Azure AD делегация Управления пользователей

Question

Я использую Azure AD для создания пользователей, групп для приложения, которое сидит за пределами Azure AD (размещенную внутри)

Я хочу способность делегировать управление пользователями в качестве администратора этого приложения (создавать пользователей, назначать группы и т. д.)

Я вижу, что в подписке Premium Azure AD вы можете создавать пользователей AD, имеющих доступ к панели доступа WAAD (myapps.microsoft.com), и они могут видеть группы, вы можете назначать пользователей для групп и запросы на просмотр/одобрение действий

Однако, как бы то ни было, o создавать пользователей через этот интерфейс, который является нечетным. Похоже, он должен быть там, если у пользователя есть роль «Управление пользователями».

Есть ли другой способ предоставить делегацию управления базовым уровнем для администратора приложения?

Единственный другой способ, который я вижу, - это создать для администратора пользователя совершенно новую подписку на лазурную печать (но часть того же арендатора) и пройти через портал управления, что не идеально, потому что у них есть доступ к другим ресурсам Azure (создание экземпляров, db и т. д.). Мне нужен только администратор, чтобы иметь возможность доступа к управлению пользователями AD

Я знаю, что я могу создать другое приложение и использовать Graph API, но это может заново изобрести колесо, если у Azure AD уже есть что-то вроде этого.

Answer 1

Вы можете достичь своей цели с помощью вашей текущей настройки, используя Azure AD Graph API.

Использование базы данных Azure AD Graph API Client library и создание локальной области в вашем приложении, где данный пользователь Administrator для вашего приложения может управлять пользователями и группами в Azure AD с помощью API-интерфейса Graph.

Существует хороший образец на how to use Graph API with .NET на GitHub sample pages for AD.