Блог

Я пытаюсь предоставить согласие администратора на назначенные разрешения с помощью API-интерфейсов Microsoft graph. Шаги, которые я выполнил, следующие:

1. Создайте приложение с определенным массивом «appRoles».

2. создайте участника службы с помощью AppID.

3. Предоставьте разрешение на назначение для участника службы. Я запустил http post запрос:

https://graph.microsoft.com/v1.0/servicePrincipals /{id}/Одобрить присвоенный

4. На портале Azure вместо предоставления изначально существующего разрешения я вижу, что он создает другое разрешение и дает на него согласие, как показано на рисунке ниже.

Почему он не предоставляет исходное разрешение, даже если «идентификатор доступа» такой же? Я хочу предоставить исходное разрешение, может кто-нибудь мне сказать? Спасибо.

Конечно, это не предоставит исходное разрешение, когда вы создаете приложение и предоставляете разрешение API, это разрешение и разрешение в Exchange — это совершенно разные разрешения от разных API, независимо от того, что appRoleId они использовали.

Чтобы предоставить full_access_as_app разрешение приложению для вашего приложения, выполните следующие действия.

1. Перейдите к своему приложению AD на портале -> Manifest -> requiredResourceAccess , resourceAppId выберите и id , отметьте id внизу как appRoleId .

2. Перейдите Azure Active Directory на портал -> Enterprise applications -> найдите resourceAppId полученный на шаге 1, затем вы найдете Office 365 Exchange Online -> щелкните по нему -> Overview -> получите Object ID , запишите его как resourceId .

Примечание: это Object ID отличается в разных клиентах AAD.

3. Перейдите в свое приложение AD -> щелкните Managed application in local directory , затем Object ID выберите, запишите его как principalId .

4. Затем вызовите Microsoft Graph, который вы использовали — предоставьте разрешение на назначение для участника службы, используйте значения, полученные ранее.

 POST https://graph.microsoft.com/v1.0/servicePrincipals/<resourceId>/appRoleAssignedTo

{
  "principalId": "<principalId>",
  "resourceId": "<resourceId>",
  "appRoleId": "<appRoleId>"
}
  

Я тестирую его в обозревателе графиков:

Проверьте результат на портале, он работает нормально.