Erteilen von Administratorrechten für KI-Administratoren zum Verwalten von Connectors

Mit Microsoft 365 Copilot-Connectors können Organisationen maßgeschneiderte Integrationen erstellen, um ihre KI-Systeme und -Dienste zu verbessern. Im Allgemeinen sind KI-Administratoren für das Einrichten und Verwalten von Copilot-Connectors verantwortlich. Bestimmte Aufgaben wie die Registrierung von Anwendungen und die Zustimmung zu bestimmten Microsoft Graph-API-Berechtigungen erfordern jedoch häufig einen globalen Administrator. Das Delegieren von Administratorrechten an KI-Administratoren kann Abhängigkeiten reduzieren und KI-Administratoren ermöglichen, Copilot-Connectors unabhängig voneinander einzurichten. In diesem Artikel wird beschrieben, wie Sie Administratorrechte delegieren und gleichzeitig die organisatorische Kontrolle behalten.

Welche Administratorrechte können delegiert werden?

Um KI-Administratoren die unabhängige Verwaltung der Einrichtung und des Betriebs benutzerdefinierter Connectors zu ermöglichen, delegieren Sie die folgenden Administratorrechte:

• Berechtigung zur Anwendungsregistrierung: Wenn Sie diese Berechtigung erteilen, können KI-Administratoren Anwendungen aus dem Microsoft Entra Admin Center registrieren, um benutzerdefinierte Connectors einzurichten. Berechtigungen zur Anwendungsregistrierung sind standardmäßig für alle Benutzer in einer organization aktiviert. Erteilen Sie diese Berechtigung nur, wenn die Berechtigung für die organization deaktiviert ist.

• Zustimmungsberechtigungen: Wenn Sie diese Berechtigung gewähren, können KI-Administratoren die Zustimmung für konnektorbezogene Microsoft Graph-API-Berechtigungen erteilen, z. B. ExternalItem.ReadWrite.OwnedBy und ExternalConnection.ReadWrite.OwnedBy, die speziell für das Erstellen von Verbindungen und das Aufnehmen von Elementen gelten.

Erteilen von Berechtigungen für die Anwendungsregistrierung

Wenn die Berechtigungen zur Anwendungsregistrierung für alle Benutzer in der organization aktiviert sind, ist keine zusätzliche Konfiguration erforderlich. Wenn diese Berechtigungen jedoch eingeschränkt sind, können globale Administratoren sie KI-Administratoren mithilfe einer benutzerdefinierten Rolle erteilen. Weitere Informationen finden Sie unter Delegieren von App-Registrierungsberechtigungen in Microsoft Entra ID.

Erteilen von Zustimmungsberechtigungen

Um KI-Administratoren Zustimmungsberechtigungen zu erteilen, erstellen Sie eine benutzerdefinierte Richtlinie und Rolle, die auf die erforderlichen Berechtigungen zugeschnitten ist:

1. Definieren Sie eine Richtlinie, die speziell Berechtigungen für ExternalItem.* und ExternalConnection.* erteilt.
2. Erstellen Sie eine benutzerdefinierte Rolle, und weisen Sie dieser Rolle die neu erstellte Zustimmungsrichtlinie zu.
3. Weisen Sie die benutzerdefinierte Rolle Benutzern mit der Rolle "KI-Administrator" zu, damit sie die Zustimmung für die angegebenen Berechtigungen verwalten können.

Verwenden von PowerShell zum Erteilen von Administratorrechten

Sie können ein PowerShell-Skript verwenden, um KI-Administratoren Administratorrechte zu erteilen. Das PowerShell-Skript führt die folgenden Aktionen aus:

• Gewährt Benutzern, denen derzeit die Rolle "KI-Administrator" zugewiesen ist, Berechtigungen zur Anwendungsregistrierung.
• Gewährt Zustimmungsberechtigungen wie folgt:
  • Erstellen einer benutzerdefinierten Zustimmungsrichtlinie mit dem Namen "Zustimmungsberechtigungen für KI-Administratoren erteilen ", die es den Benutzern ermöglicht, ExternalItem.* und ExternalConnection.* zuzustimmen.
  • Einrichten einer benutzerdefinierten Rolle namens "Benutzerdefinierte Connectorverwaltung" für Copilot und Zuweisen der Zustimmungsrichtlinie zu dieser Rolle.
  • Zuweisen der benutzerdefinierten Rolle zu vorhandenen KI-Administratoren.

So verwenden Sie das PowerShell-Skript:

1. Verwenden Sie den Install-Module Befehl in PowerShell, um das Skript zu installieren.

   Install-Module Connector.Cmd
   

   Wichtig

   Für diese Schritte ist Connector.Cmd Version 1.4 oder höher erforderlich.

2. Verwenden Sie den folgenden Befehl, um das Skript aufzurufen.

   GrantAppConsentAndManagementPermissionToAiAdmin
   

3. Melden Sie sich als globaler Administrator an, und genehmigen Sie die erforderlichen Berechtigungen.

Nachdem das Skript ausgeführt wurde, verfügen vorhandene Benutzer mit der Rolle "KI-Administrator" über Administratorrechte zum Einrichten und Verwalten von Copilot-Connectors.

Ergebnisse bestätigen

So stellen Sie sicher, dass die Administratorrechte erfolgreich gewährt wurden:

1. Melden Sie sich beim Microsoft Entra Admin Center als KI-Administrator an.
2. Wechseln Sie zum Abschnitt "App-Registrierungen", und erstellen Sie eine neue Anwendung.
3. Fügen Sie der Anwendung die Berechtigungen ExternalItem.ReadWrite.OwnedBy und ExternalConnection.ReadWrite.OwnedBy hinzu.
4. Stimmen Sie diesen Berechtigungen direkt im Portal zu.

Bei erfolgreicher Ausführung ist die Konfiguration abgeschlossen.

Häufig gestellte Fragen

Erteilt das PowerShell-Skript allen Microsoft Graph-API-Berechtigungen Zustimmung?

Nein, das Skript schränkt die Zustimmungsberechtigungen auf ExternalItem.* und ExternalConnection.* ein. Dadurch wird sichergestellt, dass minimal erforderliche Berechtigungen erteilt werden, ohne einen breiteren Zugriff zu riskieren.

Was geschieht, wenn die Connectoranwendung Berechtigungen benötigt, die über ExternalItem.* und ExternalConnection.* hinausgehen?

In diesem Fall müssen globale Administratoren die Zustimmung für andere Berechtigungen manuell erteilen. So erweitern Sie die Berechtigungen für KI-Administratoren:

1. Erstellen oder aktualisieren Sie manuell eine benutzerdefinierte Zustimmungsrichtlinie, wie unter Erteilen von Zustimmungsberechtigungen beschrieben.
2. Fügen Sie die anderen für die Anwendung erforderlichen Berechtigungen hinzu.
3. Weisen Sie die aktualisierte Richtlinie der zuvor erstellten benutzerdefinierten Rolle zu.

Wie kann ich KI-Administratoren gewährte Berechtigungen widerrufen?

Wechseln Sie zum Entfernen von Berechtigungen im Microsoft Entra Admin Center oder Microsoft 365 Admin Center zur Seite "Rollen & Administratoren". Suchen Sie die benutzerdefinierte Rolle, die während des Setups erstellt wurde, und löschen Sie sie.

Gelten Berechtigungen automatisch für neu zugewiesene KI-Administratoren?

Nein, über das PowerShell-Skript gewährte Berechtigungen gelten nur für aktuelle KI-Administratoren. Führen Sie für neue KI-Administratoren das Skript erneut aus, oder weisen Sie die benutzerdefinierte Rolle manuell neu zugewiesenen Administratoren aus dem Microsoft Entra Admin Center zu.

Ist es obligatorisch, diese Berechtigungen KI-Administratoren zu erteilen?

Nein, das Erteilen dieser Berechtigungen ist optional. Organisationen können basierend auf ihren internen Prozessen auswählen, ob Berechtigungen delegiert werden sollen. Wenn eine zentrale Steuerung bevorzugt wird, können globale Administratoren die Verantwortung für diese Aufgaben behalten.

Verwandte Inhalte

• Delegieren von App-Registrierungsberechtigungen in Microsoft Entra ID
• Berechtigungen zur Anwendungsregistrierung für benutzerdefinierte Rollen in Microsoft Entra ID
• Abfragen vorhandener Copilot-Connectors im Graph-Explorer (ExternalConnection.Read.All)