azure - Azure AD 上的企业应用程序可以分配不同范围的权限吗？

Question

我们的用例是这样的:我们的应用程序需要访问客户组织的 Azure AD 来:

• 验证用户身份
• 当用户的个人资料数据在 AD 上发生变化时，将其同步到我们的应用
• 阅读并订阅 session 室预订变更

因此，我们的应用需要 User.Read.All 权限来读取用户的个人资料，还需要 Calendar.Read.All 权限，但后者必须仅限于特定的范围组(以保护实际用户的隐私)。根据this article ，租户管理员可以将应用程序的访问限制到特定组，但我没有看到任何方法可以针对单个权限执行此操作，因此它将将企业应用程序的所有权限限制到该组。我是否遗漏了某些内容，或者这根本不可能，并且我需要为此目的使用多个服务帐户？

Answer 1

目前我们无法限制特定应用程序访问特定组的权限。但我们可以将应用程序权限范围限制到特定 Exchange Online 邮箱。

管理员可以使用 ApplicationAccessPolicy cmdlet 控制已被授予以下任何应用程序权限的应用程序的邮箱访问权限:

• 邮件.阅读
• Mail.ReadBasic
• Mail.ReadBasic.All
• Mail.ReadWrite
• 邮件.发送
• MailboxSettings.Read
• MailboxSettings.ReadWrite
• 日历。阅读
• 日历.ReadWrite
• 通讯录。阅读
• 联系人.ReadWrite

因此，如果您同时拥有 User.Read.All 和 Calendar.Read，则 ApplicationAccessPolicy 将仅适用于 Calendar.Read 权限。 ApplicationAccessPolicy 特定于 Exchange Online 资源，不适用于其他 Microsoft Graph 工作负载。