Opplæring: Tilordne roller til tjenestekontohavere (forhåndsversjon)

[Denne artikkelen er forhåndsutgivelsesdokumentasjon og kan endres.]

Med rollebasert tilgangskontroll (RBAC) i Power Platform kan administratorer tilordne innebygde roller til brukere, grupper og tjenestekontohavere i tenanten, miljøgruppen eller miljøomfanget. Denne opplæringen går gjennom et vanlig automatiseringsscenario: Tilordne bidragsyterrollen til en tjenestekontohaver i leieromfanget ved hjelp av autorisasjons-API-en.

Hvis du vil lære mer om RBAC-konsepter, innebygde roller og omfangsarv, kan du se Rollebasert tilgangskontroll for administrasjonssenteret for Power Platform.

Viktig!

• Dette er en forhåndsvisningsfunksjon.
• Forhåndsvisningsfunksjoner er ikke ment for produksjonsbruk og kan ha begrenset funksjonalitet. Disse funksjonene er underlagt ekstra vilkår for bruk, og er tilgjengelige før en offisiell utgivelse, slik at kundene kan få tidlig tilgang og gi tilbakemelding.

I denne opplæringen lærer du hvordan du:

• Godkjenne med API-en for Power Platform.
• Liste over tilgjengelige rolledefinisjoner.
• Opprett en rolletilordning for en tjenestekontohaver i leieromfanget.
• Bekreft rolletilordningen.

Forutsetninger

• En Microsoft Entra-appregistrering konfigurert for Power Platform-API-en, med et sertifikat eller en klienthemmelighet for tjenestekontohavergodkjenning. Hvis du vil ha veiledning, kan du se Godkjenning.
• Enterprise Application Object ID for tjenestekontohaveren (finnes i Microsoft Entra ID>Enterprise-programmer).
• Anropsidentiteten må ha rollen som administrator for Power Platform eller rollebasert tilgangskontroll for Power Platform .

Innebygde rolledefinisjoner

Power Platform har fire innebygde roller som kan tilordnes via RBAC. Hver rolle har et fast sett med tillatelser og kan tilordnes til tenanten, miljøgruppen eller miljøomfanget.

Rollenavn	Rolle-ID	Tillatelser
Power Platform-eier	0cb07c69-1631-4725-ab35-e59e001c51ea	Alle tillatelser
Bidragsyter for Power Platform	ff954d61-a89a-4fbe-ace9-01c367b89f87	Administrere og lese alle ressurser, men kan ikke utføre eller endre rolletildelinger
Power Platform-leser	c886ad2e-27f7-4874-8381-5849b8d8a090	Skrivebeskyttet tilgang til alle ressurser
Administrator for rollebasert tilgangskontroll i Power Platform	95e94555-018c-447b-8691-bdac8e12211e	Les alle ressurser og administrer rolletildelinger

Trinn 1. Liste over tilgjengelige rolledefinisjoner

Først må du godkjenne og hente de tilgjengelige rolledefinisjonene for å bekrefte rolle-ID-en for bidragsyteren.

PowerShell

# Install the Az.Accounts module if not already installed
Install-Module -Name Az.Accounts

# Set your tenant ID
$TenantId = "YOUR_TENANT_ID"

# Authenticate and obtain an access token
Connect-AzAccount
$AccessToken = Get-AzAccessToken -TenantId $TenantId -ResourceUrl "https://api.powerplatform.com/"

$headers = @{ 'Authorization' = 'Bearer ' + $AccessToken.Token }
$headers.Add('Content-Type', 'application/json')

# List all role definitions
$roleDefinitions = Invoke-RestMethod -Method Get -Uri "https://api.powerplatform.com/authorization/roleDefinitions?api-version=2024-10-01" -Headers $headers

$roleDefinitions.value | Format-Table roleDefinitionName, roleDefinitionId

Forventet utdata:

roleDefinitionName                                          roleDefinitionId
------------------                                          ----------------
Power Platform owner                                        0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor                                  ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader                                       c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator      95e94555-018c-447b-8691-bdac8e12211e

C#

using Microsoft.PowerPlatform.Management;
using Microsoft.PowerPlatform.Management.Models;

var client = ServiceClientFactory.Create(clientId);

// List all role definitions
var roleDefinitions = await client.Authorization.RoleDefinitions.GetAsync();

foreach (var role in roleDefinitions.Value)
{
    Console.WriteLine($"{role.RoleDefinitionName}: {role.RoleDefinitionId}");
}

Forventet utdata:

Power Platform owner: 0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor: ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader: c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator: 95e94555-018c-447b-8691-bdac8e12211e

Python

import asyncio
from azure.identity import InteractiveBrowserCredential
from kiota_authentication_azure.azure_identity_authentication_provider import AzureIdentityAuthenticationProvider
from kiota_http.httpx_request_adapter import HttpxRequestAdapter
from mspp_management.service_client_base import ServiceClientBase

credential = InteractiveBrowserCredential()
auth_provider = AzureIdentityAuthenticationProvider(
    credential,
    scopes=["https://api.powerplatform.com/.default"]
)
adapter = HttpxRequestAdapter(auth_provider)
adapter.base_url = "https://api.powerplatform.com"
client = ServiceClientBase(adapter)

# List all role definitions
role_definitions = await client.authorization.role_definitions.get()

for role in role_definitions.value:
    print(f"{role.role_definition_name}: {role.role_definition_id}")

Forventet utdata:

Power Platform owner: 0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor: ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader: c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator: 95e94555-018c-447b-8691-bdac8e12211e

API-referanse for Power Platform: Role-Based Access Control – listerolledefinisjoner

Trinn 2. Tilordne bidragsyterrollen til en tjenestekontohaver

Opprett en rolletilordning som gir power platform-bidragsyterrollen til en tjenestekontohaver i leieromfanget. Erstatt YOUR_TENANT_ID med leier-GUID-en og YOUR_ENTERPRISE_APP_OBJECT_ID med objekt-ID-en for virksomhetsprogrammet fra Microsoft Entra ID.

PowerShell

$TenantId = "YOUR_TENANT_ID"
$EnterpriseAppObjectId = "YOUR_ENTERPRISE_APP_OBJECT_ID"

$body = @{
    roleDefinitionId = "ff954d61-a89a-4fbe-ace9-01c367b89f87"
    principalObjectId = $EnterpriseAppObjectId
    principalType = "ApplicationUser"
    scope = "/tenants/$TenantId"
} | ConvertTo-Json

$roleAssignment = Invoke-RestMethod -Method Post -Uri "https://api.powerplatform.com/authorization/roleAssignments?api-version=2024-10-01" -Headers $headers -Body $body

$roleAssignment

Forventet utdata:

roleAssignmentId   : a1b2c3d4-e5f6-7890-abcd-ef1234567890
principalObjectId  : <your-enterprise-app-object-id>
roleDefinitionId   : ff954d61-a89a-4fbe-ace9-01c367b89f87
scope              : /tenants/<your-tenant-id>
principalType      : ApplicationUser
createdOn          : 2026-03-02T12:00:00.0000000+00:00

C#

var request = new RoleAssignmentRequest
{
    RoleDefinitionId = "ff954d61-a89a-4fbe-ace9-01c367b89f87",
    PrincipalObjectId = "YOUR_ENTERPRISE_APP_OBJECT_ID",
    PrincipalType = "ApplicationUser",
    Scope = "/tenants/YOUR_TENANT_ID"
};

var roleAssignment = await client.Authorization.RoleAssignments.PostAsync(request);

Console.WriteLine($"Assignment ID: {roleAssignment.Value[0].RoleAssignmentId}");
Console.WriteLine($"Scope: {roleAssignment.Value[0].Scope}");
Console.WriteLine($"Principal: {roleAssignment.Value[0].PrincipalObjectId}");

Python

from mspp_management.models.role_assignment_request import RoleAssignmentRequest

request = RoleAssignmentRequest(
    role_definition_id="ff954d61-a89a-4fbe-ace9-01c367b89f87",
    principal_object_id="YOUR_ENTERPRISE_APP_OBJECT_ID",
    principal_type="ApplicationUser",
    scope="/tenants/YOUR_TENANT_ID",
)

role_assignment = await client.authorization.role_assignments.post(request)

print(f"Assignment ID: {role_assignment.value[0].role_assignment_id}")
print(f"Scope: {role_assignment.value[0].scope}")
print(f"Principal: {role_assignment.value[0].principal_object_id}")

API-referanse for Power Platform: Role-Based Tilgangskontroll – Opprett rolletilordning

Trinn 3. Bekreft rolletilordningen

Hent alle rolletilordninger for å bekrefte at den nye tildelingen finnes.

PowerShell

$roleAssignments = Invoke-RestMethod -Method Get -Uri "https://api.powerplatform.com/authorization/roleAssignments?api-version=2024-10-01" -Headers $headers

# Filter for the service principal's assignments
$roleAssignments.value | Where-Object { $_.principalObjectId -eq $EnterpriseAppObjectId } | Format-Table roleAssignmentId, roleDefinitionId, scope, principalType

Forventet utdata:

roleAssignmentId                        roleDefinitionId                        scope                          principalType
----------------                        ----------------                        -----                          -------------
a1b2c3d4-e5f6-7890-abcd-ef1234567890    ff954d61-a89a-4fbe-ace9-01c367b89f87    /tenants/<your-tenant-id>      ApplicationUser

C#

var roleAssignments = await client.Authorization.RoleAssignments.GetAsync();

var myAssignments = roleAssignments.Value
    .Where(a => a.PrincipalObjectId == "YOUR_ENTERPRISE_APP_OBJECT_ID");

foreach (var assignment in myAssignments)
{
    Console.WriteLine($"ID: {assignment.RoleAssignmentId}");
    Console.WriteLine($"Role: {assignment.RoleDefinitionId}");
    Console.WriteLine($"Scope: {assignment.Scope}");
    Console.WriteLine($"Type: {assignment.PrincipalType}");
}

Python

role_assignments = await client.authorization.role_assignments.get()

my_assignments = [
    a for a in role_assignments.value
    if a.principal_object_id == "YOUR_ENTERPRISE_APP_OBJECT_ID"
]

for assignment in my_assignments:
    print(f"ID: {assignment.role_assignment_id}")
    print(f"Role: {assignment.role_definition_id}")
    print(f"Scope: {assignment.scope}")
    print(f"Type: {assignment.principal_type}")

API-referanse for Power Platform: Rollebasert tilgangskontroll – listerolletilordninger

Relatert innhold

• Rollebasert tilgangskontroll for administrasjonssenteret for Power Platform
• Tillatelsesreferanse
• Godkjenning – opprett din første appregistrering