Добавьте пользователей / группы и роли в собственное приложение Azure AD

Question

Когда я регистрирую приложение типа Web App/API в Azure Active Directory (Azure AD), я могу добавлять пользователей и группы и назначать предопределенные роли приложения для приложения в корпоративных приложениях клиента. Однако нет положения о добавлении пользователей и групп для приложения типа Native.

Можно ли добавить пользователей и группы в собственное приложение и назначить им роли, специфичные для приложения, через PowerShell или Azure CLI?

Answer 1

Как вы заметили, пользователи и группы скрыты в колонке корпоративных приложений в случае нативных приложений, и я считаю, что причина в том, что вы обычно не настраиваете назначения ролей в нативном приложении, а вместо этого делаете это в WebApp. / WebAPI (что потребляет нативное приложение).

В любом случае, да, вы можете настроить роли приложения для собственного приложения. Вы можете сделать это, но отредактировав манифест и добавив туда appRole (свойство value появится в заявке на роль). Пример:

  "appRoles": [
    {
      "allowedMemberTypes": [
        "Application",
        "User"
      ],
      "displayName": "ReadOnly",
      "id": "9cc5ee76-3d7d-4060-8b7f-e734f3917e71",
      "isEnabled": true,
      "description": "ReadOnly roles have limited query access",
      "value": "ReadOnlyUser"
    }
  ]

Затем вы можете добавить пользователя к этой роли с помощью Powershell:

New-AzureADUserAppRoleAssignment -ObjectId <user's object ID> -PrincipalId <user's object ID> -ResourceId <native app service principal ID> -Id <role ID as it is in the manifest>

Тогда, если вы получите токен для этого приложения и для этого пользователя, вы должны увидеть утверждение о роли:

  "roles": [
    "ReadOnlyUser"
  ]