是否可以自动将组分配给 Azure AD 企业应用程序（特别是 AWS SSO）？

Question

在 Azure AD，我有一个企业应用程序设置，用于通过 AWS 进行 SSO 访问。

是否可以通过编程方式将安全组分配给企业应用程序？

目前尚不清楚 Terraform、az cli 或 PowerShell 模块如何实现这一点。 用户和组已在 AWS IAM 中成功配置，并且 IdP 启动的 SSO 登录工作正常，因此我相信企业应用程序已正确设置。

这是我的企业应用程序的图像

并向其添加一个组

Answer 1

您可以使用Microsoft Graph Service Principals API来执行此操作。 每个企业应用程序都是服务主体及其appRoleAssignments 。

要创建绑定到安全组的新分配，您可以使用为服务主体授予 appRoleAssignment，如下所示。

POST https://graph.microsoft.com/v1.0/servicePrincipals/{servicePrincipalId}/appRoleAssignedTo
{
  "principalId": "{resource id - Security Group ID in your case}",
  "resourceId": "{servicePrincipalId}", // service principal/entreprise app id
  "appRoleId": "{The default app role ID (00000000-0000-0000-0000-000000000000) or your app role id}" // See https://learn.microsoft.com/en-us/graph/api/resources/approle?view=graph-rest-1.0
}

如果此选项适合您，那么您可以使用 MS Graph PowerShell SDK 命令New-MgServicePrincipalAppRoleAssignedTo。