Обновление запрошенных разрешений приложения в идентификаторе Microsoft Entra

В этом разделе описано, как добавить разрешения в статическое согласие.

Вы можете добавить разрешения на статическое согласие двумя разными способами в Центре администрирования Microsoft Entra:

Вариант 1. Добавление разрешений в область разрешений API

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений или владелец приложения.
2. Перейдите к приложениям >identity>Регистрация приложений> All.
3. Найдите регистрацию приложения, к которой нужно добавить разрешения, и выберите его. Разрешения можно добавлять двумя способами:
4. Добавьте разрешения в область разрешений API.

   1. Найдите область разрешений API и нажмите кнопку "Добавить разрешение".

   2. Выберите API, к которому вы хотите получить доступ, и разрешение, которое требуется запросить из списка доступных параметров, и нажмите кнопку "Добавить разрешения".

      

Вариант 2. Добавление разрешений в манифест приложения

1. В области навигации слева в группе меню "Управление " выберите "Манифест". Выбор открывает редактор, позволяющий напрямую изменять атрибуты объекта регистрации приложения.
2. Тщательно редактируйте requiredResourceAccess свойство в файле манифеста приложения.
3. resourceAppId Добавьте свойство и resourceAccess свойство и назначьте необходимые разрешения.
4. Сохраните изменения.

Чтобы выполнить следующие действия по добавлению разрешений, вам потребуются следующие ресурсы и привилегии:

• Запустите HTTP-запросы в выбранном инструменте, например в приложении или в обозревателе Graph.
• Запустите API как пользователя с по крайней мере администратором облачных приложений или владельцем регистрации целевого приложения.
• Приложение, используемое для внесения этих изменений, должно быть предоставлено Application.ReadWrite.All разрешение.

1. Определите необходимые разрешения, идентификаторы разрешений и роли приложения (разрешения приложения) или делегированные разрешения. Например, если вы хотите запросить разрешения Microsoft Graph, ознакомьтесь с разрешениями Microsoft Graph для списка разрешений и их идентификаторов.

2. Добавьте необходимые разрешения Microsoft Graph в приложение. В следующем примере вызывается API приложения Update, чтобы добавить необходимые разрешения Microsoft Graph в регистрацию приложения, определяемую идентификатором aaaaaaaa-0000-1111-2222-bbbbbbbbbbbbобъекта. В этом примере используются Analytics.Read и Application.Read.All делегированные разрешения и разрешения приложения. Microsoft Graph определяется как объект ServicePrincipal с 00000003-0000-0000-c000-000000000000 его глобально уникальным AppId.

   PATCH https://graph.microsoft.com/v1.0/applications/aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
   Content-Type: application/json
    {
        "requiredResourceAccess": [
            {
                "resourceAppId": "00000003-0000-0000-c000-000000000000",
                "resourceAccess": [
                    {
                        "id": "e03cf23f-8056-446a-8994-7d93dfc8b50e",
                        "type": "Scope"
                    },
                    {
                        "id": "9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30",
                        "type": "Role"
                    }
                ]
            }
        ]
    }
   

Добавление разрешений в динамическое согласие

Динамическое согласие — это способ запроса разрешений от пользователей или администраторов во время выполнения, а не статически объявлять их в области Регистрация приложений. Динамическое согласие позволяет приложению запрашивать только разрешения, необходимые для определенной функциональности, и при необходимости получать согласие от пользователя или администратора. Динамическое согласие можно использовать с делегированными разрешениями и объединяться с /.default областью запроса согласия администратора для всех разрешений.

Чтобы добавить разрешения в динамическое согласие, выполните следующие действия.

• Используйте Microsoft Graph: добавьте необходимые разрешения Microsoft Graph в регистрацию приложения. В этом примере используются Analytics.Read и Application.Read.All делегированные разрешения и разрешения приложения. Замените значения в "области" значениями всех делегированных разрешений Microsoft Graph, которые необходимо настроить для приложения.

  Запрос должен быть похож на следующий пример:

  https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=00001111-aaaa-2222-bbbb-3333cccc4444&response_type=code&scope=Analytics.Read+Application.Read

• Используйте MSAL.js. Замените значения в "области" значениями всех делегированных разрешений Microsoft Graph, которые необходимо настроить для приложения.

    const Request = {
        scopes: ["openid", "profile"],
        loginHint: "example@domain.net"
    };
  
    myMSALObj.ssoSilent(Request)
        .then((response) => {
            // your logic
        }).catch(error => {
            console.error("Silent Error: " + error);
            if (error instanceof msal.InteractionRequiredAuthError) {
                myMSALObj.loginRedirect(loginRequest);
            }
    });
  

Чтобы остановить запрос разрешений, требующих статического согласия, необходимо удалить разрешение из области Регистрация приложений. Администратор клиента также должен отозвать разрешение на панель корпоративных приложений . Дополнительные сведения о том, как отозвать разрешения, предоставленные корпоративному приложению, см. в разделе "Отмена разрешений" для корпоративного приложения.

В этом разделе описано, как прекратить запрашивать разрешения для статического согласия.

Разрешения можно удалить из статического согласия двумя разными способами в Центре администрирования Microsoft Entra:

Вариант 1. В области разрешений API

1. Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений или владелец приложения.
2. Перейдите к приложениям >identity>Регистрация приложений> All.
3. Найдите регистрацию приложения, из которой нужно удалить разрешения, и выберите его.
4. Удалите разрешения из области разрешений API:

   1. Найдите область разрешений API и найдите разрешения, которые нужно удалить.

   2. Выберите API, который вы хотите удалить, и сначала нажмите кнопку "Отозвать согласие администратора" и удалите разрешение далее. Это гарантирует, что предоставленные разрешения удаляются из вашего клиента.

      

Вариант 2. Из манифеста приложения

1. В области навигации слева в группе меню "Управление " выберите "Манифест". Откроется редактор, позволяющий напрямую редактировать атрибуты объекта регистрации приложения.
2. Тщательно редактируйте requiredResourceAccess свойство в файле манифеста приложения.
3. Удалите ненужные разрешения из resourceAppId свойства и resourceAccess свойства.
4. Сохраните изменения.

Чтобы выполнить следующие действия по удалению разрешений, вам потребуются следующие ресурсы и привилегии:

• Запустите HTTP-запросы в выбранном инструменте, например в приложении или в обозревателе Graph.
• Вызовите API по крайней мере администратором облачных приложений или владельцем регистрации целевого приложения.
• Приложение, используемое для внесения этих изменений, должно быть предоставлено Application.ReadWrite.All разрешение.

1. Определите разрешения для приложения.

2. Например, чтобы запретить приложению запрашивать разрешения Microsoft Graph, определять разрешения Microsoft Graph для приложения, их идентификаторы разрешений и роли приложения (разрешения приложения) или делегированные разрешения.

3. Удалите нежелательные разрешения Microsoft Graph из приложения. В следующем примере вызывается API приложения обновления, чтобы удалить нежелательные разрешения Microsoft Graph из регистрации приложения, определяемого примером идентификатора 00001111-aaaa-2222-bbbb-3333cccc4444клиента. В этом примере приложение имеет Analytics.Readи User.ReadApplication.Read.All. Нам нужно удалить Analytics.Read и делегировать разрешения и Application.Read.All разрешения приложения. Microsoft Graph определяется как объект ServicePrincipal с 00000003-0000-0000-c000-000000000000 его глобально уникальным AppId и Microsoft Graph как его DisplayName и AppDisplayName.

   PATCH https://graph.microsoft.com/v1.0/applications/00001111-aaaa-2222-bbbb-3333cccc4444
   Content-Type: application/json
   {
       "requiredResourceAccess": [
           {
               "resourceAppId": "00000003-0000-0000-c000-000000000000",
               "resourceAccess": [
                   {
                       "id": "311a71cc-e848-46a1-bdf8-97ff7156d8e6 ",
                       "type": "Scope"
                   }
               ]
           }
       ]
   }
   

Остановка запроса разрешений с динамическим согласием

Если необходимо удалить делегированные разрешения из динамического запроса согласия, укажите параметр области, оставив разрешения, которые требуется удалить. Удаление разрешений гарантирует, что приложение не вызывает соответствующий API.

Этот метод работает только для делегированных разрешений. Разрешения приложения запрашиваются и предоставляются администратором через статическое согласие и не включаются в параметр области во время запроса авторизации OAuth 2.0.

Чтобы остановить запрос разрешений с динамическим согласием, выполните следующие действия.

• Использование Microsoft Graph: удалите нежелательные делегированные разрешения Microsoft Graph из параметра "области". В этом примере приложение запрашивает три делегированных разрешения — Analytics.ReadUser.Read и Application.Read. Делегированные Analytics.Read разрешения и Application.Read больше не требуются для этого приложения. Для этого требуется User.Readтолько .

Запрос должен быть похож на следующий пример:

https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=00001111-aaaa-2222-bbbb-3333cccc4444&response_type=code&scope=User.Read

• с помощью MSAL.js. Удалите нежелательные делегированные разрешения Microsoft Graph в области.

      const Request = {
          scopes: ["openid", "profile"],
          loginHint: "example@domain.net"
      };
  
      myMSALObj.ssoSilent(Request)
          .then((response) => {
              // your logic
          }).catch(error => {
              console.error("Silent Error: " + error);
              if (error instanceof msal.InteractionRequiredAuthError) {
                  myMSALObj.loginRedirect(loginRequest);
              }
      });