我正在寻找允许应用通过服务帐户访问 Graph API 的最佳方法。
这个想法是为该应用授予 Graph API 的委派权限，然后通过该应用中使用的服务帐户的访问权限进一步限制该权限。问题是服务帐户不需要交互。
例如：我希望开发人员创建任何类型的应用程序来访问 Graph API，但只管理他的服务帐户被授予访问权限的资源。例如，我不希望他能够管理所有 AAD 组，而只希望他的服务帐户拥有所有权的 AAD 组。
有什么指导可以让我开始演示吗？我一直在寻找教程和文章，但似乎没有一个符合我的要求。
【问题讨论】：
标签： azure azure-active-directory
目前我认为您无法做到这一点。 如果您进行客户端凭据身份验证（客户端 ID + 机密/证书）， 应用程序权限适用。 委派权限仅在涉及用户时适用。 因此，目前限制范围的唯一方法是代表用户进行调用。
当然，您仍然可以将其大部分自动化。 一种方法是让开发人员使用他们的帐户进行一次身份验证。 然后，您的应用应该会收到该用户的刷新令牌， 然后它可以根据需要使用它来获取新的访问令牌，以便随时以用户身份进行调用。
当然，刷新令牌的唯一问题是它们可能会过时或被撤销。 开发人员必须再次授权该应用程序。 如果不发生这种情况是关键业务， 那么您必须使用应用权限（组织范围、所有组等）。
【讨论】：
您可能想看看Get access without a user。
某些应用使用自己的身份调用 Microsoft Graph，而不是在 代表用户。在许多情况下，这些是后台服务或 在没有登录用户的情况下在服务器上运行的守护进程。
...
认证授权步骤
配置服务和获取令牌所需的基本步骤 服务可用于调用 Microsoft 的 Azure AD v2.0 终结点 图下自己的身份是：
- 注册您的应用。
- 在您的应用上配置 Microsoft Graph 的权限。
- 征得管理员同意。
- 获取访问令牌。
- 使用访问令牌调用 Microsoft Graph。
关键是权限的配置。可能需要深入研究permissions reference 以查看它是否提供了您需要的粒度。
2。为 Microsoft Graph 配置权限
对于以自己的身份调用 Microsoft Graph 的应用，Microsoft Graph 公开应用程序权限。 ...您预先配置 注册应用时您的应用所需的应用权限。
【讨论】：