Microsoft Entra Id'de bir uygulamanın istenen izinlerini güncelleştirme

Bu bölümde, statik onaya izin eklemeyi öğreneceksiniz.

Microsoft Entra yönetim merkezinde statik onaya iki farklı yolla izin ekleyebilirsiniz:

1. Seçenek: API izinleri bölmesine izin ekleme

1. Microsoft Entra yönetim merkezinde en az Bir Bulut Uygulaması Yöneticisi veya uygulama sahibi olarak oturum açın.
2. Kimlik>Uygulamaları> Uygulama kayıtları> Tüm uygulamalar'a göz atın.
3. İzin eklemek istediğiniz uygulama kaydını bulun ve seçin. İzinleri iki farklı yolla ekleyebilirsiniz:
4. API izinleri bölmesine izinler ekleyin.

   1. API izinleri bölmesini bulun ve İzin ekle'yi seçin.

   2. Erişmek istediğiniz API'yi ve kullanılabilir seçenekler listesinden istemek istediğiniz izni seçin ve İzin ekle'yi seçin.

      

2. Seçenek: Uygulama bildirimine izin ekleme

1. Sol gezinti bölmesindeki Yönet menü grubunun altında Bildirim'i seçin. Seçim, uygulama kayıt nesnesinin özniteliklerini doğrudan düzenlemenizi sağlayan bir düzenleyici açar.
2. Uygulamanın bildirim dosyasındaki özelliği dikkatlice düzenleyin requiredResourceAccess .
3. resourceAppId Özelliğini ve özelliğini ekleyin ve resourceAccess gerekli izinleri atayın.
4. Değişikliklerinizi kaydedin.

İzin eklemenin aşağıdaki adımlarını tamamlamak için aşağıdaki kaynaklara ve ayrıcalıklara ihtiyacınız vardır:

• HTTP isteklerini seçtiğiniz bir araçta (örneğin, uygulamanızda veya Graph Gezgini aracılığıyla) çalıştırın.
• API'leri en az Bulut Uygulaması Yöneticisi olan bir kullanıcı olarak veya hedef uygulama kaydının sahibi olarak çalıştırın.
• Bu değişiklikleri yapmak için kullanılan uygulamaya izin verilmelidir Application.ReadWrite.All .

1. Uygulamanızın gerektirdiği izinleri, izin kimliklerini ve bunların uygulama rolleri (uygulama izinleri) veya temsilci izinleri olup olmadığını belirleyin. Örneğin, Microsoft Graph izinleri istemek istiyorsanız, izinlerin ve kimliklerinin listesi için bkz. Microsoft Graph izinleri.

2. Gerekli Microsoft Graph izinlerini uygulamanıza ekleyin. Aşağıdaki örnek, nesne kimliğiyle aaaaaaaa-0000-1111-2222-bbbbbbbbbbbbtanımlanan bir uygulama kaydına gerekli Microsoft Graph izinlerini eklemek için Uygulama güncelleştirme API'sini çağırır. Bu örnek, izin ve Application.Read.All uygulama iznini kullanır Analytics.Read ve temsilci olarak verir. Microsoft Graph, ile genel 00000003-0000-0000-c000-000000000000 olarak benzersiz AppIdolan bir ServicePrincipal nesnesi olarak tanımlanır.

   PATCH https://graph.microsoft.com/v1.0/applications/aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
   Content-Type: application/json
    {
        "requiredResourceAccess": [
            {
                "resourceAppId": "00000003-0000-0000-c000-000000000000",
                "resourceAccess": [
                    {
                        "id": "e03cf23f-8056-446a-8994-7d93dfc8b50e",
                        "type": "Scope"
                    },
                    {
                        "id": "9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30",
                        "type": "Role"
                    }
                ]
            }
        ]
    }
   

Dinamik onaya izin ekleme

Dinamik onay, Uygulama kayıtları bölmesinde statik olarak bildirmek yerine çalışma zamanında kullanıcılardan veya yöneticilerden izin istemenin bir yoludur. Dinamik onay, uygulamanın yalnızca belirli bir işlevsellik için gereken izinleri istemesine ve gerektiğinde kullanıcıdan veya yöneticiden onay almasına olanak tanır. Dinamik onay, temsilci izinleriyle kullanılabilir ve tüm izinler için yönetici onayı istemek üzere kapsamla /.default birleştirilebilir.

Dinamik onaya izin eklemek için:

• Microsoft Graph kullanma: Bir uygulama kaydına gerekli Microsoft Graph izinlerini ekleyin. Bu örnek, izin ve Application.Read.All uygulama iznini kullanır Analytics.Read ve temsilci olarak verir. 'kapsamlar' içindeki değerleri, uygulama için yapılandırmak istediğiniz Microsoft Graph temsilci izinlerinin değerleriyle değiştirin.

  İstek aşağıdaki örnekteki gibi olmalıdır:

  https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=00001111-aaaa-2222-bbbb-3333cccc4444&response_type=code&scope=Analytics.Read+Application.Read

• MSAL.js kullan: 'kapsamlar' içindeki değerleri, uygulama için yapılandırmak istediğiniz Microsoft Graph temsilci izinlerinin değerleriyle değiştirin.

    const Request = {
        scopes: ["openid", "profile"],
        loginHint: "example@domain.net"
    };
  
    myMSALObj.ssoSilent(Request)
        .then((response) => {
            // your logic
        }).catch(error => {
            console.error("Silent Error: " + error);
            if (error instanceof msal.InteractionRequiredAuthError) {
                myMSALObj.loginRedirect(loginRequest);
            }
    });
  

Statik onay gerektiren izinler istemeyi durdurmak için, Uygulama kayıtları bölmesinden izni kaldırmanız gerekir. Kiracının yöneticisinin Kurumsal uygulamalar bölmesindeki izni de iptal etmesi gerekir. Kurumsal uygulamaya verilen izinleri iptal etme hakkında daha fazla bilgi için bkz . Kurumsal uygulama izinlerini iptal etme.

Bu bölümde statik onay için izin istemeyi nasıl durduracağınızı öğreneceksiniz.

Microsoft Entra yönetim merkezinde statik onay izinlerini iki farklı yolla kaldırabilirsiniz:

1. Seçenek: API izinleri bölmesinden

1. Microsoft Entra yönetim merkezinde en az Bir Bulut Uygulaması Yöneticisi veya uygulama sahibi olarak oturum açın.
2. Kimlik>Uygulamaları> Uygulama kayıtları> Tüm uygulamalar'a göz atın.
3. İzinlerini kaldırmak istediğiniz uygulama kaydını bulun ve seçin.
4. API izinleri bölmesinden izinleri kaldırın:

   1. API izinleri bölmesini bulun ve kaldırmak istediğiniz izinleri bulun.

   2. Kaldırmak istediğiniz API'yi seçin ve önce yönetici onayını iptal et ve ardından izni kaldır'ı seçin. Verilen iznin kiracınızdan kaldırılmasını sağlar.

      

Seçenek 2: Uygulama bildiriminden

1. Sol gezinti bölmesindeki Yönet menü grubunun altında Bildirim'i seçin. Uygulama kayıt nesnesinin özniteliklerini doğrudan düzenlemenizi sağlayan bir düzenleyici açılır.
2. Uygulamanın bildirim dosyasındaki özelliği dikkatlice düzenleyin requiredResourceAccess .
3. Özellik ve resourceAccess özellikten resourceAppId gereksiz izinleri kaldırın.
4. Değişikliklerinizi kaydedin.

İzinleri kaldırmaya yönelik aşağıdaki adımları tamamlamak için aşağıdaki kaynaklara ve ayrıcalıklara ihtiyacınız vardır:

• HTTP isteklerini seçtiğiniz bir araçta (örneğin, uygulamanızda veya Graph Gezgini aracılığıyla) çalıştırın.
• API'leri en az Bir Bulut Uygulaması Yöneticisi olarak veya hedef uygulama kaydının sahibi olarak çağırın.
• Bu değişiklikleri yapmak için kullanılan uygulamaya izin verilmelidir Application.ReadWrite.All .

1. Uygulamanızın izinlerini belirleyin.

2. Örneğin, uygulamanızın Microsoft Graph izinleri istemesini durdurmak için, uygulamanız için Microsoft Graph izinlerini, bunların izin kimliklerini ve bunların uygulama rolleri (uygulama izinleri) veya temsilci izinleri olup olmadığını belirleyin.

3. uygulamanızdan istenmeyen Microsoft Graph izinlerini kaldırın. Aşağıdaki örnek, örnek istemci kimliğiyle 00001111-aaaa-2222-bbbb-3333cccc4444tanımlanan bir uygulama kaydından istenmeyen Microsoft Graph izinlerini kaldırmak için Uygulama güncelleştirme API'sini çağırır. Bu örnekte, uygulamada , User.Readve Application.Read.AllbulunurAnalytics.Read. İzin ve uygulama iznini kaldırmamız Analytics.Read ve Application.Read.All temsilci olarak atamamız gerekir. Microsoft Graph, genel olarak benzersiz AppId olan servicePrincipal nesnesi 00000003-0000-0000-c000-000000000000 ve ve AppDisplayNameolarak Microsoft Graph olarak DisplayName tanımlanır.

   PATCH https://graph.microsoft.com/v1.0/applications/00001111-aaaa-2222-bbbb-3333cccc4444
   Content-Type: application/json
   {
       "requiredResourceAccess": [
           {
               "resourceAppId": "00000003-0000-0000-c000-000000000000",
               "resourceAccess": [
                   {
                       "id": "311a71cc-e848-46a1-bdf8-97ff7156d8e6 ",
                       "type": "Scope"
                   }
               ]
           }
       ]
   }
   

Dinamik onay ile izin istemeyi durdurma

Dinamik onay isteğinden temsilci izinlerini kaldırmanız gerektiğinde, kaldırmak istediğiniz izinleri dışarıda bırakırken kapsam parametresini belirtin. İzinlerin kaldırılması, uygulamanın ilgili API'yi çağırmamasını sağlar.

Bu yöntem yalnızca temsilci izinleri için çalışır. Uygulama izinleri bir yönetici tarafından statik onay aracılığıyla istenir ve verilir ve OAuth 2.0 yetkilendirme isteği sırasında kapsam parametresine dahil edilmez.

Dinamik onay ile izin istemeyi durdurmak için:

• Microsoft Graph'ı kullanma: İstenmeyen Microsoft Graph temsilci izinlerini 'scopes' parametresinden kaldırın. Bu örnekte, uygulamanız üç temsilci izni istemektedir: Analytics.ReadUser.Read ve Application.Read. Temsilci izinleri Analytics.Read ve Application.Read artık bu uygulama için gerekli değildir. Yalnızca gerektirir User.Read.

İstek aşağıdaki örneğe benzer olmalıdır:

https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=00001111-aaaa-2222-bbbb-3333cccc4444&response_type=code&scope=User.Read

• MSAL.js kullanarak: 'kapsamlar'daki istenmeyen Microsoft Graph temsilci izinlerini kaldırın.

      const Request = {
          scopes: ["openid", "profile"],
          loginHint: "example@domain.net"
      };
  
      myMSALObj.ssoSilent(Request)
          .then((response) => {
              // your logic
          }).catch(error => {
              console.error("Silent Error: " + error);
              if (error instanceof msal.InteractionRequiredAuthError) {
                  myMSALObj.loginRedirect(loginRequest);
              }
      });