本文說明 Microsoft Sentinel 如何為 Microsoft Sentinel SIEM 與 Microsoft Sentinel 資料湖的使用者角色分配權限，並標示每個角色允許的動作。
Microsoft Sentinel 使用 Azure 角色型存取控制 (Azure RBAC)，為 Microsoft Sentinel SIEM 提供內建和自訂角色，並使用 Microsoft Entra ID 角色型存取控制 (Microsoft Entra ID RBAC)，為 Microsoft Sentinel 資料湖提供內建和自訂角色。
在指派角色之前，請參閱規劃指南《指派 Azure 角色的步驟》，以協助判斷誰需要存取權限、選擇哪個角色以及應適用的範圍。
請依照您的角色類型，依照以下逐步指示，為使用者、群組和服務指派角色：
- Azure 角色：使用 Azure 入口網站指派 Azure 角色
- Microsoft Entra ID 角色：指派 Microsoft Entra 角色
重要事項
自 2027 年 3 月 31 日起，Microsoft Sentinel 將不再支援 Azure 入口網站，僅能在 Microsoft Defender 入口網站中使用。 所有在 Azure 入口網站使用 Microsoft Sentinel 的客戶，將被重新導向至 Defender 入口網站，且僅在 Defender 入口網站使用 Microsoft Sentinel。
如果您仍在 Azure 入口網站使用 Microsoft Sentinel，建議您開始規劃轉換至 Defender 入口網站，以確保順利過渡並充分利用 Microsoft Defender 所提供的統一安全運營體驗。
注意事項
如果您正在參與 Microsoft Defender 全面偵測回應 預覽計畫，現在即可體驗全新的 Microsoft Defender 整合式角色型存取控制 (URBAC) 模型。 欲了解更多資訊，請參閱 Microsoft Defender 全面偵測回應 統一角色型存取控制 (RBAC)。
重要事項
Microsoft 建議您使用權限最少的角色。 這有助於改善貴組織的安全性。 全域系統管理員是高度特殊權限角色，應僅在無法使用現有角色的緊急案例下使用。
用於 Microsoft Sentinel 的內建 Azure 角色
以下內建的 Azure 角色用於 Microsoft Sentinel SIEM，並授權對工作空間資料的讀取權限，包括對 Microsoft Sentinel 資料湖的支援。 在資源群組層級分配這些角色，以達到最佳效果。
| 角色 | SIEM 支援 | 資料湖支援 |
|---|---|---|
| Microsoft Sentinel 讀者 | 查看數據、事件、工作手冊、建議及其他資源 | 僅在工作區上存取進階分析並執行互動式查詢。 |
| Microsoft Sentinel 回應者 | 包含所有讀者權限，並可管理事件 | 不適用 |
| Microsoft Sentinel 參與者 | 所有回應者權限，以及安裝/更新解決方案、建立/編輯資源 | 僅在工作區上存取進階分析並執行互動式查詢。 |
| Microsoft Sentinel 劇本操作員 | 列出、檢視及手動執行劇本 | 不適用 |
| Microsoft Sentinel 自動化貢獻者 | 允許 Microsoft Sentinel 將劇本新增至自動化規則。 不適用於使用者帳戶。 | 不適用 |
例如，下表展示了每個角色在 Microsoft Sentinel 中可執行的任務範例：
| 角色 | 執行劇本 | 建立/編輯劇本 | 建立/編輯分析規則、工作簿等。 | 管理事件 | 查看數據、事件、工作手冊、建議 | 管理內容中心 |
|---|---|---|---|---|---|---|
| Microsoft Sentinel 讀者 | -- | -- | --* | -- | ✓ | -- |
| Microsoft Sentinel 回應者 | -- | -- | --* | ✓ | ✓ | -- |
| Microsoft Sentinel 參與者 | -- | -- | ✓ | ✓ | ✓ | ✓ |
| Microsoft Sentinel 劇本操作員 | ✓ | -- | -- | -- | -- | -- |
| Logic App 貢獻者 | ✓ | ✓ | -- | -- | -- | -- |
*具備活頁簿參與者角色。
我們建議您將角色指派到包含 Microsoft Sentinel 工作空間的資源群組。 這可確保所有相關資源（例如 Logic Apps 和劇本）都涵蓋在相同的角色指派中。
另一個選項是直接將角色指派到 Microsoft Sentinel 工作空間本身。 如果您這樣做，則必須將相同的角色指派給該工作區中的 SecurityInsights 解決方案資源。 你可能還需要把它們指派到其他資源，並持續管理這些資源的角色分配。
針對特定任務的額外角色
具有特定工作需求的使用者可能需要被指派其他角色或特定權限，才能完成他們的任務。 例如：
| 任務 | 必要角色/權限 |
|---|---|
| 連結資料來源 | 工作區的寫入權限。 請查看連接器文件，了解每個連接器需要額外權限。 |
| 管理內容中心的內容 | 資源群組層級的Microsoft Sentinel 參與者 |
| 使用操作手冊將回應自動化 |
Microsoft Sentinel Playbook Operator 可執行劇本，而 Logic App Contributor 可建立/編輯劇本。 Microsoft Sentinel 使用劇本進行自動化威脅回應作業。 Playbook 是建立在 Azure Logic Apps 上，並且是獨立的 Azure 資源。 對於資安營運團隊的特定成員，你可能想指定使用 Logic Apps 進行安全協調、自動化與回應 (SOAR) 作業的能力。 |
| 允許 Microsoft Sentinel 透過自動化執行劇本 | 服務帳號需要對 Playbook 資源群組具有明確權限；而您的帳號需要有 Owner 權限，才能指派這些權限。 Microsoft Sentinel 會使用特殊服務帳戶手動執行事件觸發程序劇本，或透過自動化規則呼叫劇本。 使用這個帳號 (而非使用使用者帳號) 提升了服務的安全性。 若要讓自動化規則執行劇本，必須明確授與此帳戶對劇本所在資源群組的權限。 此時，任何自動化規則都可以執行該資源群組中的任何 playbook。 |
| 訪客用戶負責指派事件 |
目錄閱讀器以及 Microsoft Sentinel Responder Directory Reader 角色不是 Azure 角色，而是 Microsoft Entra ID 角色，而且一般（非來賓）使用者預設會被指派此角色。 |
| 建立/刪除工作簿 | Microsoft Sentinel 參與者或權限較低的 Microsoft Sentinel 角色，以及活頁簿參與者 |
其他 Azure 與日誌分析職務
當你指派 Microsoft Sentinel 專屬的 Azure 角色時，可能會遇到其他 Azure 和 Log Analytics 角色，這些角色可能被分配給使用者用於其他用途。 這些角色賦予更廣泛的權限，包括存取您的 Microsoft Sentinel 工作空間及其他資源：
- Azure roles：Owner、Contributor、Reader – 授權跨 Azure 資源的廣泛存取權。
- Log Analytics 職位：Log Analytics 貢獻者、 Log Analytics Reader – 授權存取 Log Analytics 工作區。
重要事項
角色分配是累積性的。 同時擁有 Microsoft Sentinel Reader 與 Contributor 角色的使用者，可能會擁有比預期更多的權限。
推薦給 Microsoft Sentinel 使用者的角色分配
| 使用者類型 | 角色 | 資源群組 | 描述 |
|---|---|---|---|
| 安全分析師 | Microsoft Sentinel 回應程式 | Microsoft Sentinel 資源群組 | 檢視/管理事件、資料、工作簿 |
| Microsoft Sentinel 劇本操作員 | Microsoft Sentinel/playbook 資源群組 | 附加/執行劇本 | |
| 安全工程師 | Microsoft Sentinel 貢獻者 | Microsoft Sentinel 資源群組 | 管理事件、內容與資源 |
| Logic App 貢獻者 | Microsoft Sentinel/playbook 資源群組 | 執行/修改劇本 | |
| 服務主任 | Microsoft Sentinel 貢獻者 | Microsoft Sentinel 資源群組 | 自動化管理任務 |
Microsoft Sentinel 資料湖的角色與權限
要使用 Microsoft Sentinel 資料湖，您的工作空間必須先接入 Defender 入口網站及 Microsoft Sentinel 資料湖。
Microsoft Sentinel 資料湖讀取權限
Microsoft Entra ID 角色提供資料湖中所有內容的廣泛存取權限。 請使用以下角色提供對 Microsoft Sentinel 資料湖中所有工作區的讀取權限，例如用於執行查詢。
| 權限類型 | 支援的角色 |
|---|---|
| 所有工作區的讀取權限 | 請使用以下任一 Microsoft Entra ID 角色： - 全球讀者 - 安全讀取器 - 保全操作員 - 資安管理員 - 全域管理員 |
或者，你也可以設定在特定工作區內讀取資料表的功能。 在這種情況下，請使用以下其中一種：
| 任務 | 權限 |
|---|---|
| 系統資料表上的讀取權限 | 使用具有對 Microsoft Sentinel 資料收集的安全性資料基本資料 (讀取) 權限的自訂 Microsoft Defender 全面偵測回應統一 RBAC 角色。 |
| 資料湖中任何其他已啟用 Microsoft Sentinel 的工作區之讀取權限 | 在 Azure RBAC 中，請使用以下內建角色之一來取得該工作區的權限： - Log Analytics 讀者 - Log Analytics 參與者 - Microsoft Sentinel 貢獻者 - Microsoft Sentinel 讀取者 - 讀者 - 撰稿人 - 擁有者 |
Microsoft Sentinel 資料湖寫入權限
Microsoft Entra ID 角色提供資料湖中所有工作空間的廣泛存取權限。 請使用以下角色提供對 Microsoft Sentinel 資料湖資料表的寫入權限：
| 權限類型 | 支援的角色 |
|---|---|
| 使用 KQL 作業或筆記本將資料寫入分析層中的資料表 | 請使用以下 Microsoft Entra ID 角色之一： - 保全操作員 - 資安管理員 - 全域管理員 |
| 將資料寫入 Microsoft Sentinel 資料湖中的資料表 | 請使用以下 Microsoft Entra ID 角色之一： - 保全操作員 - 資安管理員 - 全域管理員 |
或者，你也可以把寫輸出的能力指定到特定工作區。 這可能包括設定該工作區的連接器、修改工作區中資料表的保留設定，或建立、更新及刪除該工作區中的自訂資料表。 在這種情況下，請使用以下其中一種：
| 任務 | 權限 |
|---|---|
| 更新資料湖中的系統資料表 | 使用具有對 Microsoft Sentinel 資料收集的資料 (管理) 權限的自訂 Microsoft Defender 全面偵測回應統一 RBAC 角色。 |
| 資料湖中的任何其他 Microsoft Sentinel 工作區 | 使用任何包含下列 Azure RBAC Microsoft 作業深入解析權限的內建或自訂角色，以存取該工作區： - microsoft.operationalinsights/workspaces/write - microsoft.operationalinsights/workspaces/tables/write - microsoft.operationalinsights/workspaces/tables/delete 例如，內建角色包含這些權限： Log Analytics 貢獻者、 擁有者和 貢獻者。 |
管理 Microsoft Sentinel 資料湖中的作業
要建立排程工作或管理 Microsoft Sentinel 資料湖中的工作，您必須具備以下 Microsoft Entra ID 角色之一：
自訂角色與進階 RBAC
若要限制對特定資料的存取，但不限制整個工作空間，請使用 資源上下文 RBAC 或 資料表層級 RBAC。 這對於需要只存取特定資料型態或資料表的團隊來說非常有用。
否則，請使用下列其中一個用於進階 RBAC 的選項：
- 若要存取 Microsoft Sentinel SIEM，請使用 Azure 自訂角色。
- 針對 Microsoft Sentinel 資料湖，使用 Defender 全面偵測回應 統一 RBAC 自訂角色。
相關內容
欲了解更多資訊，請參閱 Azure 監視器 中的日誌資料與工作區管理