azure - 获取有权访问 Azure 资源的用户和组

Question

我有一个名为devtest的资源。我想使用 azure cli 或 REST API 从 IAM -> 角色分配 Blade 获取列表:

如何以编程方式检索该信息(group-id、显示名称等)？是否可以获得有权访问资源的用户和组的列表？

例如，使用 graph 可以获取签名用户所属的组:

POST https://graph.microsoft.com/v1.0/me/getMemberGroups
Request Body:
{
    "securityEnabledOnly": true
}

Response:
{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#Collection(Edm.String)",
    "value": [
        // group ids here
    ]
}

但是如何对资源执行类似的操作并获取在该资源中具有角色的用户和组的列表？

编辑:

当我们转到角色分配 Blade 时，Azure调用端点:

POST https://graph.windows.net/{subscriptionId}/getObjectsByObjectIds

Request body:
{ "objectIds":[ "bunch unknown ids here" ],"includeDirectoryObjectReferences":true }

我收到的回复如下:

这与我在角色分配选项卡中看到的内容相关，但并非所有职位都会返回。在此回复中，我们没有有关角色的信息，如何深入了解它们？

Answer 1

您可以使用以下 cmdlet 列出资源及其各自组的所有角色分配(如果角色分配的对象类型不是 User，则不会为您提供任何输出)。

这是脚本:

 connect-azuread  # Manadatory to authenticate with azuread & to further run Get-azureadusermembership cmdlet
$rbac=Get-AzRoleAssignment -ResourceGroupName '<RgName>' -ResourceName '<ResourceName>' -ResourceType 'Microsoft.KeyVault/vaults' | Where-Object -Property ObjectType -EQ User| select -Property SignInName,ObjectId,RoleDefinitionName
Write-output $rbac
foreach($item in $rbac)
{
    Get-AzureADUserMembership -ObjectId $item.ObjectId | select -Property *
}

以下是供引用的示例输出: