Zuweisen von Azure AD-Rollen über Privileged Identity Management-APIs (PIM) in Microsoft Graph

Artikel
03/26/2023
21 Minuten Lesedauer

Die Microsoft Graph PIM-API ermöglicht Es Organisationen, den privilegierten Zugriff auf Ressourcen in Azure Active Directory (Azure AD) zu verwalten. Es hilft auch, die Risiken des privilegierten Zugriffs zu verwalten, indem der Aktive Zugriff beschränkt, der Zugriffsbereich verwaltet und ein überprüfbares Protokoll des privilegierten Zugriffs bereitgestellt wird.

In diesem Tutorial möchte ein fiktives Unternehmen namens Contoso Limited, dass sein IT-Helpdesk den Lebenszyklus des Zugriffs von Mitarbeitern verwaltet. Das Unternehmen hat die Rolle "Azure AD-Benutzeradministrator" als die geeignete privilegierte Rolle identifiziert, die für den IT-Helpdesk erforderlich ist, und verwendet die PIM-API, um die Rolle zuzuweisen.

Sie erstellen eine Rollenzuweisbare Sicherheitsgruppe für IT-Helpdesk und weisen die Berechtigung der Sicherheitsgruppe mithilfe der PIM-API der Rolle "Benutzeradministrator" zu. Durch das Zuweisen der berechtigten Rolle zu einer Sicherheitsgruppe hat Contoso eine effizientere Möglichkeit, den Administratorzugriff auf Ressourcen wie Azure AD-Rollen zu verwalten. Zum Beispiel:

Wenn Sie vorhandene Mitglieder entfernen oder weitere Gruppenmitglieder hinzufügen, werden auch Administratoren entfernt.
Hinzufügen weiterer Rollen zu den Gruppenmitgliedern, anstatt einzelnen Benutzern Rollen zuzuweisen.

Das Zuweisen der Berechtigung anstelle einer dauerhaft aktiven Benutzeradministratorberechtigung ermöglicht es dem Unternehmen, just-in-time-Zugriff zu erzwingen, wodurch temporäre Berechtigungen zum Ausführen der privilegierten Aufgaben gewährt werden. Nach dem Definieren der Rollenberechtigung aktiviert das berechtigte Gruppenmitglied seine Zuweisung für einen temporären Zeitraum. Alle Datensätze von Rollenaktivierungen können vom Unternehmen überwacht werden.

Hinweis

Die in diesem Tutorial gezeigten Antwortobjekte können aus Gründen der Lesbarkeit gekürzt werden.

Voraussetzungen

Für dieses Tutorial benötigen Sie die folgenden Ressourcen und Berechtigungen:

Ein funktionierender Azure AD-Mandant mit aktivierter Azure AD Premium P2- oder EMS E5-Lizenz.
Melden Sie sich bei einem API-Client wie Graph-Explorer oder Postman an, oder erstellen Sie Eine eigene Client-App, um Microsoft Graph aufzurufen. Zum Aufrufen von Microsoft Graph-APIs in diesem Tutorial müssen Sie ein Konto mit der Rolle "Globaler Administrator" verwenden.
- [Optional] Starten Sie eine neue Sitzung in einem anderen Browser. Sie melden sich später in diesem Tutorial an.
Gewähren Sie sich die folgenden delegierten Berechtigungen: User.ReadWrite.All, , Group.ReadWrite.AllDirectory.Read.All, RoleEligibilitySchedule.ReadWrite.Directory, und RoleAssignmentSchedule.ReadWrite.Directory, und .RoleManagement.ReadWrite.Directory
Auf Ihrem Smartphone installierte Authentifikator-App, um einen Benutzer für die mehrstufige Authentifizierung (Multi-Factor Authentication, MFA) zu registrieren.

Schritt 1: Erstellen eines Testbenutzers

Erstellen Sie einen Benutzer, der sein Kennwort bei der ersten Anmeldung zurücksetzen muss. Notieren Sie sich in diesem Schritt den Wert der ID des neuen Benutzers zur Verwendung im nächsten Schritt. Rufen Sie nach dem Erstellen des Benutzers die Azure-Portal auf, und aktivieren Sie die mehrstufige Authentifizierung (Multi-Factor Authentication, MFA) für den Benutzer. Weitere Informationen zum Aktivieren von MFA finden Sie im Abschnitt Siehe auch .

Anforderung

POST https://graph.microsoft.com/v1.0/users
Content-Type: application/json

{
    "accountEnabled": true,
    "displayName": "Aline Dupuy",
    "mailNickname": "AlineD",
    "userPrincipalName": "AlineD@Contoso.com",
    "passwordProfile": {
        "forceChangePasswordNextSignIn": true,
        "password": "xWwvJ]6NMw+bWH-d"
    }
}


var graphClient = new GraphServiceClient(requestAdapter);

var requestBody = new User
{
	AccountEnabled = true,
	DisplayName = "Aline Dupuy",
	MailNickname = "AlineD",
	UserPrincipalName = "AlineD@Contoso.com",
	PasswordProfile = new PasswordProfile
	{
		ForceChangePasswordNextSignIn = true,
		Password = "xWwvJ]6NMw+bWH-d",
	},
};
var result = await graphClient.Users.PostAsync(requestBody);


const options = {
	authProvider,
};

const client = Client.init(options);

const user = {
    accountEnabled: true,
    displayName: 'Aline Dupuy',
    mailNickname: 'AlineD',
    userPrincipalName: 'AlineD@Contoso.com',
    passwordProfile: {
        forceChangePasswordNextSignIn: true,
        password: 'xWwvJ]6NMw+bWH-d'
    }
};

await client.api('/users')
	.post(user);


GraphServiceClient graphClient = GraphServiceClient.builder().authenticationProvider( authProvider ).buildClient();

User user = new User();
user.accountEnabled = true;
user.displayName = "Aline Dupuy";
user.mailNickname = "AlineD";
user.userPrincipalName = "AlineD@Contoso.com";
PasswordProfile passwordProfile = new PasswordProfile();
passwordProfile.forceChangePasswordNextSignIn = true;
passwordProfile.password = "xWwvJ]6NMw+bWH-d";
user.passwordProfile = passwordProfile;

graphClient.users()
	.buildRequest()
	.post(user);


//THE GO SDK IS IN PREVIEW. NON-PRODUCTION USE ONLY
graphClient := msgraphsdk.NewGraphServiceClientWithCredentials(cred, scopes)

requestBody := graphmodels.NewUser()
accountEnabled := true
requestBody.SetAccountEnabled(&accountEnabled) 
displayName := "Aline Dupuy"
requestBody.SetDisplayName(&displayName) 
mailNickname := "AlineD"
requestBody.SetMailNickname(&mailNickname) 
userPrincipalName := "AlineD@Contoso.com"
requestBody.SetUserPrincipalName(&userPrincipalName) 
passwordProfile := graphmodels.NewPasswordProfile()
forceChangePasswordNextSignIn := true
passwordProfile.SetForceChangePasswordNextSignIn(&forceChangePasswordNextSignIn) 
password := "xWwvJ]6NMw+bWH-d"
passwordProfile.SetPassword(&password) 
requestBody.SetPasswordProfile(passwordProfile)

result, err := graphClient.Users().Post(context.Background(), requestBody, nil)


Import-Module Microsoft.Graph.Users

$params = @{
	AccountEnabled = $true
	DisplayName = "Aline Dupuy"
	MailNickname = "AlineD"
	UserPrincipalName = "AlineD@Contoso.com"
	PasswordProfile = @{
		ForceChangePasswordNextSignIn = $true
		Password = "xWwvJ]6NMw+bWH-d"
	}
}

New-MgUser -BodyParameter $params


<?php

// THIS SNIPPET IS A PREVIEW FOR THE KIOTA BASED SDK. NON-PRODUCTION USE ONLY
$graphServiceClient = new GraphServiceClient($requestAdapter);

$requestBody = new User();
$requestBody->setAccountEnabled(true);

$requestBody->setDisplayName('Aline Dupuy');

$requestBody->setMailNickname('AlineD');

$requestBody->setUserPrincipalName('AlineD@Contoso.com');

$passwordProfile = new PasswordProfile();
$passwordProfile->setForceChangePasswordNextSignIn(true);

$passwordProfile->setPassword('xWwvJ]6NMw+bWH-d');


$requestBody->setPasswordProfile($passwordProfile);


$requestResult = $graphServiceClient->users()->post($requestBody);

Antwort

HTTP/1.1 201 Created
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#users/$entity",
    "@odata.id": "https://graph.microsoft.com/v2/29a4f813-9274-4e1b-858d-0afa98ae66d4/directoryObjects/7146daa8-1b4b-4a66-b2f7-cf593d03c8d2/Microsoft.DirectoryServices.User",
    "id": "7146daa8-1b4b-4a66-b2f7-cf593d03c8d2",
    "displayName": "Aline Dupuy",
    "userPrincipalName": "AlineD@Contoso.com"
}

Schritt 2: Erstellen einer Sicherheitsgruppe, der eine Azure AD-Rolle zugewiesen werden kann

Erstellen Sie eine Gruppe, die einer Azure AD-Rolle zugewiesen werden kann. Weisen Sie sich selbst als Gruppenbesitzer und sowohl Sie als auch Aline (der in Schritt 1 erstellte Benutzer) als Mitglieder zu.

Anforderung: Erstellen einer Gruppe mit Rollenzuweisung

Ersetzen Sie durch 1ed8ac56-4827-4733-8f80-86adc2e67db5 Ihre ID und 7146daa8-1b4b-4a66-b2f7-cf593d03c8d2 durch den Wert der Aline-ID.

POST https://graph.microsoft.com/v1.0/groups
Content-type: application/json

{
    "description": "IT Helpdesk to support Contoso employees",
    "displayName": "IT Helpdesk (User)",
    "mailEnabled": false,
    "mailNickname": "userHelpdesk",
    "securityEnabled": true,
    "isAssignableToRole": true,
    "owners@odata.bind": [
        "https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5"
    ],
    "members@odata.bind": [
        "https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5",
        "https://graph.microsoft.com/v1.0/users/7146daa8-1b4b-4a66-b2f7-cf593d03c8d2"
    ]
}


var graphClient = new GraphServiceClient(requestAdapter);

var requestBody = new Group
{
	Description = "IT Helpdesk to support Contoso employees",
	DisplayName = "IT Helpdesk (User)",
	MailEnabled = false,
	MailNickname = "userHelpdesk",
	SecurityEnabled = true,
	IsAssignableToRole = true,
	AdditionalData = new Dictionary<string, object>
	{
		{
			"owners@odata.bind" , new List<string>
			{
				"https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5",
			}
		},
		{
			"members@odata.bind" , new List<string>
			{
				"https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5",
				"https://graph.microsoft.com/v1.0/users/7146daa8-1b4b-4a66-b2f7-cf593d03c8d2",
			}
		},
	},
};
var result = await graphClient.Groups.PostAsync(requestBody);


const options = {
	authProvider,
};

const client = Client.init(options);

const group = {
    description: 'IT Helpdesk to support Contoso employees',
    displayName: 'IT Helpdesk (User)',
    mailEnabled: false,
    mailNickname: 'userHelpdesk',
    securityEnabled: true,
    isAssignableToRole: true,
    'owners@odata.bind': [
        'https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5'
    ],
    'members@odata.bind': [
        'https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5',
        'https://graph.microsoft.com/v1.0/users/7146daa8-1b4b-4a66-b2f7-cf593d03c8d2'
    ]
};

await client.api('/groups')
	.post(group);


GraphServiceClient graphClient = GraphServiceClient.builder().authenticationProvider( authProvider ).buildClient();

Group group = new Group();
group.description = "IT Helpdesk to support Contoso employees";
group.displayName = "IT Helpdesk (User)";
group.mailEnabled = false;
group.mailNickname = "userHelpdesk";
group.securityEnabled = true;
group.isAssignableToRole = true;
group.additionalDataManager().put("owners@odata.bind", new JsonPrimitive("[  \"https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5\"]"));
group.additionalDataManager().put("members@odata.bind", new JsonPrimitive("[  \"https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5\",  \"https://graph.microsoft.com/v1.0/users/7146daa8-1b4b-4a66-b2f7-cf593d03c8d2\"]"));

graphClient.groups()
	.buildRequest()
	.post(group);


//THE GO SDK IS IN PREVIEW. NON-PRODUCTION USE ONLY
graphClient := msgraphsdk.NewGraphServiceClientWithCredentials(cred, scopes)

requestBody := graphmodels.NewGroup()
description := "IT Helpdesk to support Contoso employees"
requestBody.SetDescription(&description) 
displayName := "IT Helpdesk (User)"
requestBody.SetDisplayName(&displayName) 
mailEnabled := false
requestBody.SetMailEnabled(&mailEnabled) 
mailNickname := "userHelpdesk"
requestBody.SetMailNickname(&mailNickname) 
securityEnabled := true
requestBody.SetSecurityEnabled(&securityEnabled) 
isAssignableToRole := true
requestBody.SetIsAssignableToRole(&isAssignableToRole) 
additionalData := map[string]interface{}{
	odataBind := []string {
		"https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5",

	}
	odataBind := []string {
		"https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5",
		"https://graph.microsoft.com/v1.0/users/7146daa8-1b4b-4a66-b2f7-cf593d03c8d2",

	}
}
requestBody.SetAdditionalData(additionalData)

result, err := graphClient.Groups().Post(context.Background(), requestBody, nil)


Import-Module Microsoft.Graph.Groups

$params = @{
	Description = "IT Helpdesk to support Contoso employees"
	DisplayName = "IT Helpdesk (User)"
	MailEnabled = $false
	MailNickname = "userHelpdesk"
	SecurityEnabled = $true
	IsAssignableToRole = $true
	"Owners@odata.bind" = @(
		"https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5"
	)
	"Members@odata.bind" = @(
		"https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5"
		"https://graph.microsoft.com/v1.0/users/7146daa8-1b4b-4a66-b2f7-cf593d03c8d2"
	)
}

New-MgGroup -BodyParameter $params


<?php

// THIS SNIPPET IS A PREVIEW FOR THE KIOTA BASED SDK. NON-PRODUCTION USE ONLY
$graphServiceClient = new GraphServiceClient($requestAdapter);

$requestBody = new Group();
$requestBody->setDescription('IT Helpdesk to support Contoso employees');

$requestBody->setDisplayName('IT Helpdesk (User)');

$requestBody->setMailEnabled(false);

$requestBody->setMailNickname('userHelpdesk');

$requestBody->setSecurityEnabled(true);

$requestBody->setIsAssignableToRole(true);

$additionalData = [
'owners@odata.bind' => ['https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5', ],
'members@odata.bind' => ['https://graph.microsoft.com/v1.0/users/1ed8ac56-4827-4733-8f80-86adc2e67db5', 'https://graph.microsoft.com/v1.0/users/7146daa8-1b4b-4a66-b2f7-cf593d03c8d2', ],
];
$requestBody->setAdditionalData($additionalData);




$requestResult = $graphServiceClient->groups()->post($requestBody);

Antwort

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#groups/$entity",
    "@odata.id": "https://graph.microsoft.com/v2/29a4f813-9274-4e1b-858d-0afa98ae66d4/directoryObjects/e77cbb23-0ff2-4e18-819c-690f58269752/Microsoft.DirectoryServices.Group",
    "id": "e77cbb23-0ff2-4e18-819c-690f58269752",
    "description": "IT Helpdesk to support Contoso employees",
    "displayName": "IT Helpdesk (User)",
    "groupTypes": [],
    "isAssignableToRole": true,
    "mailEnabled": false,
    "mailNickname": "userHelpdesk",
    "securityEnabled": true,
    "securityIdentifier": "S-1-12-1-3883711267-1310199794-258579585-1385637464",
    "visibility": "Private",
    "onPremisesProvisioningErrors": []
}

Schritt 3: Erstellen einer unifiedRoleEligibilityScheduleRequest

Nachdem Sie nun über eine Sicherheitsgruppe verfügen, weisen Sie sie als berechtigt für die Rolle Benutzeradministrator zu. In diesem Schritt:

Erstellen Sie ein unifiedRoleEligibilityScheduleRequest-Objekt, das den IT-Helpdesk der Gruppe (Benutzer) für ein Jahr als berechtigt für die Rolle "Benutzeradministrator" identifiziert. Azure AD erweitert diese berechtigte Zuweisung auf die Gruppenmitglieder, d. h. Sie und Aline.
Legen Sie die berechtigte Zuweisung auf Ihren gesamten Mandanten fest. Dadurch kann der Benutzeradministrator seine Berechtigungen für alle Benutzer in Ihrem Mandanten verwenden, mit Ausnahme von Benutzern mit höheren Berechtigungen wie dem globalen Administrator.

Anforderung

Ersetzen Sie durch e77cbb23-0ff2-4e18-819c-690f58269752 den Wert der ID der Sicherheitsgruppe IT-Helpdesk (Benutzer). Diese principalId identifiziert den Berechtigungsempfänger für die Rolle "Benutzeradministrator". RoleDefinitionId fe930be7-5e62-47db-91af-98c3a49a38b1 ist der globale Vorlagenbezeichner für die Rolle "Benutzeradministrator" in Azure AD.

POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleEligibilityScheduleRequests
Content-type: application/json

{
    "action": "AdminAssign",
    "justification": "Assign User Admin eligibility to IT Helpdesk (User) group",
    "roleDefinitionId": "fe930be7-5e62-47db-91af-98c3a49a38b1",
    "directoryScopeId": "/",
    "principalId": "e77cbb23-0ff2-4e18-819c-690f58269752",
    "scheduleInfo": {
        "startDateTime": "2021-07-01T00:00:00Z",
        "expiration": {
            "endDateTime": "2022-06-30T00:00:00Z",
            "type": "AfterDateTime"
        }
    }
}


var graphClient = new GraphServiceClient(requestAdapter);

var requestBody = new UnifiedRoleEligibilityScheduleRequest
{
	Action = UnifiedRoleScheduleRequestActions.AdminAssign,
	Justification = "Assign User Admin eligibility to IT Helpdesk (User) group",
	RoleDefinitionId = "fe930be7-5e62-47db-91af-98c3a49a38b1",
	DirectoryScopeId = "/",
	PrincipalId = "e77cbb23-0ff2-4e18-819c-690f58269752",
	ScheduleInfo = new RequestSchedule
	{
		StartDateTime = DateTimeOffset.Parse("2021-07-01T00:00:00Z"),
		Expiration = new ExpirationPattern
		{
			EndDateTime = DateTimeOffset.Parse("2022-06-30T00:00:00Z"),
			Type = ExpirationPatternType.AfterDateTime,
		},
	},
};
var result = await graphClient.RoleManagement.Directory.RoleEligibilityScheduleRequests.PostAsync(requestBody);


const options = {
	authProvider,
};

const client = Client.init(options);

const unifiedRoleEligibilityScheduleRequest = {
    action: 'AdminAssign',
    justification: 'Assign User Admin eligibility to IT Helpdesk (User) group',
    roleDefinitionId: 'fe930be7-5e62-47db-91af-98c3a49a38b1',
    directoryScopeId: '/',
    principalId: 'e77cbb23-0ff2-4e18-819c-690f58269752',
    scheduleInfo: {
        startDateTime: '2021-07-01T00:00:00Z',
        expiration: {
            endDateTime: '2022-06-30T00:00:00Z',
            type: 'AfterDateTime'
        }
    }
};

await client.api('/roleManagement/directory/roleEligibilityScheduleRequests')
	.post(unifiedRoleEligibilityScheduleRequest);


GraphServiceClient graphClient = GraphServiceClient.builder().authenticationProvider( authProvider ).buildClient();

UnifiedRoleEligibilityScheduleRequest unifiedRoleEligibilityScheduleRequest = new UnifiedRoleEligibilityScheduleRequest();
unifiedRoleEligibilityScheduleRequest.action = UnifiedRoleScheduleRequestActions.ADMIN_ASSIGN;
unifiedRoleEligibilityScheduleRequest.justification = "Assign User Admin eligibility to IT Helpdesk (User) group";
unifiedRoleEligibilityScheduleRequest.roleDefinitionId = "fe930be7-5e62-47db-91af-98c3a49a38b1";
unifiedRoleEligibilityScheduleRequest.directoryScopeId = "/";
unifiedRoleEligibilityScheduleRequest.principalId = "e77cbb23-0ff2-4e18-819c-690f58269752";
RequestSchedule scheduleInfo = new RequestSchedule();
scheduleInfo.startDateTime = OffsetDateTimeSerializer.deserialize("2021-07-01T00:00:00Z");
ExpirationPattern expiration = new ExpirationPattern();
expiration.endDateTime = OffsetDateTimeSerializer.deserialize("2022-06-30T00:00:00Z");
expiration.type = ExpirationPatternType.AFTER_DATE_TIME;
scheduleInfo.expiration = expiration;
unifiedRoleEligibilityScheduleRequest.scheduleInfo = scheduleInfo;

graphClient.roleManagement().directory().roleEligibilityScheduleRequests()
	.buildRequest()
	.post(unifiedRoleEligibilityScheduleRequest);


//THE GO SDK IS IN PREVIEW. NON-PRODUCTION USE ONLY
graphClient := msgraphsdk.NewGraphServiceClientWithCredentials(cred, scopes)

requestBody := graphmodels.NewUnifiedRoleEligibilityScheduleRequest()
action := graphmodels.ADMINASSIGN_UNIFIEDROLESCHEDULEREQUESTACTIONS 
requestBody.SetAction(&action) 
justification := "Assign User Admin eligibility to IT Helpdesk (User) group"
requestBody.SetJustification(&justification) 
roleDefinitionId := "fe930be7-5e62-47db-91af-98c3a49a38b1"
requestBody.SetRoleDefinitionId(&roleDefinitionId) 
directoryScopeId := "/"
requestBody.SetDirectoryScopeId(&directoryScopeId) 
principalId := "e77cbb23-0ff2-4e18-819c-690f58269752"
requestBody.SetPrincipalId(&principalId) 
scheduleInfo := graphmodels.NewRequestSchedule()
startDateTime , err := time.Parse(time.RFC3339, "2021-07-01T00:00:00Z")
scheduleInfo.SetStartDateTime(&startDateTime) 
expiration := graphmodels.NewExpirationPattern()
endDateTime , err := time.Parse(time.RFC3339, "2022-06-30T00:00:00Z")
expiration.SetEndDateTime(&endDateTime) 
type := graphmodels.AFTERDATETIME_EXPIRATIONPATTERNTYPE 
expiration.SetType(&type) 
scheduleInfo.SetExpiration(expiration)
requestBody.SetScheduleInfo(scheduleInfo)

result, err := graphClient.RoleManagement().Directory().RoleEligibilityScheduleRequests().Post(context.Background(), requestBody, nil)


Import-Module Microsoft.Graph.DeviceManagement.Enrolment

$params = @{
	Action = "AdminAssign"
	Justification = "Assign User Admin eligibility to IT Helpdesk (User) group"
	RoleDefinitionId = "fe930be7-5e62-47db-91af-98c3a49a38b1"
	DirectoryScopeId = "/"
	PrincipalId = "e77cbb23-0ff2-4e18-819c-690f58269752"
	ScheduleInfo = @{
		StartDateTime = [System.DateTime]::Parse("2021-07-01T00:00:00Z")
		Expiration = @{
			EndDateTime = [System.DateTime]::Parse("2022-06-30T00:00:00Z")
			Type = "AfterDateTime"
		}
	}
}

New-MgRoleManagementDirectoryRoleEligibilityScheduleRequest -BodyParameter $params


<?php

// THIS SNIPPET IS A PREVIEW FOR THE KIOTA BASED SDK. NON-PRODUCTION USE ONLY
$graphServiceClient = new GraphServiceClient($requestAdapter);

$requestBody = new UnifiedRoleEligibilityScheduleRequest();
$requestBody->setAction(new UnifiedRoleScheduleRequestActions('adminassign'));

$requestBody->setJustification('Assign User Admin eligibility to IT Helpdesk (User) group');

$requestBody->setRoleDefinitionId('fe930be7-5e62-47db-91af-98c3a49a38b1');

$requestBody->setDirectoryScopeId('/');

$requestBody->setPrincipalId('e77cbb23-0ff2-4e18-819c-690f58269752');

$scheduleInfo = new RequestSchedule();
$scheduleInfo->setStartDateTime(new DateTime('2021-07-01T00:00:00Z'));

$scheduleInfoExpiration = new ExpirationPattern();
$scheduleInfoExpiration->setEndDateTime(new DateTime('2022-06-30T00:00:00Z'));

$scheduleInfoExpiration->setType(new ExpirationPatternType('afterdatetime'));


$scheduleInfo->setExpiration($scheduleInfoExpiration);

$requestBody->setScheduleInfo($scheduleInfo);


$requestResult = $graphServiceClient->roleManagement()->directory()->roleEligibilityScheduleRequests()->post($requestBody);

Antwort

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#roleManagement/directory/roleEligibilityScheduleRequests/$entity",
    "id": "64a8bd54-4591-4f6a-9c77-3e9cb1fdd29b",
    "status": "Provisioned",
    "createdDateTime": "2021-09-03T20:45:28.3848182Z",
    "completedDateTime": "2021-09-03T20:45:39.1194292Z",
    "action": "AdminAssign",
    "principalId": "e77cbb23-0ff2-4e18-819c-690f58269752",
    "roleDefinitionId": "fe930be7-5e62-47db-91af-98c3a49a38b1",
    "directoryScopeId": "/",
    "isValidationOnly": false,
    "targetScheduleId": "64a8bd54-4591-4f6a-9c77-3e9cb1fdd29b",
    "justification": "Assign User Admin eligibility to IT Helpdesk (User) group",
    "createdBy": {
        "user": {
            "id": "1ed8ac56-4827-4733-8f80-86adc2e67db5"
        }
    },
    "scheduleInfo": {
        "startDateTime": "2021-09-03T20:45:39.1194292Z",
        "expiration": {
            "type": "afterDateTime",
            "endDateTime": "2022-06-30T00:00:00Z"
        }
    },
    "ticketInfo": {}
}

Schritt 4: Bestätigen der aktuellen Rollenzuweisungen des Benutzers

Obwohl die Gruppenmitglieder jetzt für die Rolle "Benutzeradministrator" berechtigt sind, können sie die Rolle weiterhin nicht verwenden. Dies liegt daran, dass sie ihre Berechtigung noch aktivieren müssen. Sie können dies bestätigen, indem Sie die aktuellen Rollenzuweisungen des Benutzers überprüfen.

Anforderung

Ersetzen Sie 7146daa8-1b4b-4a66-b2f7-cf593d03c8d2 in der folgenden Anforderung durch den Wert der ID von Aline.

GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments?$filter=principalId eq '7146daa8-1b4b-4a66-b2f7-cf593d03c8d2'


var graphClient = new GraphServiceClient(requestAdapter);

var result = await graphClient.RoleManagement.Directory.RoleAssignments.GetAsync((requestConfiguration) =>
{
	requestConfiguration.QueryParameters.Filter = "principalId eq '7146daa8-1b4b-4a66-b2f7-cf593d03c8d2'";
});


const options = {
	authProvider,
};

const client = Client.init(options);

let roleAssignments = await client.api('/roleManagement/directory/roleAssignments')
	.filter('principalId eq \'7146daa8-1b4b-4a66-b2f7-cf593d03c8d2\'')
	.get();


GraphServiceClient graphClient = GraphServiceClient.builder().authenticationProvider( authProvider ).buildClient();

UnifiedRoleAssignmentCollectionPage roleAssignments = graphClient.roleManagement().directory().roleAssignments()
	.buildRequest()
	.filter("principalId eq '7146daa8-1b4b-4a66-b2f7-cf593d03c8d2'")
	.get();


//THE GO SDK IS IN PREVIEW. NON-PRODUCTION USE ONLY
graphClient := msgraphsdk.NewGraphServiceClientWithCredentials(cred, scopes)


requestFilter := "principalId eq '7146daa8-1b4b-4a66-b2f7-cf593d03c8d2'"

requestParameters := &graphconfig.RoleManagementDirectoryRoleAssignmentsRequestBuilderGetQueryParameters{
	Filter: &requestFilter,
}
configuration := &graphconfig.RoleManagementDirectoryRoleAssignmentsRequestBuilderGetRequestConfiguration{
	QueryParameters: requestParameters,
}

result, err := graphClient.RoleManagement().Directory().RoleAssignments().Get(context.Background(), configuration)


Import-Module Microsoft.Graph.DeviceManagement.Enrolment

Get-MgRoleManagementDirectoryRoleAssignment -Filter "principalId eq '7146daa8-1b4b-4a66-b2f7-cf593d03c8d2'"


<?php

// THIS SNIPPET IS A PREVIEW FOR THE KIOTA BASED SDK. NON-PRODUCTION USE ONLY
$graphServiceClient = new GraphServiceClient($requestAdapter);

$requestConfiguration = new RoleAssignmentsRequestBuilderGetRequestConfiguration();

$queryParameters = new RoleAssignmentsRequestBuilderGetQueryParameters();
$queryParameters->filter = "principalId eq '7146daa8-1b4b-4a66-b2f7-cf593d03c8d2'";

$requestConfiguration->queryParameters = $queryParameters;


$requestResult = $graphServiceClient->roleManagement()->directory()->roleAssignments()->get($requestConfiguration);

Antwort

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#roleManagement/directory/roleAssignments",
    "value": []
}

Das leere Antwortobjekt zeigt, dass Aline über keine azure AD-Rollen in Contoso verfügt. Aline aktiviert nun die berechtigte Rolle "Benutzeradministrator" für einen begrenzten Zeitraum.

Schritt 5: Der Benutzer aktiviert seine berechtigte Zuweisung selbst.

Ein Incidentticket CONTOSO: Security-012345 wurde im Incident-Management-System von Contoso ausgelöst, und das Unternehmen verlangt, dass alle Aktualisierungstoken des Mitarbeiters ungültig gemacht werden. Als Mitglied des IT-Helpdesks ist Aline für die Erfüllung dieser Aufgabe verantwortlich.

Starten Sie zunächst die Authenticator-App auf Ihrem Smartphone, und öffnen Sie das Konto von Aline Dupuy.

Melden Sie sich beim Graph-Explorer als Aline an. Sie können für diesen Schritt einen anderen Browser verwenden. Auf diese Weise unterbrechen Sie Ihre aktuelle Sitzung nicht als Benutzer in der Rolle "Globaler Administrator". Alternativ können Sie Ihre aktuelle Sitzung unterbrechen, indem Sie sich vom Graph-Explorer abmelden und sich wieder als Aline anmelden.

Wenn Sie als Aline angemeldet sind, ändern Sie zunächst Ihr Kennwort, da dieses bei der Kontoerstellung angegeben wurde. Da der Administrator Ihr Konto dann für MFA konfiguriert hat, werden Sie aufgefordert, Ihr Konto in der Authenticator-App einzurichten und zur MFA-Anmeldung aufgefordert zu werden. Dies liegt daran, dass PIM die MFA für alle aktiven Rollenzuweisungen erfordert.

Aktivieren Sie nach der Anmeldung die Rolle "Benutzeradministrator" für fünf Stunden.

Anforderung

Um eine Rolle zu aktivieren, rufen Sie den Endpunkt auf roleAssignmentScheduleRequests . In dieser Anforderung ermöglicht ihnen die UserActivate Aktion, Ihre berechtigte Zuweisung zu aktivieren, in diesem Fall für fünf Stunden.

Geben Sie für principalId den Wert Ihrer (Aline- )ID an.
Die roleDefinitionId ist die ID der Rolle, für die Sie berechtigt sind, in diesem Fall die Rolle "Benutzeradministrator".
Geben Sie die Details des Ticketsystems ein, das eine überprüfbare Begründung für die Aktivierung der Anforderung bereitstellt.

POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignmentScheduleRequests
Content-type: application/json

{
    "action": "SelfActivate",
    "principalId": "7146daa8-1b4b-4a66-b2f7-cf593d03c8d2",
    "roleDefinitionId": "fe930be7-5e62-47db-91af-98c3a49a38b1",
    "directoryScopeId": "/",
    "justification": "Need to invalidate all app refresh tokens for Contoso users.",
    "scheduleInfo": {
        "startDateTime": "2021-09-04T15:13:00.000Z",
        "expiration": {
            "type": "AfterDuration",
            "duration": "PT5H"
        }
    },
    "ticketInfo": {
        "ticketNumber": "CONTOSO:Security-012345",
        "ticketSystem": "Contoso ICM"
    }
}


var graphClient = new GraphServiceClient(requestAdapter);

var requestBody = new UnifiedRoleAssignmentScheduleRequest
{
	Action = UnifiedRoleScheduleRequestActions.SelfActivate,
	PrincipalId = "7146daa8-1b4b-4a66-b2f7-cf593d03c8d2",
	RoleDefinitionId = "fe930be7-5e62-47db-91af-98c3a49a38b1",
	DirectoryScopeId = "/",
	Justification = "Need to invalidate all app refresh tokens for Contoso users.",
	ScheduleInfo = new RequestSchedule
	{
		StartDateTime = DateTimeOffset.Parse("2021-09-04T15:13:00.000Z"),
		Expiration = new ExpirationPattern
		{
			Type = ExpirationPatternType.AfterDuration,
			Duration = TimeSpan.Parse("PT5H"),
		},
	},
	TicketInfo = new TicketInfo
	{
		TicketNumber = "CONTOSO:Security-012345",
		TicketSystem = "Contoso ICM",
	},
};
var result = await graphClient.RoleManagement.Directory.RoleAssignmentScheduleRequests.PostAsync(requestBody);


const options = {
	authProvider,
};

const client = Client.init(options);

const unifiedRoleAssignmentScheduleRequest = {
    action: 'SelfActivate',
    principalId: '7146daa8-1b4b-4a66-b2f7-cf593d03c8d2',
    roleDefinitionId: 'fe930be7-5e62-47db-91af-98c3a49a38b1',
    directoryScopeId: '/',
    justification: 'Need to invalidate all app refresh tokens for Contoso users.',
    scheduleInfo: {
        startDateTime: '2021-09-04T15:13:00.000Z',
        expiration: {
            type: 'AfterDuration',
            duration: 'PT5H'
        }
    },
    ticketInfo: {
        ticketNumber: 'CONTOSO:Security-012345',
        ticketSystem: 'Contoso ICM'
    }
};

await client.api('/roleManagement/directory/roleAssignmentScheduleRequests')
	.post(unifiedRoleAssignmentScheduleRequest);


GraphServiceClient graphClient = GraphServiceClient.builder().authenticationProvider( authProvider ).buildClient();

UnifiedRoleAssignmentScheduleRequest unifiedRoleAssignmentScheduleRequest = new UnifiedRoleAssignmentScheduleRequest();
unifiedRoleAssignmentScheduleRequest.action = UnifiedRoleScheduleRequestActions.SELF_ACTIVATE;
unifiedRoleAssignmentScheduleRequest.principalId = "7146daa8-1b4b-4a66-b2f7-cf593d03c8d2";
unifiedRoleAssignmentScheduleRequest.roleDefinitionId = "fe930be7-5e62-47db-91af-98c3a49a38b1";
unifiedRoleAssignmentScheduleRequest.directoryScopeId = "/";
unifiedRoleAssignmentScheduleRequest.justification = "Need to invalidate all app refresh tokens for Contoso users.";
RequestSchedule scheduleInfo = new RequestSchedule();
scheduleInfo.startDateTime = OffsetDateTimeSerializer.deserialize("2021-09-04T15:13:00Z");
ExpirationPattern expiration = new ExpirationPattern();
expiration.type = ExpirationPatternType.AFTER_DURATION;
expiration.duration = DatatypeFactory.newInstance().newDuration("PT5H");
scheduleInfo.expiration = expiration;
unifiedRoleAssignmentScheduleRequest.scheduleInfo = scheduleInfo;
TicketInfo ticketInfo = new TicketInfo();
ticketInfo.ticketNumber = "CONTOSO:Security-012345";
ticketInfo.ticketSystem = "Contoso ICM";
unifiedRoleAssignmentScheduleRequest.ticketInfo = ticketInfo;

graphClient.roleManagement().directory().roleAssignmentScheduleRequests()
	.buildRequest()
	.post(unifiedRoleAssignmentScheduleRequest);


//THE GO SDK IS IN PREVIEW. NON-PRODUCTION USE ONLY
graphClient := msgraphsdk.NewGraphServiceClientWithCredentials(cred, scopes)

requestBody := graphmodels.NewUnifiedRoleAssignmentScheduleRequest()
action := graphmodels.SELFACTIVATE_UNIFIEDROLESCHEDULEREQUESTACTIONS 
requestBody.SetAction(&action) 
principalId := "7146daa8-1b4b-4a66-b2f7-cf593d03c8d2"
requestBody.SetPrincipalId(&principalId) 
roleDefinitionId := "fe930be7-5e62-47db-91af-98c3a49a38b1"
requestBody.SetRoleDefinitionId(&roleDefinitionId) 
directoryScopeId := "/"
requestBody.SetDirectoryScopeId(&directoryScopeId) 
justification := "Need to invalidate all app refresh tokens for Contoso users."
requestBody.SetJustification(&justification) 
scheduleInfo := graphmodels.NewRequestSchedule()
startDateTime , err := time.Parse(time.RFC3339, "2021-09-04T15:13:00.000Z")
scheduleInfo.SetStartDateTime(&startDateTime) 
expiration := graphmodels.NewExpirationPattern()
type := graphmodels.AFTERDURATION_EXPIRATIONPATTERNTYPE 
expiration.SetType(&type) 
duration , err := abstractions.ParseISODuration("PT5H")
expiration.SetDuration(&duration) 
scheduleInfo.SetExpiration(expiration)
requestBody.SetScheduleInfo(scheduleInfo)
ticketInfo := graphmodels.NewTicketInfo()
ticketNumber := "CONTOSO:Security-012345"
ticketInfo.SetTicketNumber(&ticketNumber) 
ticketSystem := "Contoso ICM"
ticketInfo.SetTicketSystem(&ticketSystem) 
requestBody.SetTicketInfo(ticketInfo)

result, err := graphClient.RoleManagement().Directory().RoleAssignmentScheduleRequests().Post(context.Background(), requestBody, nil)


Import-Module Microsoft.Graph.DeviceManagement.Enrolment

$params = @{
	Action = "SelfActivate"
	PrincipalId = "7146daa8-1b4b-4a66-b2f7-cf593d03c8d2"
	RoleDefinitionId = "fe930be7-5e62-47db-91af-98c3a49a38b1"
	DirectoryScopeId = "/"
	Justification = "Need to invalidate all app refresh tokens for Contoso users."
	ScheduleInfo = @{
		StartDateTime = [System.DateTime]::Parse("2021-09-04T15:13:00.000Z")
		Expiration = @{
			Type = "AfterDuration"
			Duration = "PT5H"
		}
	}
	TicketInfo = @{
		TicketNumber = "CONTOSO:Security-012345"
		TicketSystem = "Contoso ICM"
	}
}

New-MgRoleManagementDirectoryRoleAssignmentScheduleRequest -BodyParameter $params


<?php

// THIS SNIPPET IS A PREVIEW FOR THE KIOTA BASED SDK. NON-PRODUCTION USE ONLY
$graphServiceClient = new GraphServiceClient($requestAdapter);

$requestBody = new UnifiedRoleAssignmentScheduleRequest();
$requestBody->setAction(new UnifiedRoleScheduleRequestActions('selfactivate'));

$requestBody->setPrincipalId('7146daa8-1b4b-4a66-b2f7-cf593d03c8d2');

$requestBody->setRoleDefinitionId('fe930be7-5e62-47db-91af-98c3a49a38b1');

$requestBody->setDirectoryScopeId('/');

$requestBody->setJustification('Need to invalidate all app refresh tokens for Contoso users.');

$scheduleInfo = new RequestSchedule();
$scheduleInfo->setStartDateTime(new DateTime('2021-09-04T15:13:00.000Z'));

$scheduleInfoExpiration = new ExpirationPattern();
$scheduleInfoExpiration->setType(new ExpirationPatternType('afterduration'));

$scheduleInfoExpiration->setDuration(new \DateInterval('PT5H'));


$scheduleInfo->setExpiration($scheduleInfoExpiration);

$requestBody->setScheduleInfo($scheduleInfo);
$ticketInfo = new TicketInfo();
$ticketInfo->setTicketNumber('CONTOSO:Security-012345');

$ticketInfo->setTicketSystem('Contoso ICM');


$requestBody->setTicketInfo($ticketInfo);


$requestResult = $graphServiceClient->roleManagement()->directory()->roleAssignmentScheduleRequests()->post($requestBody);

Antwort

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#roleManagement/directory/roleAssignmentScheduleRequests/$entity",
    "id": "295edd40-4646-40ca-89b8-ab0b46b6f60e",
    "status": "Granted",
    "createdDateTime": "2021-09-03T21:10:49.6670479Z",
    "completedDateTime": "2021-09-04T15:13:00Z",
    "action": "SelfActivate",
    "principalId": "7146daa8-1b4b-4a66-b2f7-cf593d03c8d2",
    "roleDefinitionId": "fe930be7-5e62-47db-91af-98c3a49a38b1",
    "directoryScopeId": "/",
    "isValidationOnly": false,
    "targetScheduleId": "295edd40-4646-40ca-89b8-ab0b46b6f60e",
    "justification": "Need to invalidate all app refresh tokens for Contoso users.",
    "createdBy": {
        "user": {
            "id": "7146daa8-1b4b-4a66-b2f7-cf593d03c8d2"
        }
    },
    "scheduleInfo": {
        "startDateTime": "2021-09-04T15:13:00Z",
        "expiration": {
            "type": "afterDuration",
            "endDateTime": null,
            "duration": "PT5H"
        }
    },
    "ticketInfo": {
        "ticketNumber": "CONTOSO:Security-012345",
        "ticketSystem": "Contoso ICM"
    }
}

Sie können Ihre Zuweisung bestätigen, indem Sie ausführen GET https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignmentScheduleRequests/filterByCurrentUser(on='principal'). Das Antwortobjekt gibt Ihre neu aktivierte Rollenzuweisung zurück, deren Status auf festgelegt ist Granted. Führen Sie mit Ihrer neuen Berechtigung alle zulässigen Aktionen innerhalb von fünf Stunden aus, für die Ihre Zuweisung aktiv ist. Dies schließt das Ungültigen der Aktualisierungstoken aller Mitarbeiter ein. Nach fünf Stunden läuft die aktive Zuweisung ab, aber durch Ihre Mitgliedschaft in der Gruppe IT-Support (Benutzer) bleiben Sie weiterhin für die Rolle Benutzeradministrator berechtigt.

Zurück in der globalen Administratorsitzung haben Sie Benachrichtigungen über die berechtigte Zuweisung und die Rollenaktivierung erhalten. Auf diese Weise kann der globale Administrator alle Rechteerweiterungen für Administratorrechte in Ihrer Organisation kennen.

Schritt 6: Bereinigen von Ressourcen

Melden Sie sich als globaler Administrator an, und löschen Sie die folgenden Ressourcen, die Sie für dieses Tutorial erstellt haben: die Rollenberechtigungsanforderung, die Gruppe IT-Support (Benutzer) und der Testbenutzer (Aline Dupuy).

Widerrufen der Rollenberechtigungsanforderung

Anforderung

Ersetzen Sie durch e77cbb23-0ff2-4e18-819c-690f58269752 die ID der IT-Supportgruppe (Benutzer).

POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleEligibilityScheduleRequests
Content-type: application/json

{
    "action": "AdminRemove",
    "principalId": "e77cbb23-0ff2-4e18-819c-690f58269752",
    "roleDefinitionId": "fe930be7-5e62-47db-91af-98c3a49a38b1",
    "directoryScopeId": "/"
}


var graphClient = new GraphServiceClient(requestAdapter);

var requestBody = new UnifiedRoleEligibilityScheduleRequest
{
	Action = UnifiedRoleScheduleRequestActions.AdminRemove,
	PrincipalId = "e77cbb23-0ff2-4e18-819c-690f58269752",
	RoleDefinitionId = "fe930be7-5e62-47db-91af-98c3a49a38b1",
	DirectoryScopeId = "/",
};
var result = await graphClient.RoleManagement.Directory.RoleEligibilityScheduleRequests.PostAsync(requestBody);


const options = {
	authProvider,
};

const client = Client.init(options);

const unifiedRoleEligibilityScheduleRequest = {
    action: 'AdminRemove',
    principalId: 'e77cbb23-0ff2-4e18-819c-690f58269752',
    roleDefinitionId: 'fe930be7-5e62-47db-91af-98c3a49a38b1',
    directoryScopeId: '/'
};

await client.api('/roleManagement/directory/roleEligibilityScheduleRequests')
	.post(unifiedRoleEligibilityScheduleRequest);


GraphServiceClient graphClient = GraphServiceClient.builder().authenticationProvider( authProvider ).buildClient();

UnifiedRoleEligibilityScheduleRequest unifiedRoleEligibilityScheduleRequest = new UnifiedRoleEligibilityScheduleRequest();
unifiedRoleEligibilityScheduleRequest.action = UnifiedRoleScheduleRequestActions.ADMIN_REMOVE;
unifiedRoleEligibilityScheduleRequest.principalId = "e77cbb23-0ff2-4e18-819c-690f58269752";
unifiedRoleEligibilityScheduleRequest.roleDefinitionId = "fe930be7-5e62-47db-91af-98c3a49a38b1";
unifiedRoleEligibilityScheduleRequest.directoryScopeId = "/";

graphClient.roleManagement().directory().roleEligibilityScheduleRequests()
	.buildRequest()
	.post(unifiedRoleEligibilityScheduleRequest);


//THE GO SDK IS IN PREVIEW. NON-PRODUCTION USE ONLY
graphClient := msgraphsdk.NewGraphServiceClientWithCredentials(cred, scopes)

requestBody := graphmodels.NewUnifiedRoleEligibilityScheduleRequest()
action := graphmodels.ADMINREMOVE_UNIFIEDROLESCHEDULEREQUESTACTIONS 
requestBody.SetAction(&action) 
principalId := "e77cbb23-0ff2-4e18-819c-690f58269752"
requestBody.SetPrincipalId(&principalId) 
roleDefinitionId := "fe930be7-5e62-47db-91af-98c3a49a38b1"
requestBody.SetRoleDefinitionId(&roleDefinitionId) 
directoryScopeId := "/"
requestBody.SetDirectoryScopeId(&directoryScopeId) 

result, err := graphClient.RoleManagement().Directory().RoleEligibilityScheduleRequests().Post(context.Background(), requestBody, nil)


Import-Module Microsoft.Graph.DeviceManagement.Enrolment

$params = @{
	Action = "AdminRemove"
	PrincipalId = "e77cbb23-0ff2-4e18-819c-690f58269752"
	RoleDefinitionId = "fe930be7-5e62-47db-91af-98c3a49a38b1"
	DirectoryScopeId = "/"
}

New-MgRoleManagementDirectoryRoleEligibilityScheduleRequest -BodyParameter $params


<?php

// THIS SNIPPET IS A PREVIEW FOR THE KIOTA BASED SDK. NON-PRODUCTION USE ONLY
$graphServiceClient = new GraphServiceClient($requestAdapter);

$requestBody = new UnifiedRoleEligibilityScheduleRequest();
$requestBody->setAction(new UnifiedRoleScheduleRequestActions('adminremove'));

$requestBody->setPrincipalId('e77cbb23-0ff2-4e18-819c-690f58269752');

$requestBody->setRoleDefinitionId('fe930be7-5e62-47db-91af-98c3a49a38b1');

$requestBody->setDirectoryScopeId('/');



$requestResult = $graphServiceClient->roleManagement()->directory()->roleEligibilityScheduleRequests()->post($requestBody);

Antwort

HTTP/1.1 201 Created
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#roleManagement/directory/roleEligibilityScheduleRequests/$entity",
    "id": "dcd11a1c-300f-4d17-8c7a-523830400ec8",
    "status": "Revoked",
    "action": "AdminRemove",
    "principalId": "e77cbb23-0ff2-4e18-819c-690f58269752",
    "roleDefinitionId": "fe930be7-5e62-47db-91af-98c3a49a38b1",
    "directoryScopeId": "/"
}

Löschen der Gruppe "IT-Support (Benutzer)"

Anforderung

Ersetzen Sie durch e77cbb23-0ff2-4e18-819c-690f58269752 die ID der IT-Supportgruppe (Benutzer).

DELETE https://graph.microsoft.com/v1.0/groups/e77cbb23-0ff2-4e18-819c-690f58269752


var graphClient = new GraphServiceClient(requestAdapter);

await graphClient.Groups["{group-id}"].DeleteAsync();


const options = {
	authProvider,
};

const client = Client.init(options);

await client.api('/groups/e77cbb23-0ff2-4e18-819c-690f58269752')
	.delete();


GraphServiceClient graphClient = GraphServiceClient.builder().authenticationProvider( authProvider ).buildClient();

graphClient.groups("e77cbb23-0ff2-4e18-819c-690f58269752")
	.buildRequest()
	.delete();


//THE GO SDK IS IN PREVIEW. NON-PRODUCTION USE ONLY
graphClient := msgraphsdk.NewGraphServiceClientWithCredentials(cred, scopes)


graphClient.GroupsById("group-id").Delete(context.Background(), nil)


Import-Module Microsoft.Graph.Groups

Remove-MgGroup -GroupId $groupId


<?php

// THIS SNIPPET IS A PREVIEW FOR THE KIOTA BASED SDK. NON-PRODUCTION USE ONLY
$graphServiceClient = new GraphServiceClient($requestAdapter);


$graphServiceClient->groupsById('group-id')->delete();

Antwort

HTTP/1.1 204 No Content

Löschen des Testbenutzers

Anforderung

Ersetzen Sie durch 7146daa8-1b4b-4a66-b2f7-cf593d03c8d2 den Wert der Aline-ID.

DELETE https://graph.microsoft.com/v1.0/users/7146daa8-1b4b-4a66-b2f7-cf593d03c8d2


var graphClient = new GraphServiceClient(requestAdapter);

await graphClient.Users["{user-id}"].DeleteAsync();


const options = {
	authProvider,
};

const client = Client.init(options);

await client.api('/users/7146daa8-1b4b-4a66-b2f7-cf593d03c8d2')
	.delete();


GraphServiceClient graphClient = GraphServiceClient.builder().authenticationProvider( authProvider ).buildClient();

graphClient.users("7146daa8-1b4b-4a66-b2f7-cf593d03c8d2")
	.buildRequest()
	.delete();


//THE GO SDK IS IN PREVIEW. NON-PRODUCTION USE ONLY
graphClient := msgraphsdk.NewGraphServiceClientWithCredentials(cred, scopes)


graphClient.UsersById("user-id").Delete(context.Background(), nil)


Import-Module Microsoft.Graph.Users

Remove-MgUser -UserId $userId


<?php

// THIS SNIPPET IS A PREVIEW FOR THE KIOTA BASED SDK. NON-PRODUCTION USE ONLY
$graphServiceClient = new GraphServiceClient($requestAdapter);


$graphServiceClient->usersById('user-id')->delete();

Antwort

HTTP/1.1 204 No Content

Zuweisen von Azure AD-Rollen über Privileged Identity Management-APIs (PIM) in Microsoft Graph

Voraussetzungen

Schritt 1: Erstellen eines Testbenutzers

Anforderung

Antwort

Schritt 2: Erstellen einer Sicherheitsgruppe, der eine Azure AD-Rolle zugewiesen werden kann

Anforderung: Erstellen einer Gruppe mit Rollenzuweisung

Antwort

Schritt 3: Erstellen einer unifiedRoleEligibilityScheduleRequest

Anforderung

Antwort

Schritt 4: Bestätigen der aktuellen Rollenzuweisungen des Benutzers

Anforderung

Antwort

Schritt 5: Der Benutzer aktiviert seine berechtigte Zuweisung selbst.

Anforderung

Antwort

Schritt 6: Bereinigen von Ressourcen

Widerrufen der Rollenberechtigungsanforderung

Anforderung

Antwort

Löschen der Gruppe "IT-Support (Benutzer)"

Anforderung

Antwort

Löschen des Testbenutzers

Anforderung

Antwort

Siehe auch

Zusätzliche Ressourcen

Zusätzliche Ressourcen