Azure AD : how to setup custom permissions for app?

Question

我们将 Azure AD 应用程序配置为访问多个组织资源(用掩码隐藏)(自定义资源，例如 Contoso 服务)。我们希望再添加一项资源作为此设置的一部分。

任何人都可以指导我或分享文档链接:如何配置此自定义权限以显示在 Azure AD 配置仪表板的列表中？

Answer 1

当您体验添加新的所需权限时，门户将查看 Azure AD 租户中的所有 ServicePrincipal 对象。对于每个ServicePrincipal对象，它会查看AppRoles和OAuth2Permissions属性，以查看该ServicePrincipal代表的应用程序是否em> 对象分别发布任何应用程序权限或委派权限。

因此，为了在可用资源(即 API)列表中查看资源，您首先需要确保在您的 Azure AD 租户(即 API)中存在该资源的 ServicePrincipal 对象。在您要创建客户端应用程序注册的 Azure AD 租户中)。

当您(或租户中的其他人)登录并同意应用所请求的权限时，通常会在您的 Azure AD 租户中创建应用的 ServicePrincipal 对象。如果您的租户中不存在 ServicePrincipal 对象，您可以通过引用资源应用的 AppId 手动创建它。

使用 Azure AD PowerShell:

New-AzureADServicePrincipal -AppId "{app-id}"

使用 Azure CLI:

az ad sp create --id "{app-id}"

直接使用 Azure AD Graph(例如使用 Azure AD Graph Explorer ):

POST https://graph.windows.net/myorganization/servicePrincipals

{ "appId": "{app-id}" }

直接使用 Microsoft Graph(测试版)(例如使用 Microsoft Graph Explorer ):

POST https://graph.microsoft.com/beta/servicePrincipals

{ "appId": "{app-id}" }

在租户中创建 ServicePrincipal 对象后，如果它发布 AppRoles 或 OAuth2Permissions，您应该会看到它在应用中列出在选择您的应用需要哪些权限时的注册体验。

注 1:对于引用 Microsoft 应用和服务的 ServicePrincipal 对象，所描述的某些行为有所不同。

注意 2:一旦 Azure AD 租户中存在 ServicePrincipal 对象，拥有支持应用注册的任何人都可以在您的租户中进行身份验证(作为应用)并获取访问 token 。这本身并不会授予应用程序对任何内容的访问权限(至少不会授予 Microsoft 服务)，但此时用户更容易意外(或有意)授予该应用程序对组织资源的访问权限(例如，在 Azure 中，对于例如，该应用程序将显示在可以被授予访问订阅资源的用户、组或应用程序的列表中)。