Graph API权限，用于在Azure AD中创建组

Question

Group.ReadWrite.All是图形API权限，这是服务主体允许在Azure AD中创建组所必需的。但是，它将允许SPN修改/删除目录中的任何组。

请帮助我们知道如何限制范围，以便服务主体仅应修改其最初创建的组。

Answer 1

尝试将Service Principal设置为您创建的组的owner，以便您的服务主体可以在没有任何权限的情况下修改/删除您创建的组，但是不能修改/删除其他组（记得删除Group.ReadWrite. All权限）。

Answer 2

不幸的是，我不认为这是可能的，因为服务主体没有这样的权限只能访问其创建的组。如果这是绝对必要的，那么我想到可以将编辑限制到其拥有的组的唯一方法就是不使用客户端凭据流，而基本上要创建一个服务帐户（常规用户），请使用ROPC流（https://docs.microsoft.com/en-us/azure/active-directory/develop/v2-oauth-ropc）为group.readwrite.all添加委派权限。那么该应用将使用该用户，该用户仅具有创建组和编辑其拥有的组的权限。