azure - 请求 Azure 服务管理 API 范围有限的 Azure Active Directory token

Question

我使用我的应用从 Azure AD 为用户请求 oauth token ，以便我可以代表用户使用 Azure 服务管理 API 来处理其 Azure 资源。这很好用，但是，现在我拥有太多的权力。

我想将我检索的 token 的范围限制为特定能力，这样我就不会意外(或恶意)对我的应用所模拟的人的 Azure 资源做坏事。

“Microsoft Graph”API 有数十种我可以授予的权限:

但是“Windows Azure 服务管理”API 只有一个:一切

如何使此访问权限更细化以保护我的应用和用户？

Answer 1

据我所知，使用 ASM API，您无法真正限制范围。

现在，Azure 资源管理 (ARM) API 允许非常小的粒度。您使用 ASM API 有什么具体原因吗？

使用 ARM API，您可以注册一个应用程序，然后将应用程序角色分配给订阅/资源组/资源，然后它就可以执行这些操作。查看文档以获取有关 ARM 功能的更多信息:https://learn.microsoft.com/en-us/rest/api/resources/

有关基于角色的访问控制的信息:https://learn.microsoft.com/en-us/azure/role-based-access-control/overview