将服务主体添加为企业应用程序所有者答案

【问题标题】：Add Service Principal as Enterprise Application Owner将服务主体添加为企业应用程序所有者
【发布时间】：2021-06-10 07:56:01
【问题描述】：

我对用户和应用程序服务主体做了以下操作。

用户可以查看和管理企业应用程序，但应用程序服务主体只能查看（通过 MS Graph API）。

用户如何管理企业应用，而应用服务主体却不能？

我的目标是让应用程序只管理某些应用程序，而不是全部。有可能吗？

【问题讨论】：

更新，使用应用程序服务主体，我可以将所有者添加到目标企业应用程序，但我不能添加用户分配。
既然您已经将应用服务主体添加为目标企业应用的所有者，为什么还需要添加用户分配？如果有任何理解，请纠正我。
并且应用服务主体可以看到目标企业应用程序（通过MS Graph API），它应该能够管理目标企业应用程序（通过MS Graph API）。你的目标是什么？使用应用服务主体管理 Azure 门户上的目标企业应用？
我希望服务主体 A 能够管理允许登录目标服务主体（企业应用程序）的用户并关联正确的应用角色。
您好，有更新吗？我的回答有用吗？

【解决方案1】：

首先，Directory Reader 角色不允许您分配应用角色。

您在这里应该考虑的是应用程序管理员角色。

我知道您希望服务主体只管理这一个企业应用程序。所以在分配AAD角色时需要指定“范围”。

在上面的屏幕截图中，为范围类型选择“服务主体”。 “testg0036”是企业应用程序，“testG006”是应用程序服务主体。

那么testG006可以修改testg0036，但不能修改其他企业应用。

【讨论】：

嗨@allen-wu 谢谢但是，我也将服务主体分配为目标服务主体的所有者，就像我对用户所做的那样。用户可以使用与服务主体完全相同的权限做我想做的事，但服务主体不能。
我也会按照你的建议尝试。