다음을 통해 공유

Microsoft Entra ID 中自定义角色的企业应用程序权限

本文包含Microsoft Entra ID 中自定义角色定义的当前可用的企业应用程序权限。 在本文中，你将找到某些常见方案的权限列表，以及企业应用权限的完整列表。

许可要求

使用此功能需要 Microsoft Entra ID P1 许可证。 要查找符合您需求的合适许可证，请参阅比较 Microsoft Entra ID 的普遍可用功能。

企业应用程序权限

有关如何使用这些权限的详细信息，请参阅 分配自定义角色来管理企业应用

将用户或组分配到应用程序

委托可以访问基于 SAML 的单一登录应用程序的用户和组的分配。 所需的权限

  • microsoft.directory/servicePrincipals/appRoleAssignedTo/update

委托创建 Microsoft Entra 库应用程序，例如 ServiceNow、F5、Salesforce 等。 所需的权限：

  • microsoft.directory/applicationTemplates/instantiate

配置基本 SAML URL

委托对基于 SAML 的单一登录应用程序的基本 SAML 配置的更新和读取。 所需的权限：

  • microsoft.directory/servicePrincipals/authentication/update
  • microsoft.directory/applications.myOrganization/authentication/update

滚动或创建签名证书

委托对基于 SAML 的单一登录应用程序的签名证书的管理。 所需的权限。

microsoft.directory/servicePrincipals/credentials/update

更新即将过期的登录证书通知电子邮件地址

委托更新基于 SAML 的单一登录应用程序即将到期的登录证书通知电子邮件地址。 所需的权限：

  • microsoft.directory/applications.myOrganization/authentication/update
  • microsoft.directory/applications.myOrganization/permissions/update
  • microsoft.directory/servicePrincipals/authentication/update
  • microsoft.directory/servicePrincipals/basic/update

管理 SAML 令牌签名和登录算法

委托更新基于 SAML 的单一登录应用程序的 SAML 令牌签名和登录算法。 所需的权限：

  • microsoft.directory/applicationPolicies/basic/update
  • microsoft.directory/applications/authentication/update
  • microsoft.directory/servicePrincipals/policies/update

管理用户属性和声明

委托对基于 SAML 的单一登录应用程序的用户特性和声明的创建、删除和更新。 所需的权限：

  • microsoft.directory/applicationPolicies/basic/update
  • microsoft.directory/applications/authentication/update
  • microsoft.directory/servicePrincipals/policies/update

应用配置权限

执行任何写入操作（例如通过 UI 管理作业、架构或凭据）还需要读取权限才能查看预配页。

若要将范围设置为所有用户和组或已分配的用户和组，目前需要 synchronizationJob 和 synchronizationCredentials 权限。

启用或重启预配作业

委派打开、关闭和重启资源预配作业的功能。 所需的权限：

  • microsoft.directory/servicePrincipals/synchronizationJobs/manage

配置预配架构

委托对属性映射的更新。 所需的权限：

  • microsoft.directory/servicePrincipals/synchronizationSchema/manage

读取与应用程序对象关联的预配设置

委托读取与对象关联的预配设置的能力。 所需的权限：

  • microsoft.directory/applications/synchronization/standard/read

读取与服务主体关联的预配设置

委托读取与服务主体关联的预配设置的能力。 所需的权限：

  • microsoft.directory/servicePrincipals/synchronization/standard/read

授权应用程序访问权限以便进行预配

委派授权应用程序访问以进行预配的能力。 输入 Oauth 持有者令牌示例。 所需的权限：

  • microsoft.directory/servicePrincipals/synchronizationCredentials/manage

应用程序代理权限

对应用程序的应用程序代理属性执行任何写入操作还需要有权更新应用程序的基本属性和身份验证。

若要读取和执行应用程序的应用程序代理属性的任何写入操作，还需要读取权限才能查看连接器组，因为这是页面上显示的属性列表的一部分。

委托应用程序代理连接器管理

针对连接器管理委托创建、读取、更新和删除操作。 所需的权限：

  • microsoft.directory/connectorGroups/allProperties/read
  • microsoft.directory/connectorGroups/allProperties/update
  • microsoft.directory/connectorGroups/create
  • microsoft.directory/connectorGroups/delete
  • microsoft.directory/connectors/allProperties/read
  • microsoft.directory/connectors/create

委托应用程序代理设置管理

针对应用中的应用程序代理属性委托创建、读取、更新和删除操作。 所需的权限：

  • microsoft.directory/applications/applicationProxy/read
  • microsoft.directory/applications/applicationProxy/update
  • 微软.目录/应用程序/应用程序代理身份验证/更新
  • microsoft.directory/applications/applicationProxySslCertificate/update
  • microsoft.directory/applications/applicationProxyUrlSettings/update
  • microsoft.directory/applications/basic/update
  • microsoft.directory/applications/authentication/update
  • microsoft.directory/connectorGroups/allProperties/read

读取某应用程序的应用程序代理设置

针对应用中的应用程序代理属性委托读取权限。 所需的权限：

  • microsoft.directory/applications/applicationProxy/read
  • microsoft.directory/connectorGroups/allProperties/read

更新应用的 URL 应用程序代理设置

委托创建、读取、更新和删除 (CRUD) 权限，以便更新应用程序代理外部 URL、内部 URL 和 SSL 证书属性。 所需的权限：

  • microsoft.directory/applications/applicationProxy/read
  • microsoft.directory/connectorGroups/allProperties/read
  • microsoft.directory/applications/basic/update
  • microsoft.directory/applications/authentication/update
  • 微软.目录/应用程序/应用程序代理身份验证/更新
  • microsoft.directory/applications/applicationProxySslCertificate/update
  • microsoft.directory/applications/applicationProxyUrlSettings/update

权限的完整列表

许可 DESCRIPTION
microsoft.directory/applicationPolicies/allProperties/read 读取应用程序策略上的所有属性（包括特权属性）
microsoft.directory/applicationPolicies/allProperties/update 更新应用程序策略上的所有属性（包括特权属性）
微软.目录/应用程序政策/基本/更新 更新应用程序策略的标准属性
microsoft.directory/applicationPolicies/create 创建应用程序策略
microsoft.directory/applicationPolicies/createAsOwner 创建应用策略，并将创建者添加为第一个所有者
Microsoft 目录/应用程序策略/删除 删除应用程序策略
microsoft.directory/applicationPolicies/owners/read 读取应用程序策略的所有者
microsoft.directory/applicationPolicies/owners/update 更新应用程序策略的所有者属性
microsoft.directory/applicationPolicies/policyAppliedTo/read 读取应用于对象列表的应用程序策略
microsoft.directory/applicationPolicies/standard/read 读取应用程序策略的标准属性
microsoft.directory/servicePrincipals/allProperties/allTasks 创建和删除服务主体，并读取和更新所有属性
microsoft.directory/servicePrincipals/allProperties/read 读取 servicePrincipals 上的所有属性（包括特权属性）
microsoft.directory/servicePrincipals/allProperties/update 更新 servicePrincipals 的所有属性（包括特权属性）
microsoft.directory/servicePrincipals/appRoleAssignedTo/read 读取服务主体角色分配
microsoft.directory/servicePrincipals/appRoleAssignedTo/update 更新服务主体角色分配
microsoft.directory/servicePrincipals/appRoleAssignments/read 读取分配给服务主体的角色分配
microsoft.directory/servicePrincipals/audience/update 更新服务主体的受众属性
microsoft.directory/servicePrincipals/authentication/update 更新服务主体上的身份验证属性
microsoft.directory/servicePrincipals/basic/update 更新服务主体的基本属性
microsoft.directory/servicePrincipals/create 创建服务主体
microsoft.directory/servicePrincipals/createAsOwner 创建服务主体，创建者作为第一个所有者
microsoft.directory/servicePrincipals/credentials/update 更新服务主体的凭据
微软.目录/服务主体/删除 删除服务主体
microsoft.directory/servicePrincipals/disable 禁用服务主体
microsoft.directory/servicePrincipals/enable 启用服务主体
microsoft.directory/servicePrincipals/getPasswordSingleSignOnCredentials 读取服务主体的密码单一登录凭据
microsoft.directory/servicePrincipals/managePasswordSingleSignOnCredentials 管理服务主体的密码单一登录凭据
microsoft.directory/servicePrincipals/oAuth2PermissionGrants/read 读取服务主体的委托的权限授予
microsoft.directory/servicePrincipals/owners/read 读取服务主体的所有者
microsoft.directory/servicePrincipals/owners/update 更新服务主体的所有者
microsoft.directory/servicePrincipals/permissions/update 更新服务主体的权限
microsoft.directory/servicePrincipals/policies/read 读取服务主体的策略
microsoft.directory/servicePrincipals/policies/update 更新服务主体的策略
microsoft.directory/servicePrincipals/standard/read 读取服务主体的基本属性
microsoft.directory/servicePrincipals/synchronization/standard/read 读取与服务主体关联的预配设置
microsoft.directory/servicePrincipals/tag/update 更新服务主体的标记属性
microsoft.directory/applicationTemplates/instantiate 从应用程序模板实例化画廊应用程序
microsoft.directory/auditLogs/allProperties/read 读取审核日志上的所有属性，包括特权属性
microsoft.directory/signInReports/allProperties/read 读取登录报表的所有属性，包括特权属性
microsoft.directory/applications/applicationProxy/read 读取所有应用程序代理属性
微软目录/应用程序/应用程序代理/更新 更新所有应用程序代理属性
微软.目录/应用程序/应用程序代理身份验证/更新 更新所有类型的应用程序的身份验证
microsoft.directory/applications/applicationProxyUrlSettings/update 更新应用程序代理的 URL 设置
microsoft.directory/applications/applicationProxySslCertificate/update 更新应用程序代理的 SSL 证书设置
microsoft.directory/applications/synchronization/standard/read 读取与应用程序对象关联的预配设置
microsoft.directory/connectorGroups/create 创建专用网络连接器组
microsoft.directory/connectorGroups/delete 删除专用网络连接器组
microsoft.directory/connectorGroups/allProperties/read 读取专用网络连接器组的所有属性
microsoft.directory/connectorGroups/allProperties/update 更新专用网络连接器组的所有属性
microsoft.directory/connectors/create 创建专用网络连接器
microsoft.directory/connectors/allProperties/read 读取专用网络连接器的所有属性
microsoft.directory/servicePrincipals/synchronizationJobs/manage 启动、重启和暂停应用程序预配同步作业
microsoft.directory/servicePrincipals/synchronization/standard/read 读取与服务主体关联的预配设置
microsoft.directory/servicePrincipals/synchronizationSchema/manage 创建和管理应用程序预配同步作业和架构

后续步骤