Engedélyosztályozások konfigurálása

Ebből a cikkből megtudhatja, hogyan konfigurálhatja az engedélyek besorolását az Azure Active Directoryban (Azure AD). Az engedélybesorolásokkal azonosíthatja, hogy milyen hatással vannak a különböző engedélyek a szervezet szabályzatai és kockázatfelmérései alapján. A hozzájárulási szabályzatokban például engedélybesorolásokkal azonosíthatja azokat az engedélyeket, amelyekhez a felhasználók hozzájárulást adhatnak.

Jelenleg csak az "Alacsony hatású" engedélybesorolás támogatott. Csak a rendszergazdai hozzájárulást nem igénylő delegált engedélyek minősíthetők alacsony hatásúnak.

Az alapszintű bejelentkezéshez szükséges minimális engedélyek a openidUser.Readprofileemailoffline_accessMicrosoft Graph delegált engedélyei. Ezekkel az engedélyekkel az alkalmazás elolvashatja a bejelentkezett felhasználó teljes profiladatait, és akkor is fenntarthatja ezt a hozzáférést, ha a felhasználó már nem használja az alkalmazást.

Előfeltételek

Az engedélybesorolások konfigurálásához a következőkre van szükség:

• Aktív előfizetéssel rendelkező Azure-fiók. Hozzon létre egy ingyenes fiókot.
• A következő szerepkörök egyike: globális rendszergazda, felhőalkalmazás-rendszergazda, alkalmazásadminisztrátor vagy a szolgáltatásnév tulajdonosa.

Engedélybesorolások kezelése

Portál

Az engedélyek Azure Portalon történő besorolásához kövesse az alábbi lépéseket:

1. Jelentkezzen be az Azure Portalraglobális rendszergazdaként, alkalmazásadminisztrátorként vagy felhőalkalmazás-rendszergazdaként
2. Válassza ki az Azure Active Directory>Enterprise-alkalmazások>hozzájárulási ésengedélybesorolásait>.
3. Válassza az Engedélyek hozzáadása lehetőséget egy másik engedély "Alacsony hatású" besorolásához.
4. Válassza ki az API-t, majd válassza ki a delegált engedélyeket.

Ebben a példában az egyszeri bejelentkezéshez szükséges minimális engedélykészletet soroltuk be:

PowerShell

Az engedélyek besorolásához használhatja a legújabb Azure AD PowerShell előzetes verziójú modult, az AzureADPreview-t. Az engedélybesorolások az engedélyeket közzétevő API ServicePrincipal objektumán vannak konfigurálva.

Api aktuális engedélybesorolásainak listázása

1. Kérje le az API ServicePrincipal objektumát. Itt lekérjük a Microsoft Graph API ServicePrincipal objektumát:

   $api = Get-AzureADServicePrincipal `
       -Filter "servicePrincipalNames/any(n:n eq 'https://graph.microsoft.com')"
   

2. Olvassa el az API delegált engedélybesorolásait:

   Get-AzureADMSServicePrincipalDelegatedPermissionClassification `
       -ServicePrincipalId $api.ObjectId | Format-Table Id, PermissionName, Classification
   

Engedély besorolása "Alacsony hatás" értékre

1. Kérje le az API ServicePrincipal objektumát. Itt lekérjük a Microsoft Graph API ServicePrincipal objektumát:

   $api = Get-AzureADServicePrincipal `
       -Filter "servicePrincipalNames/any(n:n eq 'https://graph.microsoft.com')"
   

2. Keresse meg a besorolni kívánt delegált engedélyt:

   $delegatedPermission = $api.OAuth2Permissions | Where-Object { $_.Value -eq "User.ReadBasic.All" }
   

3. Állítsa be az engedélybesorolást az engedély nevével és azonosítójával:

   Add-AzureADMSServicePrincipalDelegatedPermissionClassification `
      -ServicePrincipalId $api.ObjectId `
      -PermissionId $delegatedPermission.Id `
      -PermissionName $delegatedPermission.Value `
      -Classification "low"
   

Delegált engedélybesorolás eltávolítása

1. Kérje le az API ServicePrincipal objektumát. Itt lekérjük a Microsoft Graph API ServicePrincipal objektumát:

   $api = Get-AzureADServicePrincipal `
       -Filter "servicePrincipalNames/any(n:n eq 'https://graph.microsoft.com')"
   

2. Keresse meg az eltávolítani kívánt delegált engedélybesorolást:

   $classifications = Get-AzureADMSServicePrincipalDelegatedPermissionClassification `
       -ServicePrincipalId $api.ObjectId
   $classificationToRemove = $classifications | Where-Object {$_.PermissionName -eq "User.ReadBasic.All"}
   

3. Törölje az engedélybesorolást:

   Remove-AzureADMSServicePrincipalDelegatedPermissionClassification `
       -ServicePrincipalId $api.ObjectId `
       -Id $classificationToRemove.Id
   

Következő lépések

További tudnivalók:

• Lépjen az Engedélyek és hozzájárulás elemre a Microsoft identitásplatformon