Azure:可以将委托(delegate)的 API 权限分配给托管标识吗？

Question

我正在 Azure 中测试托管身份。我的场景是我需要代表系统或用户分配的 MID 访问 Microsoft Graph。在此基础上 docs我能够配置其中每一个并分配 Graph API 权限。我看到它们都是应用程序权限(MID -> 设置菜单 -> 安全 -> 权限)。我预计系统分配的 MID 会出现这种情况，但用户分配的 MID 不会出现这种情况。我想让它通过委托(delegate)类型访问 API 的原因是，某些 Graph API 权限受到保护，无法在应用程序上下文中访问，例如 ChannelMessage.Read.All(读取 Teams channel 消息)。

所以我的问题基本上是:有人知道是否有一种方法可以使用托管身份在非应用程序上下文中访问 protected 图形 API。如果您需要具体细节，请告诉我。

Answer 1

据我所知，这是不可能的。托管身份只能利用应用程序权限。虽然理论上您可以为其服务主体分配委派权限，但您将无法以具有托管身份的用户身份登录。“用户分配的”托管标识只是一个单独的 Azure 资源，而不是其他资源的一部分。它们与 Azure AD 中系统分配的没有什么不同，都是服务主体。