Azure AD：为服务主体授予 appRoleAssignment 失败并出现“代码”：“Request_ResourceNotFound”

Question

我正在尝试为应用程序创建“服务主体”，并使用 Microsoft graph API 授予管理员权限。

我按照以下步骤操作：

1. 使用图形 API 在租户中创建应用程序。我的请求正文是：

   {
     "displayName": "AppWithPermissions",
     "requiredResourceAccess": [
       {
         "resourceAppId": "00000002-0000-0ff1-ce00-000000000000",
         "resourceAccess": [
           {
             "id": "dc890d15-9560-4a4c-9b7f-a736ec74ec40",
             "type": "Role"
           }
         ]
       }
     ]
   }
   

2. 为上面创建的应用程序创建了一个服务主体。创建成功。

3. 现在，我想使用图形 API 以编程方式授予管理员同意每个分配的权限。

4. 为了授予应用程序权限，我在 API 服务主体的 appRoleAssignedTo 集合中创建了一个应用角色分配： 请求如下：

   发布请求：

   https://graph.microsoft.com/v1.0/servicePrincipals/{id}/appRoleAssignedTo
   

   请求正文：

   {
       "principalId": "principal_id",
       "resourceId": "resource_id",
       "appRoleId": "approle_id"
   }
   

这里，

1. “principal_id”是上述步骤 2 中创建的服务主体的“id”。
2. "approle_id" 是您要授予的 appRole 的 id。 （从“requiredResourceAccess”中的“resourceAccess”数组中获取“id”值）
3. http请求url中的“id”和“resource_id”是一样的。 （从“requiredResourceAccess”中获取“resourceAppId”值，对应于上面给出的“approle_id”）

运行查询后，我收到错误 404。 “代码”：“Request_ResourceNotFound” 对于“resource_id”/“id”字段。

• 添加屏幕截图以便更好地理解：

1. 应用创建：

1. 服务主体创建：

1. 为服务主体授予 appRoleAssignment：

我对在哪里使用哪些 ID 感到困惑，并且没有从文档中得到明确的想法。任何人都可以解决我的问题吗？提前致谢。

Answer 1

您似乎使用的是 appId 而不是 id 值。

在应用角色分配中，resourceId 是资源应用（在您的情况下为 API）的 servicePrincipal 的 id。在 application 对象的 requiredResourceAccess 中，您使用 appId，这是一个不同的值。

要查找您知道 appId 的服务主体的 id：

GET https://graph.microsoft.com/v1.0/servicePrincipals?$filter=appId eq '{app-id}'

响应将包含 servicePrincipal 对象的 id 属性，您可以在创建应用角色分配时使用它。

Answer 2

document的描述不是很清楚。

简单来说：

principalId：通常是您的服务主体 ID。

resourceId：通常是您的服务主体 ID。

appRoleId: 对于 appRoleId，您可以通过请求 GET https://graph.microsoft.com/v1.0/servicePrincipals/{id}. 找到它

为服务主体授予 appRoleAssignment：