Uppdatera en apps begärda behörigheter i Microsoft Entra-ID

I det här avsnittet får du lära dig hur du lägger till behörigheter i statiskt medgivande.

Du kan lägga till behörigheter till statiskt medgivande på två olika sätt i administrationscentret för Microsoft Entra:

Alternativ 1: Lägg till behörigheter i fönstret API-behörigheter

1. Logga in på administrationscentret för Microsoft Entra som minst molnprogramadministratör eller programägare.
2. Bläddra till Identitetsprogram>> Appregistreringar> Alla program.
3. Leta upp den appregistrering som du vill lägga till behörigheter till och välj den. Du kan lägga till behörigheter på två olika sätt:
4. Lägg till behörigheter i fönstret API-behörigheter .

   1. Leta upp fönstret API-behörigheter och välj Lägg till en behörighet.

   2. Välj det API som du vill komma åt och den behörighet som du vill begära från listan över tillgängliga alternativ och välj Lägg till behörigheter.

      

Alternativ 2: Lägga till behörigheter i programmanifestet

1. I det vänstra navigeringsfönstret går du till menygruppen Hantera och väljer Manifest. Markeringen öppnar en redigerare som gör att du kan redigera attributen för appregistreringsobjektet direkt.
2. Redigera egenskapen noggrant requiredResourceAccess i programmets manifestfil.
3. resourceAppId Lägg till egenskapen och resourceAccess egenskapen och tilldela de behörigheter som krävs.
4. Spara ändringarna.

För att slutföra följande steg för att lägga till behörigheter behöver du följande resurser och behörigheter:

• Kör HTTP-begäranden i ett valfritt verktyg, till exempel i din app eller via Graph Explorer.
• Kör API:erna som en användare med minst en molnprogramadministratör eller som ägare av målappregistreringen.
• Den app som används för att göra dessa ändringar måste beviljas behörigheten Application.ReadWrite.All .

1. Identifiera de behörigheter som din app kräver, deras behörighets-ID:n och om de är approller (programbehörigheter) eller delegerade behörigheter. Om du till exempel vill begära Microsoft Graph-behörigheter läser du Microsoft Graph-behörigheter för en lista över behörigheter och deras ID:n.

2. Lägg till nödvändiga Microsoft Graph-behörigheter i din app. I följande exempel anropas API:et För uppdateringsprogram för att lägga till nödvändiga Microsoft Graph-behörigheter till en appregistrering som identifieras av objekt-ID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb. I det här exemplet används Analytics.Read och Application.Read.All delegeras behörighet och programbehörighet. Microsoft Graph identifieras som ett ServicePrincipal-objekt med 00000003-0000-0000-c000-000000000000 som globalt unikt AppId.

   PATCH https://graph.microsoft.com/v1.0/applications/aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
   Content-Type: application/json
    {
        "requiredResourceAccess": [
            {
                "resourceAppId": "00000003-0000-0000-c000-000000000000",
                "resourceAccess": [
                    {
                        "id": "e03cf23f-8056-446a-8994-7d93dfc8b50e",
                        "type": "Scope"
                    },
                    {
                        "id": "9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30",
                        "type": "Role"
                    }
                ]
            }
        ]
    }
   

Lägga till behörigheter i dynamiskt medgivande

Dynamiskt medgivande är ett sätt att begära behörigheter från användare eller administratörer vid körning i stället för att statiskt deklarera dem i fönstret Appregistreringar. Med dynamiskt medgivande kan appen bara be om de behörigheter den behöver för en specifik funktion och få medgivande från användaren eller administratören när det behövs. Dynamiskt medgivande kan användas med delegerade behörigheter och kan kombineras med omfånget /.default för att begära administratörsmedgivande för alla behörigheter.

Så här lägger du till behörigheter i dynamiskt medgivande:

• Använd Microsoft Graph: Lägg till nödvändiga Microsoft Graph-behörigheter i en appregistrering. I det här exemplet används Analytics.Read och Application.Read.All delegeras behörighet och programbehörighet. Ersätt värdena i "omfång" med värden för alla Microsoft Graph-delegerade behörigheter som du vill konfigurera för appen.

  Begäran bör se ut som i följande exempel:

  https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=00001111-aaaa-2222-bbbb-3333cccc4444&response_type=code&scope=Analytics.Read+Application.Read

• Använd MSAL.js: Ersätt värdena i "omfång" med värden för alla Microsoft Graph-delegerade behörigheter som du vill konfigurera för appen.

    const Request = {
        scopes: ["openid", "profile"],
        loginHint: "example@domain.net"
    };
  
    myMSALObj.ssoSilent(Request)
        .then((response) => {
            // your logic
        }).catch(error => {
            console.error("Silent Error: " + error);
            if (error instanceof msal.InteractionRequiredAuthError) {
                myMSALObj.loginRedirect(loginRequest);
            }
    });
  

Om du vill sluta begära behörigheter som kräver statiskt medgivande måste du ta bort behörigheten från fönstret Appregistreringar. En administratör för klientorganisationen måste också återkalla behörigheten i fönstret Företagsprogram . Mer information om hur du återkallar behörigheter som beviljats ett företagsprogram finns i Återkalla behörigheter för ett företagsprogram.

I det här avsnittet får du lära dig hur du slutar begära behörigheter för statiskt medgivande.

Du kan ta bort behörigheter från statiskt medgivande på två olika sätt i administrationscentret för Microsoft Entra:

Alternativ 1: Från fönstret API-behörigheter

1. Logga in på administrationscentret för Microsoft Entra som minst molnprogramadministratör eller programägare.
2. Bläddra till Identitetsprogram>> Appregistreringar> Alla program.
3. Leta upp den appregistrering som du vill ta bort behörigheter från och välj den.
4. Ta bort behörigheterna från fönstret API-behörigheter :

   1. Leta upp fönstret API-behörigheter och leta reda på de behörigheter som du vill ta bort.

   2. Välj det API som du vill ta bort och välj Återkalla administratörsmedgivande först och ta bort behörigheten härnäst. Det säkerställer att den beviljade behörigheten tas bort från din klientorganisation.

      

Alternativ 2: Från programmanifestet

1. I det vänstra navigeringsfönstret går du till menygruppen Hantera och väljer Manifest. En redigerare öppnas som gör att du kan redigera attributen för appregistreringsobjektet direkt.
2. Redigera egenskapen noggrant requiredResourceAccess i programmets manifestfil.
3. Ta bort de behörigheter som inte behövs från resourceAppId egenskapen och resourceAccess egenskapen.
4. Spara ändringarna.

För att slutföra följande steg för att ta bort behörigheter behöver du följande resurser och behörigheter:

• Kör HTTP-begäranden i ett valfritt verktyg, till exempel i din app eller via Graph Explorer.
• Anropa API:erna som minst molnprogramadministratör eller som ägare av målappregistreringen.
• Den app som används för att göra dessa ändringar måste beviljas behörigheten Application.ReadWrite.All .

1. Identifiera behörigheterna för din app.

2. Om du till exempel vill hindra din app från att begära Microsoft Graph-behörigheter identifierar du Microsoft Graph-behörigheterna för din app, deras behörighets-ID:n och om de är approller (programbehörigheter) eller delegerade behörigheter.

3. Ta bort oönskade Microsoft Graph-behörigheter från din app. I följande exempel anropas API:et Uppdatera program för att ta bort oönskade Microsoft Graph-behörigheter från en appregistrering som identifieras av ett exempelklient-ID 00001111-aaaa-2222-bbbb-3333cccc4444. I det här exemplet har Analytics.Readprogrammet , User.Readoch Application.Read.All. Vi måste ta bort Analytics.Read och Application.Read.All delegerad behörighet och programbehörighet. Microsoft Graph identifieras som ett ServicePrincipal-objekt med 00000003-0000-0000-c000-000000000000 som globalt unikt AppId och Microsoft Graph som dess DisplayName och AppDisplayName.

   PATCH https://graph.microsoft.com/v1.0/applications/00001111-aaaa-2222-bbbb-3333cccc4444
   Content-Type: application/json
   {
       "requiredResourceAccess": [
           {
               "resourceAppId": "00000003-0000-0000-c000-000000000000",
               "resourceAccess": [
                   {
                       "id": "311a71cc-e848-46a1-bdf8-97ff7156d8e6 ",
                       "type": "Scope"
                   }
               ]
           }
       ]
   }
   

Sluta begära behörigheter med dynamiskt medgivande

När du behöver ta bort delegerade behörigheter från begäran om dynamiskt medgivande anger du omfångsparametern samtidigt som du utelämnar de behörigheter som du vill ta bort. Om du tar bort behörigheterna ser du till att appen inte anropar motsvarande API.

Den här metoden fungerar bara för delegerade behörigheter. Programbehörigheter begärs och beviljas av en administratör via statiskt medgivande och ingår inte i omfångsparametern under OAuth 2.0-auktoriseringsbegäran.

Så här slutar du begära behörigheter med dynamiskt medgivande:

• Använda Microsoft Graph: Ta bort de oönskade Microsoft Graph-delegerade behörigheterna från parametern "scopes". I det här exemplet begär programmet tre delegerade behörigheter – Analytics.Readoch User.Read Application.Read. Delegerade behörigheter Analytics.Read och Application.Read krävs inte längre för den här appen. Det kräver User.Readbara .

Begäran bör likna följande exempel:

https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=00001111-aaaa-2222-bbbb-3333cccc4444&response_type=code&scope=User.Read

• med hjälp av MSAL.js: Ta bort oönskade Microsoft Graph-delegerade behörigheter i "omfång".

      const Request = {
          scopes: ["openid", "profile"],
          loginHint: "example@domain.net"
      };
  
      myMSALObj.ssoSilent(Request)
          .then((response) => {
              // your logic
          }).catch(error => {
              console.error("Silent Error: " + error);
              if (error instanceof msal.InteractionRequiredAuthError) {
                  myMSALObj.loginRedirect(loginRequest);
              }
      });