Opetusohjelma: Roolien määrittäminen palvelun päänimille (esikatselu)

[Tämä artikkeli on esijulkaisuasiakirja, ja se voi muuttua.]

Roolipohjaisen käytön hallinnan (RBAC) avulla Power Platformin järjestelmänvalvojat voivat määrittää sisäisiä rooleja käyttäjille, ryhmille ja palvelun päänimille vuokraajassa, ympäristöryhmässä tai ympäristön laajuudessa. Tässä opetusohjelmassa käydään läpi yleinen automaatioskenaario: Osallistuja-roolin määrittäminen palvelun päänimelle vuokraajan vaikutusalueella valtuutuksen ohjelmointirajapinnan avulla.

Lisätietoja RBAC-käsitteistä, valmiista rooleista ja vaikutusalueen periytymisestä on artikkelissa Roolipohjainen käyttöoikeuksien hallinta Power Platform -hallintakeskuksessa.

Tärkeää

• Tämä on esiversiotoiminto.
• Esiversio-ominaisuuksia ei ole tarkoitettu tuotantokäyttöön, ja niiden toiminnot saattavat olla rajoitettuja. Näihin toimintoihin sovelletaan lisäkäyttöehtoja ja ne ovat käytettävissä ennen virallista julkaisua, jotta asiakkaat voivat käyttää niitä aikaisessa vaiheessa ja antaa palautetta.

Tässä opetusohjelmassa opit:

• Todenna Power Platform -ohjelmointirajapinnan avulla.
• Luetteloi käytettävissä olevat roolimääritykset.
• Luo palvelun päänimen roolimääritys vuokraajan laajuudessa.
• Tarkista roolimääritys.

Edellytykset

• Power Platform -ohjelmointirajapinnalle määritetty Microsoft Entra -sovelluksen rekisteröinti sekä varmenne tai asiakassalaisuus palvelun päänimen todentamista varten. Katso ohjeita kohdasta Todentaminen.
• Yrityksen sovelluksen objektitunnus palvelun päänimelle (löytyy Microsoft Entra IDEnterprise ->sovelluksista).
• Kutsuvan käyttäjätiedon on oltava Power Platform -järjestelmänvalvojan tai Power Platform -roolipohjaisen käytön hallinnan järjestelmänvalvojan rooli.

Sisäiset roolimääritykset

Power Platform tarjoaa neljä sisäistä roolia, jotka voidaan määrittää RBAC:n kautta. Kullakin roolilla on kiinteät käyttöoikeudet, ja ne voidaan määrittää vuokraajan, ympäristöryhmän tai ympäristön laajuudessa.

Roolin nimi	Roolitunnus	Käyttöoikeudet
Power Platform -omistaja	0cb07c69-1631-4725-ab35-e59e001c51ea	Kaikki käyttöoikeudet
Power Platform -osallistuja	ff954d61-a89a-4fbe-ace9-01c367b89f87	Hallitse ja lue kaikkia resursseja, mutta ei voi tehdä tai muuttaa roolimäärityksiä
Power Platform -lukija	c886ad2e-27f7-4874-8381-5849b8d8a090	Vain luku -oikeus kaikkiin resursseihin
Power Platformin roolipohjaisen käyttöoikeuksien valvonnan järjestelmänvalvoja	95e94555-018c-447b-8691-bdac8e12211e	Kaikkien resurssien luku - ja roolimääritysten hallinta

Vaihe 1. Käytettävissä olevien roolimääritysten luettelo

Vahvista ensin osallistujan roolitunnus todentaa ja noutaa käytettävissä olevat roolimääritykset.

PowerShell

# Install the Az.Accounts module if not already installed
Install-Module -Name Az.Accounts

# Set your tenant ID
$TenantId = "YOUR_TENANT_ID"

# Authenticate and obtain an access token
Connect-AzAccount
$AccessToken = Get-AzAccessToken -TenantId $TenantId -ResourceUrl "https://api.powerplatform.com/"

$headers = @{ 'Authorization' = 'Bearer ' + $AccessToken.Token }
$headers.Add('Content-Type', 'application/json')

# List all role definitions
$roleDefinitions = Invoke-RestMethod -Method Get -Uri "https://api.powerplatform.com/authorization/roleDefinitions?api-version=2024-10-01" -Headers $headers

$roleDefinitions.value | Format-Table roleDefinitionName, roleDefinitionId

Odotettu tuloste:

roleDefinitionName                                          roleDefinitionId
------------------                                          ----------------
Power Platform owner                                        0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor                                  ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader                                       c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator      95e94555-018c-447b-8691-bdac8e12211e

C#

using Microsoft.PowerPlatform.Management;
using Microsoft.PowerPlatform.Management.Models;

var client = ServiceClientFactory.Create(clientId);

// List all role definitions
var roleDefinitions = await client.Authorization.RoleDefinitions.GetAsync();

foreach (var role in roleDefinitions.Value)
{
    Console.WriteLine($"{role.RoleDefinitionName}: {role.RoleDefinitionId}");
}

Odotettu tuloste:

Power Platform owner: 0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor: ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader: c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator: 95e94555-018c-447b-8691-bdac8e12211e

Python

import asyncio
from azure.identity import InteractiveBrowserCredential
from kiota_authentication_azure.azure_identity_authentication_provider import AzureIdentityAuthenticationProvider
from kiota_http.httpx_request_adapter import HttpxRequestAdapter
from mspp_management.service_client_base import ServiceClientBase

credential = InteractiveBrowserCredential()
auth_provider = AzureIdentityAuthenticationProvider(
    credential,
    scopes=["https://api.powerplatform.com/.default"]
)
adapter = HttpxRequestAdapter(auth_provider)
adapter.base_url = "https://api.powerplatform.com"
client = ServiceClientBase(adapter)

# List all role definitions
role_definitions = await client.authorization.role_definitions.get()

for role in role_definitions.value:
    print(f"{role.role_definition_name}: {role.role_definition_id}")

Odotettu tuloste:

Power Platform owner: 0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor: ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader: c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator: 95e94555-018c-447b-8691-bdac8e12211e

Power Platform -ohjelmointirajapinnan viittaus: Role-Based käyttöoikeuksien hallinta – luetteloroolimääritykset

Vaihe 2. Osallistuja-roolin määrittäminen palvelun päänimelle

Luo roolimääritys, joka myöntää Power Platform -osallistujaroolin palvelun päänimelle vuokraajan laajuudessa. Korvaa YOUR_TENANT_ID vuokraajan GUID-tunnuksella ja YOUR_ENTERPRISE_APP_OBJECT_ID Microsoft Entra ID:n yrityssovelluksen objektitunnuksella.

PowerShell

$TenantId = "YOUR_TENANT_ID"
$EnterpriseAppObjectId = "YOUR_ENTERPRISE_APP_OBJECT_ID"

$body = @{
    roleDefinitionId = "ff954d61-a89a-4fbe-ace9-01c367b89f87"
    principalObjectId = $EnterpriseAppObjectId
    principalType = "ApplicationUser"
    scope = "/tenants/$TenantId"
} | ConvertTo-Json

$roleAssignment = Invoke-RestMethod -Method Post -Uri "https://api.powerplatform.com/authorization/roleAssignments?api-version=2024-10-01" -Headers $headers -Body $body

$roleAssignment

Odotettu tuloste:

roleAssignmentId   : a1b2c3d4-e5f6-7890-abcd-ef1234567890
principalObjectId  : <your-enterprise-app-object-id>
roleDefinitionId   : ff954d61-a89a-4fbe-ace9-01c367b89f87
scope              : /tenants/<your-tenant-id>
principalType      : ApplicationUser
createdOn          : 2026-03-02T12:00:00.0000000+00:00

C#

var request = new RoleAssignmentRequest
{
    RoleDefinitionId = "ff954d61-a89a-4fbe-ace9-01c367b89f87",
    PrincipalObjectId = "YOUR_ENTERPRISE_APP_OBJECT_ID",
    PrincipalType = "ApplicationUser",
    Scope = "/tenants/YOUR_TENANT_ID"
};

var roleAssignment = await client.Authorization.RoleAssignments.PostAsync(request);

Console.WriteLine($"Assignment ID: {roleAssignment.Value[0].RoleAssignmentId}");
Console.WriteLine($"Scope: {roleAssignment.Value[0].Scope}");
Console.WriteLine($"Principal: {roleAssignment.Value[0].PrincipalObjectId}");

Python

from mspp_management.models.role_assignment_request import RoleAssignmentRequest

request = RoleAssignmentRequest(
    role_definition_id="ff954d61-a89a-4fbe-ace9-01c367b89f87",
    principal_object_id="YOUR_ENTERPRISE_APP_OBJECT_ID",
    principal_type="ApplicationUser",
    scope="/tenants/YOUR_TENANT_ID",
)

role_assignment = await client.authorization.role_assignments.post(request)

print(f"Assignment ID: {role_assignment.value[0].role_assignment_id}")
print(f"Scope: {role_assignment.value[0].scope}")
print(f"Principal: {role_assignment.value[0].principal_object_id}")

Power Platform -ohjelmointirajapinnan viittaus: Role-Based käyttöoikeuksien hallinta – roolimäärityksen luominen

Vaihe 3. Tarkista roolimääritys

Nouda kaikki roolimääritykset ja varmista, että uusi määritys on olemassa.

PowerShell

$roleAssignments = Invoke-RestMethod -Method Get -Uri "https://api.powerplatform.com/authorization/roleAssignments?api-version=2024-10-01" -Headers $headers

# Filter for the service principal's assignments
$roleAssignments.value | Where-Object { $_.principalObjectId -eq $EnterpriseAppObjectId } | Format-Table roleAssignmentId, roleDefinitionId, scope, principalType

Odotettu tuloste:

roleAssignmentId                        roleDefinitionId                        scope                          principalType
----------------                        ----------------                        -----                          -------------
a1b2c3d4-e5f6-7890-abcd-ef1234567890    ff954d61-a89a-4fbe-ace9-01c367b89f87    /tenants/<your-tenant-id>      ApplicationUser

C#

var roleAssignments = await client.Authorization.RoleAssignments.GetAsync();

var myAssignments = roleAssignments.Value
    .Where(a => a.PrincipalObjectId == "YOUR_ENTERPRISE_APP_OBJECT_ID");

foreach (var assignment in myAssignments)
{
    Console.WriteLine($"ID: {assignment.RoleAssignmentId}");
    Console.WriteLine($"Role: {assignment.RoleDefinitionId}");
    Console.WriteLine($"Scope: {assignment.Scope}");
    Console.WriteLine($"Type: {assignment.PrincipalType}");
}

Python

role_assignments = await client.authorization.role_assignments.get()

my_assignments = [
    a for a in role_assignments.value
    if a.principal_object_id == "YOUR_ENTERPRISE_APP_OBJECT_ID"
]

for assignment in my_assignments:
    print(f"ID: {assignment.role_assignment_id}")
    print(f"Role: {assignment.role_definition_id}")
    print(f"Scope: {assignment.scope}")
    print(f"Type: {assignment.principal_type}")

Power Platform -ohjelmointirajapinnan viittaus: roolipohjaisen käytön hallinta – luetteloroolimääritykset

Liittyvä sisältö

• Roolipohjaisen käytön hallinta Power Platform -hallintakeskuksessa
• Käyttöoikeusviittaus
• Todentaminen – luo ensimmäinen sovellusrekisteröinti