Autorisieren Azure AD-Anwendung Zugriff Mediadaten API

Question

Da eine Änderung in der Azure OAuth 2, habe ich einen Fehler:

The client 'xxx' with object id 'xxx' does not have authorization to perform action 'Microsoft.Commerce/RateCard/read' over scope '/subscriptions/xxx'.

Ich habe die role-based assignment instructions gefolgt, fügte eine Reader Rolle für meine Bewerbung die DefaultResourceGroupResource.

Außerdem habe ich eine Admin Rolle im appRoles Abschnitt meiner Anwendung manifestieren.

und das Hinzufügen alle möglichen App-Berechtigungen:

die Mediadaten API aufrufen, rufe ich einen Token:

curl -X POST -H "Content-Type: application/x-www-form-urlencoded" "https://login.windows.net/xxx.onmicrosoft.com/oauth2/token" -d "grant_type=client_credentials&client_id=xxx&client_secret=xxx" 

Und ich benutze es in meiner Anfrage :

curl -H "Authorization: Bearer <token>" "https://management.azure.com/subscriptions/xxxproviders/Microsoft.Commerce/RateCard?api-version=2015-06-01-preview&$filter=OfferDurableId eq 'MS-AZR-0003P' and Currency eq 'USD' and Locale eq 'en-US' and RegionInfo eq 'US'" 

Aber ich habe immer noch diesen Fehler.

Was muss ich tun, um diese Berechtigung zu meiner Anwendung hinzuzufügen?

Hier einige Screenshot von meinen App-Berechtigungen:

Answer 1

Nach einem kurzen Anruf mit der Azure-Unterstützung sagen sie mir, dass diese Art von Berechtigung nicht über das Portal gehandhabt werden kann, sondern in PowerShell.

So hatte ich einen Windows 10 Virtual Machine zum Download auszuführen:

Login Azure Account:

Login-AzureRmAccount 

Add Erlaubnis: richtig

New-AzureRMRoleAssignment -ServicePrincipalName "<my-app-id>" -RoleDefinitionName "Reader" -Scope "/subscriptions/<my-subscription-id>" 

Um zu überprüfen, ob Berechtigungen zugewiesen werden :

Get-AzurermRoleAssignment -ServicePrincipalName "<my-app-id>" 

Answer 2

I've followed the role-based assignment instructions, added a Reader role for my application to the DefaultResourceGroupResource.

Statt Reader Rolle Berechtigung für eine einzelne Ressource Gruppe geben, versuchen, die gleiche Berechtigung für die Angabe Abonnement-Ebene.

Eine andere Sache, die Sie tun können, ist eine Rolle benutzerdefinierte erstellen in Ihrem Abonnement mit folgenden Berechtigungen:

Microsoft.Commerce/RateCard/read 
Microsoft.Commerce/UsageAggregates/read 

Dann können Sie diese benutzerdefinierte Rolle zu Ihrer Anwendung zuordnen.