EntraIDのロールとIntuneのロールの違いを調べてみた。

背景

• EntraIDにもロールは存在するが、Intuneのロールとどのように異なるのかを調査。
• MS公式ドキュメントの内容を読み解く。
• 動きも少し見てみる。

結論

• どちらも関連しあっているので、ケースバイケースで使い分けをする。EntraIDのグローバル管理者・Intune管理者がIntuneRBACロールの上位のロールになっている。
• EntraIDでグローバル管理者およびIntune管理者を適用している場合は、Intuneでのロールを割り当てることは不要。
• EntraIDでのロールを当てずにIntuneの管理センターの中で特定の役割を当てたいときにIntuneでのロールを割り当てる。
• 組み込みのIntuneのロールは現在9個あり、よく使われそうなのは読み取り専用オペレーター、ヘルプデスクオペレーターあたり。

RBAC

• 役割ベースの権限のこと。何のサービスにどれくらいの権限を持っているかで構成されている。一番有名なのはEntra IDのグローバル管理者だと思う。※これはそのテナントにおける全知全能に近いロール。検証環境などであればこれだけ使っていても事足りる。セキュリティとはトレードオフの関係。

EntraIDのロールについて

• MS文書を見ると、RBACベースのロール。
• M365およびAzureに携わっている人は日常的に触れていると思う。
• 上記例のグローバル管理者がまさにそう。

Intuneのロールについて

• MSドキュメントを見ると、”Intune RBACロール”なる文言があり、正確にはこの内容になる。

「Microsoft Intune の役割ベースのアクセス制御 (RBAC)」 - Microsoft Intune

Microsoft Intune で RBAC を使用して、アクションを実行できるユーザーや変更できるユーザーを制御する方法について学習します。

learn.microsoft.com

• 本番環境では役割に応じてIntuneのポータル上の権限を細かく最小権限でユーザーの役割毎にあたえたほうがよいので、EntraIDでIntune管理者を当てずに、こちらで最小権限のものを選んであてる運用になる。

下記は参考程度。