Azure 服务主体 - API 权限与 AD 角色

Question

我有一个应用程序需要创建 AD 组并通过 Graph API 更新其成员资格。我将使用服务主体来执行此操作。

我试图了解以下之间的区别：

• 将服务主体分配给 Azure AD 角色（例如，“用户管理员”：https://docs.microsoft.com/en-us/azure/active-directory/roles/delegate-by-task#groups）
• 向服务主体添加 API 权限（例如，Microsoft Graph API 的“Group.ReadWrite.All”：https://docs.microsoft.com/en-us/azure/active-directory/roles/delegate-by-task#groups）

这里有什么区别？他们是否都有效地授予了相同的权限？

Answer 1

内置角色只是权限的集合，因此您的答案可以是肯定的。如果您授予与内置角色相同的权限，那么您将获得相同的有效权限。 “用户管理员”角色具有以下权限：

https://docs.microsoft.com/en-us/azure/active-directory/roles/permissions-reference#user-administrator

我们创建了内置角色，让用户可以更轻松地快速实施基于角色的访问控制。如果内置角色不能满足您的需求，您可以随时创建自定义角色。

Answer 2

我正在考虑相同的问题 - 哪种方法更好，MS Graph 权限或内置角色。我倾向于使用内置角色，以便于查看和分配权限给群组。

除非最近情况发生了变化，否则您只能为“应用程序管理员”权限的子集创建 AAD 自定义角色，而不能为任何权限创建。