Как создать пользовательскую роль Azure, которая позволяет регистрировать приложения и участников службы

Question

Я хотел бы создать пользовательскую роль наименьшее разрешение в Azure для назначения субъекту службы, который позволяет субъекту службы только регистрировать приложения и участники службы Azure AD.

Стандартная роль «Участник» обладает всеми необходимыми правами, но также и множеством ненужных, и я не могу найти в списке доступных операций то, что, кажется, соответствует регистрации приложений. который может быть использован для создания пользовательской роли.

---

Оказывается, вопрос введен в заблуждение - я думал, что назначения разрешений Microsoft.Azure.ActiveDirectory субъекту службы было недостаточно для создания и редактирования регистраций приложений. Но оказывается, что я просто столкнулся с 5-10-минутным лагом между разрешениями, заданными на портале Azure, и вступившими в силу разрешениями. Предоставление роли участника участнику службы только что заняло достаточно времени для вступления в силу исходных разрешений.

Answer 1

AFAIK, вам не нужно создавать пользовательскую роль в Azure, чтобы разрешить регистрацию приложений Azure AD и принципалов службы.

Кто может зарегистрировать приложение через Azure AD, определяется членством пользователя в самой Azure Active Directory и его «ролью каталога» в этом Azure AD для некоторых операций, но не обычной встроенной в * RBAC или пользовательских ролей , которые вы просматриваете (как вы упомянули список операций провайдера ресурсов ARM в вашем вопросе)

Пожалуйста, обратитесь к этой документации Microsoft: У кого есть разрешение на добавление приложений в мой экземпляр Azure AD?

---

ОБНОВЛЕНИЕ: Ответ на запрос из комментариев после того, как Саймон отредактировал исходный вопрос.

Как предоставить привилегии регистрации приложения субъекту службы?

Опять же, вы не будете использовать роли RBAC или создавать настраиваемые роли, о которых упоминаете в своем вопросе, а вместо этого предоставите конкретные « разрешения приложения » для соответствующего участника службы в Azure AD. Я дам шаги ниже.

1. Перейдите в Azure AD, «Зарегистрированные приложения»
2. Найдите свою основную службу (может потребоваться посмотреть все приложения, а не только мои)
3. Добавьте необходимые разрешения, как показано ниже:

Как только вы выбрали правильные разрешения и сделали. Пожалуйста, нажмите «Предоставить разрешения», потому что эти разрешения требуют согласия администратора.

---