Права доступа к объекту Azure Active Directory

Question

У меня есть приложение Active Directory Active Directory (и связанный с ним сервис). Эта служба Принципал должен иметь возможность добавлять и удалять пользователей из Azure группы Active Directory ... поэтому я добавил данных каталога читать и писать в разделе Разрешения Применение:

И у меня есть код, который использует Client ID и Client Secret, чтобы получить токен аутентификации, выполните эти операции с использованием API Azure Graph.

Однако это разрешение слишком широкое. Мне нужен Принцип приложения/службы, чтобы иметь возможность добавлять и удалять членов из определенных групп (не всех) ... а не возможность выполнять другие типы операций.

Есть ли способ сделать это?

спасибо.

Answer 1

Существует функция предварительного просмотра, которая частично соответствует вашему требованию: «Group.ReadWrite.All». Он позволяет вашим основным группам создавать и обновлять и их навигационные свойства (включая членов). Однако он не уменьшает разрешения для изменения только определенных групп.

разрешения AAD прицелы описаны здесь: https://msdn.microsoft.com/Library/Azure/Ad/Graph/howto/azure-ad-graph-api-permission-scopes

Просмотр функции могут меняться, и вы должны согласиться с сокращением сроков службы и т.д .: https://azure.microsoft.com/en-us/services/preview/