Question

AAD管理角色只能直接分配给用户。无法通过AAD组进行分配。

现在PIM中有一个“特权访问组（预览）”窗格，但是我找不到在Azure AD组管理中启用角色可分配组的任何方法。因此，PIM中的可用AAD组列表为空。在哪里可以找到此AAD组配置？

我确实在Graph API中找到isAssignableToRole作为GET上的组属性，但是PATCH不起作用。看来现有的AAD组无法引发此标志。

属性isAssignableToRole在Graph API文档中不可用。

我能够使用Graph API创建带有isAssignableToRole标志的新的启用AAD安全的组，但是该组在PIM“特权访问组（预览）”中仍然不可用

POST https://graph.microsoft.com/v1.0/groups
{
    "description": "A test for role assignable groups",
    "displayName": "Test role assignable groups",
    "securityEnabled": true,
    "isAssignableToRole": true,
    "mailEnabled": false,
    "mailNickname": "test-role-assignment2"
}

Microsoft在这里发布了部分实现的功能吗？如果是这样，那么有人会在什么时候准备ETA吗？我发现此功能请求被Microsoft标记为已启动： https://feedback.azure.com/forums/169401-azure-active-directory/suggestions/20227804-enable-pim-role-assignment-by-group-membership#{toggle_previous_statuses}

在门户中创建新组时，启用分配的AAD角色的选项不可用：

Answer 1

我相信此用户语音也很重要：https://feedback.azure.com/forums/169401-azure-active-directory/suggestions/12938997-azuread-role-delegation-to-groups

他们显然正在努力，但是遇到了一个安全设计问题，因为这意味着可以管理组的任何人都可以间接将其他任何人添加到潜在的全局特权角色中。但似乎他们正在努力地解决这个问题。

Answer 2

特权访问组（预览）似乎仍在进行中。我可以看到页面上的数据不会显示，因为后端会抛出错误"error":{"code":"UnauthorizedAccessException","message":"The tenant has not onboarded to PIM."，这是不正确的。

但是Group中的另一个相关功能已经可用。

使用Microsoft Graph创建带有isAssignableToRole标志的组或在Azure门户上创建组时，如下所示：

https://www.google.com/maps/@28.-----,77.-----,15z

您将发现可以将Azure AD角色分配给该组。

将AAD管理角色分配给AAD组

2 个答案: