User1 deve essere in grado di assegnare un criterio al gruppo di gestione radice del tenant. Cosa è necessario fare per abilitare questa operazione?

Per assegnare un criterio al gruppo di gestione radice del tenant, un utente deve avere i permessi necessari per elevare i propri privilegi e gestire l'accesso a livello di tenant. Il ruolo Amministratore globale (Global Administrator) in Azure Active Directory (Azure AD) è l'unico ruolo che, per impostazione predefinita, ha la capacità di elevare i propri privilegi per gestire tutte le sottoscrizioni e i gruppi di gestione in Azure, inclusa l'assegnazione di ruoli a livello di gruppo di gestione radice. Dopo aver elevato i propri privilegi, User1 può configurare la gestione degli accessi per le risorse Azure, inclusa l'assegnazione di criteri. Assegnare il ruolo Proprietario (Owner) per la sottoscrizione Azure non è sufficiente, poiché tale ruolo opera a livello di sottoscrizione e non ha permessi sul gruppo di gestione radice del tenant. Modificare i criteri di accesso condizionale predefiniti non conferisce i permessi necessari per l'assegnazione di criteri a livello di gruppo di gestione radice. Creare un nuovo gruppo di gestione e delegare User1 come proprietario non risolve il problema, poiché l'obiettivo è agire sul gruppo di gestione radice esistente.