Нужно ли назначать роли EntraID (AzureAD) И разрешения API Graph управляемому удостоверению учетной записи автоматизации?

Первоначально я создал одну учетную запись автоматизации и предоставил субъекту службы управляемой идентификации те же разрешения, что и ниже:

Теперь я назначил роль «Администратор аутентификации» вышеуказанному субъекту-службе следующим образом:

Когда я запустил сценарий PowerShell для сброса пароля пользователя из учетной записи автоматизации, я получил ошибку, как показано ниже:

# Connect to Microsoft Graph
Connect-MgGraph -Identity

Import-Module Microsoft.Graph.Users.Actions

$params = @{
    newPassword = "xxxxxxxx"
}

$userId = "userId"
$authenticationMethodId = "methodId"

Reset-MgUserAuthenticationMethodPassword -UserId $userId -AuthenticationMethodId $authenticationMethodId -BodyParameter $params

Ответ:

Ошибка произошла, поскольку эта операция сброса паролей API Graph не поддерживается разрешениями типа «Приложение». Вы можете проверить это MS Doc.

В таких случаях вызывающему субъекту-службе должна быть назначена роль администратора с более высокими привилегиями, например привилегированный администратор проверки подлинности или глобальный администратор.

Если ошибка по-прежнему существует, воспользуйтесь вызовом API обновления пользователя, чтобы сбросить пароль пользователя, обновив свойство passwordProfile следующим образом:

# Connect to Microsoft Graph
Connect-MgGraph -Identity

Import-Module Microsoft.Graph.Users

$params = @{
    passwordProfile = @{
        forceChangePasswordNextSignIn = $false
        password = "xxxxxxx"
    }
}

$userId = "userId"

Update-MgUser -UserId $userId -BodyParameter $params

Чтобы удалить участника из группы, используйте приведенную ниже команду PowerShell, выбрав участника с идентификатором объекта каталога:

Import-Module Microsoft.Graph.Groups

Remove-MgGroupMemberDirectoryObjectByRef -GroupId $groupId -DirectoryObjectId $directoryObjectId

Чтобы узнать, какие разрешения необходимы для этой конкретной операции, вы можете проверить документацию по API MS Graph, поскольку команды MS Graph PowerShell SDK вызывают API в серверной части.

Использованная литература:

Встроенные роли Microsoft Entra — Microsoft Entra ID

Удалить участника — Microsoft Graph v1.0