azure - 使用 AAD Graph API 或 Microsoft Graph API 获取 Azure Active Directory 应用程序权限

Question

我有一个 Multi-Tenancy 应用程序，要求最终用户在访问时授予一组特定的权限。我现在需要向应用程序添加权限，并需要最终用户重新授予应用程序才能使其生效。

话虽这么说，我真的很想检查用户 AAD 中当前的应用程序，以验证他们已经授予了哪些权限集。这样，我可以检查是否需要重新授予它们并获得良好的最终用户体验。

我发现的最接近的是使用以下 Microsoft Graph API 端点:'https://graph.microsoft.com/beta/oAuth2Permissiongrants '

这列出了租户中的服务主体及其所需的权限范围。这不是一个解决方案，因为服务主体的权限范围与应用程序的权限范围不同。

第二种可能的解决方案是使用以下 AAD Graph Api 端点:'https://graph.windows.net/ {tenantid}/applications'

遗憾的是，这也是不可行的，因为它不返回“企业应用程序”。

有人知道如何完成我想做的事情吗？谢谢

Answer 1

如果我正确理解您的问题，您希望取回某人成功同意应用程序的权限列表。

例如，如果我创建一个客户端应用程序，并且请求“User.Read”和“Group.ReadAll”，并且用户已登录我的应用程序并同意这些权限，则您希望查看目录中的位置该信息已存储。

如果是这样，您希望使用 OAuth2PermissionGrant 实体，如所述 here for Microsoft Graph .

{
  "clientId": "string",
  "consentType": "string",
  "expiryTime": "String (timestamp)",
  "id": "string (identifier)",
  "principalId": "string",
  "resourceId": "string",
  "scope": "string",
  "startTime": "String (timestamp)"
}

请注意，对应用程序的同意将始终表示为指向代表该应用程序的服务主体的链接，而不是应用程序对象。

希望这会有所帮助!