将组织消息编写者角色分配给需要执行以下任务的用户： 使用 Microsoft 365 管理中心或 Microsoft Intune 编写、发布和删除组织消息 使用 Microsoft 365 管理中心或 Microsoft Intune 管理组织消息传递选项 使用 Microsoft 365 管理中心 或 Microsoft Intune 读取组织消息传递结果 查看 Microsoft 365 管理中心中的使用情况报告和大多数设置，但无法进行更改 这是 特权角色 。 请勿使用。 此角色已弃用，将在未来从 Microsoft Entra ID 中移除。 此角色仅供少数 Microsoft 转售合作伙伴使用，不适用于一般用途。 此角色只能为非管理员重置密码，并使刷新令牌失效。 不应使用此角色，因为它已弃用。 这是 特权角色 。 请勿使用。 此角色已弃用，将在未来从 Microsoft Entra ID 中移除。 此角色仅供少数 Microsoft 转售合作伙伴使用，不适用于一般用途。 此角色可为所有非管理员和管理员（包括全局管理员）重置密码，并使刷新令牌失效。 不应使用此角色，因为它已弃用。 这是 特权角色 。 具有此角色的用户可以管理密码，但权限受限。 此角色不会授予管理服务请求或监视服务运行状况的能力。 密码管理员是否可以重置用户的密码取决于分配给用户的角色。 有关密码管理员可以为其重置密码的角色的列表，请参阅 谁可以重置密码 。 具有此角色的用户 无法 执行以下作： 无法更改可 分配角色组 的成员和所有者的凭据或重置 MFA。 将“人员管理员”角色分配给需要执行以下任务的用户： 更新所有用户（包括管理员）的个人资料照片 更新所有用户的人员设置，例如代词、姓名发音和个人资料卡设置 将权限管理管理员分配给需要执行以下任务的用户： 管理 Microsoft Entra 权限管理的各个方面（如果服务存在） 有关权限管理角色和策略的详细信息，请参阅 查看有关角色/策略的信息 。 将“位置管理员”角色分配给需要执行以下任务的用户： 管理 Microsoft Places 服务的各个方面 配置和管理建筑物、楼层、房间和办公桌 Power Platform 管理员 充当此角色的用户可以创建和管理环境、Power Apps、Flows、数据丢失防护策略的所有方面。 另外，具有此角色的用户可以管理支持票证并监视服务运行状况。 充当此角色的用户可以在 Microsoft 通用打印解决方案中注册打印机和管理所有打印机配置的各个方面，包括“通用打印连接器”设置。 他们可以同意所有委托的打印权限请求。 打印机管理员还有权访问打印报告。 具有此角色的用户可以在 Microsoft 通用打印解决方案中注册打印机和管理打印机状态。 他们还可以读取所有连接器信息。 打印机技术人员无法执行的重要任务是设置用户对打印机的权限以及共享打印机。 这是 特权角色 。 将特权身份验证管理员角色分配给需要执行以下任务的用户： 为任何用户（包括全局管理员）设置或重置身份验证方法（包括密码）。 删除或还原任何用户，包括全局管理员。 有关详细信息，请参阅 谁可以执行敏感操作 。 强制用户重新注册现有非密码凭据（如 MFA 或 FIDO2），并撤销 记住设备上的 MFA ，提示下一次登录所有用户进行 MFA。 为所有用户更新敏感属性。 有关详细信息，请参阅 谁可以执行敏感操作 。 在 Azure 和 Microsoft 365 管理中心创建和管理支持工单。 使用基于 PKI 的信任存储配置证书颁发机构（预览版） 具有此角色的用户 无法 执行以下作： 无法管理旧版 MFA 管理门户中的每用户 MFA。 下表比较了与身份验证相关的角色的功能。 具有此角色的用户可以更改可能有权访问 Microsoft Entra ID 内外敏感或私有信息或关键配置的用户的凭据。 更改用户的凭据可能意味着假定用户标识和权限的能力。 例如： 应用程序注册和企业应用程序所有者，可以管理他们拥有的应用的凭据。 这些应用程序可能在 Microsoft Entra ID 或其他位置拥有未授予身份验证管理员的特权。 通过此路径，身份验证管理员可以假定应用程序所有者的身份，然后通过更新应用程序的凭据来进一步假定特权应用程序的标识。 Azure 订阅所有者，可能对 Azure 中的敏感或私有信息或关键配置拥有访问权限。 安全组和 Microsoft 365 组所有者，可以管理组成员资格。 这些组可能会授予对 Microsoft Entra ID 或其他位置敏感或私有信息或关键配置的访问权限。 Microsoft Entra ID 之外的其他服务的管理员，例如 Exchange Online、Microsoft Defender 门户和 Microsoft Purview 门户和人力资源系统。 高级管理人员、法律顾问和人力资源员工之类的非管理员，可能有权访问敏感或私有信息。 这是 特权角色 。 具有此角色的用户可以在 Microsoft Entra ID 中以及 Microsoft Entra Privileged Identity Management 中管理角色分配。 他们可以创建和管理可分配给 Microsoft Entra 角色的组。 此外，此角色允许管理 Privileged Identity Management 和管理单元的所有方面。 此角色具有管理所有 Microsoft Entra 角色（包括全局管理员角色）的分配的能力。 此角色不包括 Microsoft Entra ID 中的任何其他权限功能，如创建或更新用户。 但是，分配到此角色的用户可通过分配其他角色，授予自己或其他人额外的特权。 Purview 工作负载内容管理员 将 Purview 工作负荷内容管理员角色分配给需要执行以下任务的用户： 从Microsoft Purview 门户访问时管理或清除Microsoft 365数据（例如SharePoint、Teams、OneDrive或Exchange） 通过Microsoft Purview 门户分配此角色。 如果尝试使用Microsoft Entra 管理中心分配此角色，可能会覆盖该角色。 Microsoft Purview使用角色组来限制用户可以在Microsoft Purview 门户中执行的任务。 若要详细了解 Purview 工作负荷内容管理员角色如何映射到Microsoft Purview 门户上的角色，请参阅 Purview 角色分配迁移程序 。 Purview 工作负载内容读取器 将 Purview 工作负荷内容读取者角色分配给需要执行以下任务的用户： 在处理从Microsoft Purview 门户提交的长时间运行的操作时，从Microsoft 365读取数据（例如SharePoint、Teams、OneDrive或Exchange）。 通过Microsoft Purview 门户分配此角色。 如果尝试使用Microsoft Entra 管理中心分配此角色，可能会覆盖该角色。 Microsoft Purview使用角色组来限制用户可以在Microsoft Purview 门户中执行的任务。 若要详细了解 Purview 工作负荷内容读取者角色如何映射到Microsoft Purview 门户上的角色，请参阅 Purview 角色分配迁移程序 。 Purview 工作负载内容编写器 将 Purview 工作负荷内容编写器角色分配给需要执行以下任务的用户： 从Microsoft Purview 门户访问时读取和编辑Microsoft 365数据（如 SharePoint、Teams、OneDrive 或 Exchange） 通过Microsoft Purview 门户分配此角色。 如果尝试使用Microsoft Entra 管理中心分配此角色，可能会覆盖该角色。 Microsoft Purview使用角色组来限制用户可以在Microsoft Purview 门户中执行的任务。 若要详细了解 Purview 工作负荷内容编写器角色如何映射到Microsoft Purview 门户上的角色，请参阅 Purview 角色分配迁移程序 。 具有此角色的用户可在 Microsoft 365 管理中心以及 Fabric 和 Power BI 中的采用上下文包内查看使用情况报告数据和报告仪表板。 此外，拥有此角色后还可访问 Microsoft Entra ID 中所有的登录日志、审核日志和活动报告，以及 Microsoft Graph 报告 API 返回的数据。 分配到“报告读者”角色的用户只能访问相关使用情况和采用指标。 它们没有任何管理员权限，无法配置设置或访问产品特定的管理中心（如 Exchange）。 此角色无权查看、创建或管理支持票证。 充当此角色的用户对 Microsoft 365 管理中心内的所有 Microsoft 搜索管理功能拥有完全访问权限。 此外，这些用户可以查看消息中心、监视服务运行状况和创建服务请求。 充当此角色的用户可以在 Microsoft 365 管理中心创建、管理和删除 Microsoft 搜索的内容，包括书签、问答和位置。 这是 特权角色 。 具有此角色的用户有权管理 Microsoft Defender 门户中的安全相关功能、Microsoft Entra ID 保护、Microsoft Entra Authentication、Azure 信息保护和 Microsoft Purview 门户。 有关 Office 365 权限的详细信息，请参阅 Microsoft Defender for Office 365 和 Microsoft Purview 合规性中的角色和角色组 。 这是 特权角色 。 具有此角色的用户可以管理警报、在安全事件期间执行标识包含操作，并且对安全相关功能具有全局只读访问权限，包括Microsoft Defender门户中的所有信息、Microsoft Entra ID 保护、Privileged Identity Management和Microsoft Purview 门户。 有关 Office 365 权限的详细信息，请参阅 Microsoft Defender for Office 365 和 Microsoft Purview 合规性中的角色和角色组 。 这是 特权角色 。 具有此角色的用户对安全相关的功能具有全局只读访问权限，包括 Microsoft Defender 门户、Microsoft Entra ID 保护、Privileged Identity Management 以及读取 Microsoft Entra 登录报告和审核日志以及 Microsoft Purview 门户中的所有信息。 有关 Office 365 权限的详细信息，请参阅 Microsoft Defender for Office 365 和 Microsoft Purview 合规性中的角色和角色组 。 具有此角色的用户可以使用 Azure 和 Microsoft 365 服务Microsoft创建和管理支持请求，并在 Azure 门户 和 Microsoft 365 管理中心 中查看服务仪表板和消息中心。 有关详细信息，请参阅 关于 Microsoft 365 管理中心内的管理员角色 。 此角色以前在 Azure 门户中 命名为服务管理员， Microsoft 365 管理中心 。 它已重命名为“服务支持管理员”，以便与 Microsoft Graph API 和 Microsoft Graph PowerShell 中的现有名称保持一致。 具有此角色的用户在 Microsoft Office SharePoint Online（如果存在此服务）中拥有全局权限，并且能够创建和管理所有 Microsoft 365 组，管理支持票证并监视服务运行状况。 有关详细信息，请参阅 关于 Microsoft 365 管理中心内的管理员角色 。 在 Microsoft Graph API 和 Microsoft Graph PowerShell 中，此角色名为“SharePoint 服务管理员”。 在 Azure 门户中 ，它名为 SharePoint 管理员。 此角色还将作用域内权限授予用于 Microsoft Intune 的 Microsoft 图形 API，从而允许管理和配置与 SharePoint 和 OneDrive 资源相关的策略。 SharePoint 高级管理管理员 将SharePoint高级管理管理员角色分配给需要执行以下任务的用户： 执行 SharePoint 管理员可执行的所有作，包括 SharePoint Online 的全局管理、支持工单处理和服务健康监测 在SharePoint站点内查看文件、文件夹、库、文档和列表的名称、路径和URL，无需访问文件或项目内容 移除 SharePoint 站点内文件、文件夹、库、文档和列表的权限 SharePoint 备份管理员 将 SharePoint 备份管理员角色分配给需要执行以下任务的用户： 管理 sharePoint 和 OneDrive Microsoft 365 备份的各个方面 备份和还原内容，包括跨 SharePoint 和 OneDrive 的精细还原 为 SharePoint 和 OneDrive 创建、编辑和管理备份配置策略 执行 SharePoint 和 OneDrive 的还原作 SharePoint Embedded 管理员 将 SharePoint Embedded 管理员角色分配给需要执行以下任务的用户： 使用 PowerShell、Microsoft 图形 API 或 SharePoint 管理中心执行所有任务 管理、配置和维护 SharePoint Embedded 容器 枚举和管理 SharePoint Embedded 容器 枚举和管理 SharePoint Embedded 容器的权限 管理租户中 SharePoint Embedded 容器的存储 针对 SharePoint Embedded 容器分配安全性与合规性策略 针对租户中的 SharePoint Embedded 容器应用安全性与合规性策略 Skype for Business 管理员 具有此角色的用户具有 Microsoft Skype for Business 中的全局权限，以及管理 Microsoft Entra ID 中的特定于 Skype 的用户属性。 此外，此角色可授予管理支持票证、监视服务运行状况以及访问 Teams 和 Skype for Business 管理中心的能力。 帐户必须获取 Teams 许可证，否则无法运行 Teams PowerShell cmdlet。 有关详细信息，请参阅 Skype for Business Online 管理员 ；有关 Teams 许可信息，请参阅 Skype for Business 加载项许可 。 在 Microsoft Graph API 和 Microsoft Graph PowerShell 中，此角色名为“Lync 服务管理员”。 在 Azure 门户中 ，它名为 Skype for Business 管理员。 充当此角色的用户可以通过 Microsoft Teams 和 Skype for Business 管理中心以及相应的 PowerShell 模块来管理 Microsoft Teams 工作负荷的所有方面。 这包括（但不限于）与电话、消息、会议和 Teams 自身相关的所有管理工具。 另外，利用此角色，还可以创建和管理所有 Microsoft 365 组，管理支持票证并监视服务运行状况。 充当此角色的用户可以管理 Microsoft Teams 工作负荷的语音与电话相关方面。 这包括用于分配电话号码的管理工具、语音和会议策略，以及通话分析工具集的完全访问权限。 充当此角色的用户可以使用 Microsoft Teams 和 Skype for Business 管理中心的用户通话故障排除工具，来排查 Microsoft Teams 和 Skype for Business 中的通信问题。 充当此角色的用户可以查看所有参与方的完整通话记录信息。 此角色无权查看、创建或管理支持票证。 充当此角色的用户可以使用 Microsoft Teams 和 Skype for Business 管理中心的用户通话故障排除工具，来排查 Microsoft Teams 和 Skype for Business 中的通信问题。 充当此角色的用户只能查看他们所查找的特定用户的通话中的用户详细信息。 此角色无权查看、创建或管理支持票证。 具有此角色的用户可以从 Teams 管理中心管理 Teams 认证的设备 。 此角色允许同时查看所有设备，并能够搜索和筛选设备。 用户可以检查每个设备的详细信息，包括设备的登录帐户、品牌和型号。 用户可以更改设备上的设置并更新软件版本。 此角色不会授权检查 Teams 活动和设备的通话质量。 将 Teams 外部协作管理员角色分配给需要执行以下任务的用户： 在聊天、会议和通话中管理组织的与外部用户的交互的 Teams 外部协作设置。 配置外部域，包括创建、编辑和删除指定用户如何与外部组织互动的域条目。 在用户和组级别建立和管理用于外部协作的允许列表和阻止列表策略。 控制哪些外部域和用户可以与组织协作以确保安全且合规的外部协作。 将 Teams 读者角色分配给需要执行以下任务的用户： 读取 Teams 管理中心中的设置和管理信息，但不执行任何管理作 读取Microsoft通话质量仪表板（CQD），但无法访问任何故障排除功能 具有此角色的用户 无法 执行以下任务： 无法访问用户的会议和通话详细信息 无法访问 Frontline 辅助角色部署管理 将 Teams 电话服务管理员角色分配给需要执行以下任务的用户： 管理语音和电话服务，包括通话策略、电话号码管理和分配，以及语音应用程序 在 Teams 管理中心只能访问公用电话交换网 (PSTN) 使用报告 在 Azure 和 Microsoft 365 管理中心创建和管理支持工单 为需要执行以下任务的用户分配租户创建者角色： 即使在用户设置中关闭了租户创建开关，也可以创建 Microsoft Entra 和 Azure Active Directory B2C 租户 将为租户创建者分配他们所创建的新租户的全局管理员角色。 将租户治理管理员角色分配给需要执行以下任务的用户： 管理 Microsoft Entra 租户治理服务中的所有功能 将租户治理读取者角色分配给需要执行以下任务的用户： 将租户治理关系管理员角色分配给需要执行以下任务的用户： 管理租户治理关系的各个方面，但接受请求除外 将租户治理关系读取者角色分配给需要执行以下任务的用户： 将使用情况摘要报告读取者角色分配给需要在Microsoft 365 管理中心中执行以下任务的用户： 读取组织见解，但不读取用户的个人身份信息 (PII) 此角色仅允许用户查看组织级数据，但存在以下例外情况： 成员用户可以查看用户管理数据和设置。 分配了此角色的来宾用户无法查看用户管理数据和设置。 这是 特权角色 。 将用户管理员角色分配给需要执行以下操作的用户： 具有此角色的用户 无法 执行以下作： 无法更改可 分配角色组 的成员和所有者的凭据或重置 MFA。 无法修改密码重置操作的安全问题。 具有此角色的用户可以更改可能有权访问 Microsoft Entra ID 内外敏感或私有信息或关键配置的用户的密码。 更改用户的密码可能意味着假定用户标识和权限的能力。 例如： 应用程序注册和企业应用程序所有者，可以管理他们拥有的应用的凭据。 这些应用程序可能在 Microsoft Entra ID 或其他位置拥有未授予用户管理员的特权。 通过此路径，用户管理员可能能够假定应用程序所有者的身份，然后通过更新应用程序的凭据来进一步假定特权应用程序的标识。 Azure 订阅所有者，可能对 Azure 中的敏感或私有信息或关键配置拥有访问权限。 安全组和 Microsoft 365 组所有者，可以管理组成员资格。 这些组可能会授予对 Microsoft Entra ID 或其他位置敏感或私有信息或关键配置的访问权限。 Microsoft Entra ID 之外的其他服务的管理员，例如 Exchange Online、Microsoft Defender 门户、Microsoft Purview 门户和人力资源系统。 高级管理人员、法律顾问和人力资源员工之类的非管理员，可能有权访问敏感或私有信息。 将用户体验成功管理员角色分配给需要执行以下任务的用户： 读取 Microsoft 365 应用和服务的组织级使用情况报告，但不包括用户详细信息 查看组织的产品反馈、Net Promoter Score (NPS) 调查结果，并帮助文章视图确定沟通和培训机会 读取消息中心帖子和服务运行状况数据 Virtual Visits 管理员 具有此角色的用户可执行以下任务： 在 Microsoft 365 管理中心的 Bookings 中和 Teams EHR 连接器中管理和配置 Virtual Visits 的各个方面 在 Teams 管理中心、Microsoft 365 管理中心、Fabric 和 PowerBI 中查看虚拟访问的使用情况报告 在 Microsoft 365 管理中心查看功能和设置，但无法编辑任何设置 Virtual Visits 是一种用于为员工和与会者安排和管理在线和视频会议的简单方法。 例如，使用情况报告可以显示在会议之前如何发送短信可减少不参加会议的人数。 Viva Glint租户管理员 将 Viva Glint 租户管理员角色分配给需要执行以下任务的用户： 在 Microsoft 365 管理中心读取和配置 Viva Glint 设置 分配或删除 Viva Glint 服务管理员 创建和管理 Viva 功能访问管理策略 查看和管理 Viva Glint 体验（如果适用） 创建和管理 Azure 支持票证 有关详细信息，请参阅 Viva Glint 和分配 Viva Glint 租户和服务管理员的关键 角色。 将 Viva Goals 管理员角色分配给需要执行以下任务的用户： 管理和配置 Microsoft Viva Goals 应用程序的所有方面 配置 Microsoft Viva Goals 管理员设置 读取 Microsoft Entra 租户信息 监视 Microsoft 365 服务运行状况 创建和管理 Microsoft 365 服务请求 有关详细信息，请参阅 Viva Goals 中的角色和权限 和 Microsoft Viva Goals 简介 。 将 Viva Pulse 管理员角色分配给需要执行以下任务的用户： 读取并配置 Viva Pulse 的所有设置 在 Microsoft 365 管理中心读取所有资源的基本属性 读取和配置 Azure 服务运行状况 创建和管理 Azure 支持票证 在 Microsoft 365 管理中心读取消息中心中的消息，不包括安全消息 在 Microsoft 365 管理中心读取使用情况报告 有关详细信息，请参阅 在 Microsoft 365 管理中心分配 Viva Pulse 管理员 。 Windows 365 管理员 具有此角色的用户具有对 Windows 365 资源的全局权限（如果该服务存在）。 此外，此角色包含管理以关联策略，以及创建和管理组的用户和设备的能力。 此角色可创建和管理安全组，但不具有对 Microsoft 365 组的管理员权限。 这意味着管理员无法更新组织中 Microsoft 365 组的所有者或成员身份。 但是，他们可以管理他们创建的 Microsoft 365 组，这是其最终用户权限的一部分。 因此，他们创建的任何 Microsoft 365 组（不是安全组）都计入其 250 的配额。 将 Windows 365 管理员角色分配给需要执行以下任务的用户： 在 Microsoft Intune 中管理 Windows 365云电脑 在 Microsoft Entra ID 中注册和管理设备，包括分配用户和策略 创建和管理安全组，但不是可分配角色的组 在 Microsoft 365 管理中心查看基本属性 在 Microsoft 365 管理中心读取使用情况报告 在 Azure 和 Microsoft 365 管理中心创建和管理支持工单 Windows 更新部署管理员 此角色中的 UUsers 可以通过适用于企业的 Windows 更新部署服务创建和管理 Windows 更新部署的所有方面。 利用该部署服务，用户可以定义部署更新的时间和方式的相关设置，并指定向其租户中的设备组提供哪些更新。 该服务还允许用户监视更新进度。 将 Yammer 管理员角色分配给需要执行以下任务的用户： 管理 Yammer 的所有方面 创建、管理和还原 Microsoft 365 组（但不包括可分配角色的组） 查看安全组和 Microsoft 365 组（包括可分配角色的组）的隐藏成员 在 Microsoft 365 管理中心读取使用情况报告 在 Microsoft 365 管理中心创建和管理服务请求 在消息中心查看公告（但不包括安全公告） 不应使用以下角色。 它们已被弃用，将在未来从 Microsoft Entra ID 中移除。 并非所有由PowerShell或Microsoft 图形 API返回的角色都会在Microsoft Entra角色界面中看到。 下表整理了这些差异。 Microsoft 365 支持工程师 模板 ID：00cf5c54-4693-4f59-a0ac-ab79ef0a974d 不要使用 - 不适用于常规用途。 模板 ID：d24aef57-1500-4070-84db-2666f29cf966 请勿使用。 PowerShell 或 Microsoft 图形 API 不返回此角色。 它会自动从商务分配，并且不会用于任何其他用途或不受支持。 现代商务管理员角色为某些用户授予访问 Microsoft 365 管理中心的权限，并查看 主页 、 计费 和支持的 左侧导航条目。 这些区域中提供的内容由分配给用户的 特定于商业的角色 控制，这些角色用于管理自己或组织购买的产品。 这可能包括各种任务，例如支付账单，或访问计费帐户和计费配置文件。 具有现代商务管理员角色的用户通常在其他Microsoft购买系统中具有管理权限，但没有用于访问管理中心的全局管理员或计费管理员角色。 在什么情况下会分配现代商务管理员角色？ Microsoft 365 管理中心自助购买 – 自助购买使用户有机会通过自行购买或注册新产品来试用这些产品。 这些产品在管理中心进行管理。 进行自助购买的用户将分配到商务系统中的某个角色和现代商务管理员角色，因此他们可以在管理中心管理其购买内容。 管理员可以通过 PowerShell 阻止自助购买（适用于 Fabric、Power BI、Power Apps、Power Automate）。 有关详细信息，请参阅 自助购买常见问题解答 。 从 Microsoft 商业市场购买 - 类似于自助购买，当用户从 Microsoft AppSource 或 Azure 市场购买产品或服务时，如果新式商业管理员角色没有全局管理员或计费管理员角色，则会分配新式商业管理员角色。 在某些情况下，可能会阻止用户进行此类购买。 有关详细信息，请参阅 Microsoft 商业市场 。 Microsoft 的推荐 - 推荐是 Microsoft 提出的正式建议，让你的组织可以优惠价格购买 Microsoft 产品和服务。 当接受该建议的人员在 Microsoft Entra ID 中没有全局管理员或计费管理员角色时，系统会为他们分配一个特定于商业的角色来完成该建议和现代商务管理员角色以访问管理中心。 当他们访问管理中心时，他们只能使用其商业特定角色授权的功能。 特定于商务的角色 – 某些用户分配了特定于商务的角色。 如果用户不是全局管理员或计费管理员，将为其分配现代商业管理员角色以访问管理中心。 如果取消分配了用户的现代商务管理员角色，他们将失去 Microsoft 365 管理中心的访问权限。 如果他们自己或组织管理任何产品，他们将无法管理它们。 这些任务可能包括分配许可证、更改付款方式、支付账单或其他订阅管理任务。 分配Microsoft Entra 角色 将用户分配为 Azure 订阅的管理员 想要尝试使用 Ask Learn 阐明或指导你完成本主题？ 上次更新时间为 2026-07-17