Список привилегированных ролей с помощью приложения / участника службы Azure

Question

Я пытаюсь запросить ресурс "List privilegedRoles" с помощью приложения, созданного в Active Directory Azure.

Я предоставил ему все разрешения приложения И делегированные разрешения вПриложение Graph API, безрезультатно.

Ответ всегда:

"error": {
  "code": "UnknownError",
  "message": "{\"message\":\"An error has occurred.\"}",
  "innerError": {
    "request-id": "3e1bb5cf-2d2e-402f-8648-27193b28510a",
    "date": "2018-06-06T14:26:02"
  }
}

Любая помощь будет высоко ценится

ОБНОВЛЕНИЕ 1:
Полное воспроизведение проблемы -

• Приложение V2 с делегированным разрешением "Directory.AccessAsUser.All" (и без разрешений для приложения), URL перенаправления http://localhost/myapp/permissions

шаг 1: согласие администратора

откройте браузер по адресу: https://login.microsoftonline.com/MY-TENANT-ID/adminconsent?client_id=MY_APP_ID&state=12345&redirect_uri=http://localhost/myapp/permissions

и предоставьте согласие администратора на запрошенное разрешение (я)

см. Успешное перенаправление на:
http://localhost/myapp/permissions?admin_consent=True&tenant=MY_TENANT_ID&state=12345

шаг 2: получить токен

curl -X POST -H "Content-Type: application/x-www-form-urlencoded" -d 'client_id=MY_APP_ID&scope=https%3A%2F%2Fgraph.microsoft.com%2F.default&client_secret=MY-APP-SECRET&grant_type=client_credentials' 'https://login.microsoftonline.com/MY_TENANT_ID/oauth2/v2.0/token'

получить ответ как:

{
    "token_type": "Bearer",
    "expires_in": 3599,
    "ext_expires_in": 0,
    "access_token": "SOME-VERY-LONG-TOKEN"
}

шаг 3: попытка получить ресурс

curl -X GET -H "Authorization: Bearer SOME-VERY-LONG-TOKEN" 'https://graph.microsoft.com/beta/privilegedRoles'

ОШИБКА:

{
  "error": {
    "code": "UnknownError",
    "message": "{\"message\":\"An error has occurred.\"}",
    "innerError": {
      "request-id": "cc9c950c-369c-4fb5-8ec4-eb4048e32a5d",
      "date": "2018-06-10T09:09:57"
    }
  }
}

Answer 1

Вы можете использовать только делегированные разрешения для вызова MSGraph PIM Api.В основном вам необходимо выполнить следующую настройку:

1. Создать собственное приложение AAD
2. Предоставить ему привилегированные права на чтение и запись для доступа Azure AD и убедиться, что администратор согласен с ним.
3. Позвоните MSGraph PIM Api с помощью этого приложения с делегированным токеном.

Подробнее см. https://blogs.msdn.microsoft.com/anujchaudhary/2018/06/07/powershell-sample-for-privileged-identity-management-pim-for-azure-ad-roles/