如何查找已获特定Azure应用注册API权限的所有应用注册

一、Azure 门户操作步骤 #

• 登录Azure门户，搜索进入应用注册页面
• 找到目标应用（应用ID：00000000-0000-0000-0000-000000000001），进入详情页
• 切换到API权限选项卡，点击页面顶部的已授予的权限按钮
• 在弹出的面板中，筛选类型为“应用”，即可查看所有已获得该应用API权限的应用注册

二、Microsoft Graph API 方式 #

1. 直接筛选所有应用注册 #

发送GET请求，筛选出requiredResourceAccess中包含目标应用ID的应用：

GET https://graph.microsoft.com/v1.0/applications?$filter=requiredResourceAccess/any(r: r/resourceAppId eq '00000000-0000-0000-0000-000000000001')&$select=id,displayName,appId

所需权限：Application.Read.All 或 Directory.Read.All（应用权限/委托权限均可）

2. 查询应用角色授权记录（应用级权限） #

先获取目标应用的服务主体ID，再查询其应用角色分配：

# 获取目标应用的服务主体ID
GET https://graph.microsoft.com/v1.0/servicePrincipals?$filter=appId eq '00000000-0000-0000-0000-000000000001'&$select=id

# 查询应用角色分配，替换{targetServicePrincipalId}为上面获取的ID
GET https://graph.microsoft.com/v1.0/servicePrincipals/{targetServicePrincipalId}/appRoleAssignments?$select=principalId,appRoleId

通过返回的principalId，可查询对应应用注册的详情：

GET https://graph.microsoft.com/v1.0/applications?$filter=id eq '{principalId}'&$select=displayName,appId

3. 查询OAuth2权限授予（用户范围权限） #

GET https://graph.microsoft.com/v1.0/oauth2PermissionGrants?$filter=resourceId eq '{targetServicePrincipalId}'&$select=clientId,scope

返回的clientId是获权应用的ID，同样可通过应用ID查询应用详情。

三、PowerShell 操作（使用Microsoft Graph模块） #

首先安装并连接模块：

Install-Module Microsoft.Graph -Force
Connect-MgGraph -Scopes "Application.Read.All","Directory.Read.All"

1. 直接筛选应用注册 #

$targetAppId = "00000000-0000-0000-0000-000000000001"
Get-MgApplication -Filter "requiredResourceAccess/any(r: r/resourceAppId eq '$targetAppId')" -Property Id,DisplayName,AppId | Select-Object DisplayName, AppId, Id

2. 查询应用角色授权 #

$targetAppId = "00000000-0000-0000-0000-000000000001"
$targetServicePrincipalId = (Get-MgServicePrincipal -Filter "appId eq '$targetAppId'").Id

Get-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $targetServicePrincipalId | ForEach-Object {
    $app = Get-MgApplication -ApplicationId $_.PrincipalId -Property DisplayName,AppId
    [PSCustomObject]@{
        应用名称 = $app.DisplayName
        应用ID = $app.AppId
        分配的角色ID = $_.AppRoleId
    }
}

3. 查询OAuth2权限授予 #

Get-MgOauth2PermissionGrant -Filter "ResourceId eq '$targetServicePrincipalId'" | ForEach-Object {
    $app = Get-MgApplication -Filter "appId eq '$($_.ClientId)'" -Property DisplayName,AppId
    [PSCustomObject]@{
        应用名称 = $app.DisplayName
        应用ID = $app.AppId
        授予的权限范围 = $_.Scope
    }
}

内容的提问来源于stack exchange，提问作者M.Ob