Как программно сделать приложение Azure EnterPrise в качестве владельца клиентского клиента

Question

Концепция B2B для провайдера облачных услуг,

1. Бизнес - глобальный администратор входит в мое приложение

2. Предоставляет доступ к корпоративному приложению для доступаего арендатора и создайте Azure AD - APP

3. После создания AD - APP создание субъекта службы - мой следующий шаг.

4. После создания субъекта службы необходимо назначить роль для созданного приложения [Новое приложение на клиенте моего клиента].

Появляется ошибка, как показано ниже:

Клиент«xxxxx» с идентификатором объекта «xxxxx не имеет полномочий для выполнения действия« Microsoft.Authorization / roleDefinitions / read «over scope» /subscription/yyyyy'.

xxxx- [ApplicationID, который аутентифицирован при входе в систему Global Admin] yyyy - [SubscriptionID, для которого я пытаюсь создать субъект-службу и добавить роль].

Я разработчик на C #, использующий API Azure.Fluent для выполнения вышеуказанного.

Разработка лазурной функции для автоматизации всего процесса.

Буду очень признателен за любые мысли / помощь.

Я подтвердил использование следующих случаев как

Предоставление My APP в качестве владельца на клиенте клиента

Для простоты - Как сделать приложение Azure EnterPrise в качестве владельцаАрендатор клиента

Клиент 'xxxxx' с идентификатором объекта 'xxxxx не имеет полномочий для выполнения действия' Microsoft.Authorization / roleDefinitions / read 'over scope' /subscription/yyyyy'.

илиКак предоставить роль для приложения Azure Ad Enterprise, используя свободный API

Answer 1

Необходимо указать, что ваше приложение должно выступать в качестве пользователя в своей подписке Azure.Скорее всего, вы будете использовать это только для создания назначения роли для вашего приложения.

Если вы добавите вышеуказанное разрешение в качестве необходимого разрешения для вашего приложения.приложение, вы должны быть в состоянии сделать необходимый вызов для создания назначения роли.(если у пользователя есть права на их создание)

Обратите внимание, что вам нужно будет вызывать API от имени пользователя.Это означает, что вам придется использовать делегированный поток аутентификации, такой как поток кода авторизации, и таким образом получить токен доступа.