シングルテナントアプリケーションのAzure ADまたはGraphへのゲストアカウントクエリ

Question

以下のシナリオをサポートするための情報を探しています。

Azure ADのゲストとして他のAzure ADのユーザーを招待し、特定の目的のためにグループに入れ、Azure ADのゲストユーザーmemberofグループを取得できるようにする必要があります。グラフを使用しようとすると、ゲストアカウントの継ぎ目としてグラフに接続することができず、常に自分のグラフに尋ねることができます。長い時間Webを検索し、見た目にはシナリオをサポートできるように見えるが、それまでのところ運がないようなサンプルアプリケーションをたくさん試しました。

1つのテナントアプリを登録する理由の1つは、アプリケーションのライセンス部分を管理し、顧客のITにプロセスの参加を要求するのではなく、アプリケーションへのアクセスを管理するためですマルチテナントソリューションの一部をセットアップし、維持します。

私は今、すべての方向を失っており、どのように進むべきかについてのある方向のプッシュが必要です。

Answer 1

Shawn Tabriziが述べたように、Microsoft Graphはゲストユーザーのメンバーを他のテナントから取得する機能をサポートしています。ここにあなたの参照のための例です。この残りの部分について

GET: https://graph.microsoft.com/v1.0/groups/{groupId}/members 
authorization: bearer {access_token} 

結果

より詳細には、以下のリンクを参照することができます。このRESTについてまだ問題がある場合は、お気軽にお知らせください。

List members

Answer 2

さんはそれを見てみましょう！

私はテナントを持っている：shawntest.onmicrosoft.com

私はAzureのポータルを使用して、このテナントの新しいゲストユーザー作成：私は「+新しいゲストユーザ」ボタンをクリックすると、ゲストのGmailを作成し

を上記のアカウントを参照してください。私は、さらにまた、ポータルでは、いくつかのグループにこのユーザーを追加しました：

それでは、このユーザーに署名しましょう

はまず、それはあなたがしたいテナントを指定するには、このような状況で重要です。複数のテナントに関連付けられている可能性があり、最終決定を下すためにAADに任せることができるので、これらの種類のアカウントにはcommonエンドポイントを使用しないでください。代わりに、特定のテナントIDを持つ特定の認証コンテキストを指定します。

https://login.microsoftonline.com/shawntest.onmicrosoft.com

今すぐお好みのユーザーのログインフローを使用してトークンを取得します。私はjust 13 lines of PowerShellで簡単にシミュレートできるNative Clientフローを使用しています。

GET https://graph.windows.net/me?api-version=1.6

{ 
    "odata.metadata": "https://graph.windows.net/myorganization/$metadata#directoryObjects/Microsoft.DirectoryServices.User/@Element", 
    "odata.type": "Microsoft.DirectoryServices.User", 
    "objectType": "User", 
    ... 
    "displayName": "Shawn Tabrizi", 
    ... 
    "userPrincipalName": "xxxxxx_gmail.com#EXT#@shawntest.onmicrosoft.com", 
    "userType": "Guest" 
} 

は、私にはよさそうだ：私は私のトークンを持っていたら

は、私は外部のユーザーと働いていた証拠を示すために、/meエンドポイントを呼び出します。次に、memberOfクエリを使用して、ユーザーが所属するグループを取得しましょう。このクエリはすぐに実行できますが、最後のクエリのデータに依存しないことに注意してください。

GET https://graph.windows.net/me/memberOf?api-version=1.6

{ 
    "odata.metadata": "https://graph.windows.net/myorganization/$metadata#directoryObjects", 
    "value": [{ 
     "odata.type": "Microsoft.DirectoryServices.Group", 
     "objectType": "Group", 
     ... 
     "displayName": "TestGroup", 
     ... 
     "securityEnabled": true 
    }, { 
     "odata.type": "Microsoft.DirectoryServices.Group", 
     "objectType": "Group", 
     ... 
     "displayName": "MyTestGroup", 
     ... 
     "securityEnabled": true 
    }] 
} 

そしてそれは、すべての人々です！