El permiso con privilegios mínimos para un escenario específico puede ser diferente entre Azure AD Graph y Microsoft Graph. Al migrar las aplicaciones para llamar a Microsoft Graph, analice si también necesita migrar a permisos de Microsoft Graph con un ámbito más limitado para mantener los privilegios mínimos.
Por ejemplo, en Azure AD Graph, la lectura de usuarios en escenarios de solo aplicación requiere el permiso Directory.Read.All . Este permiso también permite que la aplicación lea todos los grupos, aplicaciones y algunas directivas del inquilino. Sin embargo, en Microsoft Graph, la lectura de usuarios en escenarios de solo aplicación solo requiere el permiso User.Read.All .
Aunque las cadenas de permisos pueden ser las mismas en Azure AD Graph y Microsoft Graph, tienen identificadores diferentes. Sin embargo, de forma similar a Azure AD Graph, Microsoft Graph también expone permisos delegados y de aplicación. El consentimiento del administrador siempre es necesario para los permisos de aplicación.
En el artículo se proporciona una asignación de los permisos de Azure AD Graph a Microsoft Graph para ayudarle a migrar las aplicaciones.
Application.Read.All
Delegado
Parámetro
Azure AD Graph
Microsoft Graph
Identificador de permiso
No disponible
c79f8feb-a9db-4090-85f9-90d820caa0eb
Cadena para mostrar
No disponible
Leer aplicaciones
Administración consentimiento necesario?
No disponible
Sí
Aplicación
Parámetro
Azure AD Graph
Microsoft Graph
Identificador de permiso
3afa6a7d-9b1a-42eb-948e-1650a849e176
9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30
Cadena para mostrar
Leer todas las aplicaciones
Leer todas las aplicaciones
Application.ReadWrite.All
Delegado
Parámetro
Azure AD Graph
Microsoft Graph
Identificador de permiso
No disponible
bdfbf15f-ee85-4955-8675-146e8e5296b5
Cadena para mostrar
No disponible
Leer y escribir todas las aplicaciones
Administración consentimiento necesario?
No disponible
Sí
Aplicación
Parámetro
Azure AD Graph
Microsoft Graph
Identificador de permiso
1cda74f2-2616-4834-b122-5cb1b07f8a59
1bfefb4e-e0b5-418b-a88f-73c46d2cc8e9
Cadena para mostrar
Leer y escribir todas las aplicaciones
Leer todas las aplicaciones
Application.ReadWrite.OwnedBy
Delegated
No procede.
Aplicación
Parámetro
Azure AD Graph
Microsoft Graph
Identificador de permiso
1cda74f2-2616-4834-b122-5cb1b07f8a59
18a4783c-866b-4cc7-a460-3d5e5662c884
Cadena para mostrar
Administrar aplicaciones que esta aplicación cree o posea
Administrar aplicaciones que esta aplicación cree o posea
Device.ReadWrite.All
Delegated
No procede.
Aplicación
Parámetro
Azure AD Graph
Microsoft Graph
Identificador de permiso
1138cb37-bd11-4084-a2b7-9f71582aeddb
1138cb37-bd11-4084-a2b7-9f71582aeddb
Cadena para mostrar
Leer y escribir dispositivos
Leer y escribir dispositivos
Directory.Read.All
Delegado
Parámetro
Azure AD Graph
Microsoft Graph
Identificador de permiso
5778995a-e1bf-45b8-affa-663a9f3f4d04
06da0dbc-49e2-44d2-8312-53f166ab848a
Cadena para mostrar
Leer datos del directorio
Leer datos del directorio
Administración consentimiento necesario?
Sí
Sí
Aplicación
Parámetro
Azure AD Graph
Microsoft Graph
Identificador de permiso
5778995a-e1bf-45b8-affa-663a9f3f4d04
7ab1d382-f21e-4acd-a863-ba3e13f7da61
Cadena para mostrar
Leer datos del directorio
Leer datos del directorio
Directory.ReadWrite.All
Delegado
Parámetro
Azure AD Graph
Microsoft Graph
Identificador de permiso
78c8a3c8-a07e-4b9e-af1b-b5ccab50a175
c5366453-9fb0-48a5-a156-24f0c49a4b84
Cadena para mostrar
Leer y escribir datos en el directorio
Leer y escribir datos en el directorio
Administración consentimiento necesario?
Sí
Sí
Aplicación
Parámetro
Azure AD Graph
Microsoft Graph
Identificador de permiso
78c8a3c8-a07e-4b9e-af1b-b5ccab50a175
19dbc75e-c2e2-444c-a770-ec69d8559fc7
Cadena para mostrar
Leer y escribir datos en el directorio
Leer y escribir datos en el directorio
Directory.AccessAsUser.All
Delegado
Parámetro
Azure AD Graph
Microsoft Graph
Identificador de permiso
a42657d6-7f20-40e3-b6f0-cee03008a62a
0e263e50-5827-48a4-b97c-d940288653c7
Cadena para mostrar
Obtener acceso al directorio con el usuario que tiene la sesión iniciada
Obtener acceso al directorio con el usuario que tiene la sesión iniciada