Получение объекта appRoleAssignment

Пространство имен: microsoft.graph

Важно!

API версии /beta в Microsoft Graph могут быть изменены. Использование этих API в производственных приложениях не поддерживается. Чтобы определить, доступен ли API в версии 1.0, используйте селектор версий.

Чтение свойств и связей объекта appRoleAssignment .

Этот API доступен в следующих национальных облачных развертываниях.

Глобальное обслуживание Правительство США L4 Правительство США L5 (DOD) Китай, обслуживаемый 21Vianet
✅ ✅ ✅ ✅

Разрешения

В следующей таблице показаны наименее привилегированные разрешения или разрешения, необходимые для вызова этого API для каждого поддерживаемого типа ресурса. Следуйте рекомендациям , чтобы запрашивать разрешения с наименьшим объемом привилегий. Дополнительные сведения о делегированных разрешениях и разрешениях приложений см. в статье Типы разрешений. Дополнительные сведения об этих разрешениях см. в справочнике по разрешениям.

Поддерживаемый ресурс Делегированное (рабочая или учебная учетная запись) Делегированное (личная учетная запись Майкрософт) Приложение
group Group.Read.All Не поддерживается. Group.Read.All
servicePrincipal Application.Read.All Не поддерживается. Application.Read.All
user User.Read Не поддерживается. Directory.Read.All

Важно!

Для делегированного доступа с помощью рабочих или учебных учетных записей вошедшему пользователю должна быть назначена поддерживаемая роль Microsoft Entra или пользовательская роль, предоставляющая разрешения, необходимые для этой операции. Эта операция поддерживает следующие встроенные роли, которые предоставляют лишь наименьшее количество необходимых прав:

  • Приглашающий гостей — чтение назначений ролей приложения только для пользователей
  • Средства чтения каталогов
  • Учетные записи синхронизации каталогов для служб облачной синхронизации Microsoft Entra Connect и Microsoft Entra
  • Редактор каталогов
  • Администратор гибридных удостоверений
  • Администратор управления удостоверениями
  • Администратор привилегированных ролей
  • Администратор пользователей
  • Администратор приложения
  • Администратор облачного приложения
  • Администратор идентификатора агента — только для пользователей агента

Другие поддерживаемые разрешения

Каждый ресурс поддерживает следующие разрешения с более высоким уровнем привилегий:

  • Группы:
    • Делегированные разрешения и разрешения приложений: Directory.Read.All, AppRoleAssignment.ReadWrite.All, Directory.ReadWrite.All
  • Пользователи:
    • Делегированные разрешения: User.ReadBasic.All, Directory.Read.All, AppRoleAssignment.ReadWrite.All
    • Разрешения приложения: Directory.Read.All, AppRoleAssignment.ReadWrite.All
  • Субъекты службы:
    • Делегированные разрешения: Directory.Read.All, Application.ReadWrite.All, Directory.ReadWrite.All
    • Разрешения приложений: Application.ReadWrite.OwnedBy, Application.ReadWrite.All, Directory.ReadWrite.All

HTTP-запрос

Чтобы получить сведения о роли appRole, предоставленной субъекту-службе, выполните следующие действия.

GET /servicePrincipals/{client-serviceprincipal-id}/appRoleAssignments/{appRoleAssignment-id}
GET /servicePrincipals(appId='{client-servicePrincipal-appId}')/appRoleAssignments/{appRoleAssignment-id}

Чтобы получить сведения о роли appRole, предоставленной пользователю, группе или субъекту клиентской службы для данного субъекта-службы ресурсов:

GET /servicePrincipals(appId='{resource-servicePrincipal-appId}')/appRoleAssignedTo/{appRoleAssignment-id}
GET /servicePrincipals/{resource-serviceprincipal-id}/appRoleAssignedTo/{appRoleAssignment-id}

Чтобы получить сведения о роли appRole, предоставленной группе:

GET /groups/{group-id}/appRoleAssignments/{appRoleAssignment-id}

Чтобы получить сведения о роли appRole, предоставленной пользователю:

GET /users/{user-id}/appRoleAssignments/{appRoleAssignment-id}
GET /me/appRoleAssignments/{appRoleAssignment-id}

Примечание.

Для вызова конечной точки /me требуется вход пользователя и, следовательно, делегированное разрешение. Разрешения приложений не поддерживаются при использовании /me конечной точки.

Необязательные параметры запросов

Этот метод поддерживает $select параметр запроса OData для настройки ответа. Общие сведения см. в статье Параметры запроса OData.

Заголовки запросов

Имя Описание
Авторизация Bearer {token}. Обязательно. Дополнительные сведения об аутентификации и авторизации.

Текст запроса

Не указывайте текст запроса для этого метода.

Отклик

В случае успеха этот метод возвращает в тексте отклика код отклика 200 OK и объект appRoleAssignment.

Примеры

Пример 1. Получение сведений о роли приложения, предоставленной пользователю, группе или субъекту клиентской службы для данного субъекта-службы ресурсов

Запрос

Следующий запрос запрашивает субъект-службу ресурсов, чтобы получить сведения о роли приложения, которую он предоставил клиенту, который может быть пользователем, группой или субъектом службы клиентской службы в клиенте.

GET https://graph.microsoft.com/beta/servicePrincipals(appId='00000003-0000-0000-c000-000000000000')/appRoleAssignedTo/ep6PKgGvOkGVksMuwOXBpxV3dkHvwM1ElSjMUzZtaIA

Отклик

Ниже показан пример отклика. Он показывает, что субъекту клиентской службы по имени Postman была предоставлена роль приложения с идентификатором df021288-bdef-4463-88db-98f22de89214 , который является разрешением приложения User.Read.All для субъекта-службы ресурсов с именем Microsoft Graph.

Примечание. Объект отклика, показанный здесь, может быть сокращен для удобочитаемости.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#servicePrincipals('00000003-0000-0000-c000-000000000000')/appRoleAssignedTo/$entity",
    "id": "ep6PKgGvOkGVksMuwOXBpxV3dkHvwM1ElSjMUzZtaIA",
    "deletedDateTime": null,
    "appRoleId": "df021288-bdef-4463-88db-98f22de89214",
    "createdDateTime": "2023-02-24T17:01:47.0988029Z",
    "principalDisplayName": "Postman",
    "principalId": "2a8f9e7a-af01-413a-9592-c32ec0e5c1a7",
    "principalType": "ServicePrincipal",
    "resourceDisplayName": "Microsoft Graph",
    "resourceId": "7408235b-7540-4850-82fe-a5f15ed019e2"
}

Пример 2. Получение сведений о роли приложения, предоставленной субъекту-службе

Запрос

В следующем запросе субъект клиентской службы запрашивает сведения о предоставленной ему роли приложения. В этом случае роль приложения представляет собой разрешение приложения.

GET https://graph.microsoft.com/beta/servicePrincipals(appId='ceb96a54-de95-49a0-b38c-c55263fcf421')/appRoleAssignments/ep6PKgGvOkGVksMuwOXBpxV3dkHvwM1ElSjMUzZtaIA

Отклик

Ниже показан пример отклика. Он показывает, что субъекту клиентской службы по имени Postman была предоставлена роль приложения с идентификатором df021288-bdef-4463-88db-98f22de89214 , который является разрешением приложения User.Read.All для субъекта-службы ресурсов с именем Microsoft Graph.

Примечание. Объект отклика, показанный здесь, может быть сокращен для удобочитаемости.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#servicePrincipals('ceb96a54-de95-49a0-b38c-c55263fcf421')/appRoleAssignments/$entity",
    "id": "ep6PKgGvOkGVksMuwOXBpxV3dkHvwM1ElSjMUzZtaIA",
    "deletedDateTime": null,
    "appRoleId": "df021288-bdef-4463-88db-98f22de89214",
    "createdDateTime": "2023-02-24T17:01:47.0988029Z",
    "principalDisplayName": "Postman",
    "principalId": "2a8f9e7a-af01-413a-9592-c32ec0e5c1a7",
    "principalType": "ServicePrincipal",
    "resourceDisplayName": "Microsoft Graph",
    "resourceId": "7408235b-7540-4850-82fe-a5f15ed019e2"
}

Пример 3. Получение сведений о роли приложения, предоставленной вошедшему пользователю

Запрос

Следующий запрос запрашивает appRoleAssignments вошедшего пользователя.

GET https://graph.microsoft.com/beta/me/appRoleAssignments/Lo6gEKI-4EyAy9X91LBepo6Aq0Rt6QxBjWRl76txk8I

Отклик

Ниже показан пример отклика. Она показывает, что пользователь, выполнивший вход, имеет роль приложения по умолчанию для субъекта службы ресурсов с именем Почтальон.

Примечание. Объект отклика, показанный здесь, может быть сокращен для удобочитаемости.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#users('10a08e2e-3ea2-4ce0-80cb-d5fdd4b05ea6')/appRoleAssignments/$entity",
    "id": "Lo6gEKI-4EyAy9X91LBepo6Aq0Rt6QxBjWRl76txk8I",
    "deletedDateTime": null,
    "appRoleId": "00000000-0000-0000-0000-000000000000",
    "createdDateTime": "2022-09-08T17:43:57.8423817Z",
    "principalDisplayName": "MOD Administrator",
    "principalId": "10a08e2e-3ea2-4ce0-80cb-d5fdd4b05ea6",
    "principalType": "User",
    "resourceDisplayName": "Postman",
    "resourceId": "2a8f9e7a-af01-413a-9592-c32ec0e5c1a7"
}
  • Last updated on