Azure Active Directory - 分配給組

是否可以通過圖形客戶端或API以編程方式將應用程序（作爲應用程序或服務主體）分配給組？（包括允許羣組成員訪問應用程序所需的應用程序用戶憑證）Azure Active Directory - 分配給組

我到處搜索並找不到文檔。

由於

來源

2015-10-18 user1477327

否，在天青AD「應用程序」用於天青AD內段授權和設置。它創建了Azure AD和您的應用程序之間的信任關係。該應用程序不是用戶。

用戶是具有身份並且可以被授權訪問資源（如應用程序）的Azure AD實體。用戶可以添加到組中。請參見下面的鏈接，在Azure AD圖形API文檔：

https://msdn.microsoft.com/Library/Azure/Ad/Graph/api/groups-operations#AddGroupMembers

和文檔什麼用戶實體的樣子：

https://msdn.microsoft.com/Library/Azure/Ad/Graph/api/entity-and-complex-type-reference#UserEntity

來源

2015-10-18 20:47:06 emseetea

感謝您的回答emseetea，但我們做的有一點比這更多。

回到原來的問題 - 你可以編程方式「分配一個組到應用程序」。答案是肯定的，在服務主體上使用appRoleAssignments。服務主體代表應用程序實例，通常將其作爲同意授權的一部分進行配置。在此租戶特定應用程序實例（服務主體）上，您可以附加租戶特定的權限和策略。權限是作爲同意的一部分創建的，但您也可以編程方式將應用程序角色（由應用程序定義）分配給用戶或組。如果未分配應用程序角色，則可以進行「默認」分配。您可以在這裏找到更多關於此主題的文章http://blogs.msdn.com/b/aadgraphteam/archive/2014/12/12/announcing-the-new-version-of-graph-api-api-version-1-5.aspx，其中介紹了一些有關示例REST API調用的內容。

這個相同的操作也可以通過客戶端庫。你可以看看https://github.com/Azure-Samples/active-directory-dotnet-graphapi-console。查看標題爲「#region Assign Direct Permission」的部分。這顯示瞭如何爲用戶分配應用程序角色。你也可以在一個組上做同樣的事情。如果您的應用沒有指定任何應用角色，請將appRoleAssignment.Id設置爲零GUID。

希望這有助於

來源

2015-10-19 01:26:51

是，應用程序角色是非常有用的，但是，恭敬，這不是一個問題的答案是，OP問。很難在沒有更多細節的情況下推測OP原始問題背後的動機，但是您認爲應用程序角色適用於OP的基本目標可能是正確的。我知道我從你的答案中學到了一些東西，所以非常感謝。 :) – emseetea

基本上我想要做的就是模仿將圖庫應用添加到Azure Active Directory。我通過從Azure Gallery添加應用程序的Id來添加服務主體，從而取得了成功。當我手動（通過Azure門戶）將應用程序分配給一個組時，它會嚮應用程序請求管理員的憑據（例如，Office 365，動態CRM等）。添加應用程序角色時，我在哪裏可以將這些憑據添加到代碼中？ – user1477327

Azure Active Directory - 分配給組

回答

相關問題