azure - 在 Terraform 中设置 Azure AD Microsoft Graph 电子邮件 API/权限

Question

我正在使用 Terraform 配置一些 Azure 基础设施。设置要求中包括 Azure AD 注册应用程序的一些配置，这需要授予以下 Microsoft Graph 权限(参见下图):

• GroupMember.Read.All
• 电子邮件(OpenId)

在我的 Terraform 配置中，我的 resource "azure_application" block 中包含以下代码片段，位于 required_resource_access 子 block 内。对于resource_access id，我使用了此Microsoft页面上提供的值 - https://learn.microsoft.com/en-us/graph/permissions-reference .

我的 Terraform 配置当前能够成功添加 GroupMember.Read.All 权限，但不知何故无法添加所需的电子邮件权限，如下面的屏幕截图所示，显示 GUID 引用而不是实际名称“电子邮件”。

我还希望在 Terraform 配置中能够为 API/权限授予管理员同意(如最右列所示)。

关于如何实现上述所有目标，有什么建议吗？

Answer 1

对于权限 type，Scope 对应于 Deleerated 权限类型，其中 Role 是 应用程序类型。

电子邮件 OpenID 范围是委托(delegate) 权限类型，因此您需要从角色更改权限类型 > 到范围。

resource_access {
    id = "64a6cdd6-aab1-4aaf-94b8-3cc8405e90d0"
    type = "Scope"
}