Freigeben über

appRoleAssignment abrufen

  • Artikel

Namespace: microsoft.graph

Wichtig

Die APIs unter der /beta Version in Microsoft Graph können sich ändern. Die Verwendung dieser APIs in Produktionsanwendungen wird nicht unterstützt. Um festzustellen, ob eine API in v1.0 verfügbar ist, verwenden Sie die Version Selektor.

Liest die Eigenschaften und Beziehungen eines appRoleAssignment-Objekts .

Diese API ist in den folgenden nationalen Cloudbereitstellungen verfügbar.

Weltweiter Service US Government L4 US Government L5 (DOD) China, betrieben von 21Vianet
✅ ✅ ✅ ✅

Berechtigungen

In der folgenden Tabelle sind die Berechtigungen mit den geringsten Berechtigungen aufgeführt, die zum Aufrufen dieser API für jeden unterstützten Ressourcentyp erforderlich sind. Befolgen Sie bewährte Methoden , um Berechtigungen mit den geringsten Berechtigungen anzufordern. Ausführliche Informationen zu delegierten Berechtigungen und Anwendungsberechtigungen finden Sie unter Berechtigungstypen. Weitere Informationen zu diesen Berechtigungen finden Sie in der Berechtigungsreferenz.

Unterstützte Ressource Delegiert (Geschäfts-, Schul- oder Unikonto) Delegiert (persönliches Microsoft-Konto) Anwendung
group Group.Read.All Nicht unterstützt Group.Read.All
servicePrincipal Application.Read.All Nicht unterstützt Application.Read.All
user User.Read Nicht unterstützt Directory.Read.All

Wichtig

In delegierten Szenarien mit Geschäfts-, Schul- oder Unikonten muss dem angemeldeten Benutzer eine unterstützte Microsoft Entra Rolle oder eine benutzerdefinierte Rolle mit einer unterstützten Rollenberechtigung zugewiesen werden. Für diesen Vorgang werden die folgenden Rollen mit den geringsten Berechtigungen unterstützt:

  • Gastladende: App-Rollenzuweisungen nur für Benutzer lesen
  • Verzeichnisleser
  • Verzeichnissynchronisierungskonten für Microsoft Entra Connect und Microsoft Entra Cloud Sync-Dienste
  • Verzeichnisschreibberechtigter
  • Hybrididentitätsadministrator
  • Identity Governance-Administrator
  • Administrator für privilegierte Rollen
  • Benutzeradministrator
  • Anwendungsadministrator
  • Cloudanwendungsadministrator

Andere unterstützte Berechtigungen

Die folgenden berechtigungen mit höheren Berechtigungen werden von jeder Ressource unterstützt:

  • Gruppen:
    • Delegierte Berechtigungen und Anwendungsberechtigungen: Directory.Read.All, AppRoleAssignment.ReadWrite.All, Directory.ReadWrite.All
  • Benutzer:
    • Delegierte Berechtigungen: User.ReadBasic.All, Directory.Read.All, AppRoleAssignment.ReadWrite.All
    • Anwendungsberechtigungen: Directory.Read.All, AppRoleAssignment.ReadWrite.All
  • Dienstprinzipale:
    • Delegierte Berechtigungen: Directory.Read.All, Application.ReadWrite.All, Directory.ReadWrite.All
    • Anwendungsberechtigungen: Application.ReadWrite.OwnedBy, Application.ReadWrite.All, Directory.ReadWrite.All

HTTP-Anforderung

So rufen Sie Details zu einer appRole ab, die einem Dienstprinzipal gewährt wurde:

GET /servicePrincipals/{client-serviceprincipal-id}/appRoleAssignments/{appRoleAssignment-id}
GET /servicePrincipals(appId='{client-servicePrincipal-appId}')/appRoleAssignments/{appRoleAssignment-id}

So rufen Sie Details zu einer appRole ab, die einem Benutzer, einer Gruppe oder einem Clientdienstprinzipal für den angegebenen Ressourcendienstprinzipal gewährt wurde:

GET /servicePrincipals(appId='{resource-servicePrincipal-appId}')/appRoleAssignedTo/{appRoleAssignment-id}
GET /servicePrincipals/{resource-serviceprincipal-id}/appRoleAssignedTo/{appRoleAssignment-id}

So rufen Sie Details zu einer appRole ab, die einer Gruppe gewährt wird:

GET /groups/{group-id}/appRoleAssignments/{appRoleAssignment-id}

So rufen Sie Details zu einer appRole ab, die einem Benutzer gewährt wird:

GET /users/{user-id}/appRoleAssignments/{appRoleAssignment-id}
GET /me/appRoleAssignments/{appRoleAssignment-id}

Optionale Abfrageparameter

Diese Methode unterstützt den $select OData-Abfrageparameter, um die Antwort anzupassen. Allgemeine Informationen finden Sie unter OData-Abfrageparameter.

Anforderungsheader

Name Beschreibung
Authorization Bearer {token}. Erforderlich. Erfahren Sie mehr über Authentifizierung und Autorisierung.

Anforderungstext

Geben Sie keinen Anforderungstext für diese Methode an.

Antwort

Bei erfolgreicher Ausführung gibt die Methode den Antwortcode 200 OK und ein Objekt des Typs appRoleAssignment im Antworttext zurück.

Beispiele

Beispiel 1: Abrufen von Details zu einer App-Rolle, die einem Benutzer, einer Gruppe oder einem Clientdienstprinzipal für den angegebenen Ressourcendienstprinzipal gewährt wurde

Anforderung

Die folgende Anforderung fragt den Ressourcendienstprinzipal ab, um Details zu einer App-Rolle abzurufen, die er einem Client gewährt hat, der ein Benutzer, eine Gruppe oder ein Clientdienstprinzipal im Mandanten sein kann.

GET https://graph.microsoft.com/beta/servicePrincipals(appId='00000003-0000-0000-c000-000000000000')/appRoleAssignedTo/ep6PKgGvOkGVksMuwOXBpxV3dkHvwM1ElSjMUzZtaIA

Antwort

Das folgende Beispiel zeigt die Antwort. Es zeigt, dass einem Clientdienstprinzipal mit dem Namen Postman eine App-Rolle mit der ID df021288-bdef-4463-88db-98f22de89214 erteilt wurde, bei der es sich um die Anwendungsberechtigung User.Read.All für den Ressourcendienstprinzipal namens Microsoft Graph handelt.

Hinweis: Das hier gezeigte Antwortobjekt kann zur besseren Lesbarkeit gekürzt werden.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#servicePrincipals('00000003-0000-0000-c000-000000000000')/appRoleAssignedTo/$entity",
    "id": "ep6PKgGvOkGVksMuwOXBpxV3dkHvwM1ElSjMUzZtaIA",
    "deletedDateTime": null,
    "appRoleId": "df021288-bdef-4463-88db-98f22de89214",
    "createdDateTime": "2023-02-24T17:01:47.0988029Z",
    "principalDisplayName": "Postman",
    "principalId": "2a8f9e7a-af01-413a-9592-c32ec0e5c1a7",
    "principalType": "ServicePrincipal",
    "resourceDisplayName": "Microsoft Graph",
    "resourceId": "7408235b-7540-4850-82fe-a5f15ed019e2"
}

Beispiel 2: Abrufen von Details zu einer App-Rolle, die einem Dienstprinzipal gewährt wurde

Anforderung

Die folgende Anforderung fragt den Clientdienstprinzipal ab, um Details zu einer ihm zugewiesenen App-Rolle abzurufen. In diesem instance stellt die App-Rolle die Anwendungsberechtigung dar.

GET https://graph.microsoft.com/beta/servicePrincipals(appId='ceb96a54-de95-49a0-b38c-c55263fcf421')/appRoleAssignments/ep6PKgGvOkGVksMuwOXBpxV3dkHvwM1ElSjMUzZtaIA

Antwort

Das folgende Beispiel zeigt die Antwort. Es zeigt, dass einem Clientdienstprinzipal mit dem Namen Postman eine App-Rolle mit der ID df021288-bdef-4463-88db-98f22de89214 erteilt wurde, bei der es sich um die Anwendungsberechtigung User.Read.All für den Ressourcendienstprinzipal namens Microsoft Graph handelt.

Hinweis: Das hier gezeigte Antwortobjekt kann zur besseren Lesbarkeit gekürzt werden.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#servicePrincipals('ceb96a54-de95-49a0-b38c-c55263fcf421')/appRoleAssignments/$entity",
    "id": "ep6PKgGvOkGVksMuwOXBpxV3dkHvwM1ElSjMUzZtaIA",
    "deletedDateTime": null,
    "appRoleId": "df021288-bdef-4463-88db-98f22de89214",
    "createdDateTime": "2023-02-24T17:01:47.0988029Z",
    "principalDisplayName": "Postman",
    "principalId": "2a8f9e7a-af01-413a-9592-c32ec0e5c1a7",
    "principalType": "ServicePrincipal",
    "resourceDisplayName": "Microsoft Graph",
    "resourceId": "7408235b-7540-4850-82fe-a5f15ed019e2"
}

Beispiel 3: Abrufen von Details zu einer App-Rolle, die dem angemeldeten Benutzer gewährt wird

Anforderung

Die folgende Anforderung fragt die appRoleAssignments des angemeldeten Benutzers ab.

GET https://graph.microsoft.com/beta/me/appRoleAssignments/Lo6gEKI-4EyAy9X91LBepo6Aq0Rt6QxBjWRl76txk8I

Antwort

Das folgende Beispiel zeigt die Antwort. Es zeigt, dass der angemeldete Benutzer über die Standard-App-Rolle für einen Ressourcendienstprinzipal namens Postman verfügt.

Hinweis: Das hier gezeigte Antwortobjekt kann zur besseren Lesbarkeit gekürzt werden.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#users('10a08e2e-3ea2-4ce0-80cb-d5fdd4b05ea6')/appRoleAssignments/$entity",
    "id": "Lo6gEKI-4EyAy9X91LBepo6Aq0Rt6QxBjWRl76txk8I",
    "deletedDateTime": null,
    "appRoleId": "00000000-0000-0000-0000-000000000000",
    "createdDateTime": "2022-09-08T17:43:57.8423817Z",
    "principalDisplayName": "MOD Administrator",
    "principalId": "10a08e2e-3ea2-4ce0-80cb-d5fdd4b05ea6",
    "principalType": "User",
    "resourceDisplayName": "Postman",
    "resourceId": "2a8f9e7a-af01-413a-9592-c32ec0e5c1a7"
}