azure - 如何在Powershell中向Azure应用程序授予权限范围？

Question

我正在更新 Powershell 脚本，以将 Azure CLI 调用替换为 PowerShell 命令。 Powershell 脚本在 Azure 租户中创建多个应用程序注册，向它们添加权限，然后授予对这些权限的访问权限。

我发现很难替换授予访问权限的 CLI 调用。通常，这些调用会向服务主体授予一个或多个范围的访问权限，例如

az 广告应用权限授予 --id $app.appId --api 00000003-0000-0000-c000-000000000000 --scope "offline_access openid"

我认为无法使用 Azure 资源模块中的 Cmdlet 来执行此操作，并且尚未在 Azure Graph API 中找到直接等效的方法。我在 Graph API 中发现的最接近的东西是用于授予应用程序角色分配 ( https://learn.microsoft.com/en-us/graph/api/serviceprincipal-post-approleassignedto?view=graph-rest-1.0&tabs=powershell ) 的端点，但它解决了不同的问题，分配角色而不是范围。

我对 Azure 开发还很陌生，但这几天我一直在努力解决这个问题，所以任何建议都将不胜感激!

编辑:添加我希望能够在不需要管理员同意的情况下授予权限的示例。

Answer 1

我们已经在本地环境中对此进行了测试，它运行良好。以下陈述基于我们的分析。

您可以使用以下 PowerShell cmdlet 添加应用注册权限。

Add-AzADAppPermission -ObjectId "<objectID>" -ApiId "00000003-0000-0000-c000-000000000000" -PermissionId "<PermissionId>" -Type "<role(ApplicationPermissions),Scope(DelagatedPermissions)"

以下是供引用的示例输出屏幕截图:

根据 Current documentation ，如果该权限需要管理员同意，用户需要通过 Azure 门户授予同意，因为 Azure PowerShell 尚不支持。

注意:

appRoles 属性下的应用程序权限对应于-Type 中的Role。 oauth2Permissions 属性下的委派权限对应于 -Type 中的 Scope。