Erstellen von benutzerdefinierten Rollen zum Verwalten von Unternehmens-Apps in Microsoft Entra ID

Erstellen einer neuen benutzerdefinierten Rolle

Im Microsoft Entra Admin Center können Sie benutzerdefinierte Rollen erstellen und verwalten, um den Zugriff und die Berechtigungen für Unternehmens-Apps zu steuern.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Administrator für privilegierte Rollen an.

2. Navigieren Sie zu Entra IDRollen & Administratoren.

3. Wählen Sie "Neue benutzerdefinierte Rolle" aus.

   

4. Geben Sie auf der Registerkarte " Grundlagen " für den Namen der Rolle "Benutzer- und Gruppenzuweisungen verwalten" und "Berechtigungen zum Verwalten von Benutzer- und Gruppenzuweisungen erteilen" für die Rollenbeschreibung ein, und wählen Sie dann "Weiter" aus.

   

5. Geben Sie auf der Registerkarte "Berechtigungen " im Suchfeld "microsoft.directory/servicePrincipals/appRoleAssignedTo/update" ein, aktivieren Sie die Kontrollkästchen neben den gewünschten Berechtigungen, und wählen Sie dann "Weiter" aus.

   

6. Überprüfen Sie auf der Registerkarte " Überprüfen+ Erstellen " die Berechtigungen, und wählen Sie "Erstellen" aus.

   

Zuweisen der Rolle zu einem Benutzer oder einer Benutzerin über das Microsoft Entra Admin Center

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Administrator für privilegierte Rollen an.

2. Navigieren Sie zu Entra IDRollen & Administratoren.

3. Wählen Sie die Rolle "Benutzer- und Gruppenzuweisungen verwalten " aus.

   

4. Wählen Sie "Aufgabe hinzufügen", wählen Sie den gewünschten Benutzer aus, und klicken Sie dann auf "Auswählen ", um dem Benutzer Rollenzuweisung hinzuzufügen.

   

Zuweisungstipps

• Wenn Sie zugewiesenen Personen Berechtigungen zum Verwalten des Benutzer- und Gruppenzugriffs für alle organisationsweiten Unternehmens-Apps erteilen möchten, beginnen Sie in Microsoft Entra ID mit der organisationsweiten Liste Rollen und Administratoren auf der Seite Übersicht für Ihre Organisation.

• Wenn Sie zugewiesenen Personen Berechtigungen zum Verwalten des Benutzer- und Gruppenzugriffs für eine bestimmte Unternehmens-App erteilen möchten, navigieren Sie in Microsoft Entra ID zu dieser App, und öffnen Sie die Liste Rollen und Administratoren für diese App. Wählen Sie die neue benutzerdefinierte Rolle aus, und schließen Sie die Benutzer- oder Gruppenzuweisung ab. Die zugewiesenen Personen können den Benutzer- und Gruppenzugriff nur für diese bestimmte App verwalten.

• Um Ihre benutzerdefinierte Rollenzuweisung zu testen, melden Sie sich als Zugewiesener an, und öffnen Sie die Seite "Benutzer und Gruppen " einer Anwendung, um zu überprüfen, ob die Option " Benutzer hinzufügen " aktiviert ist.

  

Weitere Details finden Sie unter Erstellen einer benutzerdefinierten Rolle in Microsoft Entra ID und Zuweisen von Microsoft Entra-Rollen.

Erstellen einer benutzerdefinierten Rolle

Verwenden Sie zum Erstellen einer neuen Rolle das folgende PowerShell-Skript:

# Basic role information
$description = "Can manage user and group assignments for Applications"
$displayName = "Manage user and group assignments"
$templateId = (New-Guid).Guid

# Set of permissions to grant
$allowedResourceAction = @("microsoft.directory/servicePrincipals/appRoleAssignedTo/update")
$rolePermission = @{'allowedResourceActions'= $allowedResourceAction}
$rolePermissions = $rolePermission

# Create new custom admin role
$customRole = New-MgRoleManagementDirectoryRoleDefinition -Description $description `
   -DisplayName $displayName -RolePermissions $rolePermissions -TemplateId $templateId -IsEnabled

Zuweisen der benutzerdefinierten Rolle

Weisen Sie die Rolle mithilfe des folgenden PowerShell-Skripts zu.

# Get the user and role definition you want to link
$user =  Get-MgUser -Filter "userPrincipalName eq 'chandra@example.com'"
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "displayName eq 'Manage user and group assignments'"

# Get app registration and construct scope for assignment.
$appRegistration = Get-MgApplication -Filter "displayName eq 'My Filter Photos'"
$directoryScope = '/' + $appRegistration.Id

# Create a scoped role assignment
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId $directoryScope `
   -PrincipalId $user.Id -RoleDefinitionId $roleDefinition.Id

Verwenden Sie die Create unifiedRoleDefinition-API , um eine benutzerdefinierte Rolle zu erstellen. Weitere Informationen finden Sie unter Erstellen einer benutzerdefinierten Rolle in Microsoft Entra ID und Zuweisen von Microsoft Entra-Rollen.

POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleDefinitions

{
    "description": "Can manage user and group assignments for Applications.",
    "displayName": "Manage user and group assignments",
    "isEnabled": true,
    "rolePermissions":
    [
        {
            "allowedResourceActions":
            [
                "microsoft.directory/servicePrincipals/appRoleAssignedTo/update"
            ]
        }
    ],
    "templateId": "<PROVIDE NEW GUID HERE>",
    "version": "1"
}

Zuweisen der benutzerdefinierten Rolle mithilfe der Microsoft Graph-API

Verwenden Sie die Create unifiedRoleAssignment-API , um die benutzerdefinierte Rolle zuzuweisen. Die Rollenzuweisung kombiniert eine Sicherheitsprinzipal-ID (Benutzende oder Dienstprinzipale), eine Rollendefinitions-ID und einen Microsoft Entra-Ressourcenbereich. Weitere Informationen zu den Elementen einer Rollenzuweisung finden Sie in der Übersicht über benutzerdefinierte Rollen

POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments

{
    "@odata.type": "#microsoft.graph.unifiedRoleAssignment",
    "principalId": "<PROVIDE OBJECTID OF USER TO ASSIGN HERE>",
    "roleDefinitionId": "<PROVIDE OBJECTID OF ROLE DEFINITION HERE>",
    "directoryScopeId": "/"
}