为什么作为订阅的共同管理员我无法编辑Active Directory？

Question

一位客户让我成为他的Azure订阅的共同管理员.但是,我无法编辑他的Active Directory,即添加/编辑用户,创建应用程序等.

为什么我不能访问它？我想也许订阅是由AD拥有而不是相反.

AD中的每个角色级别允许什么？有

• 全球管理员
• 结算管理员
• 服务管理员
• 用户管理员
• 密码管理员

Answer 1

我认为导致此错误的主要原因是,当与Microsoft帐户的共同管理员添加到订阅时,它将作为Guest用户类型添加到订阅AD中.为了让您获得访问该广告,这样就可以在AD执行的操作,你的用户类型需要更改为Member从Guest.我与我们产品的一个用户有完全相同的问题,下面描述的步骤解决了这个问题.

要更改用户类型,需要使用AD PowerShell Cmdlet.这个过程相当复杂,需要由您的客户完成.

1. 首先,请与您的客户核实他们自己是否使用Microsoft帐户登录门户网站.如果是,那么他们需要在Azure AD中创建用户.请参阅此主题以了解为何需要此主题:PowerShell - 使用Microsoft帐户连接到Azure Active Directory.
2. 接下来,他们需要使用此用户帐户登录,因为需要在第一次登录时更改用户密码.
3. 安装AD模块.您可能会发现这些链接对此有用:https://msdn.microsoft.com/en-us/library/azure/jj151815.aspx#bkmk_installmodule,http : //www.microsoft.com/en-us/download/ details.aspx？id = 41950(请选择64位版本)和http://go.microsoft.com/fwlink/p/?linkid=236297.
4. 启动PowerShell并执行以下命令:

.

$cred = Get-Credential  #In the window that shows up, please specify the local AD user credentials.

connect-msolservice -Credential $cred

(Get-MsolUser -SearchString "your microsoft account email address").UserType #This should output "Guest". If it doesn’t, please stop and do not proceed further as there might be some other issue.

(Get-MsolUser -SearchString "your microsoft account email address") | Set-MsolUser -UserType Member

(Get-MsolUser -SearchString "your microsoft account email address").UserType #This should now output "Member"

如果问题仍然存在,请让您的客户登录门户网站,从AD用户列表中删除您的用户记录并重新添加.这也应该解决这个问题.

Answer 2

答案是我需要被设置为 Azure AD 域中的全局管理员。