Integrierte Microsoft Entra-Rollen

Wenn in Microsoft Entra ID ein anderer Administrator oder ein Nichtadministrator Microsoft Entra-Ressourcen verwalten muss, weisen Sie ihm eine Microsoft Entra-Rolle zu, die die benötigten Berechtigungen bereitstellt. Beispielsweise können Sie Rollen zuweisen, die das Hinzufügen oder Ändern von Benutzern, das Zurücksetzen von Benutzerkennwörtern, das Verwalten von Benutzerlizenzen oder das Verwalten von Domänennamen erlauben.

In diesem Artikel werden die in Microsoft Entra integrierten Rollen aufgeführt, die Sie zuweisen können, um die Verwaltung von Microsoft Entra-Ressourcen zu ermöglichen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zuweisen von Microsoft Entra-Rollen zu Benutzern. Wenn Sie nach Rollen zum Verwalten von Azure-Ressourcen suchen, finden Sie weitere Informationen unter Integrierte Azure-Rollen.

Alle Rollen

KI-Administrator

Weisen Sie die KI-Administratorrolle Benutzern zu, die die folgenden Aufgaben ausführen müssen:

• Verwalten aller Aspekte von Microsoft 365 Copilot
• Verwalten von KI-bezogenen Unternehmensdiensten, Erweiterbarkeit und Copilot-Agents über die Seite "Integrierte Apps" im Microsoft 365 Admin Center
• Genehmigen und Veröffentlichen von Geschäftsbereichs-Copilot-Agents
• Zulassen, dass Benutzer eine App installieren oder eine App für Benutzer in der Organisation installieren können, wenn die App keine Berechtigung benötigt
• Lesen und Konfigurieren von Azure- und Microsoft 365-Dienstintegritätsdashboards
• Anzeigen von Nutzungsberichten, Einführungserkenntnissen und Organisationseinblicken
• Erstellen und Verwalten von Supporttickets in Azure und im Microsoft 365 Admin Center

Anwendungsadministrator

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle können alle Aspekte von Unternehmensanwendungen, Anwendungsregistrierungen und Anwendungsproxyeinstellungen erstellen und verwalten. Beachten Sie, dass Benutzer, denen diese Rolle zugewiesen wurde, bei der Erstellung neuer Anwendungsregistrierungen oder Unternehmensanwendungen nicht als Besitzer hinzugefügt werden.

Diese Rolle ermöglicht auch die Zustimmung zu delegierten Berechtigungen und Anwendungsberechtigungen (mit Ausnahme von Anwendungsberechtigungen für Azure AD Graph und Microsoft Graph).

Anwendungsentwickler

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle können Anwendungsregistrierungen erstellen, wenn die Einstellung „Benutzer können Anwendungen registrieren“ auf „Nein“ festgelegt ist. Diese Rolle ermöglicht auch die Berechtigung, im eigenen Namen zuzustimmen, wenn die Einstellung „Benutzer können Apps zustimmen, die in ihrem Namen auf Unternehmensdaten zugreifen“ auf „Nein“ festgelegt ist. Benutzer, denen diese Rolle zugewiesen wurde, werden bei der Erstellung neuer Anwendungsregistrierungen als Besitzer hinzugefügt.

Autor der Angriffsnutzdaten

Benutzer in dieser Rolle können Angriffsnutzdaten erstellen, diese jedoch nicht tatsächlich starten oder planen. Die Angriffsnutzdaten stehen dann allen Administratoren im Mandanten zur Verfügung und können von diesen zum Erstellen einer Simulation verwendet werden.

Weitere Informationen finden Sie unter Microsoft Defender for Office 365-Berechtigungen im Microsoft 365 Defender-Portal und Berechtigungen im Microsoft Purview-Complianceportal.

Administrator für Angriffssimulation

Benutzer mit dieser Rolle können alle Aspekte der Angriffssimulationserstellung, des Starts und der Planung einer Simulation und der Überprüfung der Simulationsergebnisse erstellen und verwalten. Mitglieder dieser Rolle besitzen diesen Zugriff für alle Simulationen im Mandanten.

Weitere Informationen finden Sie unter Microsoft Defender for Office 365-Berechtigungen im Microsoft 365 Defender-Portal und Berechtigungen im Microsoft Purview-Complianceportal.

Administrator für Attributzuweisungen

Benutzer mit dieser Rolle können benutzerdefinierte Sicherheitsattributschlüssel und -werte für unterstützte Microsoft Entra-Objekte wie Benutzer, Dienstprinzipale und Geräte zuweisen und entfernen.

Weitere Informationen finden Sie unter Verwalten des Zugriffs auf benutzerdefinierte Sicherheitsattribute in Microsoft Entra ID.

Leser für Attributzuweisungen

Benutzer mit dieser Rolle können benutzerdefinierte Sicherheitsattributschlüssel und -werte für unterstützte Microsoft Entra-Objekte lesen.

Weitere Informationen finden Sie unter Verwalten des Zugriffs auf benutzerdefinierte Sicherheitsattribute in Microsoft Entra ID.

Administrator für Attributdefinitionen

Benutzer mit dieser Rolle können gültige benutzerdefinierte Sicherheitsattribute definieren, die unterstützten Microsoft Entra-Objekten zugewiesen werden können. Diese Rolle kann auch benutzerdefinierte Sicherheitsattribute aktivieren und deaktivieren.

Weitere Informationen finden Sie unter Verwalten des Zugriffs auf benutzerdefinierte Sicherheitsattribute in Microsoft Entra ID.

Leser für Attributdefinitionen

Benutzer mit dieser Rolle können die Definition von benutzerdefinierten Sicherheitsattributen lesen.

Weitere Informationen finden Sie unter Verwalten des Zugriffs auf benutzerdefinierte Sicherheitsattribute in Microsoft Entra ID.

Attributprotokolladministrator

Weisen Sie die Rolle „Attributprotokollleser“ Benutzern zu, die folgende Aufgabe ausführen müssen:

• Lesen von Überwachungsprotokollen für benutzerdefinierte Änderungen des Sicherheitsattributwerts
• Lesen von Überwachungsprotokollen für Definitionen und Zuweisungen benutzerdefinierter Änderungen und Zuweisungen der Sicherheitsattribute
• Konfigurieren von Diagnoseeinstellungen für benutzerdefinierte Sicherheitsattribute

Benutzer mit dieser Rolle können Überwachungsprotokolle für andere Ereignisse nicht lesen.

Weitere Informationen finden Sie unter Verwalten des Zugriffs auf benutzerdefinierte Sicherheitsattribute in Microsoft Entra ID.

Attributprotokollleser

Weisen Sie die Rolle „Attributprotokollleser“ Benutzern zu, die folgende Aufgabe ausführen müssen:

• Lesen von Überwachungsprotokollen für benutzerdefinierte Änderungen des Sicherheitsattributwerts
• Lesen von Überwachungsprotokollen für Definitionen und Zuweisungen benutzerdefinierter Änderungen und Zuweisungen der Sicherheitsattribute

Benutzer mit dieser Rolle können die folgenden Aufgaben nicht ausführen:

• Konfigurieren von Diagnoseeinstellungen für benutzerdefinierte Sicherheitsattribute
• Lesen von Überwachungsprotokollen für andere Ereignisse

Weitere Informationen finden Sie unter Verwalten des Zugriffs auf benutzerdefinierte Sicherheitsattribute in Microsoft Entra ID.

Attributbereitstellungsadministrator

Benutzer, denen diese Rolle zugewiesen wurde, können beim Konfigurieren von Benutzerbereitstellungs-/Synchronisierungsflüssen in Microsoft Entra die folgenden Vorgänge ausführen:

• Lesen und Schreiben von Attributzuordnungen für benutzerdefinierte Sicherheitsattribute beim Bereitstellen in einer Anwendung
• Lesen und Schreiben von Bereitstellungs- und Überwachungsprotokollen für benutzerdefinierte Sicherheitsattribute bei der Bereitstellung in einer Anwendung

Attributbereitstellungsleser

Benutzer, denen diese Rolle zugewiesen wurde, können beim Arbeiten mit Benutzerbereitstellungs-/Synchronisierungsflüssen in Microsoft Entra die folgenden Vorgänge ausführen:

• Lesen der Attributzuordnungen für benutzerdefinierte Sicherheitsattribute bei der Bereitstellung in einer Anwendung
• Lesen der Bereitstellungs- und Überwachungsprotokolle für benutzerdefinierte Sicherheitsattribute bei der Bereitstellung in einer Anwendung

Weitere Informationen finden Sie unter Bereitstellen von benutzerdefinierten Sicherheitsattributen aus HR-Quellen (Vorschau).

Authentifizierungsadministrator

Dies ist eine privilegierte Rolle. Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle „Authentifizierungsadministrator“ zu:

• Festlegen oder Zurücksetzen aller Authentifizierungsmethoden (einschließlich Kennwörter) für Nicht-Administratoren und einige andere Rollen. Eine Liste der Rollen, die ein Authentifizierungsadministrator lesen oder deren Authentifizierungsmethoden er aktualisieren kann, finden Sie unter Berechtigungen für die Kennwortzurücksetzung.
• Auffordern von Benutzern, die keine Administratoren sind oder die Rollen zugewiesen sind, ihre vorhandenen Anmeldeinformationen ohne Kennwort (z. B. MFA oder FIDO) erneut zu registrieren, und sie können auch Speichern der MFA auf dem Gerät widerrufen. Dann werden Benutzer bei der nächsten Anmeldung zur Eingabe ihrer MFA-Anmeldeinformationen aufgefordert.
• MFA-Einstellungen werden im Legacy-MFA-Verwaltungsportal verwaltet.
• Durchführen vertraulicher Aktionen für einige Benutzer. Weitere Informationen finden Sie unter Wer kann vertrauliche Aktionen durchführen?.
• Erstellen und Verwalten von Supporttickets in Azure und im Microsoft 365 Admin Center.

Benutzer mit dieser Rolle können die folgenden Aufgaben nicht ausführen:

• Ändern von Anmeldeinformationen oder Zurücksetzen der MFA für Mitglieder und Besitzer einer Gruppe, der Rollen zugewiesen werden können.
• Hardware-OATH-Token können nicht verwaltet werden.

In der folgenden Tabelle werden die Funktionen von authentifizierungsbezogenen Rollen verglichen.

Rolle	Verwalten der Authentifizierungsmethoden der Benutzerinnen und Benutzer	Verwalten der MFA pro Benutzerin bzw. Benutzer	Verwalten von MFA-Einstellungen	Verwalten der Authentifizierungsmethodenrichtlinie	Verwalten der Kennwortschutzrichtlinie	Aktualisieren vertraulicher Eigenschaften	Löschen und Wiederherstellen von Benutzerinnen und Benutzern
Authentifizierungsadministrator	Ja, für einige Benutzer	Ja, für einige Benutzer	Ja	Nr.	Nr.	Ja, für einige Benutzer	Ja, für einige Benutzer
Privilegierter Authentifizierungsadministrator	Ja, für alle Benutzer	Ja, für alle Benutzer	Nr.	Nr.	Nr.	Ja, für alle Benutzer	Ja, für alle Benutzer
Authentifizierungsrichtlinienadministrator	Nr.	Ja	Ja	Ja	Ja	Nr.	Nr.
Benutzeradministrator	Nr.	Nr.	Nr.	Nr.	Nr.	Ja, für einige Benutzer	Ja, für einige Benutzer

Administrator für die Authentifizierungserweiterbarkeit

Dies ist eine privilegierte Rolle. Weisen Sie Benutzern, welche die folgenden Aufgaben ausführen müssen, die Rolle „Administrator für die Authentifizierungserweiterbarkeit“ zu:

• Erstellen und Verwalten aller Aspekte von benutzerdefinierten Authentifizierungserweiterungen.

Benutzer mit dieser Rolle können die folgenden Aufgaben nicht ausführen:

• Benutzerdefinierte Authentifizierungserweiterungen können Anwendungen nicht zugewiesen werden, um die Authentifizierungserfahrungen zu ändern, und sie können nicht den Anwendungsberechtigungen zustimmen oder App-Registrierungen erstellen, die der benutzerdefinierten Authentifizierungserweiterung zugeordnet sind. Stattdessen müssen Sie die Rollen „Anwendungsadministrator“, „Anwendungsentwickler“ oder „Cloudanwendungsadministrator“ verwenden.

Eine benutzerdefinierte Authentifizierungserweiterung ist ein API-Endpunkt, der von Entwicklern für Authentifizierungsereignisse erstellt und in Microsoft Entra ID registriert wird. Anwendungsadministratoren und Anwendungsbesitzer können benutzerdefinierte Authentifizierungserweiterungen verwenden, um die Authentifizierungserfahrungen ihrer Anwendung anzupassen, z. B. Anmelden und Registrieren oder Kennwortzurücksetzung.

Weitere Informationen

Authentifizierungsrichtlinienadministrator

Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle „Authentifizierungsrichtlinienadministrator“ zu:

• Konfigurieren der Authentifizierungsmethodenrichtlinie, von mandantenweite MFA-Einstellungen und der Kennwortschutzrichtlinie, die bestimmen, welche Methoden ein Benutzer registrieren und verwenden kann.
• Verwalten von Kennwortschutzeinstellungen: Smart Lockout-Konfigurationen und Aktualisieren der Liste der benutzerdefinierten gesperrten Kennwörter.
• MFA-Einstellungen werden im Legacy-MFA-Verwaltungsportal verwaltet.
• Erstellen und Verwalten von Nachweisen.
• Erstellen und Verwalten von Azure-Supporttickets

Benutzer mit dieser Rolle können die folgenden Aufgaben nicht ausführen:

• Aktualisieren vertraulicher Eigenschaften. Weitere Informationen finden Sie unter Wer kann vertrauliche Aktionen durchführen?.
• Löschen oder Wiederherstellen von Benutzern. Weitere Informationen finden Sie unter Wer kann vertrauliche Aktionen durchführen?.
• Hardware-OATH-Token können nicht verwaltet werden.

In der folgenden Tabelle werden die Funktionen von authentifizierungsbezogenen Rollen verglichen.

Rolle	Verwalten der Authentifizierungsmethoden der Benutzerinnen und Benutzer	Verwalten der MFA pro Benutzerin bzw. Benutzer	Verwalten von MFA-Einstellungen	Verwalten der Authentifizierungsmethodenrichtlinie	Verwalten der Kennwortschutzrichtlinie	Aktualisieren vertraulicher Eigenschaften	Löschen und Wiederherstellen von Benutzerinnen und Benutzern
Authentifizierungsadministrator	Ja, für einige Benutzer	Ja, für einige Benutzer	Ja	Nr.	Nr.	Ja, für einige Benutzer	Ja, für einige Benutzer
Privilegierter Authentifizierungsadministrator	Ja, für alle Benutzer	Ja, für alle Benutzer	Nr.	Nr.	Nr.	Ja, für alle Benutzer	Ja, für alle Benutzer
Authentifizierungsrichtlinienadministrator	Nr.	Ja	Ja	Ja	Ja	Nr.	Nr.
Benutzeradministrator	Nr.	Nr.	Nr.	Nr.	Nr.	Ja, für einige Benutzer	Ja, für einige Benutzer

Azure DevOps-Administrator

Benutzer mit dieser Rolle können alle Azure DevOps-Unternehmensrichtlinien verwalten, die für alle Azure DevOps-Organisationen gelten, die von Microsoft Entra ID unterstützt werden. Benutzer mit dieser Rolle können diese Richtlinien verwalten, indem sie zu einer Azure DevOps-Organisation navigieren, die von Microsoft Entra ID des Unternehmens unterstützt wird. Darüber hinaus können Benutzer in dieser Rolle den Besitz verwaister Azure DevOps-Organisationen beanspruchen. Diese Rolle gewährt keine anderen Azure DevOps-spezifischen Berechtigungen (z. B. Projektauflistungsadministratoren) in Azure DevOps-Organisationen, die von der Microsoft Entra-Organisation des Unternehmens unterstützt werden.

Azure Information Protection-Administrator

Benutzer mit dieser Rolle besitzen alle Berechtigungen für den Azure Information Protection-Dienst. Sie können Bezeichnungen für die Azure Information Protection-Richtlinie konfigurieren, Schutzvorlagen verwalten und den Schutz aktivieren. Diese Rolle gewährt keine Berechtigungen für Identity Protection, Privileged Identity Management, Monitor Microsoft 365 Service Health, Microsoft 365 Defender-Portal oder das Microsoft Purview-Complianceportal.

B2C-IEF-Schlüsselsatzadministrator

Dies ist eine privilegierte Rolle. Benutzer können die Richtlinienschlüssel und -geheimnisse für Tokenverschlüsselung, Tokensignaturen und Verschlüsselung/Entschlüsselung von Ansprüchen erstellen und verwalten. Durch das Hinzufügen neuer Schlüssel zu vorhandenen Schlüsselcontainern kann dieser Administrator mit eingeschränkten Rechten bei Bedarf Rollover für Geheimnisse ausführen, ohne dass dies Auswirkungen auf vorhandene Anwendungen hat. Diese Benutzer können den vollständigen Inhalt dieser Geheimnisse und deren Ablaufdaten anzeigen – auch nach deren Erstellung.

B2C-IEF-Richtlinienadministrator

Benutzer mit dieser Rolle können alle benutzerdefinierten Richtlinien in Azure AD B2C erstellen, lesen, aktualisieren und löschen und haben daher vollständige Kontrolle über das Identity Experience Framework in der zugehörigen Azure AD B2C-Organisation. Durch das Bearbeiten von Richtlinien können diese Benutzer einen direkten Verbund mit externen Identitätsanbietern einrichten, das Verzeichnisschema und alle benutzerseitigen Inhalte (HTML, CSS, JavaScript) sowie die Anforderungen für das Abschließen einer Authentifizierung ändern, neue Benutzer erstellen, Benutzerdaten an externe Systeme senden (einschließlich einer vollständigen Migration) und alle Benutzerinformationen bearbeiten (einschließlich vertraulicher Felder wie Kennwörter und Telefonnummern). Andererseits kann diese Rolle keine Verschlüsselungsschlüssel ändern oder Geheimnisse für den Verbund in der Organisation bearbeiten.

Abrechnungsadministrator

Tätigt Käufe, verwaltet Abonnements und Supporttickets und überwacht die Dienstintegrität.

Cloud App Security-Administrator

Benutzer mit dieser Rolle verfügen über vollständige Berechtigungen für Defender for Cloud-Apps. Sie können Administratoren, Microsoft Defender for Cloud-Apps-Richtlinien und -Einstellungen hinzufügen, Protokolle hochladen und Governanceaktionen ausführen.

Cloudanwendungsadministrator

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle haben die gleichen Berechtigungen wie die Rolle des Anwendungsadministrators, mit Ausnahme der Möglichkeit, den Anwendungsproxy zu verwalten. Diese Rolle ermöglicht die Erstellung und Verwaltung aller Aspekte von Unternehmensanwendungen und Anwendungsregistrierungen. Benutzer, denen diese Rolle zugewiesen wurde, werden bei der Erstellung neuer Anwendungsregistrierungen oder Unternehmensanwendungen nicht als Besitzer hinzugefügt.

Diese Rolle ermöglicht auch die Zustimmung zu delegierten Berechtigungen und Anwendungsberechtigungen (mit Ausnahme von Anwendungsberechtigungen für Azure AD Graph und Microsoft Graph).

Cloudgeräteadministrator

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle können Geräte in Microsoft Entra ID aktivieren, deaktivieren und löschen sowie Windows 10-BitLocker-Schlüssel (falls vorhanden) im Azure-Portal lesen. Die Rolle gewährt keine Berechtigungen für die Verwaltung anderer Eigenschaften auf dem Gerät.

Complianceadministrator

Benutzer mit dieser Rolle verfügen über die Berechtigung zum Verwalten von compliancebezogenen Funktionen im Microsoft Purview-Complianceportal, im Microsoft 365 Admin Center, in Azure und im Microsoft 365 Defender-Portal. Zugewiesene Personen können auch alle Features im Exchange Admin Center verwalten und Supporttickets für Azure und Microsoft 365 erstellen. Weitere Informationen finden Sie unter Rollen und Rollengruppen in Microsoft Defender for Office 365 und Microsoft Purview-Compliance.

Geben Sie in	Möglich
Grundlegendes zum Microsoft Purview-Complianceportal	Schützen und Verwalten Ihrer Organisationsdaten für Microsoft 365-Dienste Verwalten von Konformitätwarnungen
Grundlegendes zum Compliance-Manager für Microsoft Purview	Nachverfolgen, Zuweisen und Überprüfen der Einhaltung gesetzlicher Vorschriften durch Ihre Organisation
Microsoft 365 Defender-Portal	Verwalten der Datengovernance Durchführen von Untersuchung zu rechtlichen Aspekten und von Daten Verwalten von DRS-Anforderungen Diese Rolle verfügt über die gleichen Berechtigungen wie die Complianceadministrator-Rollengruppe der rollenbasierten Zugriffssteuerung im Microsoft 365 Defender-Portal.
Intune	Anzeigen aller Intune-Überwachungsdaten
Microsoft Defender für Cloud-Apps	Verfügt über schreibgeschützten Zugriff und kann Warnungen verwalten Kann Dateirichtlinien erstellen und ändern und Dateigovernanceaktionen zulassen Kann alle unter „Datenverwaltung“ integrierten Berichte anzeigen

Administrator für Konformitätsdaten

Benutzer mit dieser Rolle verfügen über Berechtigungen zum Nachverfolgen von Daten im Microsoft Purview Compliance Center, Microsoft 365 Admin Center und in Azure. Die Benutzer können auch Compliancedaten im Exchange Admin Center, in Compliance-Manager sowie im Teams und Skype for Business Admin Center nachverfolgen und Supporttickets für Azure und Microsoft 365 erstellen. Weitere Informationen zu den Unterschieden zwischen Complianceadministrator und Compliancedatenadministrator finden Sie unter Rollen und Rollengruppen in Microsoft Defender for Office 365 und Microsoft Purview-Konformität.

Geben Sie in	Möglich
Grundlegendes zum Microsoft Purview-Complianceportal	Überwachen von compliancerelevanten Richtlinien in Microsoft 365-Diensten Verwalten von Konformitätwarnungen
Grundlegendes zum Compliance-Manager für Microsoft Purview	Nachverfolgen, Zuweisen und Überprüfen der Einhaltung gesetzlicher Vorschriften durch Ihre Organisation
Microsoft 365 Defender-Portal	Verwalten der Datengovernance Durchführen von Untersuchung zu rechtlichen Aspekten und von Daten Verwalten von DRS-Anforderungen Diese Rolle verfügt über die gleichen Berechtigungen wie die Compliancedatenadministrator-Rollengruppe der rollenbasierten Zugriffssteuerung im Microsoft 365 Defender-Portal.
Intune	Anzeigen aller Intune-Überwachungsdaten
Microsoft Defender für Cloud-Apps	Verfügt über schreibgeschützten Zugriff und kann Warnungen verwalten Kann Dateirichtlinien erstellen und ändern und Dateigovernanceaktionen zulassen Kann alle unter „Datenverwaltung“ integrierten Berichte anzeigen

Administrator für den bedingten Zugriff

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle können Microsoft Entra ID-Einstellungen für den bedingten Zugriff verwalten.

Genehmigende Person für den LockBox-Kundenzugriff

Verwaltet Microsoft Purview-Kunden-Lockbox-Anforderungen in Ihrer Organisation. Sie erhalten E-Mail-Benachrichtigungen für Kunden-Lockbox-Anforderungen und können Anforderungen über das Microsoft 365 Admin Center genehmigen und ablehnen. Außerdem können sie das Feature Kunden-Lockbox aktivieren und deaktivieren. Nur globale Administratoren können die Kennwörter von Personen zurücksetzen, die dieser Rolle zugewiesen sind.

Desktop Analytics-Administrator

Benutzer in dieser Rolle können den Desktop Analytics-Dienst verwalten. Dies umfasst die Möglichkeit zum Anzeigen des Assetbestands, Erstellen von Bereitstellungsplänen sowie zum Anzeigen des Bereitstellungs- und Integritätsstatus.

Rolle „Verzeichnis lesen“

Benutzer in dieser Rolle können grundlegende Verzeichnisinformationen lesen. Diese Rolle sollte für folgende Zwecke verwendet werden:

• Gewähren von Lesezugriff für eine bestimmte Gruppe von Gastbenutzern statt für alle Gastbenutzer.
• Gewähren des Zugriffs auf das Entra Portal für bestimmte Benutzende, die keine Admins sind, wenn „Zugriff auf das Microsoft Entra Admin Center einschränken“ auf „Ja“ festgelegt ist.
• Gewähren von Zugriff auf das Verzeichnis für Dienstprinzipale, wenn „Directory.Read.All“ keine Option darstellt.

Verzeichnissynchronisierungskonten

Nicht verwenden.. Diese Rolle wird automatisch dem Microsoft Entra Connect-Dienst zugewiesen und ist weder für eine andere Verwendung vorgesehen, noch wird eine andere Verwendung unterstützt.

Verzeichnisschreibberechtigte

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle können grundlegende Informationen von Benutzern, Gruppen und Dienstprinzipalen lesen und aktualisieren.

Domänennamenadministrator

Dies ist eine privilegierte Rolle. Benutzer*innen mit dieser Rolle können Domänennamen verwalten (lesen, hinzufügen, überprüfen, aktualisieren und löschen). Sie können auch Verzeichnisinformationen zu Benutzern, Gruppen und Anwendungen lesen, da diese Objekte Domänenabhängigkeiten besitzen. Bei lokalen Umgebungen können Benutzer mit dieser Rolle Domänennamen für den Verbund konfigurieren, sodass zugeordnete Benutzer immer lokal authentifiziert werden. Diese Benutzer können sich dann über einmaliges Anmelden (Single Sign-On, SSO) bei Microsoft Entra-basierten Diensten mit ihren lokalen Kennwörtern anmelden. Verbundeinstellungen müssen über Microsoft Entra Connect synchronisiert werden, damit Benutzer auch über Berechtigungen zum Verwalten von Microsoft Entra Connect verfügen.

Dynamics 365-Administrator

Benutzer mit dieser Rolle besitzen globale Berechtigungen innerhalb von Microsoft Dynamics 365 Online, wenn der Dienst verfügbar ist, und können Supporttickets verwalten und die Dienstintegrität überwachen. Weitere Informationen finden Sie unter Verwenden von Dienstadministratorrollen zum Verwalten Ihres Mandanten.

Dynamics 365 Business Central-Administrator

Weisen Sie die Dynamics 365 Business Central-Administratorrolle Benutzern zu, welche die folgenden Aufgaben ausführen müssen:

• Zugreifen auf Dynamics 365 Business Central-Umgebungen
• Durchführen aller administrativen Aufgaben in Umgebungen
• Verwalten des Lebenszyklus der Umgebungen des Kunden
• Überwachen der auf Umgebungen installierten Erweiterungen
• Steuern von Upgrades für Umgebungen
• Durchführen von Datenexporten in Umgebungen
• Lesen und Konfigurieren von Azure- und Microsoft 365-Dienstintegritätsdashboards

Diese Rolle bietet keine Berechtigungen für andere Dynamics 365-Produkte.

Edgeadministrator

Benutzer mit dieser Rolle können die Unternehmenswebsiteliste erstellen und verwalten, die für den Internet Explorer-Modus in Microsoft Edge erforderlich ist. Diese Rolle gewährt Berechtigungen zum Erstellen, Bearbeiten und Veröffentlichen der Websiteliste und ermöglicht darüber hinaus den Zugriff auf die Verwaltung von Supporttickets. Weitere Informationen

Exchange-Administrator

Benutzer mit dieser Rolle besitzen globale Berechtigungen in Microsoft Exchange Online, wenn der Dienst verfügbar ist. Außerdem haben sie die Möglichkeit zum Erstellen und Verwalten aller Microsoft 365-Gruppen, Verwalten von Supporttickets und Überwachen der Dienstintegrität. Weitere Informationen finden Sie unter Administratorrollen im Microsoft 365 Admin Center.

Administrator für Exchange-Empfänger

Benutzer mit dieser Rolle haben Lesezugriff auf Empfänger und Schreibzugriff auf die Attribute dieser Empfänger in Exchange Online. Weitere Informationen finden Sie unter Empfänger in Exchange Server.

Administrator für Benutzerflows mit externer ID

Benutzer*innen mit dieser Rolle können Benutzerabläufe (auch als „integrierte“ Richtlinien bezeichnet) im Azure-Portal erstellen und verwalten. Diese Benutzer können HTML-/CSS-/JavaScript-Inhalte anpassen, MFA-Anforderungen ändern, Ansprüche im Token auswählen, API-Connectors und ihre Anmeldeinformationen verwalten und Sitzungseinstellungen für alle Benutzerflows in der Microsoft Entra-Organisation konfigurieren. Auf der anderen Seite bietet diese Rolle nicht die Möglichkeit, Benutzerdaten zu überprüfen oder Änderungen an Attributen vorzunehmen, die im Organisationsschema enthalten sind. Änderungen an Richtlinien des Identity Experience Framework (auch „benutzerdefinierte Richtlinien“ genannt) gehören ebenfalls nicht zum Berechtigungsumfang dieser Rolle.

Administrator für Benutzerflowattribute mit externer ID

Benutzer mit dieser Rolle können benutzerdefinierte Attribute, die für alle Benutzerflows in der Microsoft Entra-Organisation verfügbar sind, hinzufügen und löschen. Daher können Benutzer mit dieser Rolle dem Benutzerschema neue Elemente hinzufügen und diese ändern und haben damit Einfluss auf das Verhalten aller Benutzerflows. Indirekt kann dies auch ändern, welche Daten von Benutzern abgefragt und letztendlich als Ansprüche an Anwendungen gesendet werden. Diese Rolle kann keine Benutzerflows bearbeiten.

Externer Identitätsanbieteradministrator

Dies ist eine privilegierte Rolle. Dieser Administrator verwaltet den Verbund zwischen Microsoft Entra-Organisationen und externen Identitätsanbietern. Benutzer mit dieser Rolle können neue Identitätsanbieter hinzufügen und alle verfügbaren Einstellungen (z.B. Authentifizierungspfad, Dienst-ID, zugewiesene Schlüsselcontainer) konfigurieren. Diese Benutzer können festlegen, dass die Microsoft Entra-Organisation Authentifizierungen von externen Identitätsanbietern vertraut. Die resultierenden Auswirkungen auf die Benutzerumgebung hängt vom Typ der Organisation ab:

• Microsoft Entra-Organisationen für Mitarbeiter und Partner: Das Hinzufügen eines Verbunds (z. B. mit Gmail) hat sofortige Auswirkungen auf alle Gasteinladungen, die noch nicht eingelöst wurden. Weitere Informationen finden Sie unter Hinzufügen von Google als Identitätsanbieter für B2B-Gastbenutzer.
• Azure Active Directory B2C-Organisationen: Das Hinzufügen eines Verbunds (z. B. bei Facebook oder einer anderen Microsoft Entra-Organisation) wirkt sich nicht sofort auf die Endbenutzerflows aus, sondern erst, wenn der Identitätsanbieter in einem Benutzerflow als Option hinzugefügt wird (auch bezeichnet als „integrierte Richtlinie“). Ein Beispiel finden Sie unter Konfigurieren eines Microsoft-Kontos als Identitätsanbieter. Um Benutzerflows zu ändern, ist die Rolle „B2C-Benutzerflowadministrator“ mit eingeschränkten Rechen erforderlich.

Fabric-Administrator

Benutzer*innen mit dieser Rolle besitzen globale Berechtigungen innerhalb von Microsoft Fabric und Power BI, wenn der Dienst verfügbar ist, und können Supporttickets verwalten und die Dienstintegrität überwachen. Weitere Informationen finden Sie unter Grundlegendes zu Fabric-Administratorrollen.

Globaler Administrator

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle haben Zugriff auf alle Verwaltungsfunktionen in Microsoft Entra ID sowie auf Dienste, die Microsoft Entra-Identitäten wie das Microsoft 365 Defender-Portal, das Microsoft Purview Complianceportal, Exchange Online, SharePoint Online und Skype for Business Online verwenden. Globale Administrator*innen können Verzeichnisaktivitätsprotokolle anzeigen. Zudem können globale Administratoren ihre Zugriffsrechte erhöhen, um alle Azure-Abonnements und Verwaltungsgruppen zu verwalten. Dadurch erhalten globale Administratoren mithilfe des entsprechenden Microsoft Entra-Mandanten Vollzugriff auf alle Azure-Ressourcen. Die Person, die die Anmeldung für die Microsoft Entra-Organisation vornimmt, wird ein globaler Administrator. In Ihrem Unternehmen können mehrere globale Administratoren vorhanden sein. Globale Administratoren können das Kennwort für alle Benutzer und alle anderen Administratoren zurücksetzen. Ein globaler Administrator kann seine eigene Zuweisung als globaler Administrator nicht aufheben. Dadurch wird verhindert, dass eine Organisation über keine globalen Administratoren verfügt.

Globaler Leser

Dies ist eine privilegierte Rolle. Benutzer in dieser Rolle können in Microsoft 365-Diensten Einstellungen und administrative Informationen lesen, aber keine Verwaltungsaktionen ausführen. Die Rolle „Globaler Leser“ ist das Gegenstück zu „Globaler Administrator“, hat jedoch nur Leseberechtigungen. Weisen Sie die Rolle „Globaler Leser“ anstelle der Rolle „Globaler Administrator“ für Planungen, Audits oder Untersuchungen zu. Kombinieren Sie die Rolle „Globaler Leser“ mit anderen eingeschränkten Administratorrollen (z. B. Exchange-Administrator), um die Arbeit zu vereinfachen, ohne die Rolle „Globaler Administrator“ verwenden zu müssen. Die Rolle „Globaler Leser“ funktioniert mit Microsoft 365 Admin Center, Exchange Admin Center, SharePoint Admin Center, Teams Admin Center, Microsoft 365 Defender-Portal, Microsoft Purview-Complianceportal, Azure-Portal und Device Management Admin Center.

Benutzer mit dieser Rolle können die folgenden Aufgaben nicht ausführen:

• Kein Zugriff auf den Bereich „Kaufdienste“ im Microsoft 365 Admin Center.

Global Secure Access-Administrator

Weisen Sie Benutzer*innen, die die folgenden Aufgaben ausführen müssen, die Rolle „Global Secure Access-Administrator“ zu:

• Erstellen und Verwalten aller Aspekte des Microsoft Entra-Internetzugriffs und des Microsoft Entra-Privatzugriffs
• Verwalten des Zugriffs auf öffentliche und private Endpunkte

Benutzer mit dieser Rolle können die folgenden Aufgaben nicht ausführen:

• Sie können Unternehmensanwendungen, Anwendungsregistrierungen, bedingten Zugriff oder Anwendungsproxyeinstellungen nicht verwalten.

Weitere Informationen

Gruppenadministrator

Benutzer mit dieser Rolle können Gruppen und die zugehörigen Einstellungen wie Benennungs- und Ablaufrichtlinien erstellen und verwalten. Es ist wichtig zu verstehen, dass der Benutzer durch die Zuweisung dieser Rolle alle Gruppen in der Organisation nicht nur in Outlook, sondern in verschiedenen Workloads wie Teams, SharePoint und Yammer verwalten kann. Außerdem kann der Benutzer die verschiedenen Gruppeneinstellungen in verschiedenen Verwaltungsportalen wie Microsoft Admin Center und dem Azure-Portal sowie den workloadspezifischen Portalen wie Teams Admin Center und SharePoint Admin Center verwalten.

Gasteinladender

Wenn die Benutzereinstellung Mitglieder können einladen auf „Nein“ festgelegt ist, können Benutzer in dieser Rolle Microsoft Entra B2B-Gastbenutzereinladungen verwalten. Weitere Informationen zur B2B-Zusammenarbeit finden Sie unter Was ist die Microsoft Entra B2B-Zusammenarbeit?. Es sind keine anderen Berechtigungen eingeschlossen.

Helpdeskadministrator

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle können Kennwörter ändern, Aktualisierungstoken für ungültig erklären, Supportanfragen bei Microsoft für Azure- und Microsoft 365-Dienste verwalten und die Dienstintegrität überwachen. Wenn ein Aktualisierungstoken für ungültig erklärt wird, muss sich der Benutzer erneut anmelden. Ob ein Helpdeskadministrator das Kennwort eines Benutzers zurücksetzen und Aktualisierungstoken ungültig machen kann, hängt von der Rolle ab, die dem Benutzer zugewiesen ist. Eine Liste der Rollen, für die ein Helpdeskadministrator Kennwörter zurücksetzen und Aktualisierungstoken ungültig machen kann, finden Sie unter Wer kann Kennwörter zurücksetzen?

Benutzer mit dieser Rolle können die folgenden Aufgaben nicht ausführen:

• Ändern von Anmeldeinformationen oder Zurücksetzen der MFA für Mitglieder und Besitzer einer Gruppe, der Rollen zugewiesen werden können.

Das Delegieren von administrativen Berechtigungen für Teilmengen von Benutzern und das Anwenden von Richtlinien auf eine Teilmenge der Benutzer kann über Verwaltungseinheiten erfolgen.

Im Azure-Portal hieß diese Rolle früher „Kennwortadministrator“. Sie wurde in „Helpdesk-Admin“ umbenannt, um sie der in der Microsoft Graph-API und in Microsoft Graph PowerShell bereits vorhandenen Bezeichnung anzupassen.

Hybrididentitätsadministrator

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle können das Setup der Bereitstellungskonfiguration von Active Directory zu Microsoft Entra ID mithilfe der Cloudbereitstellung erstellen, verwalten und bereitstellen sowie Microsoft Entra Connect, Passthrough-Authentifizierung (PTA), Kennworthashsynchronisierung (Password Hash Synchronization, PHS), nahtloses einmaliges Sign-On (nahtloses SSO) und Verbundeinstellungen verwalten. Hat keinen Zugriff zum Verwalten von Microsoft Entra Connect Health. Mit dieser Rolle können Benutzer auch Probleme beheben und Protokolle überwachen.

Identity Governance-Administrator

Benutzer mit dieser Rolle können die Microsoft Entra ID-Governance-Konfiguration verwalten. Dies schließt die Verwaltung von Zugriffspaketen, Zugriffsüberprüfungen, Katalogen und Richtlinien ein. So kann sichergestellt werden, dass der Zugriff genehmigt und überprüft wurde und Gastbenutzer entfernt werden, wenn sie keinen Zugriff mehr benötigen.

Insights Administrator

Benutzer mit dieser Rolle können auf alle administrativen Funktionen in der Microsoft Viva Insights-App zugreifen. Diese Rolle kann Verzeichnisinformationen lesen, die Dienstintegrität überwachen, Supporttickets einordnen und auf die Einstellungsaspekte für Insights-Administratoren zugreifen.

Weitere Informationen

Insights-Analyst

Weisen Sie die Rolle Insights-Analyst den Benutzern zu, die Folgendes tun müssen:

• Analysieren von Daten in der Microsoft Viva Insights-App, sie können jedoch keine Konfigurationseinstellungen verwalten
• Erstellen, Verwalten und Ausführen von Abfragen
• Anzeigen von Grundeinstellungen und Berichten im Microsoft 365 Admin Center
• Erstellen und Verwalten von Dienstanforderungen im Microsoft 365 Admin Center

Weitere Informationen

Insights Business Leader

Benutzer mit dieser Rolle können über die Microsoft Viva Insights-App auf eine Gruppe von Dashboards und Erkenntnisse zugreifen. Dies umfasst Vollzugriff auf alle Dashboards und die dargestellten Funktionen für Erkenntnisse sowie das Durchsuchen von Daten. Benutzer mit dieser Rolle haben keinen Zugriff auf die Einstellungen für die Produktkonfiguration, für die die Rolle „Insights-Administrator“ zuständig ist.

Weitere Informationen

Intune-Administrator

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle besitzen globale Berechtigungen in Microsoft Intune Online, wenn der Dienst verfügbar ist. Darüber hinaus beinhaltet diese Rolle die Möglichkeit, Benutzer und Geräte zum Zuordnen von Richtlinien zu verwalten sowie Gruppen zu erstellen und zu verwalten. Weitere Informationen finden Sie unter Rollenbasierte Zugriffssteuerung (RBAC) mit Microsoft Intune.

Mit dieser Rolle können alle Sicherheitsgruppen erstellt und verwaltet werden. Der Intune-Administrator besitzt jedoch keine Administratorrechte für Microsoft 365-Gruppen. Der Administrator kann also keine Besitzenden oder Mitgliedschaften aller Microsoft 365-Gruppen in der Organisation aktualisieren. Im Rahmen der Endbenutzerberechtigungen kann er oder sie allerdings die selbst erstellte Microsoft 365-Gruppe verwalten. Daher zählt jede selbst erstellte Microsoft 365-Gruppe (nicht Sicherheitsgruppe) zu seinem/ihrem Kontingent von 250 Stück.

Kaizala-Administrator

Benutzer mit dieser Rolle besitzen globale Berechtigungen zum Verwalten von Einstellungen in Microsoft Kaizala, wenn der Dienst verfügbar ist, und können Supporttickets verwalten und die Dienstintegrität überwachen. Darüber hinaus können diese Benutzer auf Berichte zur Einführung und Nutzung von Kaizala durch Mitglieder der Organisation sowie auf Geschäftsberichte zugreifen, die mithilfe von Kaizala-Aktionen generiert wurden.

Wissensadministrator

Benutzer mit dieser Rolle haben Vollzugriff auf alle Einstellungen für Wissens-, Lern- und intelligenten Features im Microsoft 365 Admin Center. Sie verfügen über ein allgemeines Verständnis der Produktsuite und der Lizenzierungsdetails und sind für die Zugriffssteuerung verantwortlich. Der Wissensadministrator kann Inhalte wie Themen, Akronyme und Lernressourcen erstellen und verwalten. Darüber hinaus können diese Benutzer Inhaltscenter erstellen, die Dienstintegrität überwachen und Service Requests erstellen.

Wissens-Manager

Benutzer in dieser Rolle können Inhalte wie Themen, Akronyme und Lerninhalte erstellen und verwalten. Diese Benutzer sind in erster Linie für die Qualität und Struktur von Wissen zuständig. Dieser Benutzer hat vollständige Rechte für Themenverwaltungsaktionen zum Bestätigen eines Themas, Genehmigen von Bearbeitungen oder Löschen eines Themas. Diese Rolle kann auch Taxonomien im Rahmen des Begriffs „Speicherverwaltungstool“ verwalten und Inhaltscenter erstellen.

Lizenzadministrator

Benutzer mit dieser Rolle können Lizenzzuweisungen für Benutzer und Gruppen (unter Verwendung der gruppenbasierten Lizenzierung) lesen, hinzufügen, entfernen und aktualisieren sowie den Verwendungsstandort für Benutzer verwalten. Mit dieser Rolle ist es nicht möglich, Abonnements zu erwerben oder zu verwalten, Gruppen zu erstellen oder zu verwalten oder Benutzer zu erstellen oder zu verwalten (mit Ausnahme des Verwendungsstandorts). Diese Rolle kann keine Supporttickets anzeigen, erstellen oder verwalten.

Lebenszyklus-Workflowadministrator

Dies ist eine privilegierte Rolle. Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle Lebenszyklus-Workflowadministrator zu:

• Erstellen und Verwalten aller Aspekte von Workflows und Aufgaben im Zusammenhang mit Lebenszyklus-Workflows in Microsoft Entra ID.
• Überprüfen der Ausführung geplanter Workflows
• Starten von On-Demand-Workflowausführungen
• Überprüfen von Workflowausführungsprotokollen

Nachrichtencenter-Datenschutzleseberechtigter

Benutzer mit dieser Rolle können alle Benachrichtigungen im Nachrichtencenter überwachen, einschließlich Nachrichten zum Datenschutz. Nachrichtencenter-Datenschutzleseberechtigte erhalten E-Mail-Benachrichtigungen, einschließlich Nachrichten zum Datenschutz, und können Benachrichtigungen mithilfe der Einstellungen im Nachrichtencenter abbestellen. Nur der globale Administrator und Nachrichtencenter-Datenschutzleseberechtigte können Nachrichten zum Datenschutz lesen. Darüber hinaus umfasst diese Rolle die Berechtigung zum Anzeigen von Gruppen, Domänen und Abonnements. Diese Rolle umfasst keine Berechtigung zum Anzeigen, Erstellen oder Verwalten von Service Requests.

Nachrichtencenter-Leser

Benutzer mit dieser Rolle können Benachrichtigungen und empfohlene Integritätsupdates für ihre Organisation und die konfigurierten Dienste wie Exchange, Intune und Microsoft Teams im Nachrichtencenter überwachen. Nachrichtencenter-Leser erhalten eine wöchentliche E-Mail-Übersicht der Beiträge und Updates und können Beiträge in Microsoft 365 teilen. In Microsoft Entra ID haben Benutzer, denen diese Rolle zugewiesen wurde, nur schreibgeschützten Zugriff auf Microsoft Entra-Dienste wie Benutzer und Gruppen. Diese Rolle kann keine Supporttickets anzeigen, erstellen oder verwalten.

Microsoft 365-Migrationsadministrator*in

Weisen Sie Benutzer*innen, die die folgenden Aufgaben ausführen müssen, die Rolle „Microsoft 365-Migrationsadministrator*in“ zu:

• Verwenden des Migrations-Managers in Microsoft 365 Admin Center zum Verwalten der Inhaltsmigration zu Microsoft 365 (einschließlich Teams, OneDrive for Business und SharePoint-Websites von Google Drive, Dropbox, Box und Egnyte)
• Auswählen von Migrationsquellen, Erstellen von Migrationsinventaren (z. B. Google Drive-Benutzerlisten), Planen und Durchführen von Migrationen sowie Herunterladen von Berichten
• Erstellen neuer SharePoint-Websites (wenn die Zielwebsites noch nicht vorhanden sind), Erstellen von SharePoint-Listen unter den SharePoint-Administratorwebsites sowie Erstellen und Aktualisieren von Elementen in SharePoint-Listen
• Verwalten von Migrationsprojekteinstellungen und Migrationslebenszyklen für Aufgaben
• Verwalten von Berechtigungszuordnungen von Quelle zu Ziel

Weitere Informationen

Lokaler Administrator des in Microsoft Entra eingebundenen Geräts

Diese Rolle kann nur als zusätzlicher lokaler Administrator in den Geräteeinstellungen zugewiesen werden. Benutzer mit dieser Rolle werden auf allen Windows 10-Geräten, die in Microsoft Entra ID eingebunden sind, als Administratoren für den lokalen Computer festgelegt. Sie haben nicht die Möglichkeit zum Verwalten von Geräteobjekten in Microsoft Entra ID.

Microsoft-Hardwaregarantieadministrator

Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle „Microsoft-Hardwaregarantieadministrator“ zu:

• Erstellen von neuen Garantieansprüchen für von Microsoft hergestellte Hardware wie Surface und HoloLens
• Suchen nach und Lesen von offenen oder abgeschlossenen Garantieansprüchen
• Suchen nach und Lesen von Garantieansprüchen nach Seriennummer
• Erstellen, Lesen, Aktualisieren und Löschen von Lieferadressen
• Lesen des Lieferstatus für offene Garantieansprüche
• Erstellen und Verwalten von Dienstanforderungen im Microsoft 365 Admin Center
• Lesen von Ankündigungen des Nachrichtencenters im Microsoft 365 Admin Center

Ein Garantieanspruch ist eine Forderung nach Reparatur oder Austausch/Ersatz der Hardware gemäß den Garantiebedingungen. Weitere Informationen finden Sie unter Self-Service für Garantie und Serviceanfragen für Ihre Surface-Hardware.

Microsoft Hardware Warranty Specialist

Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle „Microsoft Hardware Warranty Specialist“ zu:

• Erstellen von neuen Garantieansprüchen für von Microsoft hergestellte Hardware wie Surface und HoloLens
• Lesen der von ihnen erstellten Garantieansprüche
• Lesen und Aktualisieren vorhandener Lieferadressen
• Lesen des Lieferstatus für von ihnen erstellte offene Garantieansprüche
• Erstellen und Verwalten von Dienstanforderungen im Microsoft 365 Admin Center

Ein Garantieanspruch ist eine Forderung nach Reparatur oder Austausch/Ersatz der Hardware gemäß den Garantiebedingungen. Weitere Informationen finden Sie unter Self-Service für Garantie und Serviceanfragen für Ihre Surface-Hardware.

Moderner Commerceadministrator

Nicht verwenden.. Diese Rolle wird automatisch von Commerce zugewiesen und ist weder für eine andere Verwendung vorgesehen, noch wird eine andere Verwendung unterstützt. Die Details hierzu finden Sie unten.

Mit der Rolle „Moderner Commerceadministrator“ sind bestimmte Benutzer berechtigt, auf Microsoft 365 Admin Center zuzugreifen und die linken Navigationseinträge für Home, Abrechnung und Support anzuzeigen. Der in diesen Bereichen verfügbare Inhalt wird von commercespezifischen Rollen gesteuert, die Benutzern zugewiesen werden, um Produkte zu verwalten, die sie für sich selbst oder für Ihre Organisation gekauft haben. Dies kann Aufgaben wie das Bezahlen von Rechnungen oder den Zugriff auf Abrechnungskonten und Abrechnungsprofile umfassen.

Benutzer mit der Rolle „Moderner Commerce-Administrator“ verfügen in der Regel über administrative Berechtigungen in anderen Microsoft-Einkaufssystemen, jedoch nicht über die Rollen „Unternehmensadministrator“ oder „Abrechnungsadministrator“, die für den Zugriff auf Admin Center verwendet werden.

Wann wird die Rolle „Moderner Commerceadministrator“ zugewiesen?

• Self-Service-Käufe in Microsoft 365 Admin Center: Self-Service-Käufe bieten Benutzern die Möglichkeit, neue Produkte zu testen, indem sie sich diese Produkte selbst kaufen oder sich dafür registrieren. Diese Produkte werden in Admin Center verwaltet. Benutzern, die einen Self-Service-Kauf tätigen, wird eine Rolle im Commerce System und die Rolle „Moderner Commerceadministrator“ zugewiesen, damit sie ihre Käufe in Admin Center verwalten können. Administrator*innen können über PowerShell Self-Service-Käufe (für Fabric, Power BI, Power Apps, Power Automate) blockieren. Weitere Informationen finden Sie unter Häufig gestellte Fragen zu Self-Service-Einkäufen.
• Käufe über den kommerziellen Microsoft Marketplace: Wenn ein Benutzer ein Produkt oder einen Dienst von Microsoft AppSource oder Azure Marketplace kauft, wird ähnlich wie beim Self-Service-Kauf die Rolle „Moderner Commerce-Administrator“ zugewiesen, wenn er nicht über die Rolle „Globaler Administrator“ oder „Abrechnungsadministrator“ verfügt. In einigen Fällen werden Benutzer möglicherweise daran gehindert, diese Käufe durchzuführen. Weitere Informationen finden Sie unter Kommerzieller Microsoft Marketplace.
• Vorschläge von Microsoft: Ein Vorschlag ist ein formales Angebot von Microsoft für Ihre Organisation für den Kauf von Microsoft-Produkten und -Diensten. Wenn der Benutzer, der den Vorschlag annimmt, in Microsoft Entra ID nicht über die Rolle „Globaler Administrator“ oder „Abrechnungsadministrator“ verfügt, wird ihm eine commercespezifische Rolle zugewiesen, um den Vorschlag abzuschließen. Darüber hinaus erhält er die Rolle Moderner Commerce-Administrator für den Zugriff auf das Admin Center. Wenn diese Person auf Admin Center zugreifen, kann sie nur Funktionen verwenden, die von ihrer commercespezifischen Rolle autorisiert werden.
• Commercespezifische Rollen: Einigen Benutzern werden commercespezifische Rollen zugewiesen. Wenn ein Benutzer kein globaler Administrator oder Abrechnungsadministrator ist, erhält er die Rolle „Modern Commerce-Benutzer“, damit er auf Admin Center zugreifen kann.

Wenn die Zuweisung der Rolle „Moderner Commerceadministrator“ für einen Benutzer aufgehoben wird, verliert er den Zugriff auf Microsoft 365 Admin Center. Wenn er Produkte entweder für sich selbst oder für Ihre Organisation verwaltet hat, kann er die Verwaltung nicht fortsetzen. Dies kann das Zuweisen von Lizenzen, das Ändern von Zahlungsmethoden, das Bezahlen von Rechnungen oder andere Aufgaben zum Verwalten von Abonnements umfassen.

Netzwerkadministrator

Benutzer mit dieser Rolle können Empfehlungen zur Netzwerkumkreisarchitektur von Microsoft überprüfen, die auf Netzwerktelemetriedaten von ihren Benutzerstandorten basieren. Die Netzwerkleistung für Microsoft 365 basiert auf einer sorgfältigen Netzwerkumkreisarchitektur für Unternehmenskunden, die im Allgemeinen für den Benutzerstandort spezifisch ist. Diese Rolle ermöglicht das Bearbeiten von ermittelten Benutzerstandorten und das Konfigurieren von Netzwerkparametern für diese Standorte, um verbesserte Telemetriemessungen und Entwurfsempfehlungen zu ermöglichen.

Office-Apps-Administrator

Benutzer mit dieser Rolle können die Cloudeinstellungen von Microsoft 365-Apps verwalten. Dazu gehören die Verwaltung von Cloudrichtlinien, die Self-Service-Downloadverwaltung und die Möglichkeit, Office-Apps-bezogene Berichte anzuzeigen. Diese Rolle ermöglicht es außerdem, Supporttickets zu verwalten und die Dienstintegrität im Haupt-Admin Center zu überwachen. Benutzer, denen diese Rolle zugewiesen ist, können außerdem Mitteilungen zu neuen Features in Office-Apps verwalten.

Organisationsbrandingadministrator

Weisen Sie die Rolle „Organisationsbrandingadministrator“ Benutzern zu, die die folgenden Aufgaben ausführen müssen:

• Verwalten Sie alle Aspekte des Organisationsbrandings in einem Mandanten
• Lesen, Erstellen, Aktualisieren und Löschen von Brandingdesigns
• Verwalten des standardmäßigen Brandingdesigns und aller Brandinglokalisierungsdesigns

Genehmigende Person für Organisationsnachrichten

Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle „Genehmigende Person für Organisationsnachrichten“ zu:

• Überprüfen, Genehmigen oder Ablehnen neuer Organisationsnachrichten für die Zustellung im Microsoft 365 Admin Center, bevor sie über die Plattform für Microsoft 365-Organisationsnachrichten an Benutzer gesendet werden
• Lesen aller Aspekte in Bezug auf Organisationsnachrichten
• Lesen grundlegender Eigenschaften für alle Ressourcen im Microsoft 365 Admin Center

Schreiber für Organisationsnachrichten

Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle „Schreiber für Organisationsnachrichten“ zu:

• Schreiben, Veröffentlichen und Löschen von Organisationsnachrichten im Microsoft 365 Admin Center oder mit Microsoft Intune
• Verwalten von Optionen für die Übermittlung von Organisationsnachrichten im Microsoft 365 Admin Center oder mit Microsoft Intune
• Lesen der Ergebnisse der Übermittlung von Organisationsnachrichten im Microsoft 365 Admin Center oder mit Microsoft Intune
• Anzeigen von Verwendungsberichten und der meisten Einstellungen im Microsoft 365 Admin Center. Änderungen können aber nicht vorgenommen werden.

Partnersupport der Ebene 1

Dies ist eine privilegierte Rolle. Nicht verwenden.. Diese Rolle wurde als veraltet markiert und wird zukünftig aus Microsoft Entra ID entfernt. Diese Rolle ist für einige wenige Wiederverkaufspartner von Microsoft und nicht zur allgemeinen Verwendung vorgesehen.

Partnersupport der Ebene 2

Dies ist eine privilegierte Rolle. Nicht verwenden.. Diese Rolle wurde als veraltet markiert und wird zukünftig aus Microsoft Entra ID entfernt. Diese Rolle ist für einige wenige Wiederverkaufspartner von Microsoft und nicht zur allgemeinen Verwendung vorgesehen.

Kennwortadministrator

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle haben eingeschränkte Möglichkeiten zum Verwalten von Kennwörtern. Mit dieser Rolle werden keine Berechtigungen zum Verwalten von Dienstanforderungen oder zum Überwachen der Dienstintegrität gewährt. Ob ein Kennwortadministrator das Kennwort eines Benutzers zurücksetzen kann, hängt von der Rolle ab, die dem Benutzer zugewiesen ist. Eine Liste der Rollen, für die ein Kennwortadministrator Kennwörter zurücksetzen kann, finden Sie unter Wer kann Kennwörter zurücksetzen?

Benutzer mit dieser Rolle können die folgenden Aufgaben nicht ausführen:

• Ändern von Anmeldeinformationen oder Zurücksetzen der MFA für Mitglieder und Besitzer einer Gruppe, der Rollen zugewiesen werden können.

Berechtigungsverwaltungsadministrator

Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle „Berechtigungsverwaltungsadministrator“ zu:

• Verwalten aller Aspekte der Microsoft Entra-Berechtigungsverwaltung, sofern der Dienst vorhanden ist

Weitere Informationen zu Berechtigungsverwaltungsrollen und -richtlinien finden Sie im Artikel zum Anzeigen von Informationen zu Rollen/Richtlinien.

Power Platform-Administrator

Benutzer in dieser Rolle können alle Aspekte von Umgebungen, Power Apps, Flows und Richtlinien zur Verhinderung von Datenverlust erstellen und verwalten. Darüber hinaus verfügen Benutzer mit dieser Rolle über die Möglichkeit, Supporttickets zu verwalten und die Dienstintegrität zu überwachen.

Druckeradministrator

Benutzer mit dieser Rolle können Drucker registrieren und alle Aspekte sämtlicher Druckerkonfigurationen in der Microsoft-Lösung für universelles Drucken verwalten, einschließlich der Connectoreinstellungen für universelles Drucken. Sie können in alle delegierten Druckberechtigungsanforderungen einwilligen. Druckeradministratoren haben außerdem Zugriff auf Druckberichte.

Druckertechniker

Benutzer mit dieser Rolle können Drucker registrieren und den Druckerstatus in der Microsoft-Lösung für universelles Drucken verwalten. Sie können außerdem alle Connectorinformationen lesen. Zu den Hauptaufgaben, die ein Druckertechniker nicht ausführen kann, gehören das Festlegen von Benutzerberechtigungen für Drucker sowie das Freigeben von Druckern.

Privilegierter Authentifizierungsadministrator

Dies ist eine privilegierte Rolle. Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle „privilegierter Authentifizierungsadministrator“ zu:

• Festlegen oder Zurücksetzen aller Authentifizierungsmethoden (einschließlich Kennwörter) für jeden Benutzer (einschließlich globale Administratoren).
• Löschen oder Wiederherstellen von Benutzern, einschließlich globaler Administratoren. Weitere Informationen finden Sie unter Wer kann vertrauliche Aktionen durchführen?.
• Erzwingen Sie, dass Benutzer sich für vorhandene Nichtkennwortanmeldeinformationen (z. B. MFA oder FIDO2) erneut registrieren und MFA auf dem Gerätwiderrufen, und fordern Sie bei der nächsten Anmeldung aller Benutzer zur MFA auf.
• Aktualisieren vertraulicher Eigenschaften für alle Benutzer. Weitere Informationen finden Sie unter Wer kann vertrauliche Aktionen durchführen?.
• Erstellen und Verwalten von Supporttickets in Azure und im Microsoft 365 Admin Center.
• Konfigurieren von Zertifizierungsstellen mit einem PKI-basierten Vertrauensspeicher (Vorschau)

Benutzer mit dieser Rolle können die folgenden Aufgaben nicht ausführen:

• Verwalten der MFA pro Benutzer im Legacy-MFA-Verwaltungsportal.

In der folgenden Tabelle werden die Funktionen von authentifizierungsbezogenen Rollen verglichen.

Rolle	Verwalten der Authentifizierungsmethoden der Benutzerinnen und Benutzer	Verwalten der MFA pro Benutzerin bzw. Benutzer	Verwalten von MFA-Einstellungen	Verwalten der Authentifizierungsmethodenrichtlinie	Verwalten der Kennwortschutzrichtlinie	Aktualisieren vertraulicher Eigenschaften	Löschen und Wiederherstellen von Benutzerinnen und Benutzern
Authentifizierungsadministrator	Ja, für einige Benutzer	Ja, für einige Benutzer	Ja	Nr.	Nr.	Ja, für einige Benutzer	Ja, für einige Benutzer
Privilegierter Authentifizierungsadministrator	Ja, für alle Benutzer	Ja, für alle Benutzer	Nr.	Nr.	Nr.	Ja, für alle Benutzer	Ja, für alle Benutzer
Authentifizierungsrichtlinienadministrator	Nr.	Ja	Ja	Ja	Ja	Nr.	Nr.
Benutzeradministrator	Nr.	Nr.	Nr.	Nr.	Nr.	Ja, für einige Benutzer	Ja, für einige Benutzer

Administrator für privilegierte Rollen

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle können Rollenzuweisungen sowohl in Microsoft Entra ID als auch innerhalb von Privileged Identity Management (PIM) von Microsoft Entra verwalten. Sie können Gruppen erstellen und verwalten, die Microsoft Entra-Rollen zugewiesen werden können. Überdies ermöglicht diese Rolle Verwaltung aller Aspekte von Privileged Identity Management und administrativer Einheiten.

Meldet Reader

Benutzer*innen mit dieser Rolle können Nutzungsberichtsdaten und das Berichtsdashboard im Microsoft 365 Admin Center sowie das Einführungskontextpaket in Fabric und Power BI anzeigen. Darüber hinaus ermöglicht die Rolle den Zugriff auf alle Anmeldeprotokolle, Prüfprotokolle und Aktivitätsberichte in Microsoft Entra ID und von der Microsoft Graph-Berichterstellungs-API zurückgegebene Daten. Ein Benutzer, dem die Rolle „Meldet Reader“ zugewiesen ist, kann nur auf relevante Nutzungs- und Anpassungsmetriken zugreifen. Sie verfügen nicht über Administratorrechte, um Einstellungen zu konfigurieren oder auf produktspezifische Verwaltungskonsolen wie das Exchange Admin Center zuzugreifen. Diese Rolle kann keine Supporttickets anzeigen, erstellen oder verwalten.

Suchadministrator

Benutzer mit dieser Rolle haben Vollzugriff auf alle Microsoft Search-Verwaltungsfunktionen im Microsoft 365 Admin Center. Darüber hinaus können diese Benutzer das Nachrichtencenter anzeigen, die Dienstintegrität überwachen und Service Requests erstellen.

Such-Editor

Benutzer mit dieser Rolle können Inhalte für Microsoft Search im Microsoft 365 Admin Center erstellen, verwalten und löschen. Hierzu gehören Inhalte wie Lesezeichen, Fragen und Antworten sowie Standorte.

Sicherheitsadministrator

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle verfügen über Berechtigungen zum Verwalten sicherheitsbezogener Features im Microsoft 365 Defender-Portal, in Microsoft Entra ID, inder Microsoft Entra-Authentifizierung, in Azure Information Protection und im Microsoft Purview-Complianceportal. Weitere Informationen zu Office 365-Berechtigungen finden Sie unter Rollen und Rollengruppen in Microsoft Defender for Office 365 und Microsoft Purview-Compliance.

Geben Sie in	Möglich
Microsoft 365 Defender-Portal	Überwachen von sicherheitsrelevanten Richtlinien in Microsoft 365-Diensten Verwalten von Sicherheitsbedrohungen und Warnungen Berichte anzeigen
Microsoft Entra ID Protection	Alle Berechtigungen der Rolle „Sicherheitsleseberechtigter“ Ausführen aller Identity Protection-Vorgänge außer des Zurücksetzens von Kennwörtern
Privileged Identity Management	Alle Berechtigungen der Rolle „Sicherheitsleseberechtigter“ Kann keine Microsoft Entra-Rollenzuweisungen oder -Einstellungen verwalten
Grundlegendes zum Microsoft Purview-Complianceportal	Verwalten von Sicherheitsrichtlinien Anzeigen, Untersuchen und Reagieren auf Sicherheitsbedrohungen Berichte anzeigen
Azure Advanced Threat Protection	Überwachen und Reagieren auf verdächtige Sicherheitsaktivitäten
Microsoft Defender für den Endpunkt	Zuweisen von Rollen Verwalten von Computergruppen Konfigurieren der Endpunkt-Bedrohungserkennung und der automatisierten Korrektur Anzeigen, Untersuchen und Reagieren auf Warnungen Anzeigen des Computer-/Gerätebestands
Intune	Entspricht der Rolle Intune-Endpunkt-Sicherheitsmanager
Microsoft Defender für Cloud-Apps	Hinzufügen von Administratoren, Richtlinien und Einstellungen, Hochladen von Protokollen und Ausführen von Governanceaktionen
Microsoft 365-Dienststatus	Anzeigen des Status von Microsoft 365-Diensten
Smart Lockout	Hiermit werden der Schwellenwert und die Dauer für Sperren definiert, wenn fehlerhafte Anmeldeereignisse auftreten.
Kennwortschutz	Konfigurieren Sie die benutzerdefinierte Liste der gesperrten Kennwörter oder lokalen Kennwortschutz.
Mandantenübergreifende Synchronisierung	Konfigurieren Sie mandantenübergreifende Zugriffseinstellungen für Benutzer*innen in einem anderen Mandanten. Sicherheitsadministrator*innen können Benutzer*innen nicht direkt erstellen und löschen, aber synchronisierte Benutzer*innen aus einem anderen Mandanten indirekt erstellen und löschen, wenn beide Mandanten für die mandantenübergreifende Synchronisierung konfiguriert sind. Dabei handelt es sich um eine privilegierte Berechtigung.

Sicherheitsoperator

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle können Warnungen verwalten und besitzen globalen schreibgeschützten Zugriff auf sicherheitsbezogene Features. Dies schließt sämtliche Informationen im Microsoft 365 Defender-Portal, in Microsoft Entra ID Protection, im Privileged Identity Management und im Microsoft Purview-Complianceportal ein. Weitere Informationen zu Office 365-Berechtigungen finden Sie unter Rollen und Rollengruppen in Microsoft Defender for Office 365 und Microsoft Purview-Compliance.

Geben Sie in	Möglich
Microsoft 365 Defender-Portal	Alle Berechtigungen der Rolle „Sicherheitsleseberechtigter“ Anzeigen und Untersuchen von sowie Reagieren auf Warnungen zu Sicherheitsbedrohungen Verwalten von Sicherheitseinstellungen in Microsoft 365 Defender-Portal
Microsoft Entra ID Protection	Alle Berechtigungen der Rolle „Sicherheitsleseberechtigter“ Ausführen aller Identity Protection-Vorgänge, mit Ausnahme des Konfigurierens oder Änderns risikobasierter Richtlinien, des Zurücksetzens von Kennwörtern und des Konfigurierens von Warnungs-E-Mails
Privileged Identity Management	Alle Berechtigungen der Rolle „Sicherheitsleseberechtigter“
Grundlegendes zum Microsoft Purview-Complianceportal	Alle Berechtigungen der Rolle „Sicherheitsleseberechtigter“ Anzeigen und Untersuchen von sowie Reagieren auf Sicherheitswarnungen
Microsoft Defender für den Endpunkt	Alle Berechtigungen der Rolle „Sicherheitsleseberechtigter“ Anzeigen und Untersuchen von sowie Reagieren auf Sicherheitswarnungen Wenn Sie in Microsoft Defender for Endpoint die rollenbasierte Zugriffssteuerung aktivieren, verlieren Benutzer mit reinen Leseberechtigungen (z. B. Benutzer mit der Rolle „Sicherheitsleseberechtigter“) den Zugriff, bis ihnen eine Microsoft Defender for Endpoint-Rolle zugewiesen wird.
Intune	Alle Berechtigungen der Rolle „Sicherheitsleseberechtigter“
Microsoft Defender für Cloud-Apps	Alle Berechtigungen der Rolle „Sicherheitsleseberechtigter“ Anzeigen und Untersuchen von sowie Reagieren auf Sicherheitswarnungen
Microsoft 365-Dienststatus	Anzeigen des Status von Microsoft 365-Diensten

Sicherheitsleseberechtigter

Dies ist eine privilegierte Rolle. Benutzer mit dieser Rolle besitzen globalen schreibgeschützten Zugriff auf sicherheitsbezogene Features, einschließlich alle Informationen im Microsoft 365 Defender-Portal, in Microsoft Entra ID Protection und im Privileged Identity Management. Darüber hinaus können sie Anmeldeberichte und Überwachungsprotokolle in Microsoft Entra und im Microsoft Purview-Complianceportal lesen. Weitere Informationen zu Office 365-Berechtigungen finden Sie unter Rollen und Rollengruppen in Microsoft Defender for Office 365 und Microsoft Purview-Compliance.

Geben Sie in	Möglich
Microsoft 365 Defender-Portal	Anzeigen von sicherheitsrelevanten Richtlinien in Microsoft 365-Diensten Anzeigen von Sicherheitsbedrohungen und Warnungen Berichte anzeigen
Microsoft Entra ID Protection	Anzeigen aller Identity Protection-Berichte und der Übersicht
Privileged Identity Management	Verfügt über schreibgeschützten Zugriff auf alle eingeblendeten Informationen im Privileged Identity Management von Microsoft Entra: Richtlinien und Berichte für Microsoft Entra-Rollenzuweisungen und Sicherheitsüberprüfungen. Kann sich nicht für das Privileged Identity Management von Microsoft Entra registrieren oder Änderungen daran vornehmen. Im Privileged Identity Management-Portal oder über PowerShell können Personen mit dieser Rolle zusätzliche Rollen (z. B. „Administrator für privilegierte Rollen“) aktivieren, wenn der Benutzer dafür geeignet ist.
Grundlegendes zum Microsoft Purview-Complianceportal	Anzeigen von Sicherheitsrichtlinien Anzeigen und Untersuchen von Sicherheitsbedrohungen Berichte anzeigen
Microsoft Defender für den Endpunkt	Anzeigen und Untersuchen von Warnungen Wenn Sie in Microsoft Defender for Endpoint die rollenbasierte Zugriffssteuerung aktivieren, verlieren Benutzer mit reinen Leseberechtigungen (z. B. Benutzer mit der Rolle „Sicherheitsleseberechtigter“) den Zugriff, bis ihnen eine Microsoft Defender for Endpoint-Rolle zugewiesen wird.
Intune	Anzeigen von Benutzern, Geräten, Registrierung, Konfiguration und Anwendungsinformationen Kann keine Änderungen an Intune vornehmen
Microsoft Defender für Cloud-Apps	Besitzt Leserechte.
Microsoft 365-Dienststatus	Anzeigen des Status von Microsoft 365-Diensten

Dienstunterstützungsadministrator

Benutzer mit dieser Rolle können bei Microsoft Supportanfragen für Azure- und Microsoft 365-Dienste erstellen und verwalten sowie das Dienstdashboard und Nachrichtencenter im Azure-Portal und im Microsoft 365 Admin Center anzeigen. Weitere Informationen finden Sie unter Administratorrollen im Microsoft 365 Admin Center.

SharePoint-Administrator

Benutzer mit dieser Rolle besitzen globale Berechtigungen innerhalb von Microsoft SharePoint Online, wenn der Dienst verfügbar ist, und sie können alle Microsoft 365-Gruppen erstellen und verwalten, Supporttickets verwalten sowie die Dienstintegrität überwachen. Weitere Informationen finden Sie unter Administratorrollen im Microsoft 365 Admin Center.

SharePoint Embedded-Administrator

Weisen Sie die Rolle „SharePoint Embedded-Administrator“ Benutzern zu, die die folgenden Aufgaben ausführen müssen:

• Alle Aufgaben, die mit PowerShell, der Microsoft Graph-API oder dem SharePoint Admin Center ausgeführt werden
• Verwalten, Konfigurieren und Pflegen von eingebetteten SharePoint-Containern
• Auflisten und Verwalten von eingebetteten SharePoint-Containern
• Auflisten und Verwalten von Berechtigungen für eingebettete SharePoint-Container
• Verwalten der Speicherung von eingebetteten SharePoint-Containern in einem Mandanten
• Zuweisen von Sicherheits- und Compliancerichtlinien für eingebettete SharePoint-Container
• Anwenden von Sicherheits- und Compliancerichtlinien auf eingebettete SharePoint-Container in einem Mandanten

Weitere Informationen

Skype for Business-Administrator

Benutzer mit dieser Rolle besitzen globale Berechtigungen in Microsoft Skype for Business, wenn der Dienst vorhanden ist, sowie die Berechtigung zur Verwaltung von Skype-spezifischen Benutzerattributen in Microsoft Entra ID. Darüber hinaus bietet diese Rolle die Möglichkeit, Supporttickets zu verwalten und die Dienstintegrität zu überwachen, sowie auf die Admin Center von Teams und Skype for Business zuzugreifen. Das Konto muss auch für Teams lizenziert sein, andernfalls kann es keine PowerShell-Cmdlets von Teams ausführen. Weitere Informationen finden Sie unter Skype for Business Online-Administrator. Informationen zur Teams-Lizenzierung finden Sie unter Skype for Business-Add-On-Lizenzierung.

Teams-Administrator

Benutzer mit dieser Rolle können alle Aspekte der Microsoft Teams-Workload über das Admin Center von Microsoft Teams und Skype for Business und die entsprechenden PowerShell-Module verwalten. Dazu zählen unter anderem alle Verwaltungstools im Zusammenhang mit Telefonie, Messaging, Besprechungen und den Teams selbst. Außerdem bietet diese Rolle die Möglichkeit zum Erstellen und Verwalten aller Microsoft 365-Gruppen, Verwalten von Supporttickets und Überwachen der Dienstintegrität.

Teams-Kommunikationsadministrator

Benutzer mit dieser Rolle können Aspekte der Microsoft Teams-Workload im Zusammenhang mit Sprache und Telefonie verwalten. Dazu gehören die Verwaltungstools für die Telefonnummernzuweisung, Sprach- und Besprechungsrichtlinien und der uneingeschränkte Zugriff auf das Toolset zur Anrufanalyse.

Teams-Kommunikationssupporttechniker

Benutzer in dieser Rolle können Kommunikationsprobleme innerhalb von Microsoft Teams und Skype for Business mithilfe der Problembehandlungstools für Benutzeranrufe im Admin Center für Microsoft Teams und Skype for Business behandeln. Benutzer in dieser Rolle können vollständige Anrufdatensatzinformationen für alle Teilnehmer anzeigen. Diese Rolle kann keine Supporttickets anzeigen, erstellen oder verwalten.

Teams-Kommunikationssupportspezialist

Benutzer in dieser Rolle können Kommunikationsprobleme innerhalb von Microsoft Teams und Skype for Business mithilfe der Problembehandlungstools für Benutzeranrufe im Admin Center für Microsoft Teams und Skype for Business behandeln. Benutzer in dieser Rolle können Benutzerdetails im Anruf nur für den bestimmten Benutzer anzeigen, nach dem sie gesucht haben. Diese Rolle kann keine Supporttickets anzeigen, erstellen oder verwalten.

Teams-Geräteadministrator

Benutzer mit dieser Rolle können im Teams Admin Center für Teams zertifizierte Geräte verwalten. Diese Rolle bietet eine Übersicht über alle Geräte, mit der Möglichkeit, Geräte zu suchen und zu filtern. Der Benutzer kann Details zu jedem Gerät überprüfen, darunter das angemeldete Konto sowie Marke und Modell des Geräts. Der Benutzer kann die Einstellungen auf dem Gerät ändern und die Softwareversionen aktualisieren. Diese Rolle gewährt keine Berechtigungen zum Überprüfen der Teams-Aktivität und der Anrufqualität des Geräts.

Teams-Telefonieadministrator

Weisen Sie die Rolle des Teams-Telefonieadministrators den Benutzern zu, die die folgenden Aufgaben ausführen müssen:

• Verwalten von Sprach- und Telefoniefunktionen, wie Anrufrichtlinien, Verwaltung und Zuweisung von Telefonnummern sowie Sprachanwendungen
• Zugriff nur auf PSTN-Nutzungsberichte (Public Switched Telephone Network) über das Teams Admin Center
• Anzeigen der Seite mit dem Benutzerprofil
• Erstellen und Verwalten von Supporttickets in Azure und im Microsoft 365 Admin Center

Weitere Informationen

Mandantenersteller

Weisen Sie die Rolle „Mandantenersteller“ Benutzern zu, die folgende Aufgabe ausführen müssen:

• Erstellen sowohl von Microsoft Entra- als auch von Azure Active Directory B2C-Mandanten, auch wenn die Umschaltfläche für die Mandantenerstellung in den Benutzereinstellungen deaktiviert ist

Leseberechtigter für Verwendungszusammenfassungsberichte

Weisen Sie Benutzer*innen, die die folgenden Aufgaben im Microsoft 365 Admin Center ausführen müssen, die Rolle „Leseberechtigter für Berichte mit Nutzungszusammenfassung“ zu:

• Anzeigen der Nutzungsberichte und der Einführungsbewertung
• Lesen von Organisationserkenntnissen, aber nicht von personenbezogenen Informationen (Personally Identifiable Information, PII) von Benutzer*innen

Mit dieser Rolle können Benutzer*innen nur Daten auf Organisationsebene mit den folgenden Ausnahmen anzeigen:

• Mitgliedsbenutzer*innen können Benutzerverwaltungsdaten und -einstellungen anzeigen.
• Gastbenutzer*innen, denen diese Rolle zugewiesen ist, können keine Benutzerverwaltungsdaten und -einstellungen anzeigen.

Benutzeradministrator

Dies ist eine privilegierte Rolle. Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle „Benutzeradministrator“ zu:

Berechtigung	Weitere Informationen
Erstellen von Benutzern
Aktualisieren der meisten Benutzereigenschaften für alle Benutzer, einschließlich aller Administratoren	Wer kann vertrauliche Aktionen ausführen?
Aktualisieren vertraulicher Eigenschaften (einschließlich Benutzerprinzipalname) für einige Benutzer	Wer kann vertrauliche Aktionen ausführen?
Deaktivieren oder Aktivieren einiger Benutzer	Wer kann vertrauliche Aktionen ausführen?
Löschen oder Wiederherstellen einiger Benutzer	Wer kann vertrauliche Aktionen ausführen?
Erstellen und Verwalten von Benutzeransichten
Erstellen und Verwalten aller Gruppen
Zuweisen und Lesen von Lizenzen für alle Benutzer, einschließlich aller Administratoren
Zurücksetzen von Kennwörtern	Wer kann Kennwörter zurücksetzen?
Annullieren Sie Aktualisierungstoken.	Wer kann Kennwörter zurücksetzen?
Aktualisieren von Geräteschlüsseln (FIDO)
Aktualisieren von Richtlinien für den Kennwortablauf
Erstellen und Verwalten von Supporttickets in Azure und im Microsoft 365 Admin Center
Überwachen der Dienstintegrität

Benutzer mit dieser Rolle können die folgenden Aufgaben nicht ausführen:

• Verwalten von MFA.
• Ändern von Anmeldeinformationen oder Zurücksetzen der MFA für Mitglieder und Besitzer einer Gruppe, der Rollen zugewiesen werden können.
• Verwalten gemeinsam genutzter Postfächer
• Sicherheitsfragen für den Kennwortzurücksetzungsvorgang können nicht geändert werden.

Erfolgs-Manager für die Benutzererfahrung

Weisen Sie die Rolle „Erfolgsmanager für das Benutzererlebnis“ Benutzern zu, die folgende Aufgabe ausführen müssen:

• Nutzungsberichte auf Organisationsebene für Microsoft 365 Apps und Dienste, aber keine Benutzerdetails lesen
• Produktfeedback Ihrer Organisation, Umfrageergebnisse von Net Promoter Score (NPS) und Hilfeartikelansichten zum Identifizieren von Kommunikations- und Schulungsmöglichkeiten anzeigen
• Nachrichtencenterbeiträge und Dienststatusdaten lesen

Weitere Informationen

Administrator für virtuelle Besuche

Benutzer mit dieser Rolle können die folgenden Aufgaben ausführen:

• Verwalten und Konfigurieren aller Aspekte virtueller Besuche in Bookings im Microsoft 365 Admin Center und im Teams EHR-Connector
• Anzeigen von Nutzungsberichten für virtuelle Besuche in Teams Admin Center, Microsoft 365 Admin Center, Fabric und Power BI
• Anzeigen von Features und Einstellungen im Microsoft 365 Admin Center, aber keine Bearbeitung von Einstellungen

Virtuelle Besuche sind eine einfache Möglichkeit, Online- und Videotermine für Mitarbeiter und Teilnehmende zu planen und zu verwalten. Beispielsweise kann die Verwendungsberichterstattung zeigen, wie durch das Senden von SMS-Textnachrichten vor Terminen die Anzahl der Personen, die Termine nicht wahrnehmen, verringert werden kann.

Viva Goals-Administrator

Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle „Viva Goals-Administrator“ zu:

• Alle Aspekte der Microsoft Viva Goals-Anwendung verwalten und konfigurieren
• Microsoft Viva Goals-Administratoreinstellungen konfigurieren
• Lesen von Microsoft Entra-Mandanteninformationen.
• Microsoft 365-Dienststatus überwachen
• Erstellen und Verwalten von Microsoft 365-Serviceanforderungen

Weitere Informationen finden Sie unter Rollen und Berechtigungen in Viva Goals und Einführung in Microsoft Viva Goals.

Viva Pulse-Administrator

Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle „Viva Pulse-Administrator“ zu:

• Lesen und Konfigurieren aller Einstellungen von Viva Pulse
• Lesen grundlegender Eigenschaften für alle Ressourcen im Microsoft 365 Admin Center
• Lesen und Konfigurieren von Azure Service Health
• Erstellen und Verwalten von Azure-Supporttickets
• Lesen von Nachrichten im Nachrichtencenter im Microsoft 365 Admin Center (mit Ausnahme von Sicherheitsmeldungen)
• Lesen von Nutzungsberichten im Microsoft 365 Admin Center

Weitere Informationen finden Sie unter Zuweisen eines Viva Pulse-Administrators im Microsoft 365 Admin Center.

Windows 365-Administrator

Benutzer mit dieser Rolle verfügen über globale Berechtigungen für Windows 365-Ressourcen, wenn der Dienst vorhanden ist. Darüber hinaus beinhaltet diese Rolle die Möglichkeit, Benutzer und Geräte zum Zuordnen von Richtlinien zu verwalten sowie Gruppen zu erstellen und zu verwalten.

Diese Rolle kann Sicherheitsgruppen erstellen und verwalten, verfügt jedoch nicht über Administratorrechte für Microsoft 365-Gruppen. Das bedeutet, dass Administratoren Besitzer oder Mitgliedschaften von Microsoft 365-Gruppen in der Organisation nicht aktualisieren können. Sie können jedoch die Microsoft 365-Gruppe verwalten, die sie erstellen. Dies ist ein Teil ihrer Endbenutzerberechtigungen. Daher werden alle Microsoft 365-Gruppen (keine Sicherheitsgruppe), die sie erstellen, ihrem Kontingent von 250 angerechnet.

Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle Windows 365-Administrator zu:

• Verwalten von Windows 365 Cloud-PCs in Microsoft Intune
• Registrieren und Verwalten von Geräten in Microsoft Entra ID, einschließlich Zuweisen von Benutzern und Richtlinien.
• Erstellen und Verwalten von Sicherheitsgruppen, aber nicht von Rollen zuweisbaren Gruppen
• Anzeigen grundlegender Eigenschaften im Microsoft 365 Admin Center
• Lesen von Nutzungsberichten im Microsoft 365 Admin Center
• Erstellen und Verwalten von Supporttickets in Azure und im Microsoft 365 Admin Center

Windows Update-Bereitstellungsadministrator

Benutzer mit dieser Rolle können alle Aspekte von Windows Update-Bereitstellungen über den Windows Update for Business-Bereitstellungsdienst erstellen und verwalten. Mit dem Bereitstellungsdienst können Benutzer festlegen, wann und wie Updates bereitgestellt werden, und angeben, welche Updates für Gruppen von Geräten in ihrem Mandanten angeboten werden. Darüber hinaus können Benutzer den Updatefortschritt überwachen.

Yammer-Administrator

Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle Yammer-Administrator zu:

• Verwalten sämtlicher Aspekte von Yammer
• Erstellen, Verwalten und Wiederherstellen von Microsoft 365-Gruppen, aber nicht von Gruppen, denen Rollen zugewiesen werden können
• Anzeigen der ausgeblendeten Mitglieder von Sicherheitsgruppen und Microsoft 365-Gruppen einschließlich Gruppen, denen Rollen zugewiesen werden können
• Lesen von Nutzungsberichten im Microsoft 365 Admin Center
• Erstellen und Verwalten von Dienstanforderungen im Microsoft 365 Admin Center
• Anzeigen von Ankündigungen im Nachrichtencenter, aber nicht von sicherheitsrelevanten Ankündigungen
• Anzeigen der Dienstintegrität

Weitere Informationen

Veraltete Rollen

Die folgenden Rollen sollten nicht verwendet werden. Sie wurden als veraltet markiert und werden zukünftig aus Microsoft Entra ID entfernt.

• Ad-hoc-Lizenzadministrator
• Geräteeinbindung
• Geräte-Manager
• Gerätebenutzer
• Benutzererstellung mit E-Mail-Überprüfung
• Postfachadministrator
• Geräteeinbindung am Arbeitsplatz

Im Portal nicht angezeigte Rollen

Nicht jede Rolle, die von PowerShell oder der MS Graph-API zurückgegeben wird, wird Azure-Portal angezeigt. Diese Unterschiede sind in der folgenden Tabelle aufgelistet.

API-Name	Name im Azure-Portal	Notizen
Geräteeinbindung	Als veraltet markiert	Dokumentation zu veralteten Rollen
Geräte-Manager	Als veraltet markiert	Dokumentation zu veralteten Rollen
Gerätebenutzer	Als veraltet markiert	Dokumentation zu veralteten Rollen
Verzeichnissynchronisierungskonten	Nicht angezeigt, da keine Verwendung erfolgen soll	Dokumentation zu Konten für die Verzeichnissynchronisierung
Gastbenutzer	Nicht angezeigt, weil keine Verwendung erfolgen kann	Nicht verfügbar
Partnersupport der Ebene 1	Nicht angezeigt, da keine Verwendung erfolgen soll	Dokumentation zum Partnersupport der Ebene 1
Partnersupport der Ebene 2	Nicht angezeigt, da keine Verwendung erfolgen soll	Dokumentation zum Partnersupport der Ebene 2
Eingeschränkter Gastbenutzer	Nicht angezeigt, weil keine Verwendung erfolgen kann	Nicht verfügbar
Benutzer	Nicht angezeigt, weil keine Verwendung erfolgen kann	Nicht verfügbar
Geräteeinbindung am Arbeitsplatz	Als veraltet markiert	Dokumentation zu veralteten Rollen

Nächste Schritte

• Zuweisen von Microsoft Entra-Rollen zu Gruppen
• Grundlegendes zu den verschiedenen Rollen
• Zuweisen von Administratorzugriff für ein Azure-Abonnement