在很多傳統的公會裡，維運人員為了圖個方便（或者單純是懶得一直切換帳號），只要是自家 IT 騎士團的工程師，進來第一件事往往就是直接無腦掛上最高權限的「全域管理員 (Global Administrator)」。

這就好像你發給公會裡每一個新來的初心者，一人一把「萬用金鑰」，這把鑰匙不只可以開大門，連會長專屬金庫、機房重地、甚至直接把公會大廳給拆了都能辦到。從資安防禦與 SOC 監控的視角來看，這絕對是直接滅團的核災等級災難！暗黑勢力根本不需要去挖什麼複雜的防火牆漏洞，只要隨便挑一個資淺 IT 的帳號釣魚成功，就能瞬間把整間公會整碗端走。

因此，今天我們必須來認識 Entra ID 裡的「系統管理員角色 (Administrator Roles)」，學會怎麼把這把危險的萬能鑰匙，拆解成各種專屬的安全鑰匙，並徹底落實最小權限原則。

觀念釐清：角色 (Role) 跟群組 (Group) 到底差在哪？

• 群組 (Group)：是管「資源」的。它決定了這個人能不能點開某個 SharePoint 機密資料夾，或是能不能登入某個特定的 SaaS 應用程式。
• 角色 (Role)：是管「系統後台」的。它決定了這個人能不能對 Entra ID 環境本身搞破壞（例如：能不能重設老闆的密碼、能不能亂動我們設好的資安防護原則）。

防禦者的軍火庫：雲端必懂的四大管理員角色

1. 全域管理員 (Global Administrator)
   這就是雲端世界的創世神、公會的絕對掌權者，擁有一切生殺大權，刪除整個租用戶 (Tenant)、修改刷卡計費資訊、或是賦予任何人最高權限，他都能做。在實戰中，這個神裝帳號平常絕對要鎖在保險箱裡（綁定最嚴格的 MFA 雙重驗證），絕對不能拿來當作日常打怪維運的帳號使用。
2. 使用者管理員 (User Administrator)
   這是 Helpdesk（前線客服人員）最需要的好朋友，專門處理「人」的疑難雜症，像是建立與刪除一般帳號、幫金魚腦的村民重設忘記的密碼、或是管理一般的公會群組，有了這個角色就能輕鬆搞定，不需要動用到全域管理員。
3. 安全性管理員 / 安全性讀取者 (Security Admin / Reader)

• 管理員：有權限調整「條件式存取 (Conditional Access)」防禦結界、處理資安警報，萬一發現有帳號被盜，還能直接強制該帳號登出、阻斷惡意連線，是城牆上最核心的守衛。
• 讀取者：只能乖乖當個觀眾，查閱登入日誌與風險報告，所有修改按鈕對他來說都是反白的，非常適合需要跨部門協同調查事件，但不想給他修改權限的情境。

4. 全域讀取者 (Global Reader)
   他可以看遍 Entra ID 後台的每一個角落，任何設定清單他都看得到，但他「完全不能改」，在做系統稽核、或是請微軟原廠協助 Trouble Shooting 時超級好用。

實作

1. 使用者管理員 (User Administrator)
   進到 Entra 系統管理中心，點開左側的「角色與系統管理員 (Roles & admins)」，在茫茫清單中找到並點選「使用者管理員 (User Administrator)」。

2. 新增指派(Add assignments)
點擊畫面上方的「+ 新增指派 (Add assignments)」，在清單裡把你的測試帳號勾起來，然後按下新增。

搞定！現在這隻測試帳號已經擁有重設別人密碼的超能力，但如果他試圖去動你的條件式存取原則，系統只會冷冷地給他一個權限不足的錯誤提示。

為什麼我們要這麼龜毛？

我們之所以要把權限切得這麼碎，背後最大的核心戰略就是縮小爆炸半徑 ，並將最小權限原則徹底落實到 IT 騎士團自己身上。

試想一下，如果今天這個剛被我們賦予「使用者管理員」的工程師，他不小心點了釣魚信件導致帳號被盜，暗影神偷摸進來後，頂多只能惡作劇刪除幾個一般村民的帳號，或者亂重設密碼，這雖然很討厭、會造成公會短暫的混亂，但他絕對無法關閉全公會的 MFA 雙重防禦結界，更無法癱瘓 Defender 守衛塔的資安監控機制，這就像是萬一有人不小心踩到陷阱，傷害範圍只會限制在局部，而不會引發毀滅性的全範圍爆炸，直接導致整間公會覆滅。