Поделиться через

Назначение ролей Microsoft Entra в разных область

  • Статья

В идентификаторе Microsoft Entra обычно назначаются роли Microsoft Entra, чтобы они применялись ко всему клиенту. Однако вы также можете назначать роли Microsoft Entra для различных ресурсов, таких как административные единицы или регистрации приложений. Например, можно назначить роль администратора службы поддержки для применения только к определенной административной единице, а не ко всему арендатору. Ресурсы, к которым применяется назначение роли, также называются область. В этой статье описывается назначение ролей Microsoft Entra в клиентах, административной единице и область регистрации приложений. Дополнительные сведения о область см. в разделе "Обзор управления доступом на основе ролей" (RBAC) в идентификаторе Microsoft Entra ID.

Необходимые компоненты

  • Администратор привилегированных ролей.
  • Пакет SDK Для Microsoft Graph PowerShell, установленный при использовании PowerShell.
  • Администратор согласие при использовании Обозреватель Graph для API Microsoft Graph.

Дополнительные сведения см. в разделе Предварительные требования для использования PowerShell или песочницы Graph.

Назначение ролей в пределах клиента

В этом разделе описывается назначение ролей в пределах клиента.

Центр администрирования Microsoft Entra

Совет

Действия, описанные в этой статье, могут немного отличаться на портале, с который вы начинаете работу.

  1. Войдите в Центр администрирования Microsoft Entra как минимум привилегированную роль Администратор istrator.

  2. Перейдите к ролям удостоверений>и администраторам.>

    Страница ролей и администраторов в идентификаторе Microsoft Entra.

  3. Выберите роль, чтобы изучить ее назначения. Чтобы найти роль, воспользуйтесь фильтром ролей, выбрав Добавить фильтр.

  4. Щелкните элемент Добавить назначения и выберите пользователей, которых нужно назначить этой роли.

    Добавьте область добавления назначений для выбранной роли.

  5. Щелкните команду Добавить, чтобы назначить роль.

PowerShell

Выполните следующие действия, чтобы назначить роли Microsoft Entra с помощью PowerShell.

  1. Откройте окно PowerShell. При необходимости используйте install-Module для установки Microsoft Graph PowerShell. Дополнительные сведения см. в разделе Предварительные требования для использования PowerShell или песочницы Graph.

    Install-Module Microsoft.Graph -Scope CurrentUser

  2. В окне PowerShell используйте Подключение-MgGraph для входа в клиент.

    Connect-MgGraph -Scopes "RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"

  3. Используйте Get-MgUser , чтобы получить пользователя.

    $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"

  4. Используйте Get-MgRoleManagementDirectoryRoleDefinition , чтобы получить роль, которую вы хотите назначить.

    $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "displayName eq 'Billing Administrator'"

  5. Задайте клиент в качестве области назначения ролей.

    $directoryScope = '/'

  6. Чтобы назначить роль, используйте New-MgRoleManagementDirectoryRoleAssignment .

    $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
   -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
   -RoleDefinitionId $roleDefinition.Id

API Microsoft Graph

Выполните эти инструкции, чтобы назначить роль с помощью Microsoft Graph API в Graph Explorer.

  1. Войдите в песочницу Graph.

  2. Чтобы получить список пользователей, используйте API List user.

    GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'

  3. Чтобы определить роль, которую необходимо назначить, используйте API List unifiedRoleDefinitions.

    GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'Billing Administrator'

  4. Чтобы назначить роль, используйте API Create unifiedRoleAssignment.

    POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "principalId": "<provide objectId of the user obtained above>",
    "roleDefinitionId": "<provide templateId of the role obtained above>",
    "directoryScopeId": "/"
}

Назначение ролей с заданной областью административной единицы

В этом разделе описано, как назначать роли в пределах административной единицы.

Центр администрирования Microsoft Entra

  1. Войдите в Центр администрирования Microsoft Entra как минимум привилегированную роль Администратор istrator.

  2. Перейдите к ролям удостоверений>и администраторам> Администратор единиц.

  3. Выберите административную единицу.

    Администратор istrative units in Microsoft Entra ID.

  4. Выберите Роли и администраторы в меню навигации слева, чтобы просмотреть список всех ролей, доступных для назначения в административной единице.

    Меню ролей и администраторов в разделе

  5. Выберите нужную роль.

  6. Щелкните элемент Добавить назначения и выберите пользователей или группу, которых нужно назначить этой роли.

  7. Нажмите кнопку Добавить, чтобы назначить роль, ограниченную административной единицей.

Примечание.

Здесь вы не увидите весь список встроенных или настраиваемых ролей Microsoft Entra. Это ожидаемо. Мы покажем роли с разрешениями, связанными с объектами, которые поддерживаются в административной единице. Сведения о списке объектов, поддерживаемых в административной единице, см. в разделе Администратор istrative units in Microsoft Entra ID.

PowerShell

Выполните следующие действия, чтобы назначить роли Microsoft Entra в административной единице область с помощью PowerShell.

  1. Откройте окно PowerShell. При необходимости используйте install-Module для установки Microsoft Graph PowerShell. Дополнительные сведения см. в разделе Предварительные требования для использования PowerShell или песочницы Graph.

    Install-Module Microsoft.Graph -Scope CurrentUser

  2. В окне PowerShell используйте Подключение-MgGraph для входа в клиент.

    Connect-MgGraph -Scopes "Directory.Read.All","RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"

  3. Используйте Get-MgUser , чтобы получить пользователя.

    $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"

  4. Используйте Get-MgRoleManagementDirectoryRoleDefinition , чтобы получить роль, которую вы хотите назначить.

    $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition `
   -Filter "displayName eq 'User Administrator'"

  5. Используйте Get-MgDirectory Администратор istrativeUnit, чтобы получить административную единицу, к которой необходимо область назначения роли.

    $adminUnit = Get-MgDirectoryAdministrativeUnit -Filter "displayName eq 'Seattle Admin Unit'"
$directoryScope = '/administrativeUnits/' + $adminUnit.Id

  6. Чтобы назначить роль, используйте New-MgRoleManagementDirectoryRoleAssignment .

    $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
   -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
   -RoleDefinitionId $roleDefinition.Id

API Microsoft Graph

Выполните эти инструкции, чтобы назначить роль в области административной единицы с помощью Microsoft Graph API в Graph Explorer.

  1. Войдите в песочницу Graph.

  2. Чтобы получить список пользователей, используйте API List user.

    GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'

  3. Чтобы определить роль, которую необходимо назначить, используйте API List unifiedRoleDefinitions.

    GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'User Administrator'

  4. Чтобы определить административную единицу, которой необходимо ограничить область назначения ролей, используйте API List administrativeUnits.

    GET https://graph.microsoft.com/v1.0/directory/administrativeUnits?$filter=displayName eq 'Seattle Admin Unit'

  5. Чтобы назначить роль, используйте API Create unifiedRoleAssignment.

    POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "principalId": "<provide objectId of the user obtained above>",
    "roleDefinitionId": "<provide templateId of the role obtained above>",
    "directoryScopeId": "/administrativeUnits/<provide objectId of the admin unit obtained above>"
}

Примечание.

Здесь directoryScopeId указывается как /administrativeUnits/foo, а не /foo. Это сделано намеренно. Область /administrativeUnits/foo означает, что субъект может управлять элементами административной единицы (в зависимости от назначенной ему роли), а не самой административной единицей. Область /foo означает, что субъект может управлять этим объектом Microsoft Entra. В следующем разделе вы увидите, что используется область /foo, так как роль, область действия которой ограничена зарегистрированным приложением, предоставляет права на управление самим объектом.

Назначение ролей с областью действия, ограниченной зарегистрированным приложением

В этом разделе описано, как назначать роли в переделах регистрации приложения.

Центр администрирования Microsoft Entra

  1. Войдите в Центр администрирования Microsoft Entra как минимум привилегированную роль Администратор istrator.

  2. Перейдите к приложениям> удостоверений>Регистрация приложений.

  3. Выберите приложение. Для поиска приложения можно использовать поле поиска.

    Регистрация приложений в идентификаторе Microsoft Entra.

  4. Выберите Роли и администраторы в меню навигации слева, чтобы просмотреть список всех ролей, доступных для назначения в области зарегистрированного приложения.

    Роли для регистрации приложений в идентификаторе Microsoft Entra.

  5. Выберите нужную роль.

  6. Щелкните элемент Добавить назначения и выберите пользователей или группу, которых нужно назначить этой роли.

    Добавьте назначение ролей область в регистрации приложений в идентификаторе Microsoft Entra.

  7. Нажмите кнопку Добавить, чтобы назначить роль, ограниченную зарегистрированным приложением.

    Успешно добавлено назначение ролей, область в регистрации приложений в идентификаторе Microsoft Entra.

    Роль, назначенная пользователю, область регистрации приложений в идентификаторе Microsoft Entra.

Примечание.

Здесь вы не увидите весь список встроенных или настраиваемых ролей Microsoft Entra. Это ожидаемо. Отображаются роли с разрешениями, относящимися только к управлению зарегистрированными приложениями.

PowerShell

Выполните следующие действия, чтобы назначить роли Microsoft Entra в приложении область с помощью PowerShell.

  1. Откройте окно PowerShell. При необходимости используйте install-Module для установки Microsoft Graph PowerShell. Дополнительные сведения см. в разделе Предварительные требования для использования PowerShell или песочницы Graph.

    Install-Module Microsoft.Graph -Scope CurrentUser

  2. В окне PowerShell используйте Подключение-MgGraph для входа в клиент.

    Connect-MgGraph -Scopes "Application.Read.All","RoleManagement.Read.Directory","User.Read.All","RoleManagement.ReadWrite.Directory"

  3. Используйте Get-MgUser , чтобы получить пользователя.

    $user = Get-MgUser -Filter "userPrincipalName eq 'alice@contoso.com'"

  4. Используйте Get-MgRoleManagementDirectoryRoleDefinition , чтобы получить роль, которую вы хотите назначить.

    $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition `
   -Filter "displayName eq 'Application Administrator'"

  5. Используйте Get-MgApplication, чтобы получить регистрацию приложения, к которой нужно, чтобы назначение роли было область.

    $appRegistration = Get-MgApplication -Filter "displayName eq 'f/128 Filter Photos'"
$directoryScope = '/' + $appRegistration.Id

  6. Чтобы назначить роль, используйте New-MgRoleManagementDirectoryRoleAssignment .

    $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment `
   -DirectoryScopeId $directoryScope -PrincipalId $user.Id `
   -RoleDefinitionId $roleDefinition.Id

API Microsoft Graph

Выполните эти инструкции, чтобы назначить роль в области приложения с помощью Microsoft Graph API в Graph Explorer.

  1. Войдите в песочницу Graph.

  2. Чтобы получить список пользователей, используйте API List user.

    GET https://graph.microsoft.com/v1.0/users?$filter=userPrincipalName eq 'alice@contoso.com'

  3. Чтобы определить роль, которую необходимо назначить, используйте API List unifiedRoleDefinitions.

    GET https://graph.microsoft.com/v1.0/rolemanagement/directory/roleDefinitions?$filter=displayName eq 'Application Administrator'

  4. Чтобы определить административную единицу, которой необходимо ограничить область назначения ролей, используйте API List applications.

    GET https://graph.microsoft.com/v1.0/applications?$filter=displayName eq 'f/128 Filter Photos'

  5. Чтобы назначить роль, используйте API Create unifiedRoleAssignment.

    POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments

{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "principalId": "<provide objectId of the user obtained above>",
    "roleDefinitionId": "<provide templateId of the role obtained above>",
    "directoryScopeId": "/<provide objectId of the app registration obtained above>"
}

Примечание.

Здесь, в отличие от раздела выше, directoryScopeId указывается как /foo. Это сделано намеренно. Область /foo означает, что субъект может управлять объектом Microsoft Entra. Область /administrativeUnits/foo означает, что субъект может управлять элементами административной единицы (в зависимости от назначенной ему роли), а не самой административной единицей.

Следующие шаги