Udostępnij za pośrednictwem

Udzielanie dostępu do interfejsu API aprowizacji ruchu przychodzącego

  • Artykuł

Wprowadzenie

Po skonfigurowaniu aplikacji aprowizacji przychodzącej opartej na interfejsie API należy udzielić uprawnień dostępu, aby klienci interfejsu API mogli wysyłać żądania do interfejsu API aprowizacji /bulkUpload i wysyłać zapytania do interfejsu API dzienników aprowizacji. Ten samouczek przeprowadzi Cię przez kroki konfigurowania tych uprawnień.

W zależności od sposobu uwierzytelniania klienta interfejsu API za pomocą identyfikatora Entra firmy Microsoft można wybrać między dwiema opcjami konfiguracji:

Konfigurowanie nazwy głównej usługi

Ta konfiguracja rejestruje aplikację w identyfikatorze Entra firmy Microsoft, która reprezentuje klienta zewnętrznego interfejsu API i przyznaje mu uprawnienia do wywoływania interfejsu API aprowizacji dla ruchu przychodzącego. Identyfikator klienta jednostki usługi i klucz tajny klienta mogą być używane w przepływie udzielania poświadczeń klienta OAuth.

  1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra (https://entra.microsoft.com) przy użyciu co najmniej poświadczeń logowania administratora aplikacji.
  2. Przejdź do strony Microsoft Entra ID ->Applications ->Rejestracje aplikacji.
  3. Kliknij opcję Nowa rejestracja.
  4. Podaj nazwę aplikacji, wybierz opcje domyślne i kliknij pozycję Zarejestruj. Zrzut ekranu przedstawiający rejestrację aplikacji.
  5. Skopiuj wartości Identyfikator aplikacji (klienta) i Identyfikator katalogu (dzierżawy) z bloku Przegląd i zapisz je do późniejszego użycia w kliencie interfejsu API. Zrzut ekranu przedstawiający identyfikator klienta aplikacji.
  6. W menu kontekstowym aplikacji wybierz opcję Certyfikaty i wpisy tajne.
  7. Utwórz nowy klucz tajny klienta. Podaj opis wpisu tajnego i daty wygaśnięcia.
  8. Skopiuj wygenerowaną wartość klucza tajnego klienta i zapisz go do późniejszego użycia w kliencie interfejsu API.
  9. Z poziomu uprawnień interfejsu API menu kontekstowego wybierz opcję Dodaj uprawnienie.
  10. W obszarze Żądanie uprawnień interfejsu API wybierz pozycję Microsoft Graph.
  11. Wybierz Uprawnienia aplikacji.
  12. Wyszukaj i wybierz uprawnienie AuditLog.Read.All i SynchronizationData-User.Upload.
  13. Kliknij pozycję Udziel zgody administratora na następnym ekranie, aby ukończyć przypisanie uprawnień. Kliknij przycisk Tak w oknie dialogowym potwierdzenia. Aplikacja powinna mieć następujące zestawy uprawnień. Zrzut ekranu przedstawiający uprawnienia aplikacji.
  14. Teraz możesz używać jednostki usługi z klientem interfejsu API.
  15. W przypadku obciążeń produkcyjnych zalecamy używanie uwierzytelniania opartego na certyfikatach klienta z jednostką usługi lub tożsamościami zarządzanymi.

Konfigurowanie tożsamości zarządzanej

W tej sekcji opisano sposób przypisywania niezbędnych uprawnień do tożsamości zarządzanej.

  1. Skonfiguruj tożsamość zarządzaną do użycia z zasobem platformy Azure.

  2. Skopiuj nazwę tożsamości zarządzanej z centrum administracyjnego firmy Microsoft Entra. Na przykład: Poniższy zrzut ekranu przedstawia nazwę przypisanej przez system tożsamości zarządzanej skojarzonej z przepływem pracy usługi Azure Logic Apps o nazwie "CSV2SCIMBulkUpload".

    Zrzut ekranu przedstawiający nazwę tożsamości zarządzanej.

  3. Uruchom następujący skrypt programu PowerShell, aby przypisać uprawnienia do tożsamości zarządzanej.

    Install-Module Microsoft.Graph -Scope CurrentUser

Connect-MgGraph -Scopes "Application.Read.All","AppRoleAssignment.ReadWrite.All,RoleManagement.ReadWrite.Directory"
$graphApp = Get-MgServicePrincipal -Filter "AppId eq '00000003-0000-0000-c000-000000000000'"

$PermissionName = "SynchronizationData-User.Upload"
$AppRole = $graphApp.AppRoles | `
Where-Object {$_.Value -eq $PermissionName -and $_.AllowedMemberTypes -contains "Application"}
$managedID = Get-MgServicePrincipal -Filter "DisplayName eq 'CSV2SCIMBulkUpload'"
New-MgServicePrincipalAppRoleAssignment -PrincipalId $managedID.Id -ServicePrincipalId $managedID.Id -ResourceId $graphApp.Id -AppRoleId $AppRole.Id

$PermissionName = "AuditLog.Read.All"
$AppRole = $graphApp.AppRoles | `
Where-Object {$_.Value -eq $PermissionName -and $_.AllowedMemberTypes -contains "Application"}
$managedID = Get-MgServicePrincipal -Filter "DisplayName eq 'CSV2SCIMBulkUpload'"
New-MgServicePrincipalAppRoleAssignment -PrincipalId $managedID.Id -ServicePrincipalId $managedID.Id -ResourceId $graphApp.Id -AppRoleId $AppRole.Id

  4. Aby potwierdzić, że uprawnienie zostało zastosowane, znajdź jednostkę usługi tożsamości zarządzanej w obszarze Aplikacje dla przedsiębiorstw w identyfikatorze Entra firmy Microsoft. Usuń filtr Typ aplikacji, aby wyświetlić wszystkie jednostki usługi. Zrzut ekranu przedstawiający podmiot zabezpieczeń tożsamości zarządzanej.

  5. Kliknij blok Uprawnienia w obszarze Zabezpieczenia. Upewnij się, że ustawiono uprawnienie. Zrzut ekranu przedstawiający uprawnienia tożsamości zarządzanej.

  6. Teraz możesz używać tożsamości zarządzanej z klientem interfejsu API.

Następne kroki