反馈 编辑

创建 unifiedRoleAssignment

  • 项目

命名空间：microsoft.graph

创建新的 unifiedRoleAssignment 对象。

权限

要调用此 API，需要以下权限之一。要了解详细信息，包括如何选择权限的信息，请参阅权限。

对于目录 (Azure AD) 提供程序

权限类型 权限（从最低特权到最高特权）
委派（工作或学校帐户） RoleManagement.ReadWrite.Directory
委派（个人 Microsoft 帐户） 不支持。
应用程序 RoleManagement.ReadWrite.Directory

对于权利管理提供程序

权限类型 权限（从最低特权到最高特权）
委派（工作或学校帐户） EntitlementManagement.ReadWrite.All
委派（个人 Microsoft 帐户） 不支持。
应用程序 EntitlementManagement.ReadWrite.All

HTTP 请求

为目录提供程序创建角色分配：

POST /roleManagement/directory/roleAssignments

为权利管理提供程序创建角色分配：

POST /roleManagement/entitlementManagement/roleAssignments

请求头

名称 说明
Authorization 持有者 {token}

请求正文

在请求正文中，提供 unifiedRoleAssignment 对象的 JSON 表示形式。 请求必须具有在 Azure Active Directory (Azure AD 中定义的范围) 由 directoryScopeId 指定，或者 由 appScopeId 指定的特定于应用程序的范围。 Azure AD 范围的示例包括租户 () / 、管理单元或应用程序。 有关 appScope 的详细信息，请参阅 appScope。

下表显示了创建 unifiedRoleAssignment 对象时所需的属性。

参数 类型 说明
roleDefinitionId String 分配所用于的角色定义的标识符。
principalId 字符串 向其授予分配的主体的标识符。
directoryScopeId String 表示分配范围的目录对象的标识符。 需要此属性或 appScopeId 。 分配的范围确定已授予主体访问权限的资源集。 目录范围是存储在多个应用程序理解的目录中的共享范围。 用于 / 租户范围。 使用 appScopeId 将范围限制为仅限应用程序。
appScopeId 字符串 分配范围特定于应用时特定于应用的范围的标识符。 需要此属性或 directoryScopeId 。 应用范围是仅由此应用程序定义和理解的范围。 用于 / 租户范围的应用范围。 使用 directoryScopeId 将范围限制为特定目录对象，例如管理单元。

响应

如果成功，此方法在响应正文中返回 201 Created 响应代码和新的 unifiedRoleAssignment 对象。

示例

示例 1：创建具有租户范围的角色分配

请求

下面展示了示例请求。 请注意，roleTemplateId 用于 roleDefinitionId。 roleDefinitionId 可以是服务范围的模板 ID，也可以是特定于目录的角色DefinitionId。

POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
Content-type: application/json

{ 
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "roleDefinitionId": "c2cf284d-6c41-4e6b-afac-4b80928c9034",
    "principalId": "f8ca5a85-489a-49a0-b555-0a6d81e56f0d",
    "directoryScopeId": "/"
}

响应

下面展示了示例响应。

注意： 为了提高可读性，可能缩短了此处显示的响应对象。

HTTP/1.1 201 Created
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#roleManagement/directory/roleAssignments/$entity",
    "id": "YUb1sHQtUEyvox7IA_Eu_mm3jqnUe4lEhvatluHVi2I-1",
    "roleDefinitionId": "c2cf284d-6c41-4e6b-afac-4b80928c9034",
    "principalId": "f8ca5a85-489a-49a0-b555-0a6d81e56f0d",
    "directoryScopeId": "/"
}

示例 2：创建具有管理单元范围的角色分配

请求

以下示例将用户管理员角色分配给具有管理单元范围的主体。

POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
Content-type: application/json

{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "roleDefinitionId": "fe930be7-5e62-47db-91af-98c3a49a38b1",
    "principalId": "f8ca5a85-489a-49a0-b555-0a6d81e56f0d",
    "directoryScopeId": "/administrativeUnits/5d107bba-d8e2-4e13-b6ae-884be90e5d1a"
}

响应

下面展示了示例响应。

注意： 为了提高可读性，可能缩短了此处显示的响应对象。

HTTP/1.1 201 Created
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#roleManagement/directory/roleAssignments/$entity",
    "id": "BH21sHQtUEyvox7IA_Eu_mm3jqnUe4lEhvatluHIWb7-1",
    "roleDefinitionId": "fe930be7-5e62-47db-91af-98c3a49a38b1",
    "principalId": "f8ca5a85-489a-49a0-b555-0a6d81e56f0d",
    "directoryScopeId": "/administrativeUnits/5d107bba-d8e2-4e13-b6ae-884be90e5d1a"
}

示例 3：创建具有应用程序范围的角色分配

请求

以下示例为主体分配应用程序范围内的应用程序管理员角色。 应用程序注册的对象 ID 为 661e1310-bd76-4795-89a7-8f3c8f855bfc。

POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
Content-type: application/json

{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "principalId": "6b937a9d-c731-465b-a844-2d5b5368c161",
    "roleDefinitionId": "9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3",
    "directoryScopeId": "/661e1310-bd76-4795-89a7-8f3c8f855bfc"
}

响应

下面展示了示例响应。

注意： 为了提高可读性，可能缩短了此处显示的响应对象。

HTTP/1.1 201 Created
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#roleManagement/directory/roleAssignments/$entity",
    "@odata.id": "https://graph.microsoft.com/v2/22350cac-d84b-466b-8c2c-f9326746709a/roleAssignments/kl2Jm9Msx0SdAqasLV6lw516k2sxx1tGqEQtW1NowWEQEx5mdr2VR4mnjzyPhVv8-1",
    "id": "kl2Jm9Msx0SdAqasLV6lw516k2sxx1tGqEQtW1NowWEQEx5mdr2VR4mnjzyPhVv8-1",
    "principalId": "6b937a9d-c731-465b-a844-2d5b5368c161",
    "principalOrganizationId": "22350cac-d84b-466b-8c2c-f9326746709a",
    "resourceScope": "/661e1310-bd76-4795-89a7-8f3c8f855bfc",
    "directoryScopeId": "/661e1310-bd76-4795-89a7-8f3c8f855bfc",
    "roleDefinitionId": "9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3"
}

示例 4：创建具有访问包目录范围的角色分配

请求

下面展示了示例请求。

POST https://graph.microsoft.com/v1.0/roleManagement/entitlementManagement/roleAssignments
Content-type: application/json

{
    "principalId": "679a9213-c497-48a4-830a-8d3d25d94ddc",
    "roleDefinitionId": "ae79f266-94d4-4dab-b730-feca7e132178",
    "appScopeId": "/AccessPackageCatalog/beedadfe-01d5-4025-910b-84abb9369997"
}

响应

下面展示了示例响应。

注意： 为了提高可读性，可能缩短了此处显示的响应对象。

HTTP/1.1 201 Created
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#roleManagement/entitlementManagement/roleAssignments/$entity",
    "id": "f3092518-7874-462e-93e9-0cd6c11ffc52",
    "principalId": "679a9213-c497-48a4-830a-8d3d25d94ddc",
    "roleDefinitionId": "ae79f266-94d4-4dab-b730-feca7e132178",
    "appScopeId": "/AccessPackageCatalog/beedadfe-01d5-4025-910b-84abb9369997"
}