azure - 如何对具有不同描述和显示名称的 AppRoles 和 oauth2Permissions 使用相同的值？

Question

我的 Azure AD 应用程序公开范围Roles.ReadWrite.All(委派权限)。现在我想使用机器对机器通信，所以我需要公开应用程序权限。来自官方文档How to: Add app roles in your application and receive them in the token ，我创建了一个AppRoles。现在我可以向另一个应用程序授予该应用程序应用程序权限。

但问题是，我想对应用程序权限和委派权限使用相同的值，因为微软已经通过他们的Microsoft Graph 应用程序的 AccessReview.Read.All 权限。但是当我想创建 appRoles 时，它显示错误 -

Failed to update Backend API application. Error detail: It contains duplicate value. Please Provide unique value. []

只有在两个 appRoles 的 id、说明 和显示名称保持相同的情况下，我才能创建相同的权限值和oauth2Permissions。但是 Microsoft Graph 使用两个不同的 ID，但使用相同的值!

...
"requiredResourceAccess": [
    {
        "resourceAppId": "00000003-0000-0000-c000-000000000000",
        "resourceAccess": [
            {
                "id": "ebfcd32b-babb-40f4-a14b-42706e83bd28", // AccessReview.Read.All
                "type": "Scope"
            },
            {
                "id": "d07a8cc0-3d51-4b77-b3b0-32704d1f69fa", // AccessReview.Read.All
                "type": "Role"
            }
        ]
    },
    {
        "resourceAppId": "96954c3d-fbb4-4899-be79-582b810acb7b",
        "resourceAccess": [
            {
                "id": "fbeb72c6-dfcb-45b6-b83a-db2929314e70",
                "type": "Scope"
            },
            {
                "id": "42b90870-bbe2-46c6-a221-4f8981c559ae", // Roles.ReadWrite.All
                "type": "Scope"
            },
            {
                "id": "42b90870-bbe2-46c6-a221-4f8981c559ae", // Roles.ReadWrite.All
                "type": "Role"
            }
        ]
    }
],
...

如上面的 Manifest 代码段所示，Graph API 的 AccessReview.Read.All 有两个不同的 id 用于委托(delegate) 和Application 权限，其中我的Roles.ReadWrite.All 具有与结果相同的ID 相同的显示名称 和描述

Answer 1

恐怕目前不支持您所需要的功能。

正如您所测试的，如果我们对“AppRoles”和“OAuth2Permission”使用相同的值，它将显示此错误:它包含重复的值。请提供独特的值(value)。

当我们为“AppRoles”和“OAuth2Permission”设置相同的 ID 时，我们将需要为 (description, adminConsentDescription),(displayName, adminConsentDisplayName ),(isEnabled, isEnabled),(原点,原点),(值,值)。

在这种情况下，我们可以说我们获得了“AppRoles”和“OAuth2Permission”的相同对象。但不会影响您的使用。访问 token 可以返回正确的委托(delegate)权限或应用程序权限。