Azure AD企业应用无法分配用户/组至自定义角色，应用所有者求解决方案

我完全理解你的困扰——作为应用的创建者和所有者，却不能自主管理角色分配确实很麻烦。下面分两种场景给你具体的解决办法：

一、无需全局管理员，自行分配角色的方法 #

虽然在Azure Portal的企业应用界面里你没有权限操作，但作为应用注册的所有者，你可以通过Microsoft Graph API或者PowerShell来完成角色分配，这两种方式不需要全局管理员介入：

1. 使用PowerShell操作 #

步骤如下：

• 首先安装并导入AzureAD模块（如果还没装的话）：

  Install-Module -Name AzureAD
  Import-Module AzureAD
  

• 连接到Azure AD：

  Connect-AzureAD
  

• 获取你的应用服务主体（对应企业应用的对象）：

  $sp = Get-AzureADServicePrincipal -Filter "displayName eq '你的应用名称'"
  

• 获取要分配角色的用户：

  $user = Get-AzureADUser -Filter "userPrincipalName eq '用户的UPN'"
  

• 获取你要分配的应用角色（比如角色名称是"Editor"）：

  $appRole = $sp.AppRoles | Where-Object { $_.DisplayName -eq "Editor" }
  

• 执行角色分配：

  New-AzureADUserAppRoleAssignment -ObjectId $user.ObjectId -PrincipalId $user.ObjectId -ResourceId $sp.ObjectId -Id $appRole.Id
  

2. 使用Microsoft Graph API操作 #

你可以通过Graph Explorer或者自定义代码发送请求：

• 请求方法：POST
• 请求URL：https://graph.microsoft.com/v1.0/servicePrincipals/{服务主体ID}/appRoleAssignments
• 请求体：

  {
    "principalId": "用户的对象ID",
    "resourceId": "应用服务主体的对象ID",
    "appRoleId": "要分配的角色ID"
  }
  

作为应用所有者，你拥有足够的权限调用这个API（确保登录账户是应用所有者，且已授予AppRoleAssignment.ReadWrite.All的委托权限即可）。

二、如果必须求助全局管理员的替代方案 #

如果不想用API/PowerShell，让全局管理员做以下操作之一，就能让你在Portal里自主分配角色：

• 授予细粒度分配权限：让全局管理员在Azure AD的角色和管理员中，给你分配应用程序分配管理员角色。这个角色允许你管理所有企业应用的用户/组分配，权限范围远小于全局管理员，刚好匹配你的需求。
• 调整应用权限设置：让全局管理员进入你的应用对应的企业应用，在属性里将用户分配要求设为需要，然后在角色和管理员里确认添加你作为该应用的应用所有者（如果还没同步的话）。完成后你就能在Portal里操作角色分配了。
• 创建自定义限定角色：如果全局管理员担心权限过大，可以创建一个自定义Azure AD角色，仅授予microsoft.directory/servicePrincipals/appRoleAssignments/write权限，并将权限范围限定在你的应用内。这样你只能管理自己应用的角色分配，不会影响其他应用。

另外补充下你提到的“应用清单创建角色无UI入口”——目前Azure Portal的应用注册界面确实没有直接添加角色的可视化操作，只能通过编辑应用清单来完成，这是当前产品的设计，后续可能会优化，但暂时只能通过这种方式操作。

内容的提问来源于stack exchange，提问作者Tom