Membuat peran kustom di ID Microsoft Entra

Membuat peran kustom

Langkah-langkah ini menjelaskan cara membuat peran kustom di pusat admin Microsoft Entra untuk mengelola pendaftaran aplikasi.

1. Masuk ke pusat admin Microsoft Entra setidaknya sebagai Administrator Peran Istimewa .

2. Telusuri Identitas>Peran & admin>Peran & admin.

3. Pilih Peran kustom baru.

   

4. Pada tab Dasar, berikan nama dan deskripsi untuk peran tersebut.

   Anda dapat mengkloning izin garis besar dari peran kustom tetapi Anda tidak dapat mengkloning peran bawaan.

   

5. Pada tab Izin, pilih izin yang diperlukan untuk mengelola properti dasar dan kredensial dari pendaftaran aplikasi. Untuk deskripsi terperinci tentang setiap izin, lihat subjenis dan izin Pendaftaran aplikasi di ID Microsoft Entra.

   1. Pertama, masukkan "kredensial" di bilah pencarian dan pilih izin microsoft.directory/applications/credentials/update.

      

   2. Selanjutnya, masukkan "dasar" di bilah pencarian, pilih izin microsoft.directory/applications/basic/update, lalu klik Berikutnya.

6. Pada tab Tinjau + buat, tinjau izin dan pilih Buat.

   Peran kustom Anda akan muncul dalam daftar peran yang tersedia untuk ditetapkan.

Tandatangan

Gunakan perintah Connect-MgGraph untuk masuk ke penyewa (tenant) Anda.

Connect-MgGraph -Scopes "RoleManagement.ReadWrite.Directory"

Membuat peran kustom

Buat peran baru menggunakan skrip PowerShell berikut ini:

# Basic role information
$displayName = "Application Support Administrator"
$description = "Can manage basic aspects of application registrations."
$templateId = (New-Guid).Guid
      
# Set of permissions to grant
$rolePermissions = @{
    "allowedResourceActions" = @(
        "microsoft.directory/applications/basic/update",
        "microsoft.directory/applications/credentials/update"
    )
}
      
# Create new custom admin role
$customAdmin = New-MgRoleManagementDirectoryRoleDefinition -RolePermissions $rolePermissions `
    -DisplayName $displayName -Description $description -TemplateId $templateId -IsEnabled:$true

Memperbarui peran kustom

# Update role definition
# This works for any writable property on role definition. You can replace display name with other
# valid properties.
Update-MgRoleManagementDirectoryRoleDefinition -UnifiedRoleDefinitionId c4e39bd9-1100-46d3-8c65-fb160da0071f `
   -DisplayName "Updated DisplayName"

Menghapus peran kustom

# Delete role definition
Remove-MgRoleManagementDirectoryRoleDefinition -UnifiedRoleDefinitionId c4e39bd9-1100-46d3-8c65-fb160da0071f

Membuat peran kustom

Ikuti langkah-langkah berikut:

1. Gunakan API Buat unifiedRoleDefinition untuk membuat peran kustom.

   POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleDefinitions
   

   Badan

   {
       "description": "Can manage basic aspects of application registrations.",
       "displayName": "Application Support Administrator",
       "isEnabled": true,
       "templateId": "<GUID>",
       "rolePermissions": [
           {
               "allowedResourceActions": [
                   "microsoft.directory/applications/basic/update",
                   "microsoft.directory/applications/credentials/update"
               ]
           }
       ]
   }
   

   Nota

   "templateId": "GUID" adalah parameter opsional yang dikirim dalam isi tergantung pada persyaratannya. Jika Anda memiliki persyaratan untuk membuat beberapa peran kustom yang berbeda dengan parameter umum, yang terbaik adalah membuat templat dan menentukan nilai templateId. Anda dapat menghasilkan nilai templateId sebelumnya dengan menggunakan cmdlet PowerShell (New-Guid).Guid.

2. Gunakan API Buat unifiedRoleAssignment untuk menetapkan peran kustom.

   POST https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments
   

   Badan

   {
   "principalId":"<GUID OF USER>",
   "roleDefinitionId":"<GUID OF ROLE DEFINITION>",
   "directoryScopeId":"/<GUID OF APPLICATION REGISTRATION>"
   }