Azure Active Directory对象权限

Question

我有一个Azure Active Directory应用程序（以及关联的服务主体）。 该服务主体需要能够从Azure Active Directory组中添加和删除成员...因此我在“应用程序权限”下添加了“读取和写入目录数据”：

我有使用客户端ID和客户端密钥获取身份验证令牌并使用Azure Graph API执行这些操作的代码。

但是，这种许可范围太广。 我需要应用程序/服务主体仅具有从特定组（不是全部）中添加和删除成员的能力……而没有执行其他类型的操作的能力。

有没有办法做到这一点？

谢谢。

Answer 1

有一个预览功能可以部分满足您的需求：“ Group.ReadWrite.All”。 它使您的主体可以创建和更新组及其导航属性（包括成员）。 但是，它不会减少仅修改某些组的权限。

AAD权限范围如下所述： https : //msdn.microsoft.com/Library/Azure/Ad/Graph/howto/azure-ad-graph-api-permission-scopes

预览功能可能会有所更改，您必须同意减少服务条款等。https : //azure.microsoft.com/zh-cn/services/preview/