azure - 适用于云应用 REST API 的 Microsoft Defender - 基于角色的权限不足

Question

我正在尝试调查文件上传，看看它们是否与 Microsoft Defender for Cloud Apps(又名 MCAS)中的文件扫描策略匹配。我可以在门户上很好地看到它们，但我需要通过 API 自动化该过程。

根据文档，我确实创建了 Azure AD 应用程序并提供了权限。这是获取进行 api 调用所需的访问 token 所必需的。

当我调用 https://aspnet4you2.us3.portal.cloudappsecurity.com/api/v1/files/ 时，出现基于角色权限不足的错误。如果我使用 https://portal.cloudappsecurity.com/cas/api/v1/files/ 我会得到同样的错误

知道如何解决这个权限不足的问题吗？

Answer 1

我尝试在我的环境中重现相同的结果，并得到以下结果

我注册了一个 Azure AD 应用程序并授予了 API 权限，如下所示:

现在我通过 Postman 使用以下参数生成了访问 token :

POST https://login.microsoftonline.com/<tenantID>/oauth2/v2.0/token

client_id:appID
grant_type:client_credentials
client_secret:secret
scope:05a65629-4c1b-48c1-a78b-804c4abdd4af/.default

回应:

当我使用上述 token 获取具有两个 URL 的文件时，我收到了相同的错误，如下所示:

GET https://portal.cloudappsecurity.com/cas/api/v1/files/
Authorization: Bearer <token>

GET https://mytenantname.us3.portal.cloudappsecurity.com/api/v1/files/
Authorization: Bearer <token>

使用相同的 token ，我可以调用所有其他 API，例如警报、事件等，如下所示:

GET https://mytenantname.us3.portal.cloudappsecurity.com/api/v1/alerts/
Authorization: Bearer <token>

Note that, calling file APIs is not available in applicationcontext.

或者，您可以通过生成一个 API token 来使用旧方法，如下所示:

转至 Defender for Cloud Apps 门户 -> 设置 -> 安全扩展 -> API token -> 添加 token

现在，输入 token 名称并选择生成，如下所示:

API token 将成功生成并复制 token 以在Postman中使用:

当我使用上述 API token 通过两个 URL 调用 files API 时，我成功获得了响应，如下所示:

GET https://portal.cloudappsecurity.com/cas/api/v1/files/
Authorization: Token <token>

GET https://mytenantname.us3.portal.cloudappsecurity.com/api/v1/files/
Authorization: Token <token>

您可以在您的环境中尝试相同的操作，方法是生成 API token (而不是承载 token )来调用文件 API。

引用:

Defender for Cloud Apps file API “Insufficient role based permissions” by Sangho Cho