Objetos de entidade de serviço e aplicativo no Microsoft Entra ID

Este artigo descreve o registro de aplicativos, objetos de aplicativos e entidades de serviço no Microsoft Entra ID: o que são, como são usados e como estão relacionados entre si. Um cenário de exemplo de multilocatário também é apresentado para ilustrar a relação entre o objeto de um aplicativo e os objetos correspondentes da entidade de serviço.

Registro de aplicativo

Para delegar funções de gerenciamento de identidade e acesso ao Microsoft Entra ID, um aplicativo deve ser registrado com um locatário do Microsoft Entra. Ao registrar o aplicativo com o Microsoft Entra ID, você está criando uma configuração de identidade para seu aplicativo que permite que ele se integre ao Microsoft Entra ID. Ao registrar um aplicativo, escolha se ele é um locatário único ou multilocatário e, opcionalmente, defina um URI de redirecionamento. Para obter instruções detalhadas sobre como registrar um aplicativo, consulte o guia de Início rápido do registro de aplicativos.

Após concluir o registro do aplicativo, você terá uma instância globalmente exclusiva do aplicativo (o objeto do aplicativo) que reside no seu locatário ou diretório inicial. Você também tem uma ID globalmente exclusiva para o aplicativo (a ID do cliente ou aplicativo). Você pode adicionar segredos ou certificados e escopos para fazer o aplicativo funcionar, personalizar a marca do aplicativo na caixa de diálogo de login e muito mais.

Se você registrar um aplicativo, um objeto de aplicativo e um objeto de entidade de serviço serão criados automaticamente no locatário inicial. Ao registrar/criar um aplicativo com as APIs do Microsoft Graph, há uma etapa separada para a criação do objeto da entidade de serviço.

Objeto de aplicativo

Um aplicativo Microsoft Entra é definido por seu único objeto de aplicativo, que reside no locatário do Microsoft Entra onde o aplicativo foi registrado (conhecido como locatário "home" do aplicativo). Um objeto de aplicativo é usado como um modelo ou blueprint para criar um ou mais objetos de entidade de serviço. Uma entidade de serviço é criada em todos os locatários nos quais o aplicativo é usado. Assim como uma classe na programação orientada a objetos, o objeto do aplicativo conta com algumas propriedades estáticas aplicadas a todas as entidades de serviço criadas (ou instâncias de aplicativo).

O objeto de aplicativo descreve três aspectos de um aplicativo:

• Como o serviço pode emitir tokens para acessar o aplicativo
• Os recursos que o aplicativo talvez precise acessar
• As ações que o aplicativo pode executar

Você pode usar a página Registros de aplicativos no centro de administração do Microsoft Entra para listar e gerenciar os objetos de aplicativos no locatário inicial.

A Entidade de aplicativo do Microsoft Graph define o esquema para as propriedades de um objeto de aplicativo.

Objeto da entidade de serviço

Para acessar recursos protegidos por um locatário do Microsoft Entra, a entidade que requer acesso deve ser representada por uma entidade de segurança. Este requisito abrange os usuários (entidade de usuário) e os aplicativos (entidade de serviço). A entidade de segurança define a política de acesso e as permissões para o usuário/aplicativo no locatário do Microsoft Entra. Isso habilita recursos principais como a autenticação do usuário/aplicativo durante a entrada, bem como a autorização durante o acesso aos recursos.

Há três tipos de entidades de serviço:

• Aplicativo: este tipo de entidade de serviço é a representação local, ou a instância do aplicativo, de um objeto de aplicativo global em um locatário ou diretório. Nesse caso, uma entidade de serviço é uma instância concreta criada a partir do objeto de aplicativo que herda determinadas propriedades desse objeto. Uma entidade de serviço é criada em cada locatário no qual o aplicativo é usado e faz referência ao objeto do aplicativo exclusivo globalmente. O objeto da entidade de serviço define o que o aplicativo pode realmente fazer no locatário específico, quem pode acessar o aplicativo e quais recursos ele pode acessar.

  Quando um aplicativo recebe permissão para acessar os recursos em um locatário (após o registro ou o consentimento), um objeto de entidade de serviço é criado. Ao registrar um aplicativo, uma entidade de serviço é criada automaticamente. Você também pode criar objetos da entidade de serviço em um locatário usando o Azure PowerShell, a CLI do Azure, o Microsoft Graph e outras ferramentas.

• Identidade gerenciada – Esse tipo de entidade de serviço é usado para representar uma identidade gerenciada. As identidades gerenciadas eliminam a necessidade de os desenvolvedores gerenciarem credenciais. As identidades gerenciadas fornecem uma identidade para os aplicativos usarem ao se conectarem a recursos que oferecem suporte à autenticação do Microsoft Entra. Quando uma identidade gerenciada é habilitada, uma entidade de serviço que representa essa identidade gerenciada é criada em seu locatário. As entidades de serviço que representam identidades gerenciadas podem receber acesso e permissões, mas não podem ser atualizadas ou modificadas diretamente.

• Herdado – Esse tipo de entidade de serviço representa um aplicativo herdado, que é um aplicativo criado antes dos Registros de aplicativo serem introduzidos ou criados por meio de experiências herdadas. Uma entidade de serviço herdada pode ter credenciais, nomes de entidade de serviço, URLs de resposta e outras propriedades que um usuário autorizado pode editar, mas não tem um registro de aplicativo associado. A entidade de serviço só pode ser usada no locatário em que foi criada.

A entidade ServicePrincipal do Microsoft Graph define o esquema para as propriedades do objeto de uma entidade de serviço.

Você pode usar a página Aplicativos empresariais no centro de administração do Microsoft Entra para listar e gerenciar as entidades de serviço em um locatário. Você pode ver as permissões da entidade de serviço, as permissões consentidas pelo usuário, quais usuários deram seu consentimento, as informações de entrada e mais.

Relação entre objetos do aplicativo e entidades de serviço

O objeto do aplicativo é a representação global do seu aplicativo a ser usada em todos os locatários e a entidade de serviço é a representação local a ser usada em um locatário específico. O objeto de aplicativo serve como o modelo do qual as propriedades comuns e padrão são derivadas para uso na criação de objetos de entidade de serviço correspondentes.

Um objeto de aplicativo tem:

• Uma relação um-para-um com o aplicativo de software e
• Uma relação um-para-muitos com seus objetos da entidade de serviço correspondentes

Uma entidade de serviço deve ser criada em cada locatário no qual o aplicativo é usado, permitindo o estabelecimento de uma identidade para entrada e/ou acesso aos recursos que estiverem sendo protegidos pelo locatário. Um aplicativo de locatário único tem apenas uma entidade de serviço (no locatário inicial) criada e com consentimento para uso durante o registro do aplicativo. Um aplicativo multilocatário também tem uma entidade de serviço criada em cada locatário, no qual o usuário que consentiu o uso.

Listar entidades de serviço associadas a um aplicativo

Você pode encontrar as entidades de serviço associadas a um objeto de aplicativo.

Get-MgServicePrincipal -Filter "appId eq '{AppId}'"

az ad sp list --filter "appId eq '{AppId}'"

Consequências da modificação e exclusão de aplicativos

As alterações feitas no objeto de aplicativo também são refletidas no objeto da entidade de serviço, somente no locatário inicial do aplicativo (no qual ele foi registrado). Isso significa que a exclusão de um objeto de aplicativo também excluirá seu objeto da entidade de serviço do locatário inicial. No entanto, a restauração desse objeto de aplicativo por meio da interface do usuário dos registros de aplicativo não vai restaurar a entidade de serviço correspondente. Para obter mais informações sobre exclusão e recuperação de aplicativos e dos respectivos objetos da entidade de serviço, confira Excluir e recuperar aplicativos e objetos da entidade de serviço.

Exemplo

O diagrama a seguir ilustra o relacionamento entre o objeto de aplicativo de um aplicativo e os objetos de entidade de serviço correspondentes, no contexto de um aplicativo multilocatário de exemplo chamado aplicativo de RH. Há três locatários do Microsoft Entra neste cenário de exemplo:

• Adatum: o locatário usado pela empresa que desenvolveu o aplicativo de RH
• Contoso: o locatário utilizado pela empresa Contoso, que é consumidora do aplicativo de HR
• Fabrikam: o locatário usado pela organização Fabrikam, que também consome o aplicativo de HR

Neste cenário de exemplo:

Próximas etapas

Saiba como criar uma entidade de serviço:

• Usar o centro de administração do Microsoft Entra
• Usar o Azure PowerShell
• Usar a CLI do Azure
• Usar o Microsoft Graph e o Explorador do Microsoft Graph para consultar os objetos do aplicativo e da entidade de serviço.