azure - 通过服务帐户的委派权限访问图形 API，无需用户交互

Question

我正在寻找允许应用通过服务帐户访问 Graph API 的最佳方法。

这个想法是向该应用程序的 Graph API 授予委派权限，然后该权限将受到应用程序中使用的服务帐户的访问权限的进一步限制。问题是服务帐户不需要进行任何交互。

例如:我希望开发人员创建任何类型的应用程序来访问 Graph API，但仅管理其服务帐户有权访问的资源。例如，我不希望他能够管理所有 AAD 组，而只能管理他的服务帐户拥有所有权的 AAD 组。

有什么指导可以帮助我开始演示吗？我一直在寻找教程和文章，但似乎没有一个符合我的要求。

Answer 1

目前我认为你无法做到这一点。如果您进行客户端凭据身份验证(客户端 ID + secret /证书)，应用程序权限适用。委派权限仅在涉及用户时适用。因此，当前限制范围的唯一方法是代表用户进行调用。

当然，您仍然可以大部分时间实现自动化。一种方法是让开发人员使用其帐户进行一次身份验证。然后，您的应用程序应该收到该用户的刷新 token ，然后，它可以根据需要使用它来获取新的访问 token ，以便在任何需要的时候以用户身份进行调用。

当然，现在刷新 token 的唯一问题是它们可能会过时或被撤销。开发者必须再次授权该应用程序。如果不发生这种情况对业务至关重要，那么您必须使用应用程序权限(组织范围、所有组等)。