Чтобы роль могла предоставлять разрешения, ее следует назначить участнику, например политике назначения ролей. Это назначение осуществляется с помощью назначений ролей управления. Назначение роли связывает роли и участников ролей. Если участнику роли назначено несколько ролей, ему предоставляется совокупность всех разрешений, предоставляемых всеми назначенными ролями.

Примечание.
Роль управления также можно назначить группе ролей, универсальной группе безопасности или пользователю. Тем не менее пользовательские роли наиболее эффективны при использовании с политиками назначения ролей.

Эта пользовательская роль имеет неявные области, которые не могут быть изменены. В связи с этим не следует добавлять пользовательские области в назначения ролей, назначающие эту роль политикам назначения ролей, группам ролей, универсальным группам безопасности и пользователям.

Дополнительные сведения о назначениях ролей и областях см. в следующих разделах:

• Общие сведения о назначениях ролей управления
  
  
• Общие сведения об областях применения ролей управления
  
  

По умолчанию эта роль назначается одной или нескольким политикам назначения ролей. Дополнительные сведения см. в разделе "Назначения ролей управления по умолчанию".

Для просмотра списка групп ролей, пользователей и универсальных групп безопасности, назначенных этой роли, используйте следующую команду.

	Скопировать код
Get-ManagementRoleAssignment -Role "<role name>"

Назначения обычных ролей и ролей делегирования

Добавление или удаление назначений ролей

Включение или отключение назначений ролей

Эта роль имеет назначения ролей одному или нескольким уполномоченным ролей. В следующей таблице указано, является ли назначение роли обычным или делегированным, а также отображены области управления, примененные к каждому назначению. В следующем списке приведено описание каждого столбца.

• Обычное назначение   Назначения обычных ролей предоставляют уполномоченному роли доступ к разрешениям, предоставленным этой роли записями роли управления.
  
  
• Делегированное назначение   Назначения ролей делегирования предоставляют возможность уполномоченному ролей назначать эту роль группам ролей, пользователям и универсальным группам безопасности.
  
  
• Область чтения получателей   Область чтения получателей определяет объекты получателей, которые можно читать уполномоченному ролей из Служба каталогов Active Directory.
  
  
• Область записи получателей   Область записи получателей определяет объекты получателей, которые уполномоченному ролей можно изменять в Служба каталогов Active Directory.
  
  
• Область чтения конфигурации   Область чтения конфигурации определяет объекты сервера и конфигурации, которые можно читать уполномоченному ролей из Служба каталогов Active Directory.
  
  
• Область записи конфигурации   Область записи конфигурации определяет объекты сервера и организации, которые уполномоченному ролей можно изменять в Служба каталогов Active Directory.
  
  

Назначения ролей управления по умолчанию для этой роли

Эта роль настроена таким образом, чтобы предоставить уполномоченному роли все необходимые командлеты и их параметры для управления функциями и компонентами, перечисленными в начале этого раздела. Другие роли также предоставлены для управления другими функциями. Путем добавления ролей в группы и удаления их из групп можно создавать настраиваемые модели разрешений без необходимости настройки отдельных ролей управления. Полный список ролей приведен в разделе Встроенные роли управления. Дополнительные сведения о настраиваемых группах ролей см. в следующих разделах:

• Добавление роли в группу ролей
  
  
• Удаление роли из группы ролей
  
  

Для создания настраиваемой версии этой роли необходимо создать дочернюю роль этой роли, а затем настроить новую роль.

Внимание!
Следующие сведения позволят выполнять дополнительные задачи управления разрешениями. Настройка ролей управления может значительно повысить сложность модели разрешений. Замена встроенной роли управления неправильно настроенной ролью может привести к прекращению работы определенных функций.

Ниже описаны основные шаги по созданию настраиваемой роли и ее назначению уполномоченному роли.

1. Создайте копию роли с помощью командлета New-ManagementRole. Дополнительные сведения см. в разделе Создание роли.
   
   
2. С помощью командлетов Set-ManagementRoleEntry и Remove-ManagementRoleEntry измените или удалите записи новой роли. В новую роль нельзя добавлять дополнительные записи, потому что она может содержать только записи встроенной родительской роли. Дополнительные сведения приведены в следующих разделах:
   
   
   • Изменение записи роли
     
     
   • Удаление записи роли из роли
     
     
3. Чтобы заменить встроенную роль новой настроенной ролью, удалите все назначения ролей, связанные со встроенной ролью, с помощью командлета Remove-ManagementRoleAssignment. Дополнительные сведения приведены в следующих разделах:
   
   
   • Удаление роли из группы ролей
     
     
   • Удаление роли пользователя или универсальной группы безопасности
     
     
4. Добавьте новую настроенную роль в необходимое назначение ролей с помощью командлета New-ManagementRoleAssignment. Дополнительные сведения приведены в следующих разделах:
   
   
   • Добавление роли в группу ролей
     
     
   • Добавление роли для пользователя или универсальной группы безопасности
     
     

     Важно!
     Чтобы другие пользователи (кроме создателя роли) могли назначать новую настроенную роль, добавьте назначение роли делегирования по крайней мере одному уполномоченному роли. Дополнительные сведения см. в разделе Назначения роли делегата.