Õppetükk: rollide määramine teenusesubjektidele (eelvaade)

[See artikkel on väljalaskeeelne dokumentatsioon ja seda võidakse muuta.]

Power Platformi rollipõhine juurdepääsu reguleerimine (RBAC) võimaldab administraatoritel määrata rentniku, keskkonnarühma või keskkonna ulatuses kasutajatele, rühmadele ja teenusesubjektidele valmisrolle. Selles õppeteemas tutvustatakse levinud automatiseerimise stsenaariumi: kaasautori rolli määramine rentniku ulatuses olevale teenusesubjektile autoriseerimise API abil.

Lisateavet RBAC-i kontseptsioonide, sisseehitatud rollide ja ulatuse pärimise kohta leiate teemast Power Platformi halduskeskuse rollipõhine juurdepääsu reguleerimine.

Oluline

• See on eelvaatefunktsioon.
• Eelversioon funktsioonid ei ole tootmise jaoks mõeldud ja neil võivad olla piiratud funktsioonid. Need funktsioonid alluvad täiendavatele kasutustingimustele ning on saadaval enne ametlikku väljalasket, et kliendid saaksid varakult access ja tagasisidet anda.

Selles õpetuses saate teada:

• Autentige Power Platformi API-ga.
• Loetle saadaolevad rollimääratlused.
• Saate luua rentnikuulatuses teenusesubjekti jaoks rollimäärangu.
• Kontrollige rollimäärangut.

eeltingimused

• Microsoft Entra rakenduse registreerimine, mis on konfigureeritud Power Platformi API jaoks, millel on teenusesubjekti autentimiseks sert või kliendisaladus. Juhised leiate teemast Autentimine.
• Teenusesubjekti ettevõtterakenduse objekti ID (asub Microsoft Entra ID>Enterprise'i rakendustes).
• Kutsuval identiteedil peab olema Power Platformi administraatori või Power Platformi rollipõhine pääsuõiguste administraatori roll.

Sisseehitatud rollimääratlused

Power Platform pakub nelja sisseehitatud rolli, mida saab määrata RBAC-i kaudu. Igal rollil on fikseeritud õiguste kogum ja neid saab määrata rentnikule, keskkonnarühmale või keskkonnaulatusele.

Rolli nimi	Rolli ID	Õigused
Power Platformi omanik	0cb07c69-1631-4725-ab35-e59e001c51ea	Kõik load
Power Platformi kaastööline	ff954d61-a89a-4fbe-ace9-01c367b89f87	Kõigi ressursside haldamine ja lugemine, kuid rollimääranguid ei saa luua ega muuta
Power Platform lugeja	c886ad2e-27f7-4874-8381-5849b8d8a090	Kirjutuskaitstud juurdepääs kõigile ressurssidele
Power Platformi rollipõhine juurdepääsukontrolli administraator	95e94555-018c-447b-8691-bdac8e12211e	Kõigi ressursside lugemine ja rollimäärangute haldamine

Toiming 1. Saadaolevate rollimääratluste loend

Esmalt autentige ja tooge saadaolevad rollimääratlused kaasautori rolli ID kinnitamiseks.

PowerShell

# Install the Az.Accounts module if not already installed
Install-Module -Name Az.Accounts

# Set your tenant ID
$TenantId = "YOUR_TENANT_ID"

# Authenticate and obtain an access token
Connect-AzAccount
$AccessToken = Get-AzAccessToken -TenantId $TenantId -ResourceUrl "https://api.powerplatform.com/"

$headers = @{ 'Authorization' = 'Bearer ' + $AccessToken.Token }
$headers.Add('Content-Type', 'application/json')

# List all role definitions
$roleDefinitions = Invoke-RestMethod -Method Get -Uri "https://api.powerplatform.com/authorization/roleDefinitions?api-version=2024-10-01" -Headers $headers

$roleDefinitions.value | Format-Table roleDefinitionName, roleDefinitionId

Eeldatav väljund:

roleDefinitionName                                          roleDefinitionId
------------------                                          ----------------
Power Platform owner                                        0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor                                  ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader                                       c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator      95e94555-018c-447b-8691-bdac8e12211e

C#

using Microsoft.PowerPlatform.Management;
using Microsoft.PowerPlatform.Management.Models;

var client = ServiceClientFactory.Create(clientId);

// List all role definitions
var roleDefinitions = await client.Authorization.RoleDefinitions.GetAsync();

foreach (var role in roleDefinitions.Value)
{
    Console.WriteLine($"{role.RoleDefinitionName}: {role.RoleDefinitionId}");
}

Eeldatav väljund:

Power Platform owner: 0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor: ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader: c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator: 95e94555-018c-447b-8691-bdac8e12211e

Python

import asyncio
from azure.identity import InteractiveBrowserCredential
from kiota_authentication_azure.azure_identity_authentication_provider import AzureIdentityAuthenticationProvider
from kiota_http.httpx_request_adapter import HttpxRequestAdapter
from mspp_management.service_client_base import ServiceClientBase

credential = InteractiveBrowserCredential()
auth_provider = AzureIdentityAuthenticationProvider(
    credential,
    scopes=["https://api.powerplatform.com/.default"]
)
adapter = HttpxRequestAdapter(auth_provider)
adapter.base_url = "https://api.powerplatform.com"
client = ServiceClientBase(adapter)

# List all role definitions
role_definitions = await client.authorization.role_definitions.get()

for role in role_definitions.value:
    print(f"{role.role_definition_name}: {role.role_definition_id}")

Eeldatav väljund:

Power Platform owner: 0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor: ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader: c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator: 95e94555-018c-447b-8691-bdac8e12211e

Power Platformi API viide: Role-Based juurdepääsu reguleerimine – loendirollide määratlused

Toiming 2. Kaasautorirolli määramine teenusesubjektile

Looge rollimäärang, mis annab Power Platformi kaasautori rolli rentnikuulatuses olevale teenusesubjektile. Asendage YOUR_TENANT_ID rentniku GUID-ga ja YOUR_ENTERPRISE_APP_OBJECT_ID Microsoft Entra ID ettevõtterakenduse objekti ID-ga.

PowerShell

$TenantId = "YOUR_TENANT_ID"
$EnterpriseAppObjectId = "YOUR_ENTERPRISE_APP_OBJECT_ID"

$body = @{
    roleDefinitionId = "ff954d61-a89a-4fbe-ace9-01c367b89f87"
    principalObjectId = $EnterpriseAppObjectId
    principalType = "ApplicationUser"
    scope = "/tenants/$TenantId"
} | ConvertTo-Json

$roleAssignment = Invoke-RestMethod -Method Post -Uri "https://api.powerplatform.com/authorization/roleAssignments?api-version=2024-10-01" -Headers $headers -Body $body

$roleAssignment

Eeldatav väljund:

roleAssignmentId   : a1b2c3d4-e5f6-7890-abcd-ef1234567890
principalObjectId  : <your-enterprise-app-object-id>
roleDefinitionId   : ff954d61-a89a-4fbe-ace9-01c367b89f87
scope              : /tenants/<your-tenant-id>
principalType      : ApplicationUser
createdOn          : 2026-03-02T12:00:00.0000000+00:00

C#

var request = new RoleAssignmentRequest
{
    RoleDefinitionId = "ff954d61-a89a-4fbe-ace9-01c367b89f87",
    PrincipalObjectId = "YOUR_ENTERPRISE_APP_OBJECT_ID",
    PrincipalType = "ApplicationUser",
    Scope = "/tenants/YOUR_TENANT_ID"
};

var roleAssignment = await client.Authorization.RoleAssignments.PostAsync(request);

Console.WriteLine($"Assignment ID: {roleAssignment.Value[0].RoleAssignmentId}");
Console.WriteLine($"Scope: {roleAssignment.Value[0].Scope}");
Console.WriteLine($"Principal: {roleAssignment.Value[0].PrincipalObjectId}");

Python

from mspp_management.models.role_assignment_request import RoleAssignmentRequest

request = RoleAssignmentRequest(
    role_definition_id="ff954d61-a89a-4fbe-ace9-01c367b89f87",
    principal_object_id="YOUR_ENTERPRISE_APP_OBJECT_ID",
    principal_type="ApplicationUser",
    scope="/tenants/YOUR_TENANT_ID",
)

role_assignment = await client.authorization.role_assignments.post(request)

print(f"Assignment ID: {role_assignment.value[0].role_assignment_id}")
print(f"Scope: {role_assignment.value[0].scope}")
print(f"Principal: {role_assignment.value[0].principal_object_id}")

Power Platformi API viide: Role-Based juurdepääsu reguleerimine – rollimäärangu loomine

Toiming 3. Rollimäärangu kontrollimine

Tooge kõik rollimäärangud, et kinnitada uue ülesande olemasolu.

PowerShell

$roleAssignments = Invoke-RestMethod -Method Get -Uri "https://api.powerplatform.com/authorization/roleAssignments?api-version=2024-10-01" -Headers $headers

# Filter for the service principal's assignments
$roleAssignments.value | Where-Object { $_.principalObjectId -eq $EnterpriseAppObjectId } | Format-Table roleAssignmentId, roleDefinitionId, scope, principalType

Eeldatav väljund:

roleAssignmentId                        roleDefinitionId                        scope                          principalType
----------------                        ----------------                        -----                          -------------
a1b2c3d4-e5f6-7890-abcd-ef1234567890    ff954d61-a89a-4fbe-ace9-01c367b89f87    /tenants/<your-tenant-id>      ApplicationUser

C#

var roleAssignments = await client.Authorization.RoleAssignments.GetAsync();

var myAssignments = roleAssignments.Value
    .Where(a => a.PrincipalObjectId == "YOUR_ENTERPRISE_APP_OBJECT_ID");

foreach (var assignment in myAssignments)
{
    Console.WriteLine($"ID: {assignment.RoleAssignmentId}");
    Console.WriteLine($"Role: {assignment.RoleDefinitionId}");
    Console.WriteLine($"Scope: {assignment.Scope}");
    Console.WriteLine($"Type: {assignment.PrincipalType}");
}

Python

role_assignments = await client.authorization.role_assignments.get()

my_assignments = [
    a for a in role_assignments.value
    if a.principal_object_id == "YOUR_ENTERPRISE_APP_OBJECT_ID"
]

for assignment in my_assignments:
    print(f"ID: {assignment.role_assignment_id}")
    print(f"Role: {assignment.role_definition_id}")
    print(f"Scope: {assignment.scope}")
    print(f"Type: {assignment.principal_type}")

Power Platformi API viide: rollipõhine juurdepääsu reguleerimine – loendirollide määramised

Seotud sisu

• Power Platformi halduskeskuse rollipõhine juurdepääsu reguleerimine
• Õiguseviide
• Autentimine – esimese rakenduse registreerimise loomine