Kılavuz: Hizmet asıllarına rol atama (önizleme)

[Bu makale yayın öncesi belgedir ve değişebilir.]

Power Platform'daki rol tabanlı erişim denetimi (RBAC), yöneticilerin kiracı, ortam grubu veya ortam kapsamındaki kullanıcılara, gruplara ve hizmet sorumlularına yerleşik roller atamasına olanak tanır. Bu öğretici, yaygın bir otomasyon senaryosunda yol gösterir: Yetkilendirme API'sini kullanarak kiracı kapsamındaki bir hizmet sorumlusuna Katkıda Bulunan rolünü atama.

RBAC kavramları, yerleşik roller ve kapsam devralma hakkında daha fazla bilgi edinmek için bkz. Power Platform yönetim merkezi için rol tabanlı erişim denetimi.

Important

• Bu bir önizleme özelliğidir.
• Önizleme özellikleri, üretimde kullanıma yönelik değildir ve sınırlı işlevselliğe sahip olabilir. Bu özellikler, ek kullanım koşullarına tabidir ve resmi sürümden önce kullanılabilir, böylece müşteriler erken erişim elde edebilir ve geri bildirim sağlayabilir.

Bu öğreticide aşağıdakilerin nasıl yapılacağını öğreneceksiniz:

• Power Platform API'siyle kimlik doğrulaması yapın.
• Kullanılabilir rol tanımlarını listeleyin.
• Kiracı kapsamında bir hizmet sorumlusu için rol ataması oluşturun.
• Rol atamasını doğrulayın.

Prerequisites

• Power Platform API'sinde hizmet sorumlusu kimlik doğrulaması için sertifika veya istemci gizli dizisiyle yapılandırılmış bir Microsoft Entra uygulama kaydı. Rehberlik için bkz. Kimlik doğrulaması.
• Hizmet sorumlusu için Kurumsal Uygulama Nesne Kimliği ( Microsoft Entra ID>Enterprise uygulamalarında bulunur).
• Çağrı kimliği , Power Platform Yöneticisi veya Power Platform rol tabanlı erişim denetimi yönetici rolüne sahip olmalıdır.

Yerleşik rol tanımları

Power Platform, RBAC aracılığıyla atanabilen dört yerleşik rol sağlar. Her rolün sabit bir izin kümesi vardır ve kiracı, ortam grubu veya ortam kapsamında atanabilir.

Rol adı	Rol Kimliği	Permissions
Power Platform sahibi	0cb07c69-1631-4725-ab35-e59e001c51ea	Tüm izinler
Power Platform katkıda bulunanı	ff954d61-a89a-4fbe-ace9-01c367b89f87	Tüm kaynakları yönetme ve okuma, ancak rol atamaları yapılamaz veya değiştirilemez
Power Platform okuyucusu	c886ad2e-27f7-4874-8381-5849b8d8a090	Tüm kaynaklara salt okunur erişim
Power Platform rol tabanlı erişim denetimi yöneticisi	95e94555-018c-447b-8691-bdac8e12211e	Tüm kaynakları okuma ve rol atamalarını yönetme

Adım 1. Kullanılabilir rol tanımlarını listeleme

İlk olarak, katkıda bulunan rol kimliğini onaylamak için kimlik doğrulaması yapın ve kullanılabilir rol tanımlarını alın.

PowerShell

# Install the Az.Accounts module if not already installed
Install-Module -Name Az.Accounts

# Set your tenant ID
$TenantId = "YOUR_TENANT_ID"

# Authenticate and obtain an access token
Connect-AzAccount
$AccessToken = Get-AzAccessToken -TenantId $TenantId -ResourceUrl "https://api.powerplatform.com/"

$headers = @{ 'Authorization' = 'Bearer ' + $AccessToken.Token }
$headers.Add('Content-Type', 'application/json')

# List all role definitions
$roleDefinitions = Invoke-RestMethod -Method Get -Uri "https://api.powerplatform.com/authorization/roleDefinitions?api-version=2024-10-01" -Headers $headers

$roleDefinitions.value | Format-Table roleDefinitionName, roleDefinitionId

Beklenen çıkış:

roleDefinitionName                                          roleDefinitionId
------------------                                          ----------------
Power Platform owner                                        0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor                                  ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader                                       c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator      95e94555-018c-447b-8691-bdac8e12211e

C#

using Microsoft.PowerPlatform.Management;
using Microsoft.PowerPlatform.Management.Models;

var client = ServiceClientFactory.Create(clientId);

// List all role definitions
var roleDefinitions = await client.Authorization.RoleDefinitions.GetAsync();

foreach (var role in roleDefinitions.Value)
{
    Console.WriteLine($"{role.RoleDefinitionName}: {role.RoleDefinitionId}");
}

Beklenen çıkış:

Power Platform owner: 0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor: ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader: c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator: 95e94555-018c-447b-8691-bdac8e12211e

Python

import asyncio
from azure.identity import InteractiveBrowserCredential
from kiota_authentication_azure.azure_identity_authentication_provider import AzureIdentityAuthenticationProvider
from kiota_http.httpx_request_adapter import HttpxRequestAdapter
from mspp_management.service_client_base import ServiceClientBase

credential = InteractiveBrowserCredential()
auth_provider = AzureIdentityAuthenticationProvider(
    credential,
    scopes=["https://api.powerplatform.com/.default"]
)
adapter = HttpxRequestAdapter(auth_provider)
adapter.base_url = "https://api.powerplatform.com"
client = ServiceClientBase(adapter)

# List all role definitions
role_definitions = await client.authorization.role_definitions.get()

for role in role_definitions.value:
    print(f"{role.role_definition_name}: {role.role_definition_id}")

Beklenen çıkış:

Power Platform owner: 0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor: ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader: c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator: 95e94555-018c-447b-8691-bdac8e12211e

Power Platform API başvurusu: Role-Based Erişim Denetimi - Rol Tanımlarını Listeleme

Adım 2. Katkıda Bulunan rolünü bir hizmet sorumlusuna atama

Kiracı kapsamındaki bir hizmet sorumlusuna Power Platform katkıda bulunan rolü veren bir rol ataması oluşturun. değerini kiracı GUID'nizle ve YOUR_TENANT_ID Microsoft Entra Id'den kurumsal uygulama nesne kimliğiyle değiştirinYOUR_ENTERPRISE_APP_OBJECT_ID.

PowerShell

$TenantId = "YOUR_TENANT_ID"
$EnterpriseAppObjectId = "YOUR_ENTERPRISE_APP_OBJECT_ID"

$body = @{
    roleDefinitionId = "ff954d61-a89a-4fbe-ace9-01c367b89f87"
    principalObjectId = $EnterpriseAppObjectId
    principalType = "ApplicationUser"
    scope = "/tenants/$TenantId"
} | ConvertTo-Json

$roleAssignment = Invoke-RestMethod -Method Post -Uri "https://api.powerplatform.com/authorization/roleAssignments?api-version=2024-10-01" -Headers $headers -Body $body

$roleAssignment

Beklenen çıkış:

roleAssignmentId   : a1b2c3d4-e5f6-7890-abcd-ef1234567890
principalObjectId  : <your-enterprise-app-object-id>
roleDefinitionId   : ff954d61-a89a-4fbe-ace9-01c367b89f87
scope              : /tenants/<your-tenant-id>
principalType      : ApplicationUser
createdOn          : 2026-03-02T12:00:00.0000000+00:00

C#

var request = new RoleAssignmentRequest
{
    RoleDefinitionId = "ff954d61-a89a-4fbe-ace9-01c367b89f87",
    PrincipalObjectId = "YOUR_ENTERPRISE_APP_OBJECT_ID",
    PrincipalType = "ApplicationUser",
    Scope = "/tenants/YOUR_TENANT_ID"
};

var roleAssignment = await client.Authorization.RoleAssignments.PostAsync(request);

Console.WriteLine($"Assignment ID: {roleAssignment.Value[0].RoleAssignmentId}");
Console.WriteLine($"Scope: {roleAssignment.Value[0].Scope}");
Console.WriteLine($"Principal: {roleAssignment.Value[0].PrincipalObjectId}");

Python

from mspp_management.models.role_assignment_request import RoleAssignmentRequest

request = RoleAssignmentRequest(
    role_definition_id="ff954d61-a89a-4fbe-ace9-01c367b89f87",
    principal_object_id="YOUR_ENTERPRISE_APP_OBJECT_ID",
    principal_type="ApplicationUser",
    scope="/tenants/YOUR_TENANT_ID",
)

role_assignment = await client.authorization.role_assignments.post(request)

print(f"Assignment ID: {role_assignment.value[0].role_assignment_id}")
print(f"Scope: {role_assignment.value[0].scope}")
print(f"Principal: {role_assignment.value[0].principal_object_id}")

Power Platform API başvurusu: Role-Based Erişim Denetimi - Rol Ataması Oluşturma

Adım 3. Rol atamasını doğrulama

Yeni atamanın var olduğunu onaylamak için tüm rol atamalarını alın.

PowerShell

$roleAssignments = Invoke-RestMethod -Method Get -Uri "https://api.powerplatform.com/authorization/roleAssignments?api-version=2024-10-01" -Headers $headers

# Filter for the service principal's assignments
$roleAssignments.value | Where-Object { $_.principalObjectId -eq $EnterpriseAppObjectId } | Format-Table roleAssignmentId, roleDefinitionId, scope, principalType

Beklenen çıkış:

roleAssignmentId                        roleDefinitionId                        scope                          principalType
----------------                        ----------------                        -----                          -------------
a1b2c3d4-e5f6-7890-abcd-ef1234567890    ff954d61-a89a-4fbe-ace9-01c367b89f87    /tenants/<your-tenant-id>      ApplicationUser

C#

var roleAssignments = await client.Authorization.RoleAssignments.GetAsync();

var myAssignments = roleAssignments.Value
    .Where(a => a.PrincipalObjectId == "YOUR_ENTERPRISE_APP_OBJECT_ID");

foreach (var assignment in myAssignments)
{
    Console.WriteLine($"ID: {assignment.RoleAssignmentId}");
    Console.WriteLine($"Role: {assignment.RoleDefinitionId}");
    Console.WriteLine($"Scope: {assignment.Scope}");
    Console.WriteLine($"Type: {assignment.PrincipalType}");
}

Python

role_assignments = await client.authorization.role_assignments.get()

my_assignments = [
    a for a in role_assignments.value
    if a.principal_object_id == "YOUR_ENTERPRISE_APP_OBJECT_ID"
]

for assignment in my_assignments:
    print(f"ID: {assignment.role_assignment_id}")
    print(f"Role: {assignment.role_definition_id}")
    print(f"Scope: {assignment.scope}")
    print(f"Type: {assignment.principal_type}")

Power Platform API başvurusu: Rol Tabanlı Erişim Denetimi - Rol Atamalarını Listeleme

İlgili içerik

• Power Platform yönetim merkezi için rol tabanlı erişim denetimi
• İzin başvurusu
• Kimlik doğrulaması - ilk uygulama kaydınızı oluşturma