Aktualisieren der angeforderten Berechtigungen einer App in Microsoft Entra ID

In diesem Abschnitt erfahren Sie, wie Sie Berechtigungen zur statischen Einwilligung hinzufügen.

Sie können Berechtigungen zur statischen Einwilligung auf zwei verschiedene Arten im Microsoft Entra Admin Center hinzufügen:

Option 1: Hinzufügen von Berechtigungen im API-Berechtigungsbereich

1. Melden Sie sich beim Microsoft Entra-Admin Center mindestens mit der Rolle Cloudanwendungsadministrator oder als Anwendungsbesitzer*in an.
2. Browsen Sie zu Identität>Anwendungen>App-Registrierungen>Alle Anwendungen.
3. Suchen Sie die App-Registrierung, der Sie Berechtigungen hinzufügen möchten, und wählen Sie sie aus. Sie können Berechtigungen auf zwei verschiedene Arten hinzufügen:
4. Hinzufügen von Berechtigungen im Bereich API-Berechtigungen.

   1. Suchen Sie den Bereich API-Berechtigungen, und wählen Sie Berechtigung hinzufügen aus.

   2. Wählen Sie die API aus, auf die Sie zugreifen möchten, und die Berechtigung, die Sie in der Liste der verfügbaren Optionen anfordern möchten, und wählen Sie Berechtigungen hinzufügen aus.

      

Option 2: Hinzufügen von Berechtigungen zum Anwendungsmanifest

1. Wählen Sie im linken Navigationsbereich unter der Menügruppe Verwalten die Option Manifest aus. Dadurch öffnet sich ein Editor, mit dem Sie die Attribute des App-Registrierungsobjekts direkt bearbeiten können.
2. Bearbeiten Sie die requiredResourceAccess-Eigenschaft sorgfältig in der Manifestdatei der Anwendung.
3. Fügen Sie die resourceAppId-Eigenschaft und resourceAccess-Eigenschaft hinzu, und weisen Sie die erforderlichen Berechtigungen zu.
4. Speichern Sie die Änderungen.

Um die folgenden Schritte zum Hinzufügen von Berechtigungen auszuführen, benötigen Sie die folgenden Ressourcen und Berechtigungen:

• Führen Sie die HTTP-Anforderungen in einem Tool Ihrer Wahl aus, z. B. in Ihrer App oder über den Graph-Tester.
• Führen Sie die APIs als Benutzer*in mit mindestens der Rolle Cloudanwendungsadministrator oder als Besitzer*in der Ziel-App-Registrierung aus.
• Der App, die zum Vornehmen dieser Änderungen verwendet wird, muss die Application.ReadWrite.All-Berechtigung erteilt werden.

1. Identifizieren Sie die Berechtigungen, die Ihre App benötigt, deren Berechtigungs-IDs und ob es sich dabei um App-Rollen (Anwendungsberechtigungen) oder delegierte Berechtigungen handelt. Wenn Sie beispielsweise Microsoft Graph-Berechtigungen anfordern möchten, lesen Sie Microsoft Graph-Berechtigungen für eine Liste der Berechtigungen und deren IDs.

2. Fügen Sie Ihrer App die erforderlichen Microsoft Graph-Berechtigungen hinzu. Im folgenden Beispiel wird die Updateanwendungs-API aufgerufen, um die erforderlichen Microsoft Graph-Berechtigungen zu einer App-Registrierung hinzuzufügen, die durch die Objekt-ID „aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb“ identifiziert wird. In diesem Beispiel werden die delegierten Berechtigungen Analytics.Read und Application.Read.All sowie Anwendungsberechtigungen verwendet. Microsoft Graph wird als ServicePrincipal-Objekt mit 00000003-0000-0000-c000-000000000000 als global eindeutige AppId identifiziert.

   PATCH https://graph.microsoft.com/v1.0/applications/aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
   Content-Type: application/json
    {
        "requiredResourceAccess": [
            {
                "resourceAppId": "00000003-0000-0000-c000-000000000000",
                "resourceAccess": [
                    {
                        "id": "e03cf23f-8056-446a-8994-7d93dfc8b50e",
                        "type": "Scope"
                    },
                    {
                        "id": "9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30",
                        "type": "Role"
                    }
                ]
            }
        ]
    }
   

Hinzufügen von Berechtigungen zur dynamischen Einwilligung

Die dynamische Einwilligung ist eine Möglichkeit, Berechtigungen von Benutzer*innen oder Administrator*innen zur Laufzeit anzufordern, anstatt sie im Bereich App-Registrierungen statisch zu deklarieren. Mit der dynamischen Einwilligung kann die App nur die Berechtigungen anfordern, die sie für eine bestimmte Funktionalität benötigt, und bei Bedarf die Einwilligung von Benutzer*innen oder Administrator*innen einholen. Die dynamische Einwilligung kann mit delegierten Berechtigungen verwendet und kann mit dem Bereich „/.default“ kombiniert werden, um die Administratoreinwilligung für alle Berechtigungen anzufordern.

So fügen Sie Berechtigungen zur dynamischen Einwilligung hinzu:

• Verwenden von Microsoft Graph: Fügen Sie einer App-Registrierung die erforderlichen Microsoft Graph-Berechtigungen hinzu. In diesem Beispiel werden die delegierten Berechtigungen Analytics.Read und Application.Read.All sowie Anwendungsberechtigungen verwendet. Ersetzen Sie die Werte unter „Bereiche“ durch Werte aller delegierten Microsoft Graph-Berechtigungen, die Sie für die App konfigurieren möchten.

  Die Anforderung sollte wie im folgenden Beispiel aussehen:

  https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=00001111-aaaa-2222-bbbb-3333cccc4444&response_type=code&scope=Analytics.Read+Application.Read

• MSAL.js: Ersetzen Sie die Werte unter „Bereiche“ durch Werte aller delegierten Microsoft Graph-Berechtigungen, die Sie für die App konfigurieren möchten.

    const Request = {
        scopes: ["openid", "profile"],
        loginHint: "example@domain.net"
    };
  
    myMSALObj.ssoSilent(Request)
        .then((response) => {
            // your logic
        }).catch(error => {
            console.error("Silent Error: " + error);
            if (error instanceof msal.InteractionRequiredAuthError) {
                myMSALObj.loginRedirect(loginRequest);
            }
    });
  

Um das Anfordern von Berechtigungen, die statische Einwilligung erfordern, zu beenden, müssen Sie die Berechtigung aus dem Bereich App-Registrierungen entfernen. Ein*e Administrator*in des Mandanten muss auch die Berechtigung im Bereich Unternehmensanwendungen widerrufen. Weitere Informationen zum Widerrufen von Berechtigungen, die einer Unternehmensanwendung erteilt wurden, finden Sie unter Widerrufen von Berechtigungen für eine Unternehmensanwendung.

In diesem Abschnitt erfahren Sie, wie Sie das Anfordern von Berechtigungen für die statische Einwilligung beenden.

Sie können Berechtigungen aus der statischen Einwilligung auf zwei verschiedene Arten im Microsoft Entra Admin Center entfernen:

Option 1: Aus dem Bereich API-Berechtigungen

1. Melden Sie sich beim Microsoft Entra-Admin Center mindestens mit der Rolle Cloudanwendungsadministrator oder als Anwendungsbesitzer*in an.
2. Browsen Sie zu Identität>Anwendungen>App-Registrierungen>Alle Anwendungen.
3. Suchen Sie die App-Registrierung, aus der Sie Berechtigungen entfernen möchten, und wählen Sie sie aus.
4. Entfernen Sie die Berechtigungen aus dem Bereich API-Berechtigungen:

   1. Suchen Sie den Bereich API-Berechtigungen, und suchen Sie die Berechtigungen, die Sie entfernen möchten.

   2. Wählen Sie die API aus, die Sie entfernen möchten, und wählen Sie zuerst die Administratoreinwilligung widerrufen und dann Berechtigung entfernen. Dadurch wird sichergestellt, dass die erteilte Berechtigung von Ihrem Mandanten entfernt wird.

      

Option 2: Aus dem Anwendungsmanifest

1. Wählen Sie im linken Navigationsbereich unter der Menügruppe Verwalten die Option Manifest aus. Es öffnet sich ein Editor, mit dem Sie die Attribute des App-Registrierungsobjekts direkt bearbeiten können.
2. Bearbeiten Sie die requiredResourceAccess-Eigenschaft sorgfältig in der Manifestdatei der Anwendung.
3. Entfernen Sie die nicht benötigten Berechtigungen aus resourceAppId-Eigenschaft und resourceAccess-Eigenschaft.
4. Speichern Sie die Änderungen.

Um die folgenden Schritte zum Entfernen von Berechtigungen auszuführen, benötigen Sie die folgenden Ressourcen und Berechtigungen:

• Führen Sie die HTTP-Anforderungen in einem Tool Ihrer Wahl aus, z. B. in Ihrer App oder über den Graph-Tester.
• Rufen Sie die APIs mit mindestens der Rolle Cloudanwendungsadministrator oder als Besitzer*in der Ziel-App-Registrierung auf.
• Der App, die zum Vornehmen dieser Änderungen verwendet wird, muss die Application.ReadWrite.All-Berechtigung erteilt werden.

1. Identifizieren Sie die Berechtigungen für Ihre App.

2. Um beispielsweise zu verhindern, dass Ihre App Microsoft Graph-Berechtigungen anfordert, identifizieren Sie die Microsoft Graph-Berechtigungen für Ihre App, deren Berechtigungs-IDs und ob sie App-Rollen (Anwendungsberechtigungen) oder delegierte Berechtigungen sind.

3. Entfernen Sie die unerwünschten Microsoft Graph-Berechtigungen aus Ihrer App. Im folgenden Beispiel wird die API Anwendung aktualisieren aufgerufen, um die unerwünschten Microsoft Graph-Berechtigungen aus einer App-Registrierung zu entfernen, die durch die Beispielclient-ID 00001111-aaaa-2222-bbbb-3333cccc4444 identifiziert ist. In diesem Beispiel verfügt die Anwendung über Analytics.Read, User.Read und Application.Read.All. Wir müssen die delegierten Berechtigungen Analytics.Read und Application.Read.All sowie Anwendungsberechtigungen entfernen. Microsoft Graph wird als ServicePrincipal-Objekt mit 00000003-0000-0000-c000-000000000000 als global eindeutige AppId und Microsoft Graph als DisplayName und AppDisplayName identifiziert.

   PATCH https://graph.microsoft.com/v1.0/applications/00001111-aaaa-2222-bbbb-3333cccc4444
   Content-Type: application/json
   {
       "requiredResourceAccess": [
           {
               "resourceAppId": "00000003-0000-0000-c000-000000000000",
               "resourceAccess": [
                   {
                       "id": "311a71cc-e848-46a1-bdf8-97ff7156d8e6 ",
                       "type": "Scope"
                   }
               ]
           }
       ]
   }
   

Beenden der Anforderung von Berechtigungen mit dynamischer Einwilligung

Wenn Sie delegierte Berechtigungen aus einer dynamischen Einwilligungsanforderung entfernen müssen, geben Sie den Bereichsparameter an, und lassen Sie die Berechtigungen aus, die Sie entfernen möchten. Durch das Entfernen der Berechtigungen wird sichergestellt, dass die App die entsprechende API nicht aufruft.

Diese Methode funktioniert nur für delegierte Berechtigungen. Anwendungsberechtigungen werden von einem Administrator über statische Einwilligung angefordert und erteilt und sind während der OAuth 2.0-Autorisierungsanforderung nicht im Bereichsparameter enthalten.

So beenden Sie das Anfordern von Berechtigungen mit dynamischer Einwilligung:

• Microsoft Graph: Entfernen Sie die unerwünschten delegierten Microsoft Graph-Berechtigungen aus dem Parameter „Bereiche“. In diesem Beispiel fordert Ihre Anwendung drei Berechtigungen an: Analytics.Read, User.Read und Application.Read. Die delegierten Berechtigungen Analytics.Read und Application.Read sind für diese App nicht mehr erforderlich. Es ist nur User.Read erforderlich.

Die Anforderung sollte ungefähr wie das folgende Beispiel aussehen:

https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=00001111-aaaa-2222-bbbb-3333cccc4444&response_type=code&scope=User.Read

• MSAL.js: Entfernen Sie die unerwünschten delegierten Microsoft Graph-Berechtigungen aus „Bereiche“.

      const Request = {
          scopes: ["openid", "profile"],
          loginHint: "example@domain.net"
      };
  
      myMSALObj.ssoSilent(Request)
          .then((response) => {
              // your logic
          }).catch(error => {
              console.error("Silent Error: " + error);
              if (error instanceof msal.InteractionRequiredAuthError) {
                  myMSALObj.loginRedirect(loginRequest);
              }
      });