Configurar permissões do Azure AD Graph para um registo de aplicações

Artigo
08/17/2024

O Graph do Azure Active Directory (Azure AD) foi preterido e está no seu caminho de descontinuação. Recomendamos que siga a lista de verificação Planeamento da migração de aplicações para o ajudar a migrar as suas aplicações para o Microsoft Graph.

A sua aplicação ainda poderá necessitar temporariamente de permissões do Azure AD Graph para aceder aos recursos. Pode seguir um dos três métodos descritos neste artigo para configurar as permissões do Azure AD Graph para o registo de aplicações:

Cuidado

Qualquer aplicação que utilize o Graph do Azure AD continuará a deixar de funcionar depois de a API ser descontinuada. Para obter mais informações, veja Migrar aplicações do Azure AD Graph para o Microsoft Graph.

Pré-requisitos

Os passos neste artigo requerem dois conjuntos de privilégios:

Privilégios para adicionar permissões a um registo de aplicações
Privilégios para conceder essas permissões ao registo de aplicações

Um utilizador com, pelo menos, a função Administrador de Funções Privilegiadas pode fazer as duas coisas, enquanto um utilizador com a função Administrador de Aplicações ou Administrador de Aplicações na Cloud só pode adicionar as permissões. Para o ajudar a impor a separação de deveres e o menor acesso ao privilégio, separe as tarefas de adicionar permissões e conceder permissões a diferentes utilizadores. Para obter mais informações sobre as ações suportadas por estas funções, consulte Funções incorporadas do Microsoft Entra.

Além disso, precisa dos seguintes recursos e privilégios:

Inicie sessão num cliente de API, como o Graph Explorer , para executar os pedidos HTTP.
A aplicação utilizada para efetuar estas alterações tem de ter a Application.ReadWrite.All permissão concedida.

Utilizar a API de aplicações do Microsoft Graph

O objeto de aplicação do Microsoft Graph inclui uma propriedade requiredResourceAccess que é uma coleção de objetos com informações sobre a API de recursos e permissões. Utilize esta propriedade para configurar permissões do Azure AD Graph, conforme descrito nos passos seguintes.

Passo 1: identificar os IDs de permissão para as permissões do Azure AD Graph necessárias para a sua aplicação

Identifique as permissões do Azure AD Graph necessárias para a sua aplicação, os respetivos IDs de permissão e se são funções de aplicação (permissões de aplicação) ou oauth2PermissionScopes (permissões delegadas). Para obter mais informações, veja Referência de permissões do Azure AD Graph.

O Azure AD Graph é identificado como um objeto servicePrincipal com 00000002-0000-0000-c000-000000000000 o seu appId globalmente exclusivo e Windows Azure Active Directory como displayName e appDisplayName. Execute o seguinte pedido para obter o objeto do principal de serviço do Azure AD Graph no seu inquilino.

Solicitação

GET https://graph.microsoft.com/v1.0/servicePrincipals?$filter=appId eq '00000002-0000-0000-c000-000000000000'


// Code snippets are only available for the latest version. Current version is 5.x

// To initialize your graphClient, see https://video2.skills-academy.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.ServicePrincipals.GetAsync((requestConfiguration) =>
{
	requestConfiguration.QueryParameters.Filter = "appId eq '00000002-0000-0000-c000-000000000000'";
});



mgc service-principals list --filter "appId eq '00000002-0000-0000-c000-000000000000'"



// Code snippets are only available for the latest major version. Current major version is $v1.*

// Dependencies
import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-sdk-go"
	  graphserviceprincipals "github.com/microsoftgraph/msgraph-sdk-go/serviceprincipals"
	  //other-imports
)


requestFilter := "appId eq '00000002-0000-0000-c000-000000000000'"

requestParameters := &graphserviceprincipals.ServicePrincipalsRequestBuilderGetQueryParameters{
	Filter: &requestFilter,
}
configuration := &graphserviceprincipals.ServicePrincipalsRequestBuilderGetRequestConfiguration{
	QueryParameters: requestParameters,
}

// To initialize your graphClient, see https://video2.skills-academy.com/en-us/graph/sdks/create-client?from=snippets&tabs=go
servicePrincipals, err := graphClient.ServicePrincipals().Get(context.Background(), configuration)


// Code snippets are only available for the latest version. Current version is 6.x

GraphServiceClient graphClient = new GraphServiceClient(requestAdapter);

ServicePrincipalCollectionResponse result = graphClient.servicePrincipals().get(requestConfiguration -> {
	requestConfiguration.queryParameters.filter = "appId eq '00000002-0000-0000-c000-000000000000'";
});


const options = {
	authProvider,
};

const client = Client.init(options);

let servicePrincipals = await client.api('/servicePrincipals')
	.filter('appId eq \'00000002-0000-0000-c000-000000000000\'')
	.get();


<?php
use Microsoft\Graph\GraphServiceClient;
use Microsoft\Graph\Generated\ServicePrincipals\ServicePrincipalsRequestBuilderGetRequestConfiguration;


$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestConfiguration = new ServicePrincipalsRequestBuilderGetRequestConfiguration();
$queryParameters = ServicePrincipalsRequestBuilderGetRequestConfiguration::createQueryParameters();
$queryParameters->filter = "appId eq '00000002-0000-0000-c000-000000000000'";
$requestConfiguration->queryParameters = $queryParameters;


$result = $graphServiceClient->servicePrincipals()->get($requestConfiguration)->wait();


Import-Module Microsoft.Graph.Applications

Get-MgServicePrincipal -Filter "appId eq '00000002-0000-0000-c000-000000000000'"


# Code snippets are only available for the latest version. Current version is 1.x
from msgraph import GraphServiceClient
from msgraph.generated.service_principals.service_principals_request_builder import ServicePrincipalsRequestBuilder
from kiota_abstractions.base_request_configuration import RequestConfiguration
# To initialize your graph_client, see https://video2.skills-academy.com/en-us/graph/sdks/create-client?from=snippets&tabs=python
query_params = ServicePrincipalsRequestBuilder.ServicePrincipalsRequestBuilderGetQueryParameters(
		filter = "appId eq '00000002-0000-0000-c000-000000000000'",
)

request_configuration = RequestConfiguration(
query_parameters = query_params,
)

result = await graph_client.service_principals.get(request_configuration = request_configuration)

Resposta

No objeto de resposta, os detalhes das permissões de aplicação do Azure AD Graph são listados no objeto appRoles , enquanto os detalhes das permissões delegadas estão listados no objeto oauth2PermissionScopes .

HTTP/1.1 200 OK
Content-type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#servicePrincipals",
    "value": [
        {
            "id": "1804a6f8-e623-4520-8f40-ba1b0c11c42d",
            "accountEnabled": true,
            "appDisplayName": "Windows Azure Active Directory",
            "appDescription": null,
            "appId": "00000002-0000-0000-c000-000000000000",
            "appOwnerOrganizationId": "f8cdef31-a31e-4b4a-93e4-5f571e91255a",
            "appRoleAssignmentRequired": false,
            "displayName": "Windows Azure Active Directory",
            "servicePrincipalNames": [
                "https://graph.windows.net",
                "00000002-0000-0000-c000-000000000000/graph.microsoftazure.us",
                "00000002-0000-0000-c000-000000000000/graph.windows.net",
                "00000002-0000-0000-c000-000000000000/directory.windows.net",
                "00000002-0000-0000-c000-000000000000",
                "https://graph.windows.net/",
                "https://graph.microsoftazure.us"
            ],
            "servicePrincipalType": "Application",
            "signInAudience": "AzureADMultipleOrgs",
            "appRoles": [
                {
                    "allowedMemberTypes": [
                        "Application"
                    ],
                    "description": "Allows the app to read applications and service principals without a signed-in user",
                    "displayName": "Read all applications",
                    "id": "3afa6a7d-9b1a-42eb-948e-1650a849e176",
                    "isEnabled": true,
                    "origin": "Application",
                    "value": "Application.Read.All"
                }
            ],
            "oauth2PermissionScopes": [
                {
                    "adminConsentDescription": "Allows users to sign in to the app, and allows the app to read the profile of signed-in users. It also allow the app to read basic company information of signed-in users.",
                    "adminConsentDisplayName": "Sign in and read user profile",
                    "id": "311a71cc-e848-46a1-bdf8-97ff7156d8e6",
                    "isEnabled": true,
                    "type": "User",
                    "userConsentDescription": "Allows you to sign in to the app with your work account and let the app read your profile. It also allows the app to read basic company information.",
                    "userConsentDisplayName": "Sign you in and read your profile",
                    "value": "User.Read"
                }
            ]
        }
    ]
}

Na saída truncada anterior, 311a71cc-e848-46a1-bdf8-97ff7156d8e6 encontra-se o ID de permissão para a permissão delegada User.Read , enquanto 3afa6a7d-9b1a-42eb-948e-1650a849e176 é o ID de permissão da permissão Application.Read.All no Azure AD Graph.

Passo 2: Adicionar permissões do Azure AD Graph à sua aplicação

O exemplo seguinte chama a API de Atualização da aplicação para adicionar as permissões Utilizador.Ler e Aplicação.Read.All delegadas e da aplicação a um registo de aplicações identificado pelo ID 581088ba-83c5-4975-b8af-11d2d7a76e98do objeto .

Importante

Para atualizar a propriedade requiredResourceAccess , tem de transmitir as permissões existentes e novas. Transmitir apenas novas permissões substitui e remove as permissões existentes.

Solicitação

PATCH https://graph.microsoft.com/v1.0/applications/581088ba-83c5-4975-b8af-11d2d7a76e98
Content-Type: application/json

{
    "requiredResourceAccess": [
        {
            "resourceAppId": "00000002-0000-0000-c000-000000000000",
            "resourceAccess": [
                {
                    "id": "311a71cc-e848-46a1-bdf8-97ff7156d8e6",
                    "type": "Scope"
                },
                {
                    "id": "3afa6a7d-9b1a-42eb-948e-1650a849e176",
                    "type": "Role"
                }
            ]
        }
    ]
}


// Code snippets are only available for the latest version. Current version is 5.x

// Dependencies
using Microsoft.Graph.Models;

var requestBody = new Application
{
	RequiredResourceAccess = new List<RequiredResourceAccess>
	{
		new RequiredResourceAccess
		{
			ResourceAppId = "00000002-0000-0000-c000-000000000000",
			ResourceAccess = new List<ResourceAccess>
			{
				new ResourceAccess
				{
					Id = Guid.Parse("311a71cc-e848-46a1-bdf8-97ff7156d8e6"),
					Type = "Scope",
				},
				new ResourceAccess
				{
					Id = Guid.Parse("3afa6a7d-9b1a-42eb-948e-1650a849e176"),
					Type = "Role",
				},
			},
		},
	},
};

// To initialize your graphClient, see https://video2.skills-academy.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Applications["{application-id}"].PatchAsync(requestBody);



mgc applications patch --application-id {application-id} --body '{\
    "requiredResourceAccess": [\
        {\
            "resourceAppId": "00000002-0000-0000-c000-000000000000",\
            "resourceAccess": [\
                {\
                    "id": "311a71cc-e848-46a1-bdf8-97ff7156d8e6",\
                    "type": "Scope"\
                },\
                {\
                    "id": "3afa6a7d-9b1a-42eb-948e-1650a849e176",\
                    "type": "Role"\
                }\
            ]\
        }\
    ]\
}\
'



// Code snippets are only available for the latest major version. Current major version is $v1.*

// Dependencies
import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-sdk-go"
	  graphmodels "github.com/microsoftgraph/msgraph-sdk-go/models"
	  //other-imports
)

requestBody := graphmodels.NewApplication()


requiredResourceAccess := graphmodels.NewRequiredResourceAccess()
resourceAppId := "00000002-0000-0000-c000-000000000000"
requiredResourceAccess.SetResourceAppId(&resourceAppId) 


resourceAccess := graphmodels.NewResourceAccess()
id := uuid.MustParse("311a71cc-e848-46a1-bdf8-97ff7156d8e6")
resourceAccess.SetId(&id) 
type := "Scope"
resourceAccess.SetType(&type) 
resourceAccess1 := graphmodels.NewResourceAccess()
id := uuid.MustParse("3afa6a7d-9b1a-42eb-948e-1650a849e176")
resourceAccess1.SetId(&id) 
type := "Role"
resourceAccess1.SetType(&type) 

resourceAccess := []graphmodels.ResourceAccessable {
	resourceAccess,
	resourceAccess1,
}
requiredResourceAccess.SetResourceAccess(resourceAccess)

requiredResourceAccess := []graphmodels.RequiredResourceAccessable {
	requiredResourceAccess,
}
requestBody.SetRequiredResourceAccess(requiredResourceAccess)

// To initialize your graphClient, see https://video2.skills-academy.com/en-us/graph/sdks/create-client?from=snippets&tabs=go
applications, err := graphClient.Applications().ByApplicationId("application-id").Patch(context.Background(), requestBody, nil)


// Code snippets are only available for the latest version. Current version is 6.x

GraphServiceClient graphClient = new GraphServiceClient(requestAdapter);

Application application = new Application();
LinkedList<RequiredResourceAccess> requiredResourceAccess = new LinkedList<RequiredResourceAccess>();
RequiredResourceAccess requiredResourceAccess1 = new RequiredResourceAccess();
requiredResourceAccess1.setResourceAppId("00000002-0000-0000-c000-000000000000");
LinkedList<ResourceAccess> resourceAccess = new LinkedList<ResourceAccess>();
ResourceAccess resourceAccess1 = new ResourceAccess();
resourceAccess1.setId(UUID.fromString("311a71cc-e848-46a1-bdf8-97ff7156d8e6"));
resourceAccess1.setType("Scope");
resourceAccess.add(resourceAccess1);
ResourceAccess resourceAccess2 = new ResourceAccess();
resourceAccess2.setId(UUID.fromString("3afa6a7d-9b1a-42eb-948e-1650a849e176"));
resourceAccess2.setType("Role");
resourceAccess.add(resourceAccess2);
requiredResourceAccess1.setResourceAccess(resourceAccess);
requiredResourceAccess.add(requiredResourceAccess1);
application.setRequiredResourceAccess(requiredResourceAccess);
Application result = graphClient.applications().byApplicationId("{application-id}").patch(application);


const options = {
	authProvider,
};

const client = Client.init(options);

const application = {
    requiredResourceAccess: [
        {
            resourceAppId: '00000002-0000-0000-c000-000000000000',
            resourceAccess: [
                {
                    id: '311a71cc-e848-46a1-bdf8-97ff7156d8e6',
                    type: 'Scope'
                },
                {
                    id: '3afa6a7d-9b1a-42eb-948e-1650a849e176',
                    type: 'Role'
                }
            ]
        }
    ]
};

await client.api('/applications/581088ba-83c5-4975-b8af-11d2d7a76e98')
	.update(application);


<?php
use Microsoft\Graph\GraphServiceClient;
use Microsoft\Graph\Generated\Models\Application;
use Microsoft\Graph\Generated\Models\RequiredResourceAccess;
use Microsoft\Graph\Generated\Models\ResourceAccess;


$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestBody = new Application();
$requiredResourceAccessRequiredResourceAccess1 = new RequiredResourceAccess();
$requiredResourceAccessRequiredResourceAccess1->setResourceAppId('00000002-0000-0000-c000-000000000000');
$resourceAccessResourceAccess1 = new ResourceAccess();
$resourceAccessResourceAccess1->setId('311a71cc-e848-46a1-bdf8-97ff7156d8e6');
$resourceAccessResourceAccess1->setType('Scope');
$resourceAccessArray []= $resourceAccessResourceAccess1;
$resourceAccessResourceAccess2 = new ResourceAccess();
$resourceAccessResourceAccess2->setId('3afa6a7d-9b1a-42eb-948e-1650a849e176');
$resourceAccessResourceAccess2->setType('Role');
$resourceAccessArray []= $resourceAccessResourceAccess2;
$requiredResourceAccessRequiredResourceAccess1->setResourceAccess($resourceAccessArray);

$requiredResourceAccessArray []= $requiredResourceAccessRequiredResourceAccess1;
$requestBody->setRequiredResourceAccess($requiredResourceAccessArray);


$result = $graphServiceClient->applications()->byApplicationId('application-id')->patch($requestBody)->wait();


Import-Module Microsoft.Graph.Applications

$params = @{
	requiredResourceAccess = @(
		@{
			resourceAppId = "00000002-0000-0000-c000-000000000000"
			resourceAccess = @(
				@{
					id = "311a71cc-e848-46a1-bdf8-97ff7156d8e6"
					type = "Scope"
				}
				@{
					id = "3afa6a7d-9b1a-42eb-948e-1650a849e176"
					type = "Role"
				}
			)
		}
	)
}

Update-MgApplication -ApplicationId $applicationId -BodyParameter $params


# Code snippets are only available for the latest version. Current version is 1.x
from msgraph import GraphServiceClient
from msgraph.generated.models.application import Application
from msgraph.generated.models.required_resource_access import RequiredResourceAccess
from msgraph.generated.models.resource_access import ResourceAccess
# To initialize your graph_client, see https://video2.skills-academy.com/en-us/graph/sdks/create-client?from=snippets&tabs=python
request_body = Application(
	required_resource_access = [
		RequiredResourceAccess(
			resource_app_id = "00000002-0000-0000-c000-000000000000",
			resource_access = [
				ResourceAccess(
					id = UUID("311a71cc-e848-46a1-bdf8-97ff7156d8e6"),
					type = "Scope",
				),
				ResourceAccess(
					id = UUID("3afa6a7d-9b1a-42eb-948e-1650a849e176"),
					type = "Role",
				),
			],
		),
	],
)

result = await graph_client.applications.by_application_id('application-id').patch(request_body)

Resposta

HTTP/1.1 204 No Content

Passo 3: verificar se as permissões do Azure AD Graph foram adicionadas à sua aplicação

Verifique se o registo da aplicação tem as permissões da Graph API do Azure AD que adicionou no Passo 2 ao:

Chamar o ponto final GET /application/{id} do Microsoft Graph e ler a propriedade requiredResourceAccess da seguinte forma:

GET https://graph.microsoft.com/v1.0/applications/581088ba-83c5-4975-b8af-11d2d7a76e98?$select=id,requiredResourceAccess

A verificar a página Registos de aplicações no centro de administração do Microsoft Entra.

Apesar de ter adicionado permissões do Azure AD Graph, não concedeu estas permissões à aplicação. Muitas permissões requerem o consentimento do administrador antes de poderem ser utilizadas para aceder a dados organizacionais. Inicie sessão no centro de administração do Microsoft Entra como um administrador de função com privilégios e conceda o consentimento do administrador para as permissões para o registo de aplicações.

Ao utilizar o Microsoft Graph e quaisquer SDKs relacionados, pode conceder permissões para um registo de aplicações sem a necessidade de utilizar o centro de administração do Microsoft Entra e selecionar o botão Conceder consentimento de administrador para [Empresa] na página permissões da API. Para obter mais informações, veja Conceder ou revogar permissões de API programaticamente.

Utilizar o centro de administração do Microsoft Entra para localizar as APIs que a sua organização utiliza

Entre no Centro de administração do Microsoft Entra.
ExpandaAplicações> de Identidade> selecione Registos de aplicações.
Na janela Registos de aplicações , no separador Todas as aplicações , selecione a aplicação à qual pretende adicionar permissões do Azure AD Graph.
No painel esquerdo da janela, no grupo de menus Gerir , selecione Permissões de API. Na janela Permissões configuradas , selecione Adicionar uma permissão.
Na janela Pedir permissões da API , mude para as APIs que a minha organização utiliza e procure Windows Azure Active Directory ou 00000002-0000-0000-c000-000000000000. Selecione a partir do conjunto de resultados filtrado para revelar a janela permissões do Azure Active Directory Graph .
Selecione o separador Permissões delegadas ou Permissões da aplicação para escolher a partir da lista de permissões delegadas e de aplicação, respetivamente. Selecione Adicionar permissões para adicionar a permissão ao registo de aplicações.
Depois de adicionar as permissões de que precisa, na janela Permissões configuradas , selecione Conceder consentimento do administrador para conceder as permissões do Azure AD Graph ao registo de aplicações.

Atualizar o manifesto da aplicação no centro de administração do Microsoft Entra

Entre no Centro de administração do Microsoft Entra.
Expanda o menu >IdentidadeAs aplicações> selecionam Registos de aplicações.
Na janela Registos de aplicações , no separador Todas as aplicações , selecione a aplicação à qual pretende adicionar permissões do Azure AD Graph.
No painel esquerdo da janela, no grupo de menus Gerir , selecione Manifesto para abrir um editor que lhe permita editar diretamente os atributos do objeto de registo de aplicações.
Edite cuidadosamente a propriedade requiredResourceAccess no manifesto da aplicação para adicionar os seguintes detalhes:

Dica

A. Pode editar o manifesto da aplicação no centro de administração do Microsoft Entra ou selecionar Transferir para editar o manifesto localmente e, em seguida, utilizar Carregar para voltar a aplicá-lo à sua aplicação.

B. Para saber mais sobre como configurar a propriedade requiredResourceAccess , veja requiredResourceAccess resource type (Tipo de recurso requiredResourceAccess).

C. Veja a referência de permissões do Azure AD Graph para obter detalhes sobre os nomes, IDs e tipos de permissões do Azure AD Graph.

5.1. Se a aplicação não tiver permissões atribuídas ao Azure AD Graph, adicione a propriedade resourceAppId e atribua o valor 00000002-0000-0000-c000-000000000000 que representa o Azure AD Graph.

5.2. Adicione a propriedade resourceAccess e configure as permissões.

O fragmento JSON seguinte mostra uma propriedade requiredResourceAccess com o Azure AD Graph como recurso e atribuiu a propriedade User.Read e Application.Read.All oauth2PermissionScope (permissão delegada) e appRole (permissão de aplicação), respetivamente.
```
"requiredResourceAccess": [
    {
        "resourceAppId": "00000002-0000-0000-c000-000000000000",
        "resourceAccess": [
            {
                "id": "311a71cc-e848-46a1-bdf8-97ff7156d8e6",
                "type": "Scope"
            },
            {
                "id": "3afa6a7d-9b1a-42eb-948e-1650a849e176",
                "type": "Role"
            }
        ]
    }
],
```
Salve suas alterações.
Novamente no grupo de menus Gerir , selecione Permissões de API e, em Permissões configuradas para o registo de aplicações, selecione Conceder consentimento do administrador para conceder permissões ao Graph do Azure AD para o registo de aplicações.

Partilhar via

Configurar permissões do Azure AD Graph para um registo de aplicações

Pré-requisitos

Utilizar a API de aplicações do Microsoft Graph

Passo 1: identificar os IDs de permissão para as permissões do Azure AD Graph necessárias para a sua aplicação

Solicitação

Resposta

Passo 2: Adicionar permissões do Azure AD Graph à sua aplicação

Solicitação

Resposta

Passo 3: verificar se as permissões do Azure AD Graph foram adicionadas à sua aplicação

Utilizar o centro de administração do Microsoft Entra para localizar as APIs que a sua organização utiliza

Atualizar o manifesto da aplicação no centro de administração do Microsoft Entra

Comentários

Recursos adicionais

Partilhar via

Configurar permissões do Azure AD Graph para um registo de aplicações

Pré-requisitos

Utilizar a API de aplicações do Microsoft Graph

Passo 1: identificar os IDs de permissão para as permissões do Azure AD Graph necessárias para a sua aplicação

Solicitação

Resposta

Passo 2: Adicionar permissões do Azure AD Graph à sua aplicação

Solicitação

Resposta

Passo 3: verificar se as permissões do Azure AD Graph foram adicionadas à sua aplicação

Passo 4: Conceder consentimento do administrador

Conceder permissões de API sem utilizar o pedido de consentimento

Utilizar o centro de administração do Microsoft Entra para localizar as APIs que a sua organização utiliza

Atualizar o manifesto da aplicação no centro de administração do Microsoft Entra

Conteúdo relacionado

Comentários

Recursos adicionais