Szerkesztés

Egyéni szerepkör létrehozása és hozzárendelése a Microsoft Entra-azonosítóban

  • Használati útmutató

Ez a cikk bemutatja, hogyan hozhat létre új egyéni szerepköröket a Microsoft Entra ID-ban. Az egyéni szerepkörök alapjaiért tekintse meg az egyéni szerepkörök áttekintését. A szerepkör a címtárszintű hatókörben vagy csak az alkalmazásregisztrációs erőforrás hatókörében rendelhető hozzá.

Egyéni szerepkörök a Microsoft Entra felügyeleti központ Szerepkörök és rendszergazdák lapján hozhatók létre.

Előfeltételek

  • Microsoft Entra ID P1 vagy P2 licenc
  • Kiemelt szerepkörű rendszergazda vagy globális rendszergazda
  • Microsoft.Graph-modul a PowerShell használatakor
  • Rendszergazdai jóváhagyás a Graph Explorer for Microsoft Graph API használatához

További információ: A PowerShell vagy a Graph Explorer használatának előfeltételei.

Szerepkör létrehozása a Microsoft Entra Felügyeleti központban

Új egyéni szerepkör létrehozása az alkalmazásregisztrációk kezeléséhez való hozzáférés biztosításához

Tipp.

A cikkben szereplő lépések a portáltól függően kissé eltérhetnek.

  1. Jelentkezzen be a Microsoft Entra felügyeleti központba legalább emelt szintű szerepkörként Rendszergazda istratorként.

  2. Keresse meg az Identitásszerepkörök>> Rendszergazdai>szerepkörök > rendszergazdai szerepköröket.

  3. Válassza az Új egyéni szerepkör lehetőséget.

    Szerepkörök létrehozása vagy szerkesztése a Szerepkörök és rendszergazdák lapon

  4. Az Alapszintű beállítások lapon adja meg a szerepkör nevét és leírását, majd kattintson a Tovább gombra.

    adjon meg egy nevet és leírást egy egyéni szerepkörhöz az Alapszintű beállítások lapon

  5. Az Engedélyek lapon válassza ki az alkalmazásregisztrációk alapvető tulajdonságainak és hitelesítő adatainak kezeléséhez szükséges engedélyeket. Az egyes engedélyek részletes leírását a Microsoft Entra ID alkalmazásregisztrációs altípusai és engedélyei című témakörben találja.

    1. Először írja be a "hitelesítő adatokat" a keresősávba, és válassza ki az microsoft.directory/applications/credentials/update engedélyt.

      Egyéni szerepkör engedélyeinek kiválasztása az Engedélyek lapon

    2. Ezután írja be az "alapszintű" kifejezést a keresősávba, válassza ki az engedélyt, majd kattintson a microsoft.directory/applications/basic/update Tovább gombra.

  6. A Véleményezés + létrehozás lapon tekintse át az engedélyeket, és válassza a Létrehozás lehetőséget.

    Az egyéni szerepkör megjelenik a hozzárendelni kívánt szerepkörök listájában.

Szerepkör létrehozása a PowerShell használatával

Bejelentkezés

A Csatlakozás-MgGraph paranccsal jelentkezzen be a bérlőbe.

Connect-MgGraph -Scopes "RoleManagement.ReadWrite.Directory"

Create the custom role

Create a new role using the following PowerShell script:

# Basic role information
$displayName = "Application Support Administrator"
$description = "Can manage basic aspects of application registrations."
$templateId = (New-Guid).Guid

# Set of permissions to grant
$allowedResourceAction =
@(
    "microsoft.directory/applications/basic/update",
    "microsoft.directory/applications/credentials/update"
)
$rolePermissions = @(@{AllowedResourceActions= $allowedResourceAction})

# Create new custom admin role
$customAdmin = New-MgRoleManagementDirectoryRoleDefinition -RolePermissions $rolePermissions -DisplayName $displayName -IsEnabled -Description $description -TemplateId $templateId

Assign the custom role using PowerShell

Assign the role using the below PowerShell script:

# Get the user and role definition you want to link
$user = Get-MgUser -Filter "userPrincipalName eq 'cburl@f128.info'"
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Application Support Administrator'"

# Get app registration and construct resource scope for assignment.
$appRegistration = Get-MgApplication -Filter "Displayname eq 'POSTMAN'"
$resourceScope = '/' + $appRegistration.objectId

# Create a scoped role assignment
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId $resourcescope -RoleDefinitionId $roledefinition.Id -PrincipalId $user.Id

Szerepkör létrehozása a Microsoft Graph API-val

Tegye a következők egyikét:

  1. Egyéni szerepkör létrehozásához használja az UnifiedRoleDefinition API-t.

    POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleDefinitions

    Törzs

    {
  "description": "Can manage basic aspects of application registrations.",
  "displayName": "Application Support Administrator",
  "isEnabled": true,
  "templateId": "<GUID>",
  "rolePermissions": [
      {
          "allowedResourceActions": [
              "microsoft.directory/applications/basic/update",
              "microsoft.directory/applications/credentials/update"
          ]
      }
  ]
}

    Feljegyzés

    Ez "templateId": "GUID" egy opcionális paraméter, amelyet a rendszer a követelménytől függően küld a törzsbe. Ha több különböző egyéni szerepkört kell létrehoznia közös paraméterekkel, a legjobb, ha sablont hoz létre, és meghatároz egy templateId értéket. A PowerShell-parancsmaggal (New-Guid).Guidelőre is létrehozhat templateId értéket.

  2. Az egyéni szerepkör hozzárendeléséhez használja a Create unifiedRoleAssignment API-t.

    POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments

    Törzs

    {
    "principalId":"<GUID OF USER>",
    "roleDefinitionId":"<GUID OF ROLE DEFINITION>",
    "directoryScopeId":"/<GUID OF APPLICATION REGISTRATION>"
}

Egyéni szerepkör hozzárendelése erőforráshoz

A beépített szerepkörökhöz hasonlóan az egyéni szerepkörök is alapértelmezés szerint az alapértelmezett szervezeti hatókörben vannak hozzárendelve, hogy hozzáférési engedélyeket adjanak a szervezet összes alkalmazásregisztrációjához. Emellett egyéni szerepkörök és néhány releváns beépített szerepkör is hozzárendelhető (a Microsoft Entra-erőforrás típusától függően) egyetlen Microsoft Entra-erőforrás hatókörében. Ez lehetővé teszi, hogy a felhasználónak engedélyt adjon egy alkalmazás hitelesítő adatainak és alapvető tulajdonságainak frissítésére anélkül, hogy létre kellene hoznia egy második egyéni szerepkört.

  1. Jelentkezzen be a Microsoft Entra felügyeleti központba legalább alkalmazásfejlesztőként.

  2. Keresse meg az identitásalkalmazásokat>> Alkalmazásregisztrációk.

  3. Válassza ki azt az alkalmazásregisztrációt, amelyhez hozzáférést biztosít a kezeléshez. Előfordulhat, hogy a Microsoft Entra-szervezet alkalmazásregisztrációinak teljes listájának megtekintéséhez ki kell választania a Minden alkalmazást .

    Az alkalmazásregisztráció kiválasztása erőforrás-hatókörként egy szerepkör-hozzárendeléshez

  4. Az alkalmazásregisztrációban válassza a Szerepkörök és rendszergazdák lehetőséget. Ha még nem hozott létre egyet, az utasítások az előző eljárásban találhatók.

  5. Válassza ki a szerepkört a Hozzárendelések lap megnyitásához.

  6. Válassza a Hozzárendelés hozzáadása lehetőséget a felhasználó hozzáadásához. A felhasználó minden engedélyt csak a kiválasztott alkalmazásregisztrációhoz kap.

Kapcsolódó tartalom