次の方法で共有

governanceRoleAssignmentRequest を作成する

  • [アーティクル]

名前空間: microsoft.graph

重要

Microsoft Graph の /beta バージョンの API は変更される可能性があります。 実稼働アプリケーションでこれらの API を使用することは、サポートされていません。 v1.0 で API を使用できるかどうかを確認するには、Version セレクターを使用します。

注意

Azure リソース用のこのバージョンの Privileged Identity Management (PIM) API は、近日非推奨になります。 Azure リソース ロールに新しい Azure REST PIM API を使用してください。

ロールの割り当てに必要な操作を表すロールの割り当て要求を作成します。 次の表に、操作の一覧を示します。

操作 型
ロールの割り当てを割り当てる AdminAdd
適格なロールの割り当てをアクティブ化する UserAdd
アクティブ化されたロールの割り当てを非アクティブ化する UserRemove
ロールの割り当てを削除する AdminRemove
ロールの割り当てを更新する AdminUpdate
ロールの割り当てを延長する要求 UserExtend
ロールの割り当てを拡張する AdminExtend
期限切れのロールの割り当ての更新を要求する UserRenew
期限切れのロールの割り当てを更新する AdminRenew

この API は、次の国内クラウド展開で使用できます。

グローバル サービス 米国政府機関 L4 米国政府機関 L5 (DOD) 21Vianet が運営する中国
✅ ✅ ✅ ❌

アクセス許可

次の表は、サポートされている各リソースの種類でこの API を呼び出すために必要な最小特権のアクセス許可またはアクセス許可を示しています。 ベスト プラクティスに従って、最小限の特権のアクセス許可を要求します。 委任されたアクセス許可とアプリケーションのアクセス許可の詳細については、「アクセス許可の種類」を参照してください。 これらのアクセス許可の詳細については、「アクセス許可のリファレンス」を参照してください。

サポートされているリソース 委任 (職場または学校のアカウント) 委任 (個人用 Microsoft アカウント) アプリケーション
Microsoft Entra ID PrivilegedAccess.ReadWrite.AzureAD サポートされていません。 サポートされていません。
Azure リソース PrivilegedAccess.ReadWrite.AzureResources サポートされていません。 サポートされていません。
group PrivilegedAccess.ReadWrite.AzureADGroup サポートされていません。 サポートされていません。

HTTP 要求

POST /privilegedAccess/azureResources/roleAssignmentRequests

要求ヘッダー

名前 説明
Authorization ベアラー {token}。 必須です。 認証と認可についての詳細をご覧ください。
Content-type application/json

要求本文

要求本文で、 governanceRoleAssignmentRequest オブジェクトの JSON 表現を指定します。

プロパティ 型 説明
resourceId String ロールの割り当て要求に関連付けられている Azure リソースの一意の識別子。 Azure リソースには、サブスクリプション、リソース グループ、仮想マシン、SQL データベースを含めることができます。 必須です。
roleDefinitionId String ロールの割り当て要求が関連付けられている Azure ロール定義の識別子。 必須です。
subjectId String ロールの割り当て要求が関連付けられているプリンシパルまたはサブジェクトの一意識別子。 プリンシパルには、ユーザー、グループ、またはサービス プリンシパルを指定できます。 必須です。
assignmentState String 割り当ての状態。 値は、 Eligible および Activeできます。 必須です。
type String 要求の種類。 値には、 AdminAdd、 UserAdd、 AdminUpdate、 AdminRemove、 UserRemove、 UserExtend、 UserRenew、 AdminRenew、 AdminExtendを指定できます。 必須です。
理由 String 監査とレビューの目的でロールの割り当て要求に理由を指定する必要があります。
schedule governanceSchedule ロールの割り当て要求のスケジュール。 UserAdd、AdminAdd、AdminUpdate、AdminExtendの要求の種類については、必須です。

応答

成功した場合、このメソッドは応答コード 201 Created と、応答本文の governanceRoleAssignmentRequest オブジェクトを返します。

エラー コード

この API は、標準の HTTP エラー コードを返します。 さらに、次の表に示すエラー コードも返されます。

エラー コード エラー メッセージ 詳細
400 BadRequest RoleNotFound 要求本文で指定された roleDefinitionId が見つかりません。
400 BadRequest ResourceIsLocked 要求本文で提供されるリソースは Locked 状態であり、ロールの割り当て要求を作成できません。
400 BadRequest SubjectNotFound 要求本文で指定された subjectId が見つかりません。
400 BadRequest PendingRoleAssignmentRequest システムには、保留中の governanceRoleAssignmentRequest が既に存在します。
400 BadRequest RoleAssignmentExists 作成を要求された governanceRoleAssignment は、システムに既に存在します。
400 BadRequest RoleAssignmentDoesNotExist 更新/拡張を要求された governanceRoleAssignment がシステムに存在しません。
400 BadRequest RoleAssignmentRequestPolicyValidationFailed governanceRoleAssignmentRequest は内部ポリシーを満たしていないため、作成できません。

例

次の例では、この API の使用方法を示します。

例 1: 管理者がユーザーをロールに割り当てる

この例では、管理者がユーザー nawu@contoso.com を課金閲覧者ロールに割り当てます。

手記： この例では、アクセス許可に加えて、要求者がリソースに対して少なくとも 1 つの Active 管理者ロールの割り当て (owner または user access administrator) を持っている必要があります。

プロパティ 型 必須 値
resourceId String はい <resourceId>
roleDefinitionId String はい <roleDefinitionId>
subjectId String はい <subjectId>
assignmentState String はい 対象/アクティブ
type String はい AdminAdd
理由 String ロールの設定によって異なります
schedule governanceSchedule はい

要求

POST https://graph.microsoft.com/beta/privilegedAccess/azureResources/roleAssignmentRequests
Content-type: application/json

{
  "roleDefinitionId": "ea48ad5e-e3b0-4d10-af54-39a45bbfe68d",
  "resourceId": "e5e7d29d-5465-45ac-885f-4716a5ee74b5",
  "subjectId": "918e54be-12c4-4f4c-a6d3-2ee0e3661c51",
  "assignmentState": "Eligible",
  "type": "AdminAdd",
  "reason": "Assign an eligible role",
  "schedule": {
    "startDateTime": "2018-05-12T23:37:43.356Z",
    "endDateTime": "2018-11-08T23:37:43.356Z",
    "type": "Once"
  }
}

応答

HTTP/1.1 201 Created
Content-type: application/json

{
  "@odata.context": "https://graph.microsoft.com/beta/$metadata#governanceRoleAssignmentRequests/$entity",
  "id": "1232e4ea-741a-4be5-8044-5edabdd61672",
  "resourceId": "e5e7d29d-5465-45ac-885f-4716a5ee74b5",
  "roleDefinitionId": "ea48ad5e-e3b0-4d10-af54-39a45bbfe68d",
  "subjectId": "918e54be-12c4-4f4c-a6d3-2ee0e3661c51",
  "linkedEligibleRoleAssignmentId": "",
  "type": "AdminAdd",
  "assignmentState": "Eligible",
  "requestedDateTime": "0001-01-01T00:00:00Z",
  "reason": "Evaluate Only",
  "status": {
    "status": "InProgress",
    "subStatus": "Granted",
    "statusDetails": [
      {
        "key": "AdminRequestRule",
        "value": "Grant"
      },
      {
        "key": "ExpirationRule",
        "value": "Grant"
      },
      {
        "key": "MfaRule",
        "value": "Grant"
      }
    ]
  },
  "schedule": {
    "type": "Once",
    "startDateTime": "2018-05-12T23:37:43.356Z",
    "endDateTime": "2018-11-08T23:37:43.356Z",
    "duration": "PT0S"
  }
}

例 2: ユーザーが適格なロールをアクティブにする

この例では、ユーザー nawu@contoso.com は、対象となる課金閲覧者ロールをアクティブ化します。

プロパティ 型 必須 値
resourceId String はい <resourceId>
roleDefinitionId String はい <roleDefinitionId>
subjectId String はい <subjectId>
assignmentState String はい アクティブ
type String はい UserAdd
理由 String ロールの設定によって異なります
schedule governanceSchedule はい

要求

POST https://graph.microsoft.com/beta/privilegedAccess/azureResources/roleAssignmentRequests
Content-type: application/json

{
  "roleDefinitionId": "8b4d1d51-08e9-4254-b0a6-b16177aae376",
  "resourceId": "e5e7d29d-5465-45ac-885f-4716a5ee74b5",
  "subjectId": "918e54be-12c4-4f4c-a6d3-2ee0e3661c51",
  "assignmentState": "Active",
  "type": "UserAdd",
  "reason": "Activate the owner role",
  "schedule": {
    "type": "Once",
    "startDateTime": "2018-05-12T23:28:43.537Z",
    "duration": "PT9H"
  },
  "linkedEligibleRoleAssignmentId": "e327f4be-42a0-47a2-8579-0a39b025b394"
}

応答

HTTP/1.1 201 Created
Content-type: application/json

{
  "@odata.context": "https://graph.microsoft.com/beta/$metadata#governanceRoleAssignmentRequests/$entity",
  "id": "3ad49a7c-918e-4d86-9f84-fab28f8658c0",
  "resourceId": "e5e7d29d-5465-45ac-885f-4716a5ee74b5",
  "roleDefinitionId": "8b4d1d51-08e9-4254-b0a6-b16177aae376",
  "subjectId": "918e54be-12c4-4f4c-a6d3-2ee0e3661c51",
  "linkedEligibleRoleAssignmentId": "e327f4be-42a0-47a2-8579-0a39b025b394",
  "type": "UserAdd",
  "assignmentState": "Active",
  "requestedDateTime": "0001-01-01T00:00:00Z",
  "reason": "Activate the owner role",
  "status": {
    "status": "InProgress",
    "subStatus": "Granted",
    "statusDetails": [
      {
        "key": "EligibilityRule",
        "value": "Grant"
      },
      {
        "key": "ExpirationRule",
        "value": "Grant"
      },
      {
        "key": "MfaRule",
        "value": "Grant"
      },
      {
        "key": "JustificationRule",
        "value": "Grant"
      },
      {
        "key": "ActivationDayRule",
        "value": "Grant"
      },
      {
        "key": "ApprovalRule",
        "value": "Grant"
      }
    ]
  },
  "schedule": {
    "type": "Once",
    "startDateTime": "2018-05-12T23:28:43.537Z",
    "endDateTime": "0001-01-01T00:00:00Z",
    "duration": "PT9H"
  }
}

例 3: ユーザーが割り当てられたロールを非アクティブ化する

この例では、ユーザーはアクティブな課金閲覧者ロールを非アクティブ化 nawu@contoso.com 。

プロパティ 型 必須 値
resourceId String はい <resourceId>
roleDefinitionId String はい <roleDefinitionId>
subjectId String はい <subjectId>
assignmentState String はい アクティブ
type String はい UserRemove
理由 String いいえ
schedule governanceSchedule いいえ

要求

POST https://graph.microsoft.com/beta/privilegedAccess/azureResources/roleAssignmentRequests
Content-type: application/json

{
  "roleDefinitionId": "bc75b4e6-7403-4243-bf2f-d1f6990be122",
  "resourceId": "fb016e3a-c3ed-4d9d-96b6-a54cd4f0b735",
  "subjectId": "918e54be-12c4-4f4c-a6d3-2ee0e3661c51",
  "assignmentState": "Active",
  "type": "UserRemove",
  "reason": "Deactivate the role",
  "linkedEligibleRoleAssignmentId": "cb8a533e-02d5-42ad-8499-916b1e4822ec"
}

応答

HTTP/1.1 201 Created
Content-type: application/json

{
  "@odata.context": "https://graph.microsoft.com/beta/$metadata#governanceRoleAssignmentRequests/$entity",
  "id": "abfcdb57-8e5d-42a0-ae67-7598b96fddb1",
  "resourceId": "fb016e3a-c3ed-4d9d-96b6-a54cd4f0b735",
  "roleDefinitionId": "bc75b4e6-7403-4243-bf2f-d1f6990be122",
  "subjectId": "918e54be-12c4-4f4c-a6d3-2ee0e3661c51",
  "linkedEligibleRoleAssignmentId": "cb8a533e-02d5-42ad-8499-916b1e4822ec",
  "type": "UserRemove",
  "assignmentState": "Active",
  "requestedDateTime": "0001-01-01T00:00:00Z",
  "reason": "Evaluate only",
  "schedule": null,
  "status": {
    "status": "Closed",
    "subStatus": "Revoked",
    "statusDetails": []
  }
}

例 4: 管理者がロールからユーザーを削除する

この例では、管理者が課金閲覧者ロールからユーザー nawu@contoso.com を削除します。

手記： この例では、アクセス許可に加えて、要求者がリソースに対して少なくとも 1 つの Active 管理者ロールの割り当て (owner または user access administrator) を持っている必要があります。

プロパティ 型 必須 値
resourceId String はい <resourceId>
roleDefinitionId String はい <roleDefinitionId>
subjectId String はい <subjectId>
assignmentState String はい 対象/アクティブ
type String はい AdminRemove
理由 String いいえ
schedule governanceSchedule いいえ

要求

POST https://graph.microsoft.com/beta/privilegedAccess/azureResources/roleAssignmentRequests
Content-type: application/json

{
  "roleDefinitionId": "65bb4622-61f5-4f25-9d75-d0e20cf92019",
  "resourceId": "e5e7d29d-5465-45ac-885f-4716a5ee74b5",
  "subjectId": "74765671-9ca4-40d7-9e36-2f4a570608a6",
  "assignmentState": "Eligible",
  "type": "AdminRemove"
}

応答

HTTP/1.1 201 Created
Content-type: application/json

{
  "@odata.context": "https://graph.microsoft.com/beta/$metadata#governanceRoleAssignmentRequests/$entity",
  "id": "c934fcb9-cf53-42ac-a8b4-6246f6726299",
  "resourceId": "e5e7d29d-5465-45ac-885f-4716a5ee74b5",
  "roleDefinitionId": "65bb4622-61f5-4f25-9d75-d0e20cf92019",
  "subjectId": "74765671-9ca4-40d7-9e36-2f4a570608a6",
  "linkedEligibleRoleAssignmentId": "",
  "type": "AdminRemove",
  "assignmentState": "Eligible",
  "requestedDateTime": "0001-01-01T00:00:00Z",
  "reason": null,
  "status": {
    "status": "Closed",
    "subStatus": "Revoked",
    "statusDetails": []
  },
  "schedule": null
}

例 5: 管理者がロールの割り当てを更新する

この例では、管理者はユーザーのロールの割り当てを [所有者] に nawu@contoso.com 更新します。

手記： この例では、アクセス許可に加えて、要求者がリソースに対して少なくとも 1 つの Active 管理者ロールの割り当て (owner または user access administrator) を持っている必要があります。

プロパティ 型 必須 値
resourceId String はい <resourceId>
roleDefinitionId String はい <roleDefinitionId>
subjectId String はい <subjectId>
assignmentState String はい 対象/アクティブ
type String はい AdminUpdate
理由 String roleSettings によって異なります
schedule governanceSchedule はい

要求

POST https://graph.microsoft.com/beta/privilegedAccess/azureResources/roleAssignmentRequests
Content-type: application/json

{
  "roleDefinitionId": "70521f3e-3b95-4e51-b4d2-a2f485b02103",
  "resourceId": "e5e7d29d-5465-45ac-885f-4716a5ee74b5",
  "subjectId": "1566d11d-d2b6-444a-a8de-28698682c445",
  "assignmentState": "Eligible",
  "type": "AdminUpdate",
  "schedule": {
    "type": "Once",
    "startDateTime": "2018-03-08T05:42:45.317Z",
    "endDateTime": "2018-06-05T05:42:31.000Z"
  }
}

応答

HTTP/1.1 201 Created
Content-type: application/json

{
  "@odata.context": "https://graph.microsoft.com/beta/$metadata#governanceRoleAssignmentRequests/$entity",
  "id": "4f6d4802-b3ac-4f5a-86d7-a6a4edd7d383",
  "resourceId": "e5e7d29d-5465-45ac-885f-4716a5ee74b5",
  "roleDefinitionId": "70521f3e-3b95-4e51-b4d2-a2f485b02103",
  "subjectId": "1566d11d-d2b6-444a-a8de-28698682c445",
  "linkedEligibleRoleAssignmentId": "",
  "type": "AdminUpdate",
  "assignmentState": "Eligible",
  "requestedDateTime": "0001-01-01T00:00:00Z",
  "reason": null,
  "status": {
    "status": "InProgress",
    "subStatus": "Granted",
    "statusDetails": [
      {
        "key": "AdminRequestRule",
        "value": "Grant"
      },
      {
        "key": "ExpirationRule",
        "value": "Grant"
      },
      {
        "key": "MfaRule",
        "value": "Grant"
      }
    ]
  },
  "schedule": {
    "type": "Once",
    "startDateTime": "2018-03-08T05:42:45.317Z",
    "endDateTime": "2018-06-05T05:42:31Z",
    "duration": "PT0S"
  }
}

例 6: 管理者が期限切れのロールの割り当てを拡張する

この例では、ユーザー ANUJCUSER の期限切れのロールの割り当てを API Management サービス共同作成者に拡張します。

手記： この例では、アクセス許可に加えて、要求者がリソースに対して少なくとも 1 つの Active 管理者ロールの割り当て (owner または user access administrator) を持っている必要があります。

プロパティ 型 必須 値
resourceId String はい <resourceId>
roleDefinitionId String はい <roleDefinitionId>
subjectId String はい <subjectId>
assignmentState String はい 対象/アクティブ
type String はい AdminExtend
理由 String roleSettings によって異なります
schedule governanceSchedule はい

要求

POST https://graph.microsoft.com/beta/privilegedAccess/azureResources/roleAssignmentRequests
Content-type: application/json

{
  "roleDefinitionId": "0e88fd18-50f5-4ee1-9104-01c3ed910065",
  "resourceId": "e5e7d29d-5465-45ac-885f-4716a5ee74b5",
  "subjectId": "74765671-9ca4-40d7-9e36-2f4a570608a6",
  "assignmentState": "Eligible",
  "type": "AdminExtend",
  "reason": "extend role assignment",
  "schedule": {
    "type": "Once",
    "startDateTime": "2018-05-12T23:53:55.327Z",
    "endDateTime": "2018-08-10T23:53:55.327Z"
  }
}

応答

HTTP/1.1 201 Created
Content-type: application/json

{
  "@odata.context": "https://graph.microsoft.com/beta/$metadata#governanceRoleAssignmentRequests/$entity",
  "id": "486f0c05-47c8-4498-9c06-086a78c83004",
  "resourceId": "e5e7d29d-5465-45ac-885f-4716a5ee74b5",
  "roleDefinitionId": "0e88fd18-50f5-4ee1-9104-01c3ed910065",
  "subjectId": "74765671-9ca4-40d7-9e36-2f4a570608a6",
  "linkedEligibleRoleAssignmentId": "",
  "type": "AdminExtend",
  "assignmentState": "Eligible",
  "requestedDateTime": "0001-01-01T00:00:00Z",
  "reason": "extend role assignment",
  "status": {
    "status": "InProgress",
    "subStatus": "Granted",
    "statusDetails": [
      {
        "key": "AdminRequestRule",
        "value": "Grant"
      },
      {
        "key": "ExpirationRule",
        "value": "Grant"
      },
      {
        "key": "MfaRule",
        "value": "Grant"
      }
    ]
  },
  "schedule": {
    "type": "Once",
    "startDateTime": "2018-05-12T23:53:55.327Z",
    "endDateTime": "2018-08-10T23:53:55.327Z",
    "duration": "PT0S"
  }
}