创建自定义角色以管理 Microsoft Entra ID 中的企业应用

在 Microsoft Entra 管理中心，可以创建并管理自定义角色以控制企业应用的访问和权限。

1. 至少以特权角色管理员身份登录到 Microsoft Entra 管理中心。

2. 浏览到“标识”>“角色和管理员”>“角色和管理员”。

3. 选择“新建自定义角色”。

   

4. 在“基本信息”选项卡上，提供“管理用户和组分配”作为角色的名称，提供“授予权限以管理用户和组分配”作为角色说明，然后选择“下一步”。

   

5. 在“权限”选项卡的搜索框中输入“microsoft.directory/servicePrincipals/appRoleAssignedTo/update”，选中所需权限旁边的复选框，然后选择“下一步”。

   

6. 在“查看 + 创建”选项卡上查看权限，然后选择“创建” 。

   

1. 至少以特权角色管理员身份登录到 Microsoft Entra 管理中心。

2. 浏览到“标识”>“角色和管理员”>“角色和管理员”。

3. 选择“管理用户和组分配”角色。

   

4. 选择“添加分配”，选择所需的用户，然后单击“选择”以向用户添加角色分配 。

   

• 若要向被分派人授予权限以管理组织范围内所有企业应用的用户和组访问权限，请从组织的 Microsoft Entra ID“概述”页上组织范围内的“角色和管理员”列表开始操作。

• 若要向被分派人授予权限以管理特定企业应用的用户和组访问权限，请在 Microsoft Entra ID 中转到该应用，并打开该应用的“角色和管理员”列表。 选择新的自定义角色并完成用户或组分配。 被分派人只能管理特定应用的用户和组访问权限。

• 若要测试自定义角色分配，请以被分派人身份登录，并打开应用程序的“用户和组”页，验证是否启用了“添加用户”选项 。

  

有关详细信息，请参阅 在 Microsoft Entra ID 中创建自定义角色 和 分配 Microsoft Entra 角色。

使用以下 PowerShell 脚本创建新角色：

# Basic role information
$description = "Can manage user and group assignments for Applications"
$displayName = "Manage user and group assignments"
$templateId = (New-Guid).Guid

# Set of permissions to grant
$allowedResourceAction = @("microsoft.directory/servicePrincipals/appRoleAssignedTo/update")
$rolePermission = @{'allowedResourceActions'= $allowedResourceAction}
$rolePermissions = $rolePermission

# Create new custom admin role
$customRole = New-MgRoleManagementDirectoryRoleDefinition -Description $description `
   -DisplayName $displayName -RolePermissions $rolePermissions -TemplateId $templateId -IsEnabled

使用此 PowerShell 脚本分配角色。

# Get the user and role definition you want to link
$user =  Get-MgUser -Filter "userPrincipalName eq 'chandra@example.com'"
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "displayName eq 'Manage user and group assignments'"

# Get app registration and construct scope for assignment.
$appRegistration = Get-MgApplication -Filter "displayName eq 'My Filter Photos'"
$directoryScope = '/' + $appRegistration.Id

# Create a scoped role assignment
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId $directoryScope `
   -PrincipalId $user.Id -RoleDefinitionId $roleDefinition.Id

• 了解适用于企业应用的可用自定义角色权限