尝试通过调用 Microsoft Graph API - /applications 将 Azure 虚拟桌面 RBAC 中定义的委派权限范围添加到 AAD 应用程序注册

Question

无法传递与 Azure Virtual Deskltop RBAC 基于权限相关的委派权限范围，例如 Microsoft.DesktopVirtualization/hostpools/*/read 在这里定义： https://learn.microsoft.com/en-us/azure/virtual-desktop/rbac未在此处定义的完整列表中列出： https://learn.microsoft.com/en-us/graph/permissions-reference#all-permissions-and-ids

尝试通过调用https://learn.microsoft.com/en-us/graph/api/application-update?view=graph-rest-1.0&tabs=http将委托权限范围添加到 AAD 应用程序注册权限的完整列表 scope可以通过的定义在这里： https://learn.microsoft.com/en-us/graph/permissions-reference#all-permissions-and-ids不包含Microsoft.DesktopVirtualization/**

Answer 1

从您共享的上述文档中，我可以得出结论，每个 RBAC 角色都带有一组权限（不能通过内置角色单独分配）。

例如Desktop Virtualization Reader具有以下权限：

Microsoft.DesktopVirtualization//阅读，*

Microsoft.Resources/subscriptions/resourceGroups/read,

Microsoft.Resources/deployments/read,

Microsoft.Authorization//阅读，*

Microsoft.Insights/alertRules/阅读，

Microsoft.Support/*

Azure AD Graph API for Desktop Virtualization Reader中的参考 GUID 是 49a72310-ab8d-41df-bbb0-79b649203868 参考文档Azure built-in roles 。

您可以通过 REST API 而不是通过 Graph 分配角色，因为 Graph API 仅管理 Azure AD 资源而不是 Azure 资源。

• 获取角色分配- 资源列表

例子：

获取https://management.azure.com/subscriptions/4455e754-xxxx-xxxx-xxxx-aa0623375982/resourceGroups/B2C/providers/Microsoft.DesktopVirtualization/hostpools/HOSTPOOL1/providers/Microsoft.Authorization/role-Assignments=2?api2i -04-01

• 将角色与虚拟桌面基础结构进行比较以获取权限，并将 [https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#virtual-desktop-infrastructure 用于角色 ID
• 使用角色分配- 创建

PUT https://management.azure.com/{scope}/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentName}?api-version=2022-04-01

如果您在评论部分有任何进一步的疑问，请告诉我。

谢谢，