Hướng dẫn: Gán vai trò cho tên dịch vụ chính (bản xem trước)

[Bài viết này là tài liệu trước khi phát hành và có thể thay đổi.]

Kiểm soát truy nhập dựa trên vai trò (RBAC) trong Power Platform cho phép người quản trị gán các vai trò dựng sẵn cho người dùng, nhóm và chủ thể dịch vụ tại đối tượng thuê, nhóm môi trường hoặc phạm vi môi trường. Hướng dẫn này hướng dẫn cách thực hiện một kịch bản tự động hóa phổ biến: gán vai trò Người đóng góp cho tên dịch vụ chính trong phạm vi đối tượng thuê bằng cách sử dụng API Ủy quyền.

Để tìm hiểu thêm về các khái niệm RBAC, vai trò tích hợp sẵn và kế thừa phạm vi, hãy xem Kiểm soát truy nhập dựa trên vai trò cho Trung tâm quản trị Power Platform.

Quan trọng

• Đây là một tính năng xem trước.
• Các tính năng xem trước không được dùng cho sản xuất và có thể có chức năng bị hạn chế. Các tính năng này tuân theo các điều khoản sử dụng bổ sung và có sẵn trước khi phát hành chính thức để khách hàng có thể truy cập sớm và cung cấp phản hồi.

Trong hướng dẫn này, bạn sẽ học cách:

• Xác thực với API Nền tảng Nguồn.
• Liệt kê các định nghĩa vai trò sẵn có.
• Tạo gán vai trò cho tên dịch vụ chính tại phạm vi đối tượng thuê.
• Xác minh việc gán vai trò.

Điều kiện tiên quyết

• Đăng ký ứng dụng Microsoft Entra được đặt cấu hình cho API Nền tảng Power, với chứng chỉ hoặc bí mật máy khách cho xác thực chính của dịch vụ. Để biết hướng dẫn, hãy xem Xác thực.
• ID Đối tượng Ứng dụng Doanh nghiệp cho tên dịch vụ chính (được tìm thấy trong các ứng dụng Microsoft Entra ID>Enterprise).
• Nhận dạng cuộc gọi phải có vai trò người quản trị truy nhập dựa trên vai trò Người quản trị Nền tảng Nguồn hoặc Người quản trị truy nhập Nền tảng Nguồn.

Định nghĩa vai trò tích hợp sẵn

Power Platform cung cấp bốn vai trò tích hợp sẵn có thể được gán thông qua RBAC. Mỗi vai trò có một tập hợp các quyền cố định và có thể được gán tại đối tượng thuê, nhóm môi trường hoặc phạm vi môi trường.

Tên vai trò	ID vai trò	Quyền
Chủ sở hữu Power Platform	0cb07c69-1631-4725-ab35-e59e001c51ea	Tất cả các quyền
Người đóng góp Power Platform	ff954d61-a89a-4fbe-ace9-01c367b89f87	Quản lý và đọc tất cả các tài nguyên nhưng không thể thực hiện hoặc thay đổi việc gán vai trò
Trình đọc Power Platform	c886ad2e-27f7-4874-8381-5849b8d8a090	Truy nhập chỉ đọc vào tất cả các tài nguyên
Quản trị viên kiểm soát truy cập dựa trên vai trò Power Platform	95e94555-018c-447b-8691-bdac8e12211e	Đọc tất cả tài nguyên + quản lý việc gán vai trò

Bước 1. Liệt kê các định nghĩa vai trò sẵn có

Trước tiên, xác thực và truy xuất định nghĩa vai trò sẵn có để xác nhận ID vai trò của người đóng góp.

PowerShell

# Install the Az.Accounts module if not already installed
Install-Module -Name Az.Accounts

# Set your tenant ID
$TenantId = "YOUR_TENANT_ID"

# Authenticate and obtain an access token
Connect-AzAccount
$AccessToken = Get-AzAccessToken -TenantId $TenantId -ResourceUrl "https://api.powerplatform.com/"

$headers = @{ 'Authorization' = 'Bearer ' + $AccessToken.Token }
$headers.Add('Content-Type', 'application/json')

# List all role definitions
$roleDefinitions = Invoke-RestMethod -Method Get -Uri "https://api.powerplatform.com/authorization/roleDefinitions?api-version=2024-10-01" -Headers $headers

$roleDefinitions.value | Format-Table roleDefinitionName, roleDefinitionId

Dự kiến đầu ra:

roleDefinitionName                                          roleDefinitionId
------------------                                          ----------------
Power Platform owner                                        0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor                                  ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader                                       c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator      95e94555-018c-447b-8691-bdac8e12211e

C#

using Microsoft.PowerPlatform.Management;
using Microsoft.PowerPlatform.Management.Models;

var client = ServiceClientFactory.Create(clientId);

// List all role definitions
var roleDefinitions = await client.Authorization.RoleDefinitions.GetAsync();

foreach (var role in roleDefinitions.Value)
{
    Console.WriteLine($"{role.RoleDefinitionName}: {role.RoleDefinitionId}");
}

Dự kiến đầu ra:

Power Platform owner: 0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor: ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader: c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator: 95e94555-018c-447b-8691-bdac8e12211e

Python

import asyncio
from azure.identity import InteractiveBrowserCredential
from kiota_authentication_azure.azure_identity_authentication_provider import AzureIdentityAuthenticationProvider
from kiota_http.httpx_request_adapter import HttpxRequestAdapter
from mspp_management.service_client_base import ServiceClientBase

credential = InteractiveBrowserCredential()
auth_provider = AzureIdentityAuthenticationProvider(
    credential,
    scopes=["https://api.powerplatform.com/.default"]
)
adapter = HttpxRequestAdapter(auth_provider)
adapter.base_url = "https://api.powerplatform.com"
client = ServiceClientBase(adapter)

# List all role definitions
role_definitions = await client.authorization.role_definitions.get()

for role in role_definitions.value:
    print(f"{role.role_definition_name}: {role.role_definition_id}")

Dự kiến đầu ra:

Power Platform owner: 0cb07c69-1631-4725-ab35-e59e001c51ea
Power Platform contributor: ff954d61-a89a-4fbe-ace9-01c367b89f87
Power Platform reader: c886ad2e-27f7-4874-8381-5849b8d8a090
Power Platform role-based access control administrator: 95e94555-018c-447b-8691-bdac8e12211e

Tham khảo API Nền tảng Power: KiểmRole-Based Access - Định nghĩa Vai trò Danh sách

Bước 2. Gán vai trò Người đóng góp cho tên dịch vụ chính

Tạo gán vai trò cấp vai trò người đóng góp Power Platform cho tên dịch vụ chính trong phạm vi đối tượng thuê. Thay thế YOUR_TENANT_ID bằng GUID đối tượng thuê của bạn YOUR_ENTERPRISE_APP_OBJECT_ID và bằng ID đối tượng ứng dụng doanh nghiệp từ ID Microsoft Entra.

PowerShell

$TenantId = "YOUR_TENANT_ID"
$EnterpriseAppObjectId = "YOUR_ENTERPRISE_APP_OBJECT_ID"

$body = @{
    roleDefinitionId = "ff954d61-a89a-4fbe-ace9-01c367b89f87"
    principalObjectId = $EnterpriseAppObjectId
    principalType = "ApplicationUser"
    scope = "/tenants/$TenantId"
} | ConvertTo-Json

$roleAssignment = Invoke-RestMethod -Method Post -Uri "https://api.powerplatform.com/authorization/roleAssignments?api-version=2024-10-01" -Headers $headers -Body $body

$roleAssignment

Dự kiến đầu ra:

roleAssignmentId   : a1b2c3d4-e5f6-7890-abcd-ef1234567890
principalObjectId  : <your-enterprise-app-object-id>
roleDefinitionId   : ff954d61-a89a-4fbe-ace9-01c367b89f87
scope              : /tenants/<your-tenant-id>
principalType      : ApplicationUser
createdOn          : 2026-03-02T12:00:00.0000000+00:00

C#

var request = new RoleAssignmentRequest
{
    RoleDefinitionId = "ff954d61-a89a-4fbe-ace9-01c367b89f87",
    PrincipalObjectId = "YOUR_ENTERPRISE_APP_OBJECT_ID",
    PrincipalType = "ApplicationUser",
    Scope = "/tenants/YOUR_TENANT_ID"
};

var roleAssignment = await client.Authorization.RoleAssignments.PostAsync(request);

Console.WriteLine($"Assignment ID: {roleAssignment.Value[0].RoleAssignmentId}");
Console.WriteLine($"Scope: {roleAssignment.Value[0].Scope}");
Console.WriteLine($"Principal: {roleAssignment.Value[0].PrincipalObjectId}");

Python

from mspp_management.models.role_assignment_request import RoleAssignmentRequest

request = RoleAssignmentRequest(
    role_definition_id="ff954d61-a89a-4fbe-ace9-01c367b89f87",
    principal_object_id="YOUR_ENTERPRISE_APP_OBJECT_ID",
    principal_type="ApplicationUser",
    scope="/tenants/YOUR_TENANT_ID",
)

role_assignment = await client.authorization.role_assignments.post(request)

print(f"Assignment ID: {role_assignment.value[0].role_assignment_id}")
print(f"Scope: {role_assignment.value[0].scope}")
print(f"Principal: {role_assignment.value[0].principal_object_id}")

Tham khảo API Nền tảng Power: KiểmRole-Based Access - Tạo Gán Vai trò

Bước 3. Xác minh việc gán vai trò

Truy xuất tất cả các phân công vai trò để xác nhận nhiệm vụ mới tồn tại.

PowerShell

$roleAssignments = Invoke-RestMethod -Method Get -Uri "https://api.powerplatform.com/authorization/roleAssignments?api-version=2024-10-01" -Headers $headers

# Filter for the service principal's assignments
$roleAssignments.value | Where-Object { $_.principalObjectId -eq $EnterpriseAppObjectId } | Format-Table roleAssignmentId, roleDefinitionId, scope, principalType

Dự kiến đầu ra:

roleAssignmentId                        roleDefinitionId                        scope                          principalType
----------------                        ----------------                        -----                          -------------
a1b2c3d4-e5f6-7890-abcd-ef1234567890    ff954d61-a89a-4fbe-ace9-01c367b89f87    /tenants/<your-tenant-id>      ApplicationUser

C#

var roleAssignments = await client.Authorization.RoleAssignments.GetAsync();

var myAssignments = roleAssignments.Value
    .Where(a => a.PrincipalObjectId == "YOUR_ENTERPRISE_APP_OBJECT_ID");

foreach (var assignment in myAssignments)
{
    Console.WriteLine($"ID: {assignment.RoleAssignmentId}");
    Console.WriteLine($"Role: {assignment.RoleDefinitionId}");
    Console.WriteLine($"Scope: {assignment.Scope}");
    Console.WriteLine($"Type: {assignment.PrincipalType}");
}

Python

role_assignments = await client.authorization.role_assignments.get()

my_assignments = [
    a for a in role_assignments.value
    if a.principal_object_id == "YOUR_ENTERPRISE_APP_OBJECT_ID"
]

for assignment in my_assignments:
    print(f"ID: {assignment.role_assignment_id}")
    print(f"Role: {assignment.role_definition_id}")
    print(f"Scope: {assignment.scope}")
    print(f"Type: {assignment.principal_type}")

Tài liệu tham khảo về API Nền tảng Power: Kiểm soát Truy nhập Dựa trên Vai trò - Liệt kê Vai trò Gán

Nội dung liên quan

• Kiểm soát truy nhập dựa trên vai trò cho trung tâm quản trị Power Platform
• Tham chiếu cấp phép
• Xác thực - tạo đăng ký ứng dụng đầu tiên của bạn