是否可以为Azure AD中的用户或组分配多个角色？

Question

当我appRoles向Azure AD中的应用程序清单添加一个部分时,我可以将用户和组分配给管理门户中的角色.

  "appRoles": [
    {
      "allowedMemberTypes": [
        "User"
      ],
      "description": "Can read data.",
      "displayName": "Data Reader",
      "id": "67fba7fa-e54e-4258-b95d-32b082eb771d",
      "isEnabled": true,
      "value": "reader"
    },
    {
      "allowedMemberTypes": [
        "User"
      ],
      "description": "Can create and edit data.",
      "displayName": "Data Writer",
      "id": "e36736c5-e923-435e-8e44-6cae90792931",
      "isEnabled": true,
      "value": "writer"
    }
  ],

但是,UI仅允许我将单个角色分配给用户或组.

我找不到如何为用户或组分配多个角色.我可以将用户添加到多个组并将角色分配给该组的成员,这将导致该用户的令牌中出现多个角色声明,但这看起来很尴尬.

我错过了什么吗？有没有办法为用户或组分配多个角色？

Answer 1

事实证明，这是 Azure管理门户的限制。在此博客评论中，AAD PM 解释了可以通过 GraphAPI 向用户或组分配多个角色。

有关详细信息，请参阅此 MSDN博客文章中的“分配应用程序角色”部分。

Answer 2

您可以在同一应用中将多个角色分配给同一用户，但这非常有限。基本上，再次添加同一用户，然后选择其他角色：

该机制非常麻烦并且无法扩展。如果您具有AAD Premium Lvl 2，则可以将应用程序角色与组关联，并且在将用户分配给该组时，他们将自动获得角色。不过，自动分配仅适用于Premium Lvl 2。