Как я могу предоставить OAuth2Permission участнику службы, который не является регистрацией приложения?

Question

У меня есть принципал службы, который был создан с помощью назначенного системой управляемого идентификатора. Он не появляется на портале, потому что это не регистрация приложения. Однако я знаю, что он существует, потому что я могу видеть его в Powershell, выполнив:

($ServicePrincipal = Get-AzureADServicePrincipal -SearchString "MyService") | Write-Output

Регистрации приложений могут быть предоставлены разрешения для приложений, связав их с ролями приложений, предоставляемыми регистрацией приложений для API. Я не могу сделать это на портале для моей управляемой личности, ну и как?

Answer 1

New-AzureADServiceAppRoleAssignment - это инструмент, который мне нужен.

При его вызове необходимо передать:

• ObjectId субъекта службы (он не отображается на порталено можно найти с помощью Get-AzureADServicePrincipal)
• идентификатор роли из раздела appRoles манифеста службы аудитории
• ObjectId субъекта службы аудитории (не ObjectId регистрации приложения))