Creare una registrazione dell'app da usare con Gemelli digitali di Azure

Questo articolo descrive come creare una registrazione delle app Microsoft Entra ID che può accedere a Gemelli digitali di Azure. Questo articolo include i passaggi per il portale di Azure e l'interfaccia della riga di comando di Azure.

Quando si lavora con Gemelli digitali di Azure, è comune interagire con l'istanza tramite applicazioni client. Queste applicazioni devono eseguire l'autenticazione con Gemelli digitali di Azure e alcuni dei meccanismi di autenticazione che le app possono usare prevedono la registrazione dell'app.

La registrazione dell'app non è necessaria per tutti gli scenari di autenticazione. Tuttavia, se si usa una strategia di autenticazione o un esempio di codice che richiedono una registrazione dell'app, questo articolo illustra come configurarli e concedere le autorizzazioni alle API di Gemelli digitali di Azure. Illustra anche come raccogliere valori importanti da usare per la registrazione dell'app durante l'autenticazione.

Suggerimento

Si potrà scegliere di configurare una nuova registrazione dell'app ogni volta che occorre o di farlo una sola volta, stabilendo una sola registrazione dell'app che verrà condivisa tra tutti gli scenari che lo richiedono.

Creare la registrazione

Per iniziare, selezionare la scheda seguente per l'interfaccia preferita.

Portale

Passare a Microsoft Entra ID nel portale di Azure (è possibile usare questo collegamento o trovarlo tramite la barra di ricerca del portale). Selezionare Registrazioni app dal menu del servizio e quindi + Nuova registrazione.

Nella pagina Registrare un'applicazione che segue compilare i valori richiesti:

• Nome: nome visualizzato dell'applicazione Microsoft Entra da associare alla registrazione.
• Tipi di account supportati: selezionare Account solo in questa directory organizzativa (Solo directory predefinita - Tenant singolo).

Al termine, selezionare il pulsante Registra.

Al termine della configurazione della registrazione, il portale reindirizzerà alla relativa pagina dei dettagli.

CLI

Per iniziare, creare un file manifesto, che contiene le informazioni sul servizio necessarie per la registrazione dell'app per accedere alle API di Gemelli digitali di Azure. Successivamente, si passerà questo file in un comando dell'interfaccia della riga di comando per creare la registrazione.

Creare un manifesto

Creare un nuovo file .json nel computer denominato manifest.json. Copiare il testo nel file:

[
	{
		"resourceAppId": "0b07f429-9f4b-4714-9392-cc5e8e80c8b0",
		"resourceAccess": [
			{
				"id": "4589bd03-58cb-4e6c-b17f-b580e39652f8",
				"type": "Scope"
			}
		]
	}
]

Il valore statico 0b07f429-9f4b-4714-9392-cc5e8e80c8b0 è l'ID risorsa per l'endpoint del servizio Gemelli digitali di Azure, necessario alla registrazione dell'app per accedere alle API di Gemelli digitali di Azure.

Salvare il file completato.

Utenti di Cloud Shell: caricare il manifesto

Se si usa Azure Cloud Shell per questa esercitazione, è necessario caricare il file manifesto creato in Cloud Shell, in modo che sia possibile accedervi nei comandi di Cloud Shell durante la configurazione della registrazione dell'app. Se si usa un'installazione locale dell'interfaccia della riga di comando di Azure, è possibile saltare al passaggio successivo, Eseguire il comando di creazione.

Per caricare il file, passare alla finestra di Cloud Shell nel browser. Selezionare l'icona "Carica/scarica file" e scegliere "Carica".

Passare al file manifest.json nel computer e selezionare Apri. In questo modo il file verrà caricato nella radice dell'archiviazione di Cloud Shell.

Eseguire il comando di creazione

In questa sezione si eseguirà un comando dell'interfaccia della riga di comando per creare una registrazione dell'app con le impostazioni seguenti:

• Nome desiderato
• Disponibile solo per gli account nella directory predefinita (tenant singolo)
• URL di risposta Web di http://localhost
• Autorizzazioni di lettura/scrittura per le API di Gemelli digitali di Azure

Eseguire il comando seguente per creare la registrazione. Se si usa Cloud Shell, il percorso del file manifest.json è @manifest.json.

az ad app create --display-name <app-registration-name> --sign-in-audience AzureADMyOrg --required-resource-accesses "manifest.json"

L'output del comando è costituito da informazioni sulla registrazione dell'app creata.

Verificare l'esito positivo

È possibile verificare che le autorizzazioni di Gemelli digitali di Azure siano state concesse cercando i campi seguenti nell'output del comando di creazione, in requiredResourceAccess. Verificare che i valori corrispondano a quelli elencati di seguito.

• resourceAccess > id è 4589bd03-58cb-4e6c-b17f-b580e39652f8
• resourceAppId è 0b07f429-9f4b-4714-9392-cc5e8e80c8b0

Raccogliere i valori importanti

Raccogliere quindi alcuni valori importanti sulla registrazione dell'app che saranno necessari per usare la registrazione dell'app al fine di autenticare un'applicazione client. Questo valori includono:

• nome risorsa - Quando si usa Gemelli digitali di Azure, il nome risorsa è http://digitaltwins.azure.net.
• ID client
• ID del tenant
• Segreto client

Le sezioni seguenti descrivono come trovare i valori rimanenti.

Raccogliere l'ID client e l'ID tenant

Per usare la registrazione dell'app per l'autenticazione, potrebbe essere necessario specificare l'ID applicazione (client) e l'ID directory (tenant). In questo caso, questi valori verranno raccolti in modo da poterli salvare e usare ogni volta che sono necessari.

Portale

I valori ID client e ID tenant possono essere raccolti dalla pagina dei dettagli della registrazione dell'app nel portale di Azure:

Prendere nota dell'ID applicazione (client) e dell'ID directory (tenant) visualizzato nella pagina.

CLI

È possibile trovare l'ID app nell'output del az ad app create comando eseguito in precedenza (o visualizzare di nuovo le informazioni usando az ad app show).

appId Cercare nel risultato:

È possibile visualizzare l'ID tenant nella shell usando il comando az account tenant list .

Nota

Questo gruppo di comandi è sperimentale e attualmente in fase di sviluppo.

Raccogliere il segreto client

Configurare un segreto client per la registrazione dell'app, che altre applicazioni possono usare per eseguire l'autenticazione.

Portale

Iniziare nella pagina di registrazione dell'app nel portale di Azure.

1. Selezionare Certificati e segreti dal menu della registrazione e quindi selezionare + Nuovo segreto client.

   

2. Immettere i valori desiderati per Descrizione e Scadenza e selezionare Aggiungi.

   

3. Verificare che il segreto client sia visibile nella pagina Certificati e segreti con i campi Scadenza e Valore.

4. Prendere nota del relativo ID segreto e Valore da usare in un secondo momento (è anche possibile copiarli negli Appunti con le icone Copia).

   

Importante

Ricordare adesso di copiare i valori e archiviarli in un luogo sicuro, perché non potranno essere recuperati di nuovo. Se non si riesce a trovarli in un secondo momento, sarà necessario creare un nuovo segreto.

CLI

Per creare un segreto client per la registrazione dell'app, è necessario il valore dell'ID client della registrazione dell'app raccolto nel passaggio precedente. Usare il valore nel comando dell'interfaccia della riga di comando seguente per creare un nuovo segreto:

az ad app credential reset --id <client-ID> --append

È anche possibile aggiungere parametri facoltativi a questo comando per specificare una descrizione delle credenziali, una data di fine e altri dettagli. Per altre informazioni sul comando e sui relativi parametri, vedere documentazione di ripristino delle credenziali di Azure Active Directory.

L'output di questo comando è costituito da informazioni sul segreto client creato.

Copiare il valore per password da usare quando è necessario il segreto client per l'autenticazione.

Importante

Ricordare adesso di copiare il valore e archiviarlo in un luogo sicuro, perché non potrà essere recuperato di nuovo. Se non si riesce a trovare il valore in un secondo momento, sarà necessario creare un nuovo segreto.

Concedere autorizzazioni di Gemelli digitali di Azure

Configurare quindi la registrazione dell'app creata con le autorizzazioni per accedere a Gemelli digitali di Azure. Sono necessari due tipi di autorizzazioni:

• Assegnazione di ruolo per la registrazione dell'app nell'istanza di Gemelli digitali di Azure
• Autorizzazioni API per l'app per leggere e scrivere nelle API di Gemelli digitali di Azure

Crea assegnazione ruolo

In questa sezione si creerà un'assegnazione di ruolo per la registrazione dell'app nell'istanza di Gemelli digitali di Azure. Questo ruolo determinerà le autorizzazioni che la registrazione dell'app contiene nell'istanza, quindi è necessario selezionare il ruolo che corrisponde al livello di autorizzazione appropriato per la situazione. Un ruolo possibile è quello di Proprietario dei dati di Gemelli digitali di Azure. Per un elenco completo dei ruoli e delle relative descrizioni, vedere Ruoli predefiniti di Azure.

Portale

Usare questi passaggi per creare l'assegnazione di ruolo per la registrazione.

1. Aprire la pagina per l'istanza di Gemelli digitali di Azure nel portale di Azure.

2. Seleziona Controllo di accesso (IAM).

3. Selezionare Aggiungi>Aggiungi assegnazione di ruolo per aprire la pagina Aggiungi assegnazione di ruolo.

4. Assegnare il ruolo appropriato. Per la procedura dettagliata, vedere Assegnare ruoli di Azure usando il portale di Azure.

   Impostazione	Valore
   Ruolo	Selezionare in base alle proprie esigenze
   Membri > Assegna accesso a	Utente, gruppo o entità servizio
   Membri > Membri	+ Seleziona membri, quindi cercare il nome della registrazione dell'app

   

   

   Dopo aver selezionato il ruolo, selezionare Rivedi e assegna.

Verificare l'assegnazione di ruolo

È possibile visualizzare l'assegnazione di ruolo configurata in Controllo di accesso (IAM) > Assegnazioni di ruolo.

La registrazione dell'app dovrebbe essere visualizzata nell'elenco insieme al ruolo assegnato.

CLI

Usare il comando az dt role-assignment create per assegnare il ruolo (deve essere eseguito da un utente con autorizzazioni sufficienti nella sottoscrizione di Azure). Il comando richiede di passare il nome del ruolo da assegnare, il nome dell'istanza di Gemelli digitali di Azure e il nome o l'ID oggetto della registrazione dell'app.

az dt role-assignment create --dt-name <your-Azure-Digital-Twins-instance> --assignee "<name-or-ID-of-app-registration>" --role "<appropriate-role-name>"

Il risultato di questo comando viene restituito sotto forma di informazioni sull'assegnazione di ruolo creata per la registrazione dell'app.

Per verificare ulteriormente l'assegnazione di ruolo, è possibile cercarla nel portale di Azure (passare alla scheda Istruzioni del portale).

Fornire autorizzazioni API

In questa sezione si concederanno autorizzazioni di lettura/scrittura della baseline dell'app alle API di Gemelli digitali di Azure.

Se si usa l'interfaccia della riga di comando di Azure e si è configurato la registrazione dell'app in precedenza con un file manifesto, questo passaggio è già stato eseguito. Se si usa il portale di Azure per creare la registrazione dell'app, continuare con la parte restante di questa sezione per configurare le autorizzazioni API.

Portale

Nella pagina del portale per la registrazione dell'app selezionare Autorizzazioni API dal menu. Nella pagina delle autorizzazioni seguente selezionare il pulsante + Aggiungi un'autorizzazione.

Nella pagina Richiedi autorizzazioni API seguente passare alle API usate dall'organizzazione e cercare Gemelli digitali di Azure. Selezionare Gemelli digitali di Azure nei risultati della ricerca per procedere con l'assegnazione delle autorizzazioni per le API di Gemelli digitali di Azure.

Successivamente, si selezioneranno le autorizzazioni da concedere per queste API. Espandere l'autorizzazione Lettura (1) e selezionare la casella Read.Write per concedere a questa registrazione dell'app autorizzazioni di lettura e scrittura.

Al termine, selezionare Aggiungi autorizzazioni.

Verificare le autorizzazioni API

Nella pagina Autorizzazioni API verificare che sia presente una voce per Gemelli digitali di Azure che riporta autorizzazioni Read.Write:

È anche possibile verificare la connessione a Gemelli digitali di Azure all'interno del file manifest.json di registrazione dell'app, che è stato aggiornato automaticamente con le informazioni di Gemelli digitali di Azure quando sono state aggiunte le autorizzazioni API.

A tale scopo, selezionare Manifesto dal menu per visualizzare il codice manifesto della registrazione dell'app. Scorrere fino alla fine della finestra del codice e cercare i campi e i valori seguenti in requiredResourceAccess:

• "resourceAppId": "0b07f429-9f4b-4714-9392-cc5e8e80c8b0" Si tratta dell'ID risorsa per l'endpoint del servizio Gemelli digitali di Azure.
• "resourceAccess">"id": "4589bd03-58cb-4e6c-b17f-b580e39652f8" Si tratta dell'ID autorizzazione per l'autorizzazione delegata Read.Write in Gemelli digitali di Azure.

Questi valori sono visualizzati nella schermata seguente:

Se questi valori mancano, ripetere i passaggi nella sezione per l'aggiunta dell'autorizzazione API.

CLI

Se si usa l'interfaccia della riga di comando, le autorizzazioni API sono state configurate in precedenza nel passaggio Creare la registrazione.

È ora possibile verificarle usando il portale di Azure (passare alla scheda Istruzioni del portale).

Altri passaggi possibili per l'organizzazione

È possibile che l'organizzazione richieda più azioni da parte dei proprietari o degli amministratori delle sottoscrizioni per completare la configurazione della registrazione dell'app. I passaggi necessari possono variare a seconda delle impostazioni specifiche dell'organizzazione. Scegliere una scheda di seguito per visualizzare queste informazioni personalizzate per l'interfaccia preferita.

Portale

Ecco alcune attività comuni che un proprietario o un amministratore nella sottoscrizione potrebbe dover eseguire. Queste e altre operazioni possono essere eseguite dalla pagina Registrazioni app Microsoft Entra nel portale di Azure.

• Concedere il consenso dell'amministratore per la registrazione dell'app. L'organizzazione potrebbe avere attivato a livello globale il Consenso amministratore obbligatorio in Microsoft Entra ID per tutte le registrazioni dell'app all'interno della sottoscrizione. In tal caso, il proprietario o amministratore dovrà selezionare questo pulsante per l'azienda nella pagina Autorizzazioni API della registrazione dell'app affinché questa sia valida:

  

  • Se il consenso è stato concesso correttamente, la voce per Gemelli digitali di Azure dovrebbe quindi visualizzare un valore Stato di Concesso per (azienda)

  

• Attivare l'accesso client pubblico

• Impostare URL di risposta specifici per l'accesso Web e desktop

• Consentire flussi di autenticazione OAuth2 impliciti

CLI

Ecco alcune attività comuni che un proprietario o un amministratore nella sottoscrizione potrebbe dover eseguire.

• Concedere il consenso dell'amministratore per la registrazione dell'app. L'organizzazione potrebbe avere attivato a livello globale il Consenso amministratore obbligatorio in Microsoft Entra ID per tutte le registrazioni dell'app all'interno della sottoscrizione. In tal caso, il proprietario o l'amministratore potrebbe dover concedere autorizzazioni aggiuntive delegate o dell'applicazione.
• Attivare l'accesso client pubblico aggiungendo --set publicClient=true a un comando di creazione o aggiornamento per la registrazione.
• Impostare URL di risposta specifici per l'accesso Web e desktop usando il parametro --reply-urls. Per altre informazioni sull'uso di questo parametro con i comandi az ad, vedere la documentazione dell'app di Azure Active Directory.
• Consentire flussi di autenticazione OAuth2 impliciti usando il parametro --oauth2-allow-implicit-flow. Per altre informazioni sull'uso di questo parametro con i comandi az ad, vedere la documentazione dell'app di Azure Active Directory.

Per altre informazioni sulla registrazione delle app e sulle diverse opzioni di configurazione, vedere Registrare un'applicazione con Microsoft Identity Platform.

Passaggi successivi

In questo articolo viene configurata una registrazione dell'app Microsoft Entra che può essere usata per autenticare le applicazioni client con le API di Gemelli digitali di Azure.

Leggere quindi le informazioni sui meccanismi di autenticazione, tra cui uno che usa le registrazioni dell'app e altri che non lo fanno:

• Scrivere il codice di autenticazione dell'app