Microsoft Graph 按 resourceScope 列出 RBACRoleAssignments答案

【问题标题】：Microsoft Graph list RBACRoleAssignments by resourceScopeMicrosoft Graph 按 resourceScope 列出 RBACRoleAssignments
【发布时间】：2018-10-03 05:00:49
【问题描述】：

我想使用 GraphAPI 列出组的角色分配。但我只看到一个API 来列出整个角色分配。
我尝试使用$filter 子句按resourceScopes/scopeMembers 过滤，但它不起作用。

我应该自己过滤整个列表还是有其他方法可以做到这一点？

【问题讨论】：

标签： azure-active-directory microsoft-graph-api azure-rbac

【解决方案1】：

您似乎正在寻找Azure RBAC 角色分配。

这些与您链接到的内容不同，后者是 Intune 设备管理角色分配（特定于 Intune RBAC roles）。它们也不同于 Azure AD app role assignments（用于将应用或用户/组分配给另一个应用的角色）和 Azure AD 目录角色成员身份（用于将用户分配给目录角色）。

您可以使用 Azure 管理 API list all Azure RBAC role assignments。您还可以按范围和/或角色分配所针对的用户、组或应用过滤此请求。

例如，要列出组{group-id} 为订阅{sub-id} 分配的所有范围：

GET https://management.azure.com/subscriptions/{sub-id}/providers/Microsoft.Authorization/roleAssignments?api-version=2015-07-01&$filter=principalId%20eq%20'{group-id}'

更多详情可以阅读Manage Role-Based Access Control with the REST API。

【讨论】：

所以我猜 GraphAPI 不可能？
@dongseok0.对此感到抱歉。我没有意识到它是 resourceScopes 的数组。
@dongseok0 没错，您无法使用 Microsoft Graph API（或 Azure AD Graph API）执行此操作。您必须使用Azure REST API
@PhilippeSignoret 是否可以通过 Azure RBAC REST API 列出 Intune RBAC 角色？根据我对列表 API 的测试，它没有提供任何与 Intune 相关的内容。
不，Azure REST API 将仅列出 Azure RBAC 角色。如果您需要 Intune RBAC 角色和分配，您需要使用 Microsoft Graph（您在原始问题中链接到的内容）。 developer.microsoft.com/en-us/graph/docs/api-reference/v1.0/…