Управление назначением пользователей и групп приложению

Назначение пользователей и групп приложению с помощью Центра администрирования Microsoft Entra

Чтобы назначить учетную запись пользователя или группы корпоративному приложению:

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений.

2. Перейдите к приложениям>Identity>Application Enterprise Для всех приложений.>

3. Введите имя существующего приложения в поле поиска и выберите приложение из результатов поиска.

4. Выберите "Пользователи и группы", а затем нажмите кнопку "Добавить пользователя или группу".

   

5. В области Добавление назначения в разделе Пользователи и группы выберите Не выбрано.

6. Найдите и выберите пользователя или группу, которую вы хотите назначить приложению. Например, [email protected] или [email protected].

7. Выберите Выбрать.

8. В разделе "Выбор роли" выберите роль, которую вы хотите назначить пользователю или группе. Если вы еще не определили какие-либо роли, роль по умолчанию — Access по умолчанию.

9. На панели "Добавление назначения" выберите "Назначить" пользователя или группы приложению.

Отмена назначения пользователей и групп из приложения

1. Выполните действия, описанные в разделе " Назначение пользователей и групп", чтобы перейти к области "Пользователи и группы ".
2. Найдите и выберите пользователя или группу, которую вы хотите отменить назначение из приложения.
3. Выберите "Удалить ", чтобы отменить назначение пользователя или группы из приложения.

Назначение пользователей и групп приложению с помощью Azure AD PowerShell

1. Откройте командную строку Windows PowerShell с повышенными привилегиями.

2. Выполните Connect-AzureAD и войдите как минимум администратор облачных приложений.

3. Используйте следующий скрипт, чтобы назначить пользователя приложению:

   # Assign the values to the variables
   $username = "<Your user's UPN>"
   $app_name = "<Your App's display name>"
   $app_role_name = "<App role display name>"
   
   # Get the user to assign, and the service principal for the app to assign to
   $user = Get-AzureADUser -ObjectId "$username"
   $sp = Get-AzureADServicePrincipal -Filter "displayName eq '$app_name'"
   $appRole = $sp.AppRoles | Where-Object { $_.DisplayName -eq $app_role_name }
   
   # Assign the user to the app role
   New-AzureADUserAppRoleAssignment -ObjectId $user.ObjectId -PrincipalId $user.ObjectId -ResourceId $sp.ObjectId -Id $appRole.Id
   

Пример

В этом примере пользователь Britta Simon назначается в приложении Microsoft Workplace Analytics с помощью PowerShell.

1. В PowerShell назначьте соответствующие значения переменным $username$app_name и$app_role_name.

   $username = "[email protected]"
   $app_name = "Workplace Analytics"
   

2. В этом примере неизвестно, как именно называется роль приложения, которую мы хотим назначить пользователю Britta Simon. Выполните следующие команды, чтобы получить пользователя () и субъекта-службы ($user$sp) с помощью имени участника-пользователя и отображаемого имени субъекта-службы.

   $user = Get-AzureADUser -ObjectId "$username"
   $sp = Get-AzureADServicePrincipal -Filter "displayName eq '$app_name'"
   

3. Выполните следующую команду, чтобы найти роли приложения, предоставляемые субъектом-службой.

   $appRoles = $sp.AppRoles
   # Display the app roles
   $appRoles | ForEach-Object {
       Write-Output "AppRole: $($_.DisplayName) - ID: $($_.Id)"
   

   Примечание.

   Идентификатор AppRole по умолчанию.00000000-0000-0000-0000-000000000000 Эта роль назначается, если для субъекта-службы не определена определенная роль AppRole.

4. Назначьте имя AppRole переменной $app_role_name . В этом примере мы хотим назначить пользователю Britta Simon роль Analyst (Limited Access) (аналитик с ограниченным доступом).

   $app_role_name = "Analyst (Limited access)"
   $appRole = $sp.AppRoles | Where-Object { $_.DisplayName -eq $app_role_name }
   

5. Выполните следующую команду, чтобы назначить пользователя роли приложения.

   New-AzureADUserAppRoleAssignment -ObjectId $user.ObjectId -PrincipalId $user.ObjectId -ResourceId $sp.ObjectId -Id $appRole.Id
   

Чтобы назначить группу корпоративному приложению, замените Get-AzureADUser Get-AzureADGroup ее и замените New-AzureADUserAppRoleAssignment на New-AzureADGroupAppRoleAssignment.

Дополнительные сведения о назначении группы роли приложения см. в документации по New-AzureADGroupAppRoleAssignment.

Отмена назначения пользователей и групп из приложения с помощью Azure AD PowerShell

1. Откройте командную строку Windows PowerShell с повышенными привилегиями.

2. Выполните Connect-AzureAD и войдите как минимум администратор облачных приложений.

3. Используйте следующий скрипт, чтобы удалить пользователя и роль из приложения.

   # Store the proper parameters
   $user = get-azureaduser -ObjectId <objectId>
   $spo = Get-AzureADServicePrincipal -ObjectId <objectId>
   
   #Get the ID of role assignment 
   $assignments = Get-AzureADServiceAppRoleAssignment -ObjectId $spo.ObjectId | Where {$_.PrincipalDisplayName -eq $user.DisplayName}
   
   #if you run the following, it will show you what is assigned what
   $assignments | Select *
   
   #To remove the App role assignment run the following command.
   Remove-AzureADServiceAppRoleAssignment -ObjectId $spo.ObjectId -AppRoleAssignmentId $assignments[assignment number].ObjectId
   

Удаление всех пользователей, назначенных приложению с помощью Azure AD PowerShell

1. Откройте командную строку Windows PowerShell с повышенными привилегиями.

Используйте следующий сценарий, чтобы удалить всех пользователей и групп, назначенных приложению.

#Retrieve the service principal object ID.
$app_name = "<Your App's display name>"
$sp = Get-AzureADServicePrincipal -Filter "displayName eq '$app_name'"
$sp.ObjectId

# Get Service Principal using objectId
$sp = Get-AzureADServicePrincipal -ObjectId "<ServicePrincipal objectID>"

# Get Azure AD App role assignments using objectId of the Service Principal
$assignments = Get-AzureADServiceAppRoleAssignment -ObjectId $sp.ObjectId -All $true

# Remove all users and groups assigned to the application
$assignments | ForEach-Object {
    if ($_.PrincipalType -eq "User") {
        Remove-AzureADUserAppRoleAssignment -ObjectId $_.PrincipalId -AppRoleAssignmentId $_.ObjectId
    } elseif ($_.PrincipalType -eq "Group") {
        Remove-AzureADGroupAppRoleAssignment -ObjectId $_.PrincipalId -AppRoleAssignmentId $_.ObjectId
    }
}

Назначение пользователей и групп приложению с помощью Microsoft Graph PowerShell

1. Откройте командную строку Windows PowerShell с повышенными привилегиями.

2. Выполните Connect-MgGraph -Scopes "Application.ReadWrite.All", "Directory.ReadWrite.All", "AppRoleAssignment.ReadWrite.All" и войдите как минимум администратор облачных приложений.

3. Используйте следующий скрипт, чтобы назначить пользователя приложению:

   #Assign the values to the variables
   $userId = "<Your user's ID>"
   $app_name = "<Your App's display name>"
   $app_role_name = "<App role display name>"
   $sp = Get-MgServicePrincipal -Filter "displayName eq '$app_name'"
   
   #Get the user, the service principal and appRole.
   $params = @{
   "PrincipalId" =$userId
   "ResourceId" =$sp.Id
   "AppRoleId" =($sp.AppRoles | Where-Object { $_.DisplayName -eq $app_role_name }).Id
   }
   #Assign the user to the AppRole
   New-MgUserAppRoleAssignment -UserId $userId -BodyParameter $params |
       Format-List Id, AppRoleId, CreationTime, PrincipalDisplayName,
       PrincipalId, PrincipalType, ResourceDisplayName, ResourceId
   

Пример

В этом примере пользователь Britta Simon назначается приложению Microsoft Workplace Analytics с помощью Microsoft Graph PowerShell.

1. В PowerShell назначьте соответствующие значения переменным $userIdи $app_name$app_role_name.

   # Assign the values to the variables  
   $userId = "<Britta Simon's user ID>"  
   $app_name = "Workplace Analytics"  
   

2. В этом примере мы не знаем точное имя роли приложения, которую мы хотим назначить пользователю Britta Simon. Выполните следующую команду, чтобы получить субъект-службу ($sp), используя отображаемое имя субъекта-службы.

   # Get the service principal for the app  
   $sp = Get-MgServicePrincipal -Filter "displayName eq '$app_name'"  
   

3. Выполните следующую команду, чтобы найти роли приложения, предоставляемые субъектом-службой.

   # Get the app roles exposed by the service principal  
   $appRoles = $sp.AppRoles  
   # Display the app roles  
   $appRoles | ForEach-Object {  
       Write-Output "AppRole: $($_.DisplayName) - ID: $($_.Id)"  
   }  
   

   Примечание.

   Идентификатор AppRole по умолчанию.00000000-0000-0000-0000-000000000000 Эта роль назначается, если для субъекта-службы не определена определенная роль AppRole.

4. Присвойте имя роли переменной $app_role_name. В этом примере мы хотим назначить пользователю Britta Simon роль Analyst (Limited Access) (аналитик с ограниченным доступом).

   # Assign the values to the variables  
   $app_role_name = "Analyst (Limited access)"  
   $appRoleId = ($sp.AppRoles | Where-Object { $_.DisplayName -eq $app_role_name }).Id  
   

5. Подготовьте параметры и выполните следующую команду, чтобы назначить пользователя роли приложения.

   # Prepare parameters for the role assignment  
   $params = @{  
       "PrincipalId" = $userId  
       "ResourceId" = $sp.Id  
       "AppRoleId" = $appRoleId  
   }  
   
   # Assign the user to the app role  
   New-MgUserAppRoleAssignment -UserId $userId -BodyParameter $params |   
       Format-List Id, AppRoleId, CreationTime, PrincipalDisplayName,   
       PrincipalId, PrincipalType, ResourceDisplayName, ResourceId  
   

Чтобы назначить группу корпоративному приложению, замените Get-MgUser Get-MgGroup ее и замените New-MgUserAppRoleAssignment на New-MgGroupAppRoleAssignment.

Дополнительные сведения о назначении группы роли приложения см. в документации по New-MgGroupAppRoleAssignment.

Отмена назначения пользователей и групп из приложения с помощью Microsoft Graph PowerShell

1. Откройте командную строку Windows PowerShell с повышенными привилегиями.

2. Выполните Connect-MgGraph -Scopes "Application.ReadWrite.All", "Directory.ReadWrite.All", "AppRoleAssignment.ReadWrite.All" и войдите как минимум администратор облачных приложений.

3. Получение пользователя и субъекта-службы

   $user = Get-MgUser -UserId <userid>
   $sp = Get-MgServicePrincipal -ServicePrincipalId <ServicePrincipalId>
   

4. Получение идентификатора назначения роли

   $assignments = Get-MgServicePrincipalAppRoleAssignedTo -ServicePrincipalId $sp.Id | Where {$_.PrincipalDisplayName -eq $user.DisplayName}
   

5. Выполните следующую команду, чтобы отобразить список пользователей, назначенных приложению.

   $assignments | Select *
   

6. Выполните следующую команду, чтобы удалить назначение AppRole.

   Remove-MgServicePrincipalAppRoleAssignedTo -AppRoleAssignmentId  '<AppRoleAssignment-id>' -ServicePrincipalId $sp.Id
   

Удаление всех пользователей и групп, назначенных приложению с помощью Microsoft Graph PowerShell

Выполните следующую команду, чтобы удалить всех пользователей и групп, назначенных приложению.

$assignments | ForEach-Object {
    if ($_.PrincipalType -in ("user", "Group")) {
        Remove-MgServicePrincipalAppRoleAssignedTo -ServicePrincipalId $sp.Id -AppRoleAssignmentId $_.Id  }
}

Назначение пользователей и групп приложению с помощью API Microsoft Graph

1. Чтобы назначить пользователей и группы приложению, войдите в Graph Explorerкак минимум администратор облачных приложений.

   Необходимо предоставить согласие на следующие разрешения:

   Application.ReadWrite.All, Directory.ReadWrite.Allи AppRoleAssignment.ReadWrite.All.

   Чтобы предоставить назначение роли приложения, вам потребуется три идентификатора:

   • principalId: идентификатор пользователя или группы, которой назначается роль приложения.
   • resourceId: идентификатор службы ресурсовPrincipal, определяющий роль приложения.
   • appRoleId: идентификатор appRole (определенный в субъекте-службе ресурсов) для назначения пользователю или группе.

2. Получите корпоративное приложение. Фильтрация по DisplayName.

   GET https://graph.microsoft.com/v1.0/servicePrincipals?$filter=displayName eq '{appDisplayName}'
   

   Запишите следующие значения из текста ответа:

   • Идентификатор объекта корпоративного приложения
   • Идентификатор AppRole, назначенный пользователю. Если приложение не предоставляет никаких ролей, пользователь назначает роль доступа по умолчанию.

   Примечание.

   Идентификатор AppRole по умолчанию.00000000-0000-0000-0000-000000000000 Эта роль назначается, если для субъекта-службы не определена определенная роль AppRole.

3. Получите пользователя, отфильтровав его по имени участника. Запишите идентификатор объекта пользователя.

   GET https://graph.microsoft.com/v1.0/users/{userPrincipalName}
   

4. Назначьте пользователю роль для использования приложения.

   POST https://graph.microsoft.com/v1.0/servicePrincipals/{resource-servicePrincipal-id}/appRoleAssignedTo
   
   {
   "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
   "resourceId": "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
   "appRoleId": "00000000-0000-0000-0000-000000000000"
   }
   

   В этом примере и resource-servicePrincipal-id resourceId представляет корпоративное приложение.

Отмена назначения пользователей и групп из приложения с помощью API Microsoft Graph

Чтобы отменить назначение всех пользователей и групп из приложения, выполните следующий запрос.

1. Получите корпоративное приложение. Фильтрация по displayName.

   GET https://graph.microsoft.com/v1.0/servicePrincipals?$filter=displayName eq '{appDisplayName}'
   

2. Получите список appRoleAssignments для приложения.

   GET https://graph.microsoft.com/v1.0/servicePrincipals/{id}/appRoleAssignedTo
   

3. appRoleAssignments Удалите его, указав appRoleAssignment идентификатор.

   DELETE https://graph.microsoft.com/v1.0/servicePrincipals/{resource-servicePrincipal-id}/appRoleAssignedTo/{appRoleAssignment-id}
   

Microsoft Graph Explorer не поддерживает пакетное удаление назначений ролей приложения напрямую. Необходимо удалить каждое назначение по отдельности. Однако вы можете автоматизировать этот процесс с помощью Microsoft Graph PowerShell для итерации и удаления каждого назначения.