如何将AAD组分配给企业应用程序？

Question

我想知道如何将一个或多个组分配给应用程序？

我已经尝试过，但是我遇到了一个错误： Get-azureadGroup：执行GetGroup时发生错误

connect-azuread

$GroupName = "TEST"
$app_name = "Intranet"
$app_role_name = "Default Access"

# Get the group to assign
$AADGROUP = Get-AzureADGroup -ObjectId $GroupName
$sp = Get-AzureADServicePrincipal -Filter "displayName eq '$app_name'"
$appRole = $sp.AppRoles | Where-Object { $_.DisplayName -eq $app_role_name }

# Assign the group to the app role
New-AzureADGroupAppRoleAssignment -ObjectId $AADGROUP.ObjectId -PrincipalId $AADGROUP.ObjectId -ResourceId $sp.ObjectId -Id $appRole.Id

Answer 1

您的错误清楚地表明了失败的零件。
在上一个语句中没有提供objectid，因为您的$ aadgroup.ObjectID is $ null

查看您的代码摘录：

$GroupName = 'test'
$AADGROUP = Get-AzureADGroup -ObjectId $GroupName
#...
# Assign the group to the app role
New-AzureADGroupAppRoleAssignment -ObjectId $AADGROUP.ObjectId -PrincipalId $AADGROUP.ObjectId -ResourceId $sp.ObjectId -Id $appRole.Id

$ groupName如果您将其与get -azureadGroup -objectID $ groupName语句使用。它行不通。 -ObjectID期望组的对象ID GUID，而不是其名称（您可能已经正确地执行了它，我的假设来自您的变量名称）。

这将解释您没有返回的任何组以及发生错误的原因。
如果要使用组名称，则需要使用get-azureadgroup使用-SearchString而不是-ObjectID。