Criar um registro de aplicativo para usar com os Gêmeos Digitais do Azure

Acesse o Microsoft Entra ID no portal do Azure (é possível usar este link ou localizá-lo na barra de pesquisa do portal). Selecione a opção Registros de aplicativo no menu de serviço, depois clique em +Novo registro.

Na seguinte página Registrar um aplicativo, preencha os valores solicitados:

• Nome: Um nome de exibição do aplicativo Microsoft Entra a ser associado ao registro.
• Tipos de conta suportados: Selecione Contas apenas neste diretório organizacional (somente diretório padrão - locatário único).

Quando terminar, escolha o botão Registrar.

Quando a configuração do registro for concluída, o portal vai redirecionar você para a página de detalhes.

Comece criando um arquivo de manifesto que contenha informações de serviço que seu registro de aplicativo precisará para acessar as APIs dos Gêmeos Digitais do Azure. Posteriormente, você passará esse arquivo para um comando da CLI para criar o registro.

Criar manifesto

Crie um arquivo .json em seu computador chamado manifest.json. Copie este texto no arquivo:

[
	{
		"resourceAppId": "0b07f429-9f4b-4714-9392-cc5e8e80c8b0",
		"resourceAccess": [
			{
				"id": "4589bd03-58cb-4e6c-b17f-b580e39652f8",
				"type": "Scope"
			}
		]
	}
]

O valor estático 0b07f429-9f4b-4714-9392-cc5e8e80c8b0 é a ID do recurso do ponto de extremidade de serviço dos Gêmeos Digitais do Azure, que o registro do aplicativo precisará para acessar as APIs dos Gêmeos Digitais do Azure.

Salve o arquivo concluído.

Usuários do Cloud Shell: fazer upload do manifesto

Se você estiver usando o Azure Cloud Shell para este tutorial, será necessário fazer o upload do arquivo de manifesto que você criou para o Cloud Shell, para que seja possível acessá-lo em comandos do Cloud Shell ao configurar o registro do aplicativo. Se você estiver usando uma instalação local da CLI do Azure, poderá passar para a próxima etapa, Executar o comando de criação.

Para carregar o arquivo, acesse a janela do Cloud Shell no navegador. Clique no ícone "Carregar/Baixar arquivos", depois em "Carregar".

Navegue até o arquivo manifest.json no computador e selecione Abrir. Ao fazer isso o arquivo será carregado na raiz do armazenamento do Cloud Shell.

Executar o comando de criação

Nesta seção, você executará um comando da CLI para criar um registro de aplicativo com as seguintes configurações:

• Nome de sua preferência
• Disponível somente para contas no diretório padrão (locatário único)
• Uma URL de resposta da Web de http://localhost
• Permissões de leitura/gravação para as APIs dos Gêmeos Digitais do Azure

Execute o seguinte comando para criar o registro. Se você estiver usando Cloud Shell, o caminho para o arquivo manifest.json será @manifest.json.

az ad app create --display-name <app-registration-name> --sign-in-audience AzureADMyOrg --required-resource-accesses "manifest.json"

A saída do comando contém informações sobre o registro de aplicativo que você criou.

Verificar êxito

Confirme se as permissões dos Gêmeos Digitais do Azure foram concedidas procurando os campos a seguir na saída do comando de criação, em requiredResourceAccess. Confirme se os valores são correspondentes ao listado abaixo.

• resourceAccess > id é 4589bd03-58cb-4e6c-b17f-b580e39652f8
• resourceAppId é 0b07f429-9f4b-4714-9392-cc5e8e80c8b0

Os valores ID do cliente e ID do locatário podem ser coletados na página de detalhes do registro de aplicativo no portal do Azure:

Anote a ID de aplicativo (cliente) e a ID de diretório (locatário) mostradas em sua página.

Você pode encontrar o ID do aplicativo na saída do comando az ad app create que você executou anteriormente (ou exibir as informações novamente usando programa de aplicativo de anúncios az).

Procure appId no resultado:

Você pode exibir sua ID de locatário no shell usando o comando lista de inquilinos da conta az.

Comece na página de registro do aplicativo no portal do Azure.

1. Selecione Certificados e segredos no menu do registro e, em seguida, selecione + Novo segredo do cliente.

   

2. Insira os valores que você desejar em Descrição e Expira e selecione Adicionar.

   

3. Confirme se o segredo do cliente aparece na página Certificados e segredos com os campos Expira e Valor.

4. Anote o a ID do Segredo e o Valor para usar posteriormente ou use os ícones Copiar para copiá-los para a área de transferência.

   

Para criar um segredo do cliente para o registro do aplicativo, você precisará do valor da ID do cliente do registro de aplicativo coletada na etapa anterior. Use o valor no comando da CLI a seguir para criar um segredo:

az ad app credential reset --id <client-ID> --append

Você também pode adicionar parâmetros opcionais a esse comando para especificar uma descrição de credencial, uma data de término e outros detalhes. Para obter informações sobre o comando e seus parâmetros adicionais, confira a documentação do az ad app credential reset.

A saída desse comando contém informações sobre o segredo do cliente que você criou.

Copie o valor de password a ser usado quando você precisar do segredo do cliente para autenticação.

Use estas etapas para criar a atribuição de função para o registro.

1. Abra a página da instância dos Gêmeos Digitais do Azure no portal do Azure.

2. Selecione IAM (Controle de acesso) .

3. Selecione Adicionar>Adicionar atribuição de função para abrir a página Adicionar atribuição de função.

4. Atribua a função adequado. Para ver as etapas detalhadas, confira Atribuir funções do Azure usando o portal do Azure.

   Configuração	Valor
   Função	Selecione conforme adequado
   Membros > Atribuir acesso a	Usuário, grupo ou entidade de serviço
   Membros > Membros	+ Selecione membros e pesquise o nome do registro do aplicativo

   

   

   Depois que a função tiver sido selecionada, Examinar + atribuir.

Verificar atribuição de função

É possível ver uma atribuição de função configurada em Controle de acesso (IAM) > Atribuições de função.

O registro do aplicativo deve aparecer na lista junto com a função que você atribuiu a ele.

Use o comandoaz dt role-assignment create para atribuir a função (ela deverá ser executada por um usuário com permissões suficientes na assinatura do Azure). O comando exige que você passe o nome da função que deseja atribuir, o nome da instância dos Gêmeos Digitais do Azure e o nome ou a ID do objeto do registro do aplicativo.

az dt role-assignment create --dt-name <your-Azure-Digital-Twins-instance> --assignee "<name-or-ID-of-app-registration>" --role "<appropriate-role-name>"

O resultado desse comando mostrará informações geradas sobre uma atribuição de função criada para o registro do aplicativo.

Para verificar ainda mais a atribuição de função, você pode procurar por ela no portal do Azure (alterne para a guia instruções do Portal).

Na página do portal do registro de aplicativo, selecione a opção Permissões de API no menu. Na página de permissões a seguir, selecione o botão + Adicionar uma permissão.

Na página Solicitar permissões de API exibida a seguir, mude para a guia APIs que minha organização usa e procure por Gêmeos Digitais do Azure. Selecione a opção Gêmeos Digitais do Azure nos resultados da pesquisa a fim de continuar com a atribuição de permissões para as APIs dos Gêmeos Digitais do Azure.

Depois, será preciso selecionar quais permissões conceder a essas APIs. Expanda a permissão Leitura (1) e marque a caixa que exibe a opção Leitura/Gravação para conceder a esse registro de aplicativo permissões de leitura e gravação de registro.

Clique em Adicionar permissões após a conclusão.

Verifique as Permissões de API

Na página Permissões de API, verifique se agora há uma entrada para os Gêmeos Digitais do Azure representando as permissões de Leitura/Gravação:

Também é possível verificar se a conexão com os Gêmeos Digitais do Azure está no arquivo manifest.json do registro de aplicativo, que foi atualizado de modo automático com as informações dos Gêmeos Digitais do Azure quando você adicionou as permissões de API.

Para fazer isso, selecione a opção Manifesto na barra de menus para ver o código do manifesto do registro de aplicativo. Role até a parte inferior da janela de código e procure os seguintes campos e valores em requiredResourceAccess:

• "resourceAppId": "0b07f429-9f4b-4714-9392-cc5e8e80c8b0"
• "resourceAccess" > "id": "4589bd03-58cb-4e6c-b17f-b580e39652f8"

Esses valores são mostrados na captura de tela abaixo:

Caso esses valores estejam ausentes, repita as etapas da seção criada para adicionar a permissão de API.

Se estiver usando a CLI, as permissões de API foram configuradas anteriormente como parte da etapa Criar o registro.

Você pode verificá-los agora usando o portal do Azure (alternar para a guia Instruções do portal).

Aqui, temos algumas atividades comuns que um proprietário ou administrador da assinatura poderá ter que fazer. Todas as operações podem ser executadas na página de Registros de aplicativo do Microsoft Entra no portal do Azure.

• Conceda consentimento do administrador para o registro do aplicativo. Sua organização poderá ter o Consentimento do Administrador Necessário ativado de modo global no Microsoft Entra ID para todos os Registros de aplicativo em sua assinatura. Nesse caso, o proprietário/administrador precisará clicar neste botão na página de permissões de API do registro de aplicativo a fim de validar o registro de aplicativo para sua empresa:

  

  • Caso o consentimento seja fornecido com êxito, a entrada para os Gêmeos Digitais do Azure deverá mostrar um valor de Status da opção Fornecido para (sua empresa)

  

• Ativar o acesso de cliente público

• Definir URLs de resposta específicas para obter acesso à Web e à área de trabalho

• Permitir fluxos de autenticação implícitos do OAuth2

Aqui, temos algumas atividades comuns que um proprietário ou administrador da assinatura poderá ter que fazer.

• Conceda consentimento do administrador para o registro do aplicativo. Sua organização poderá ter o Consentimento do Administrador Necessário ativado de modo global no Microsoft Entra ID para todos os Registros de aplicativo em sua assinatura. Nesse caso, o proprietário/administrador pode precisar conceder permissões adicionais delegadas ou de aplicativo.
• Ative o acesso de cliente público anexando --set publicClient=true a um comando criar ou atualizar para o registro.
• Defina URLs de resposta específicas para obter acesso à Web e à área de trabalho usando o parâmetro --reply-urls. Para obter mais informações sobre como usar esse parâmetro com comandos az ad, veja a documentação do az ad app.
• Permita fluxos de autenticação OAuth2 implícitos usando o parâmetro --oauth2-allow-implicit-flow. Para obter mais informações sobre como usar esse parâmetro com comandos az ad, veja a documentação do az ad app.