azure - Azure 服务主体 - API 权限与 AD 角色

Question

我有一个应用程序需要创建 AD 组并通过 Graph API 更新其成员资格。我将使用服务主体来执行此操作。

我试图了解以下之间的区别：

• 将服务主体分配给 Azure AD 角色（例如，“用户管理员”：https ://docs.microsoft.com/en-us/azure/active-directory/roles/delegate-by-task#groups ）
• 向服务主体添加 API 权限（例如，Microsoft Graph API 的“Group.ReadWrite.All”：https ://docs.microsoft.com/en-us/azure/active-directory/roles/delegate-by-task#组）

这里有什么区别？他们都有效地给予相同的权限吗？

标签： azureazure-active-directorymicrosoft-graph-api

Answer 1

内置角色只是权限的集合，因此您的答案可能是肯定的。如果您授予与内置角色相同的权限，那么您将获得相同的有效权限。“用户管理员”角色具有以下权限：

https://docs.microsoft.com/en-us/azure/active-directory/roles/permissions-reference#user-administrator

我们创建了内置角色，使用户更容易快速获得基于角色的访问控制。如果内置角色不能满足您的需求，您始终可以创建自定义角色。