Оқулық: Қызмет басшыларына рөлдерді тағайындау (алдын ала қарау)

[Бұл мақала — шығарылым алдындағы құжаттама және ол өзгеруі мүмкін.]

Power Platform-дағы рөлге негізделген қолжетімділікті бақылау (RBAC) әкімшілерге пайдаланушыларға, топтарға және қызмет басшыларына жалға алушы, орта тобы немесе орта ауқымындағы кіріктірілген рөлдерді тағайындауға мүмкіндік береді. Бұл оқулықта кең таралған автоматтандыру сценарийі қарастырылады: Contributor рөлін Authorization API арқылы жалға алушы ауқымындағы қызмет басшысына тағайындау.

RBAC ұғымдары, кіріктірілген рөлдер және ауқым мұрагерлігі туралы көбірек білу үшін Power Platform әкімшілік орталығы үшін рөлге негізделген қолжетімділікті бақылау бөлімін қараңыз.

Маңызды

• Бұл алдын ала қарау мүмкіндігі болып табылады.
• Алдын ала қарау нұсқасының мүмкіндіктері өндірісті пайдалану үшін арналмаған және функционалдық шектеулі болуы мүмкін. Бұл мүмкіндіктер қосымша пайдалану шарттарына бағынады және тұтынушылар ертерек қол жеткізіп, кері байланыс бере алуы үшін ресми шығарылымға дейін қолжетімді болады.

Бұл оқулықта сіз мыналарды үйренесіз:

• Power Platform API арқылы аутентификациялаңыз.
• Қолжетімді рөл анықтамаларын тізімдеңіз.
• Қызмет көрсетуші үшін жалдаушы ауқымда рөл тағайындау жасаңыз.
• Рөл тағайындалуын тексер.

Алғышарттар

• Power Platform API-ге конфигурацияланған Microsoft Entra қосымшасының тіркеуі, қызмет үшін сертификат немесе клиент құпиясы бар негізгі аутентификациясымен. Нұсқаулық алу үшін Аутентификация бөлімін қараңыз.
• Microsoft Entra> қосымшаларында кездесетін қызмет принципінің Enterprise Application Object ID идентификаторы.
• Шақыру идентификаторы Power Platform Administrator немесе Power Platform рөліне негізделген қолжетімділікті бақылау әкімшісі рөлін атқаруы керек.

Кіріктірілген рөл анықтамалары

Power Platform RBAC арқылы тағайындалатын төрт кіріктірілген рөлді ұсынады. Әр рөлге белгілі бір рұқсаттар жиынтығы бар және оны жалға алушы, қоршаған орта тобы немесе орта ауқымында тағайындауға болады.

Рөл атауы	Рөл идентификаторы	Рұқсаттар
Power Platform иесі	0cb07c69-1631-4725-ab35-e59e001c51ea	Барлық рұқсаттар
Power Platform қатысушысы	ff954d61-a89a-4fbe-ace9-01c367b89f87	Барлық ресурстарды басқару және оқу, бірақ рөлдерді тағайындау немесе өзгерту мүмкін емес
Power Platform оқырманы	c886ad2e-27f7-4874-8381-5849b8d8a090	Барлық ресурстарға тек оқуға қолжетімділік
Power Platform рөлге негізделген қолжетімділікті басқару әкімшісі	95e94555-018c-447b-8691-bdac8e12211e	Барлық ресурстарды оқыңыз + рөлдерді тағайындауды басқарыңыз

1-қадам. Қолжетімді рөлдердің анықтамалары тізімі

Алдымен, қолжетімді рөл анықтамаларын аутентификациялап, үлес қосушы рөл идентификаторын растау үшін алу.

PowerShell

# Install the Az.Accounts module if not already installed
Install-Module -Name Az.Accounts

# Set your tenant ID
$TenantId = "YOUR_TENANT_ID"

# Authenticate and obtain an access token
Connect-AzAccount
$secureToken = (Get-AzAccessToken -TenantId $TenantId -ResourceUrl "https://api.powerplatform.com/").Token
$AccessToken = [System.Net.NetworkCredential]::new("", $secureToken).Password

$headers = @{ 'Authorization' = 'Bearer ' + $AccessToken }
$headers.Add('Content-Type', 'application/json')

# List all role definitions
$roleDefinitions = Invoke-RestMethod -Method Get -Uri "https://api.powerplatform.com/authorization/roleDefinitions?api-version=2024-10-01" -Headers $headers

$roleDefinitions.value | Format-Table roleDefinitionName, roleDefinitionId

Күтілетін нәтиже:

roleDefinitionName                                          roleDefinitionId
------------------                                          ----------------
Power Platform owner                                        0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor                                  ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader                                       c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator      95e94555-018c-447b-8691-bdac8e12211e

C#

using Microsoft.PowerPlatform.Management;
using Microsoft.PowerPlatform.Management.Models;

var client = ServiceClientFactory.Create(clientId);

// List all role definitions
var roleDefinitions = await client.Authorization.RoleDefinitions.GetAsync();

foreach (var role in roleDefinitions.Value)
{
    Console.WriteLine($"{role.RoleDefinitionName}: {role.RoleDefinitionId}");
}

Күтілетін нәтиже:

Power Platform owner: 0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor: ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader: c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator: 95e94555-018c-447b-8691-bdac8e12211e

Python

import asyncio
from azure.identity import InteractiveBrowserCredential
from kiota_authentication_azure.azure_identity_authentication_provider import AzureIdentityAuthenticationProvider
from kiota_http.httpx_request_adapter import HttpxRequestAdapter
from mspp_management.service_client_base import ServiceClientBase

credential = InteractiveBrowserCredential()
auth_provider = AzureIdentityAuthenticationProvider(
    credential,
    scopes=["https://api.powerplatform.com/.default"]
)
adapter = HttpxRequestAdapter(auth_provider)
adapter.base_url = "https://api.powerplatform.com"
client = ServiceClientBase(adapter)

# List all role definitions
role_definitions = await client.authorization.role_definitions.get()

for role in role_definitions.value:
    print(f"{role.role_definition_name}: {role.role_definition_id}")

Күтілетін нәтиже:

Power Platform owner: 0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor: ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader: c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator: 95e94555-018c-447b-8691-bdac8e12211e

Power Platform API анықтамасы: Role-Based Access Control - Рөл анықтамаларын тізімдеу

2-қадам. Үлес қосушы рөлін қызмет басшысына тағайындау

Power Platform қатысушысы рөлін жалға алушы ауқымындағы қызмет басшысына беретін рөл тағайындау. Microsoft Entra ID-дегі жалға алушы GUID және YOUR_TENANT_ID Microsoft Entra ID-дегі кәсіпорын қосымшасының объект идентификаторымен ауыстырыңызYOUR_ENTERPRISE_APP_OBJECT_ID.

PowerShell

$TenantId = "YOUR_TENANT_ID"
$EnterpriseAppObjectId = "YOUR_ENTERPRISE_APP_OBJECT_ID"

$body = @{
    roleDefinitionId = "ff954d61-a89a-4fbe-ace9-01c367b89f87"
    principalObjectId = $EnterpriseAppObjectId
    principalType = "ApplicationUser"
    scope = "/tenants/$TenantId"
} | ConvertTo-Json

$roleAssignment = Invoke-RestMethod -Method Post -Uri "https://api.powerplatform.com/authorization/roleAssignments?api-version=2024-10-01" -Headers $headers -Body $body

$roleAssignment

Күтілетін нәтиже:

roleAssignmentId   : a1b2c3d4-e5f6-7890-abcd-ef1234567890
principalObjectId  : <your-enterprise-app-object-id>
roleDefinitionId   : ff954d61-a89a-4fbe-ace9-01c367b89f87
scope              : /tenants/<your-tenant-id>
principalType      : ApplicationUser
createdOn          : 2026-03-02T12:00:00.0000000+00:00

C#

var request = new RoleAssignmentRequest
{
    RoleDefinitionId = "ff954d61-a89a-4fbe-ace9-01c367b89f87",
    PrincipalObjectId = "YOUR_ENTERPRISE_APP_OBJECT_ID",
    PrincipalType = "ApplicationUser",
    Scope = "/tenants/YOUR_TENANT_ID"
};

var roleAssignment = await client.Authorization.RoleAssignments.PostAsync(request);

Console.WriteLine($"Assignment ID: {roleAssignment.Value[0].RoleAssignmentId}");
Console.WriteLine($"Scope: {roleAssignment.Value[0].Scope}");
Console.WriteLine($"Principal: {roleAssignment.Value[0].PrincipalObjectId}");

Python

from mspp_management.models.role_assignment_request import RoleAssignmentRequest

request = RoleAssignmentRequest(
    role_definition_id="ff954d61-a89a-4fbe-ace9-01c367b89f87",
    principal_object_id="YOUR_ENTERPRISE_APP_OBJECT_ID",
    principal_type="ApplicationUser",
    scope="/tenants/YOUR_TENANT_ID",
)

role_assignment = await client.authorization.role_assignments.post(request)

print(f"Assignment ID: {role_assignment.value[0].role_assignment_id}")
print(f"Scope: {role_assignment.value[0].scope}")
print(f"Principal: {role_assignment.value[0].principal_object_id}")

Power Platform API анықтамасы: Role-Based Access Control - Рөлді тағайындау жасау

3-қадам. Рөл тағайындалуын тексеру

Жаңа тапсырманың бар екенін растау үшін барлық рөлдік тағайындауларды алыңыз.

PowerShell

$roleAssignments = Invoke-RestMethod -Method Get -Uri "https://api.powerplatform.com/authorization/roleAssignments?api-version=2024-10-01" -Headers $headers

# Filter for the service principal's assignments
$roleAssignments.value | Where-Object { $_.principalObjectId -eq $EnterpriseAppObjectId } | Format-Table roleAssignmentId, roleDefinitionId, scope, principalType

Күтілетін нәтиже:

roleAssignmentId                        roleDefinitionId                        scope                          principalType
----------------                        ----------------                        -----                          -------------
a1b2c3d4-e5f6-7890-abcd-ef1234567890    ff954d61-a89a-4fbe-ace9-01c367b89f87    /tenants/<your-tenant-id>      ApplicationUser

C#

var roleAssignments = await client.Authorization.RoleAssignments.GetAsync();

var myAssignments = roleAssignments.Value
    .Where(a => a.PrincipalObjectId == "YOUR_ENTERPRISE_APP_OBJECT_ID");

foreach (var assignment in myAssignments)
{
    Console.WriteLine($"ID: {assignment.RoleAssignmentId}");
    Console.WriteLine($"Role: {assignment.RoleDefinitionId}");
    Console.WriteLine($"Scope: {assignment.Scope}");
    Console.WriteLine($"Type: {assignment.PrincipalType}");
}

Python

role_assignments = await client.authorization.role_assignments.get()

my_assignments = [
    a for a in role_assignments.value
    if a.principal_object_id == "YOUR_ENTERPRISE_APP_OBJECT_ID"
]

for assignment in my_assignments:
    print(f"ID: {assignment.role_assignment_id}")
    print(f"Role: {assignment.role_definition_id}")
    print(f"Scope: {assignment.scope}")
    print(f"Type: {assignment.principal_type}")

Power Platform API анықтамасы: Рөлге негізделген қолжетімділікті бақылау - Рөлдерді тағайындау тізімі

Қатысты мазмұн

• Power Platform әкімшілік орталығына арналған рөлдік қолжетімділікті басқару
• Рұқсат сілтемесі
• Аутентификация – алғашқы қосымшаңа тіркелу жасау