Erstellen von accessPackageResourceRoleScope

Namespace: microsoft.graph

Wichtig

Die APIs unter der /beta Version in Microsoft Graph können sich ändern. Die Verwendung dieser APIs in Produktionsanwendungen wird nicht unterstützt. Um festzustellen, ob eine API in v1.0 verfügbar ist, verwenden Sie die Version Selektor.

Erstellen Sie einen neuen accessPackageResourceRoleScope zum Hinzufügen einer Ressourcenrolle zu einem Zugriffspaket. Die Zugriffspaketressource muss für eine Gruppe, eine App oder eine SharePoint Online-Website bereits im Zugriffspaketkatalog vorhanden sein, und die originId für die Ressourcenrolle muss aus der Liste der Ressourcenrollen abgerufen werden. Nachdem Sie den Ressourcenrollenbereich zum Zugriffspaket hinzugefügt haben, erhält der Benutzer diese Ressourcenrolle über alle aktuellen und zukünftigen Zugriffspaketzuweisungen.

Diese API ist in den folgenden nationalen Cloudbereitstellungen verfügbar.

Weltweiter Service US Government L4 US Government L5 (DOD) China, betrieben von 21Vianet
✅ ✅ ✅ ✅

Berechtigungen

Wählen Sie die Berechtigungen aus, die für diese API als am wenigsten privilegiert markiert sind. Verwenden Sie eine höhere Berechtigung oder Berechtigungen nur, wenn Ihre App dies erfordert. Ausführliche Informationen zu delegierten Berechtigungen und Anwendungsberechtigungen finden Sie unter Berechtigungstypen. Weitere Informationen zu diesen Berechtigungen finden Sie in der Berechtigungsreferenz.

Berechtigungstyp Berechtigungen mit den geringsten Berechtigungen Berechtigungen mit höheren Berechtigungen
Delegiert (Geschäfts-, Schul- oder Unikonto) EntitlementManagement.ReadWrite.All Nicht verfügbar.
Delegiert (persönliches Microsoft-Konto) Nicht unterstützt Nicht unterstützt
Application EntitlementManagement.ReadWrite.All Nicht verfügbar.

Tipp

Für den delegierten Zugriff mit Geschäfts-, Schul- oder Unikonten muss dem angemeldeten Benutzer eine Administratorrolle mit unterstützten Rollenberechtigungen über eine der folgenden Optionen zugewiesen werden:

  • Eine Rolle im Berechtigungsverwaltungssystem , bei der die Rollen mit den geringsten Berechtigungen sind:
    • Greifen Sie auf den Paket-Manager zu. Dies ist die Option mit den geringsten Berechtigungen
    • Katalogbesitzer
  • Weitere privilegierte Microsoft Entra-Rollen, die für diesen Vorgang unterstützt werden:
    • Identity Governance Administrator

In reinen App-Szenarien kann der aufrufenden App anstelle der EntitlementManagement.ReadWrite.All Anwendungsberechtigung eine der oben genannten unterstützten Rollen zugewiesen werden. Die Rolle des Zugriffspaket-Managers ist weniger privilegiert als die EntitlementManagement.ReadWrite.All Anwendungsberechtigung.

Weitere Informationen finden Sie unter Delegierung und Rollen in der Berechtigungsverwaltung und Delegieren der Zugriffsgovernance an Zugriffspaket-Manager in der Berechtigungsverwaltung.

HTTP-Anforderung

POST /identityGovernance/entitlementManagement/accessPackages/{id}/accessPackageResourceRoleScopes

Anforderungsheader

Name Beschreibung
Authorization Bearer {token}. Erforderlich. Erfahren Sie mehr über Authentifizierung und Autorisierung.
Content-Type application/json. Erforderlich.

Anforderungstext

Geben Sie im Anforderungstext eine JSON-Darstellung eines accessPackageResourceRoleScope-Objekts an. Schließen Sie in das Objekt die Beziehungen zu einem accessPackageResourceRole-Objekt ein, das aus einer Anforderung zum Auflisten von Zugriffspaket-Ressourcenrollen einer Ressource in einem Katalog abgerufen werden kann, und einem accessPackageResourceScope-Objekt , das aus einer Anforderung zum Auflisten von Zugriffspaketressourcen mit $expand=accessPackageResourceScopesabgerufen werden kann.

Antwort

Bei erfolgreicher Ausführung gibt diese Methode einen Antwortcode der Serie 200 und ein neues accessPackageResourceRoleScope-Objekt im Antworttext zurück.

Beispiele

Beispiel 1: Hinzufügen der Gruppenmitgliedschaft als Ressourcenrolle zu einem Zugriffspaket

Anforderung

Das folgende Beispiel zeigt eine Anfrage. Vor dieser Anforderung muss die Zugriffspaketressource 1d08498d-72a1-403f-8511-6b1f875746a0 für die Gruppe b31fe1f1-3651-488f-bd9a-1711887fd4ca bereits dem Zugriffspaketkatalog hinzugefügt worden sein, der dieses Zugriffspaket enthält. Die Ressource könnte dem Katalog hinzugefügt worden sein, indem eine Ressourcenanforderung für ein Zugriffspaket erstellt wurde.

POST https://graph.microsoft.com/beta/identityGovernance/entitlementManagement/accessPackages/{id}/accessPackageResourceRoleScopes
Content-type: application/json

{
  "accessPackageResourceRole":{
    "originId":"Member_b31fe1f1-3651-488f-bd9a-1711887fd4ca",
    "displayName":"Member",
    "originSystem":"AadGroup",
    "accessPackageResource":{"id":"1d08498d-72a1-403f-8511-6b1f875746a0","resourceType":"O365 Group","originId":"b31fe1f1-3651-488f-bd9a-1711887fd4ca","originSystem":"AadGroup"}
  },
 "accessPackageResourceScope":{
   "originId":"b31fe1f1-3651-488f-bd9a-1711887fd4ca","originSystem":"AadGroup"
 }
}

Antwort

Das folgende Beispiel zeigt die Antwort.

Hinweis: Das hier gezeigte Antwortobjekt kann zur besseren Lesbarkeit gekürzt werden.

HTTP/1.1 201 Created
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#accessPackageResourceRoleScopes/$entity",
    "id": "ad5c7636-e481-4528-991f-198e3b38dd56_ffd4004a-f4a9-4b22-b027-759e55c0d1db",
    "createdBy": "admin@example.com",
    "createdDateTime": "2019-12-11T01:35:26.4754081Z",
    "modifiedBy": "admin@example.com",
    "modifiedDateTime": "2019-12-11T01:35:26.4754081Z"
}

Beispiel 2: Hinzufügen einer SharePoint Online-Websiterolle zu einem Zugriffspaket

Anforderung

Das folgende Beispiel zeigt eine Anforderung für eine Ressource, die nicht dem Stammbereich zugeordnet ist. Die Zugriffspaketressource für die Site muss bereits dem Zugriffspaketkatalog hinzugefügt worden sein, der dieses Zugriffspaket enthält.

Die Anforderung enthält ein accessPackageResourceRole-Objekt , das aus einer früheren Anforderung abgerufen werden kann, um die Zugriffspaket-Ressourcenrollen einer Ressource in einem Katalog aufzulisten. Jeder Ressourcentyp definiert das Format des Felds "originId" in einer Ressourcenrolle. Für eine SharePoint Online-Website ist die originId die Sequenznummer der Rolle auf der Website.

Wenn das accessPackageResourceScope-Objekt , das aus einer früheren Anforderung zum Auflisten von Zugriffspaketressourcen abgerufen wurde, die Ressource als Stammbereich hat (isRootScope auf truefestgelegt), schließen Sie die isRootScope-Eigenschaft in das accessPackageResourceScope-Objekt der Anforderung ein.

POST https://graph.microsoft.com/beta/identityGovernance/entitlementManagement/accessPackages/{id}/accessPackageResourceRoleScopes
Content-type: application/json

{
    "accessPackageResourceRole": {
        "originId": "4",
        "originSystem": "SharePointOnline",
        "accessPackageResource": {
            "id": "53c71803-a0a8-4777-aecc-075de8ee3991"
        }
    },
    "accessPackageResourceScope": {
        "id": "5ae0ae7c-d0a5-42aa-ab37-1f15e9a61d33",
        "originId": "https://microsoft.sharepoint.com/portals/Community",
        "originSystem": "SharePointOnline"
    }
}

Antwort

Das folgende Beispiel zeigt die Antwort.

Hinweis: Das hier gezeigte Antwortobjekt kann zur besseren Lesbarkeit gekürzt werden.

HTTP/1.1 201 Created
Content-type: application/json

{
   "id": "6646a29e-da03-49f6-bcd9-dec124492de3_5ae0ae7c-d0a5-42aa-ab37-1f15e9a61d33"
}

Beispiel 3: Hinzufügen einer Microsoft Entra-Rolle als Ressource in einem Zugriffspaket

Anforderung

POST https://graph.microsoft.com/beta/identityGovernance/entitlementManagement/accessPackages/{id}/accessPackageResourceRoleScopes
Content-type: application/json

{
    "role": {
        "originId": "Eligible",
        "displayName": "Eligible Member",
        "originSystem": "DirectoryRole",
        "resource": {
            "id": "ea036095-57a6-4c90-a640-013edf151eb1"
        }
    },
    "scope": {
        "description": "Root Scope",
        "displayName": "Root",
        "isRootScope": true,
        "originSystem": "DirectoryRole",
        "originId": "c4e39bd9-1100-46d3-8c65-fb160da0071f"
    }
}

Antwort

Das folgende Beispiel zeigt die Antwort.

Hinweis: Das hier gezeigte Antwortobjekt kann zur besseren Lesbarkeit gekürzt werden.

HTTP/1.1 201 Created
Content-type: application/json

{
   "id": "ea036095-57a6-4c90-a640-013edf151eb1_c4e39bd9-1100-46d3-8c65-fb160da0071f",
   "createdDateTime": "2023-06-28T01:19:48.4216782Z"
}

Beispiel 4: Hinzufügen einer von PIM verwalteten Gruppe als Ressourcenrolle zu einem Zugriffspaket

Anforderung

Das folgende Beispiel zeigt eine Anforderung zum Hinzufügen einer PIM-verwalteten Gruppe als Ressourcenrolle zu einem Zugriffspaket. Die Mitglieder der Gruppe sind berechtigt, der Gruppe beizutreten.

Vor dieser Anforderung müssen Sie die Zugriffspaketressource b86a1828-3171-409e-8343-32a224f324a0 für die von PIM verwaltete Gruppe bcfae74a-91a6-46e9-99bf-89d6487cc3f3 bereits dem Zugriffspaketkatalog hinzugefügt haben, der dieses Zugriffspaket enthält. Die Ressource könnte dem Katalog hinzugefügt worden sein, indem eine Ressourcenanforderung für ein Zugriffspaket erstellt wurde.

POST https://graph.microsoft.com/beta/identityGovernance/entitlementManagement/accessPackages/b86a1828-3171-409e-8343-32a224f324a0/accessPackageResourceRoleScopes
Content-type: application/json

{
  "accessPackageResourceRole":{
    "originId":"EligibleMember_89590e41-f49d-4792-b531-6ed6fe6cfe18",
    "displayName":"Eligible Member",
    "originSystem":"AadGroup",
    "accessPackageResource":{"id":"b86a1828-3171-409e-8343-32a224f324a0","resourceType":"O365 Group","originId":"bcfae74a-91a6-46e9-99bf-89d6487cc3f3","originSystem":"AadGroup"}
  },
 "accessPackageResourceScope":{
   "originId":"bcfae74a-91a6-46e9-99bf-89d6487cc3f3","originSystem":"AadGroup"
 }
}

Antwort

Das folgende Beispiel zeigt die Antwort.

Hinweis: Das hier gezeigte Antwortobjekt kann zur besseren Lesbarkeit gekürzt werden.

HTTP/1.1 201 Created
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#accessPackageResourceRoleScopes/$entity",
    "id": "ad5c7636-e481-4528-991f-198e3b38dd56_ffd4004a-f4a9-4b22-b027-759e55c0d1db",
    "createdBy": "admin@example.com",
    "createdDateTime": "2019-12-11T01:35:26.4754081Z",
    "modifiedBy": "admin@example.com",
    "modifiedDateTime": "2019-12-11T01:35:26.4754081Z"
}

Beispiel 5: Hinzufügen eines aktiven Abonnements, das auf eine Ressourcengruppen-Ressourcenrolle eingegrenzt ist, zu einem Zugriffspaket

Anforderung

Das folgende Beispiel zeigt eine Anforderung zum Hinzufügen eines aktiven Abonnements, das auf eine Ressourcengruppen-Ressourcenrolle eingegrenzt ist, zu einem Zugriffspaket.

Vor dieser Anforderung müssen Sie die Zugriffspaketressource b09a0288-a83e-4ae6-8a53-bc09aeb966ea für das Abonnement 828b526f-c769-4b19-9797-734b4843b978 bereits dem Zugriffspaketkatalog hinzugefügt haben, der dieses Zugriffspaket enthält. Die Ressource könnte dem Katalog hinzugefügt worden sein, indem eine Ressourcenanforderung für ein Zugriffspaket erstellt wurde.

POST https://graph.microsoft.com/beta/identityGovernance/entitlementManagement/accessPackages/5f7f4c7d-b3f5-4988-a17b-3f09b6f5a9ee/accessPackageResourceRoleScopes
Content-type: application/json

{
    "accessPackageResourceRole": {
        "originId": "/subscriptions/828b526f-c769-4b19-9797-734b4843b978/providers/Microsoft.Authorization/roleDefinitions/76cc9ee4-d5d3-4a45-a930-26add3d73475",
        "displayName": "Access Review Operator Service Role",
        "description": "Lets you grant Access Review System app permissions to discover and revoke access as needed by the access review process.",
        "accessPackageResource": {
            "id": "b09a0288-a83e-4ae6-8a53-bc09aeb966ea",
            "description": "Dev",
            "displayName": "Dev",
            "resourceType": "Subscription",
            "originId": "/subscriptions/828b526f-c769-4b19-9797-734b4843b978",
            "originSystem": "AzureResources"
        },
        "originSystem": "AzureResources",
        "type": "active"
    },
    "accessPackageResourceScope": {
        "id": "e1e0ec8c-472d-4ec5-a8f9-29e0bc275640",
        "description": "/resourceGroups/rg",
        "displayName": "/resourceGroups/rg",
        "isRootScope": false,
        "originSystem": "AzureResources",
        "originId": "/subscriptions/828b526f-c769-4b19-9797-734b4843b978/resourceGroups/rg"
    }
}

Antwort

Das folgende Beispiel zeigt die Antwort.

Hinweis: Das hier gezeigte Antwortobjekt kann zur besseren Lesbarkeit gekürzt werden.

HTTP/1.1 201 Created
Content-type: application/json

{
  "id": "34b2d7de-e8d6-4ba8-843e-a03546feac63_e1e0ec8c-472d-4ec5-a8f9-29e0bc275640",
  "createdBy": "admin@example.com",
  "createdDateTime": "2026-02-09T22:31:55.3690356Z",
  "modifiedBy": "admin@example.com",
  "modifiedDateTime": "2026-02-09T22:31:55.3690356Z"
}

Beispiel 6: Hinzufügen einer berechtigten Verwaltungsgruppen-Ressourcenrolle zu einem Zugriffspaket

Anforderung

Das folgende Beispiel zeigt eine Anforderung zum Hinzufügen einer berechtigten Verwaltungsgruppe, die auf eine Ressourcenrolle eingegrenzt ist, zu einem Zugriffspaket.

Vor dieser Anforderung müssen Sie die Zugriffspaketressource c347ca9b-a9cc-4df9-bc3c-00c8e0297692 für die Verwaltungsgruppe test-mgmtgroup bereits dem Zugriffspaketkatalog hinzugefügt haben, der dieses Zugriffspaket enthält. Die Ressource könnte dem Katalog hinzugefügt worden sein, indem eine Ressourcenanforderung für ein Zugriffspaket erstellt wurde.

POST https://graph.microsoft.com/beta/identityGovernance/entitlementManagement/accessPackages/5f7f4c7d-b3f5-4988-a17b-3f09b6f5a9ee/accessPackageResourceRoleScopes
Content-type: application/json

{
    "accessPackageResourceRole": {
        "id": "055c76c1-a466-4f1a-9279-4a2ccaa7ac3e",
        "originId": "/providers/Microsoft.Authorization/roleDefinitions/76cc9ee4-d5d3-4a45-a930-26add3d73475",
        "displayName": "Access Review Operator Service Role",
        "description": "Lets you grant Access Review System app permissions to discover and revoke access as needed by the access review process.",
        "accessPackageResource": {
            "id": "c347ca9b-a9cc-4df9-bc3c-00c8e0297692",
            "description": "test-mgmtgroup",
            "displayName": "test-mgmtgroup",
            "resourceType": "ManagementGroup",
            "originId": "/providers/Microsoft.Management/managementGroups/test-mgmtgroup",
            "originSystem": "AzureResources"
        },
        "originSystem": "AzureResources",
        "type": "eligible"
    },
    "accessPackageResourceScope": {
        "id": "338613b3-b410-4c6d-b5e9-45590bc8a357",
        "displayName": "Root",
        "description": "Root Scope",
        "originId": "/providers/Microsoft.Management/managementGroups/test-mgmtgroup",
        "originSystem": "AzureResources",
        "isRootScope": true
    }
}

Antwort

Das folgende Beispiel zeigt die Antwort.

Hinweis: Das hier gezeigte Antwortobjekt kann zur besseren Lesbarkeit gekürzt werden.

HTTP/1.1 201 Created
Content-type: application/json

{
  "id": "055c76c1-a466-4f1a-9279-4a2ccaa7ac3e_338613b3-b410-4c6d-b5e9-45590bc8a357",
  "createdBy": "admin@example.com",
  "createdDateTime": "2026-02-09T22:23:14.8561335Z",
  "modifiedBy": "admin@example.com",
  "modifiedDateTime": "2026-02-09T22:23:14.8561335Z"
}

Beispiel 7: Hinzufügen einer aktiven Abonnement-Ressourcenrolle zum Zugriffspaket

Anforderung

Das folgende Beispiel zeigt eine Anforderung zum Hinzufügen einer aktiven Abonnementressourcenrolle zu einem Zugriffspaket, das auf eine Ressourcenrolle zu einem Zugriffspaket eingegrenzt ist.

Vor dieser Anforderung müssen Sie die Zugriffspaketressource b09a0288-a83e-4ae6-8a53-bc09aeb966ea für das Abonnement 828b526f-c769-4b19-9797-734b4843b978 bereits dem Zugriffspaketkatalog hinzugefügt haben, der dieses Zugriffspaket enthält. Die Ressource könnte dem Katalog hinzugefügt worden sein, indem eine Ressourcenanforderung für ein Zugriffspaket erstellt wurde.

POST https://graph.microsoft.com/beta/identityGovernance/entitlementManagement/accessPackages/5f7f4c7d-b3f5-4988-a17b-3f09b6f5a9ee/accessPackageResourceRoleScopes
Content-type: application/json

{
    "accessPackageResourceRole": {
        "originId": "/subscriptions/828b526f-c769-4b19-9797-734b4843b978/providers/Microsoft.Authorization/roleDefinitions/76cc9ee4-d5d3-4a45-a930-26add3d73475",
        "displayName": "Access Review Operator Service Role",
        "description": "Lets you grant Access Review System app permissions to discover and revoke access as needed by the access review process.",
        "accessPackageResource": {
            "id": "b09a0288-a83e-4ae6-8a53-bc09aeb966ea",
            "description": "Dev",
            "displayName": "Dev",
            "resourceType": "Subscription",
            "originId": "/subscriptions/828b526f-c769-4b19-9797-734b4843b978",
            "originSystem": "AzureResources"
        },
        "originSystem": "AzureResources",
        "type": "active"
    },
    "accessPackageResourceScope": {
        "id": "c66c1e22-1093-46fb-a8a8-c0e334113ca4",
        "description": "Root",
        "displayName": "Root",
        "isRootScope": true,
        "originSystem": "AzureResources",
        "originId": "/subscriptions/828b526f-c769-4b19-9797-734b4843b978"
    }
}

Antwort

Das folgende Beispiel zeigt die Antwort.

Hinweis: Das hier gezeigte Antwortobjekt kann zur besseren Lesbarkeit gekürzt werden.

HTTP/1.1 201 Created
Content-type: application/json

{
  "id": "34b2d7de-e8d6-4ba8-843e-a03546feac63_c66c1e22-1093-46fb-a8a8-c0e334113ca4",
  "createdBy": "admin@example.com",
  "createdDateTime": "2026-02-09T22:29:40.3420825Z",
  "modifiedBy": "admin@example.com",
  "modifiedDateTime": "2026-02-09T22:29:40.3420825Z"
}