Azure Active Directory对象权限

Question

我有一个Azure Active Directory应用程序（以及相关的服务主体）。该服务主体需要能够从Azure Active Directory组添加和删除成员...所以我在应用程序权限下添加了读取和写入目录数据：

我的代码使用客户端ID和客户端密钥来获取身份验证令牌，并使用Azure Graph API执行这些操作。

然而，这个许可太宽泛了。我需要应用程序/服务主体只能添加和删除特定组（不是所有）的成员......而不能执行其他类型的操作。

有办法做到这一点吗？

谢谢。

Answer 1

有一个部分符合您要求的预览功能：“Group.ReadWrite.All”。它允许您的主体创建和更新组及其导航属性（包括成员）。但是，它不会减少仅修改某些组的权限。

此处描述了AAD权限范围：https://msdn.microsoft.com/Library/Azure/Ad/Graph/howto/azure-ad-graph-api-permission-scopes

预览功能可能会有所变化，您必须同意减少服务条款等。https://azure.microsoft.com/en-us/services/preview/