在企业应用程序上分配应用程序角色所需的 AzureAD 目录角色是什么？答案

【问题标题】：What are the required AzureAD Directory Roles For Assigning Application Roles on Enterprise Apps?在企业应用程序上分配应用程序角色所需的 AzureAD 目录角色是什么？
【发布时间】：2018-12-03 13:20:40
【问题描述】：

我正在尝试找出确切的 Azure Active Directory - 目录角色，这将允许将应用程序角色分配给 AD 组、企业应用程序

权限越低越好，因为全局管理员是完全开放的

我在某些租户/aad 环境中成功使用命令“New-AzureADGroupAppRoleAssignment”，但在其他环境中我收到以下错误。

错误：

New-AzureADGroupAppRoleAssignment : Error occurred while executing NewGroupAppRoleAssignment
Code: Authorization_RequestDenied
Message: Insufficient privileges to complete the operation.
HttpStatusCode: Forbidden
HttpStatusDescription: Forbidden
HttpResponseStatus: Completed
At line:49 char:11
+           New-AzureADGroupAppRoleAssignment -ObjectId $adGroup.Object ...
+           ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : NotSpecified: (:) [New-AzureADGroupAppRoleAssignment], ApiException
    + FullyQualifiedErrorId : Microsoft.Open.AzureAD16.Client.ApiException,Microsoft.Open.AzureAD16.PowerShell.NewGroupAppRoleAssignment

通过测试，我已确认“全局管理员”AAD 目录角色允许我将企业应用程序上的应用程序分配设置为 AD 组

我将无法在我的开发/生产环境中访问“全局管理员”角色

是否有我可以创建的自定义角色（或传递给 AAD 目录管理员），以允许全局管理员或其他一些实际工作的角色分配给我需要分配的特定企业应用程序角色？

我还尝试了“应用程序管理员”目录角色，这在文档中似乎很合适，但我得到了相同的“权限不足，无法完成操作”错误

如果有条件的目录自定义角色是可能的，我想通过 Powershell 创建它

谢谢

【问题讨论】：

标签： powershell azure-active-directory azure-security

【解决方案1】：

Application Adiministrator 没有这样做的特权，除了Global Administrator，您需要一个名为Privileged role administrator 的最低特权角色来管理角色分配。

看到这个link：

有关 AAD 目录角色的更多详细信息，请参阅此link。

【讨论】：

感谢您的回复。我只是试了一下。 “特权角色管理员”虽然看起来很有希望，但不允许我通过 New-AzureADGroupAppRoleAssignment 将应用程序角色分配给企业应用程序。所以问题是，可以创建什么样的自定义角色来允许用户将应用程序角色分配给企业应用程序，而无需在整个订阅中为他们提供“全局管理员”。您可以将特定企业应用程序的全局管理员作为“资源”授予用户吗？
@Gvazzana 不明白你的要求，如果你想为企业应用（服务主体）分配角色，你可以使用这个命令New-AzureADServiceAppRoleAssignment?我认为New-AzureADGroupAppRoleAssignment 将角色分配给组。
正确，我正在将已注册应用程序清单中的应用程序角色分配给企业应用程序上的 aad 组。这些应用程序角色代表我们网络应用程序的权限，因此广告组内的用户将收到指定的应用程序角色。因此，我试图弄清楚如何制作一个更“最少特权”的自定义 aad 角色，而不是 Global Amdinistrator。此角色将允许我在 AAD 中进行我想要的应用程序角色分配，而我无法在其中拥有全局管理员权限
我想我可能在以下链接中找到了我的问题的确切答案：techcommunity.microsoft.com/t5/Azure-Active-Directory-Identity/…。“全局管理员”和“用户管理员”可以为用户或组分配角色
@Gvazzana 根据我的测试，我可以使用Application Adiministrator 运行New-AzureADGroupAppRoleAssignment。

【解决方案2】：

我在以下链接中找到了我的问题的确切答案：https://techcommunity.microsoft.com/t5/Azure-Active-Directory-Identity/Azure-Active-Directory-now-with-Group-Claims-and-Application/ba-p/243862

应用程序角色：组织的全局管理员或用户管理员可以将用户和组分配给 Azure AD 中的应用程序

【讨论】：