在 Terraform 中设置 Azure AD Microsoft Graph 电子邮件 API/Permission

Question

我正在使用 Terraform 配置一些 Azure 基础设施。设置要求中包括 Azure AD 注册应用程序的一些配置，这需要授予以下 Microsoft Graph 权限（见下图）：

• GroupMember.Read.All
• 电子邮件 (OpenId)

在我的 Terraform 配置中，我的 resource "azuread_application" 块中的 required_resource_access 子块中包含以下代码片段。对于 resource_access id，我使用了此 Microsoft 页面上提供的值 - https://docs.microsoft.com/en-us/graph/permissions-reference.

我的 Terraform 配置目前能够成功添加 GroupMember.Read.All 权限，但不知何故无法添加所需的电子邮件权限，如下面的屏幕截图所示，显示 GUID 引用而不是实际名称“email” ".

我还希望能够在我的 Terraform 配置中做的是能够为两者授予管理员同意 API/Permissions（在最右边的列中描述）。

关于如何实现上述所有目标的任何提示？

Answer 1

对于type权限，Scope对应Delegated权限类型，其中Role是Application类型。

email OpenID 作用域是Delegated 权限类型，因此您需要将type 权限从Role 更改为Scope。

resource_access {
    id = "64a6cdd6-aab1-4aaf-94b8-3cc8405e90d0"
    type = "Scope"
}