Registrace aplikace Microsoft Entra a vytvoření instančního objektu

V tomto článku se dozvíte, jak vytvořit aplikaci Microsoft Entra a instanční objekt, který se dá použít s řízením přístupu na základě role (RBAC). Když zaregistrujete novou aplikaci v Microsoft Entra ID, instanční objekt se automaticky vytvoří pro registraci aplikace. Instanční objekt je identita aplikace v tenantovi Microsoft Entra. Přístup k prostředkům je omezený rolemi přiřazenými k instančnímu objektu, abyste měli kontrolu nad tím, ke kterým prostředkům je možné přistupovat, a na jaké úrovni. Z bezpečnostních důvodů se vždy doporučuje používat instanční objekty s automatizovanými nástroji, místo aby se mohli přihlásit pomocí identity uživatele.

Tento příklad platí pro obchodní aplikace používané v jedné organizaci. K vytvoření instančního objektu můžete použít také Azure PowerShell nebo Azure CLI.

Další informace o vztahu mezi registrací aplikace, objekty aplikací a instančními objekty, přečtěte si o objektech aplikace a instanční objekty v Microsoft Entra ID.

Požadavky

Pokud chcete zaregistrovat aplikaci v tenantovi Microsoft Entra, potřebujete:

• Uživatelský účet Microsoft Entra. Pokud ho ještě nemáte, můžete si zdarma vytvořit účet.
• Dostatečná oprávnění k registraci aplikace v tenantovi Microsoft Entra a přiřazení k aplikaci roli ve vašem předplatném Azure. K dokončení těchto úkolů budete potřebovat Application.ReadWrite.All oprávnění.

Registrace aplikace pomocí Microsoft Entra ID a vytvoření instančního objektu

1. Přihlaste se do Centra pro správu Microsoft Entra jako alespoň správce cloudových aplikací.

2. Přejděte do aplikace> identit>Registrace aplikací pak vyberte Nová registrace.

3. Pojmenujte aplikaci, například aplikaci.

4. V části Podporované typy účtů vyberte Pouze účty v tomto organizačním adresáři.

5. V části Identifikátor URI přesměrování vyberte web pro typ aplikace, kterou chcete vytvořit. Zadejte identifikátor URI, do kterého se odesílá přístupový token.

6. Vyberte Zaregistrovat.

   

Přiřazení role k aplikaci

Pokud chcete získat přístup k prostředkům ve vašem předplatném, musíte aplikaci přiřadit roli. Rozhodněte se, která role nabízí správná oprávnění pro aplikaci. Informace o dostupných rolích najdete v tématu Předdefinované role Azure.

Obor můžete nastavit na úrovni předplatného, skupiny prostředků nebo prostředku. Oprávnění se dědí do nižších úrovní oboru.

1. Přihlaste se k portálu Azure.

2. Vyberte úroveň oboru, ke kterému chcete aplikaci přiřadit. Pokud chcete například přiřadit roli v oboru předplatného, vyhledejte a vyberte Předplatná. Pokud nevidíte předplatné, které hledáte, vyberte globální filtr předplatných. Ujistěte se, že je pro tenanta vybrané požadované předplatné.

3. Vyberte Řízení přístupu (IAM) .

4. Vyberte Přidat a pak vyberte Přidat přiřazení role.

5. Na kartě Role vyberte roli, kterou chcete přiřadit k aplikaci v seznamu.

6. Vyberte Další.

7. Na kartě Členové vyberte možnost Přiřadit přístup k uživateli, skupině nebo instančnímu objektu.

8. Zvolte Zvolit členy. Ve výchozím nastavení se aplikace Microsoft Entra nezobrazují v dostupných možnostech. Pokud chcete aplikaci najít, vyhledejte ji podle názvu.

9. Vyberte tlačítko Vybrat a pak vyberte Zkontrolovat a přiřadit.

   

Instanční objekt je nastavený. Můžete ho začít používat ke spouštění skriptů nebo aplikací. Pokud chcete spravovat instanční objekt (oprávnění, oprávnění udělená uživatelem, zjistit, kteří uživatelé odsouhlasili, zkontrolovat oprávnění, zobrazit přihlašovací informace a další informace), přejděte do podnikových aplikací.

V další části se dozvíte, jak získat hodnoty potřebné při programovém přihlášení.

Přihlášení k aplikaci

Při programovém přihlášení předáte ID adresáře (tenanta) a ID aplikace (klienta) v žádosti o ověření. Potřebujete také certifikát nebo ověřovací klíč. Získání ID adresáře a ID aplikace:

1. Otevřete domovskou stránku Centra pro správu Microsoft Entra.
2. Přejděte na Identity>Applications> Registrace aplikací a pak vyberte svou aplikaci.
3. Na stránce přehledu aplikace zkopírujte hodnotu ID adresáře (tenanta) a uložte ji do kódu aplikace.
4. Zkopírujte hodnotu ID aplikace (klienta) a uložte ji do kódu aplikace.

Nastavení ověřování

Pro instanční objekty jsou k dispozici dva typy ověřování: ověřování pomocí hesla (tajný klíč aplikace) a ověřování pomocí certifikátů. Doporučujeme použít důvěryhodný certifikát vydaný certifikační autoritou, ale můžete také vytvořit tajný klíč aplikace nebo vytvořit certifikát podepsaný svým držitelem pro testování.

Možnost 1 (doporučeno): Nahrání důvěryhodného certifikátu vydaného certifikační autoritou

Nahrání souboru certifikátu:

1. Přejděte na Identity>Applications> Registrace aplikací a pak vyberte svou aplikaci.
2. Vyberte Certifikáty a tajné kódy.
3. Vyberte Certifikáty, pak vyberte Nahrát certifikát a pak vyberte soubor certifikátu, který chcete nahrát.
4. Vyberte Přidat. Po nahrání certifikátu se zobrazí kryptografický otisk, počáteční datum a hodnoty vypršení platnosti.

Po registraci certifikátu ve vaší aplikaci na portálu pro registraci aplikací povolte použití certifikátu důvěrný kód klientské aplikace .

Možnost 2: Testování pouze: Vytvoření a nahrání certifikátu podepsaného svým držitelem

Volitelně můžete vytvořit certifikát podepsaný svým držitelem jenom pro účely testování. Pokud chcete vytvořit certifikát podepsaný svým držitelem, otevřete Windows PowerShell a spusťte New-SelfSignedCertificate s následujícími parametry a vytvořte certifikát v úložišti uživatelských certifikátů v počítači:

$cert=New-SelfSignedCertificate -Subject "CN=DaemonConsoleCert" -CertStoreLocation "Cert:\CurrentUser\My"  -KeyExportPolicy Exportable -KeySpec Signature

Exportujte tento certifikát do souboru pomocí modulu snap-in Správa uživatelského certifikátu konzoly MMC, který je přístupný z Ovládací panely systému Windows.

1. V nabídce Start vyberte Spustit a pak zadejte certmgr.msc. Zobrazí se nástroj Správce certifikátů pro aktuálního uživatele.
2. Pokud chcete zobrazit certifikáty, rozbalte v části Certifikáty – Aktuální uživatel v levém podokně položku Osobní adresář.
3. Klikněte pravým tlačítkem na certifikát, který jste vytvořili, a vyberte Všechny úkoly –> Export.
4. Postupujte podle průvodce exportem certifikátu.

Nahrání certifikátu:

1. Přejděte na Identity>Applications> Registrace aplikací a pak vyberte svou aplikaci.
2. Vyberte Certifikáty a tajné kódy.
3. Vyberte Certifikáty, pak vyberte Nahrát certifikát a pak vyberte certifikát (existující certifikát nebo certifikát podepsaný svým držitelem, který jste exportovali).
4. Vyberte Přidat.

Po registraci certifikátu ve vaší aplikaci na portálu pro registraci aplikací povolte použití certifikátu důvěrný kód klientské aplikace .

Možnost 3: Vytvoření nového tajného klíče klienta

Pokud se rozhodnete certifikát nepoužívat, můžete vytvořit nový tajný klíč klienta.

1. Přejděte na Identity>Applications> Registrace aplikací a pak vyberte svou aplikaci.
2. Vyberte Certifikáty a tajné kódy.
3. Vyberte Tajné kódy klienta a pak vyberte Nový tajný klíč klienta.
4. Zadejte popis tajného kódu a jeho dobu platnosti.
5. Vyberte Přidat.

Po uložení tajného klíče klienta se zobrazí hodnota tajného klíče klienta. Zobrazí se jenom jednou, takže zkopírujte tuto hodnotu a uložte ji tam, kde ji vaše aplikace může načíst, obvykle tam, kde vaše aplikace uchovává hodnoty jako clientId, nebo authority ve zdrojovém kódu. Zadáte hodnotu tajného kódu spolu s ID klienta aplikace pro přihlášení jako aplikaci.

Konfigurace zásad přístupu u prostředků

Možná budete muset nakonfigurovat další oprávnění k prostředkům, ke kterým vaše aplikace potřebuje přístup. Musíte například aktualizovat zásady přístupu trezoru klíčů, aby aplikace získala přístup ke klíčům, tajným klíčům nebo certifikátům.

Konfigurace zásad přístupu:

1. Přihlaste se k portálu Azure.

2. Vyberte trezor klíčů a vyberte Zásady přístupu.

3. Vyberte Přidat zásadu přístupu a pak vyberte klíč, tajný klíč a oprávnění certifikátu, která chcete aplikaci udělit. Vyberte instanční objekt, který jste vytvořili dříve.

4. Vyberte Přidat , chcete-li přidat zásady přístupu, a pak vyberte Uložit.

   

Související obsah

• Naučte se používat Azure PowerShell nebo Azure CLI k vytvoření instančního objektu.
• Další informace o zadávání zásad zabezpečení najdete v tématu Řízení přístupu na základě role v Azure (Azure RBAC).
• Seznam dostupných akcí, které se dají udělit nebo zamítnout uživatelům, najdete v tématu Operace poskytovatele prostředků Azure Resource Manageru.
• Informace o práci s registracemi aplikací pomocí Microsoft Graphu najdete v referenčních informacích k rozhraní API aplikací .