azure - 使用图形 API 以编程方式将用户分配到 Azure AD 应用程序

Question

我正在尝试编写一个脚本来使用图形 API 将用户分配到 Azure AD 应用程序 (servicePrincipal)。我正在我的沙箱中对此进行测试，我在沙箱中定义了应用程序并为其分配了用户。但是，当我查询 servicePrincipal 时，我在响应中的任何位置都看不到用户。

问题:

1. 基于documentation ，不应该有appRoleAssignment吗？

2. 文档说该字段是只读的，那么您应该如何分配用户？

Answer 1

查询 Graph API 时，您可以通过导航属性获取用户的 appRoleAssignments:

https://graph.windows.net/tenant-id/users/user-id/appRoleAssignments?api-version=1.6

您可以通过发送 HTTP POST 到以下位置来创建作业:

https://graph.windows.net/tenant-id/users/user-id/appRoleAssignments?api-version=1.6

您需要发送的对象如下所示:

{
  "id": "id-of-role",
  "principalId": "objectId-of-user",
  "resourceId": "objectId-of-service-principal"
}

如果您的应用没有任何角色，但您仍然想分配用户，似乎您可以将 id 设置为全零:

Where the resource does not declare any permissions, a default id (zero GUID) must be specified.

所以类似:

{
  "id":"00000000-0000-0000-0000-000000000000",
  "resourceId": "a27d8321-3dc6-44a1-bf19-2546a9f2806e",
  "principalId": "c4f810b8-2ea1-4580-9595-30275a28c2a2"
}