通过

使用 Microsoft Graph 管理Microsoft Entra应用程序和服务主体

  • 项目

Microsoft Entra ID是标识和访问管理 (IAM) 系统。 其功能的核心部分是Microsoft 标识平台，它为已注册的应用程序提供身份验证和授权服务。 Microsoft Graph API 允许以编程方式注册和管理应用程序，使你能够使用 Microsoft 的 IAM 功能。

应用程序和服务主体

在 Microsoft Entra 中，应用程序由应用程序对象和服务主体对象定义。 跨Microsoft Entra只有一个应用程序对象，但应用程序可以有多个服务主体对象。

应用程序对象位于注册应用的租户中。 在安装并使用应用的每个租户（包括注册应用的租户）中创建服务主体。 有关详细信息，请参阅 Microsoft Entra ID 中的应用程序和服务主体对象。

在 Microsoft Graph 中，应用程序由 应用程序资源类型 表示，服务主体由 servicePrincipal 资源类型表示。 可通过标识应用程序应用注册和标识>应用程序>企业应用程序>菜单在Microsoft Entra 管理中心>上访问这两个对象的详细信息。

用于管理应用程序的 API 用例

支持以下 API 用例通过 Microsoft Graph 中的 应用程序资源类型管理应用程序 。

用例 API 操作
注册应用程序并配置其基本属性 创建应用程序
配置已注册应用程序的属性，包括：
  • 显示名称、徽标、标记等基本属性
  • 权限
  • 将应用分配给用户 - 设置基本标识符 URI
  • 应用支持的 Microsoft 帐户
  • 应用角色
    		•  更新应用程序
    删除应用程序 删除应用程序
    管理已删除的应用程序
  • 列出 deletedItems
  • 按用户列出 deletedItems 所有者
  • Get deleted item
  • 永久删除项目
  • Restore deleted item
    		•
    管理应用程序的密码凭据
  • 应用程序：addPassword
  • 应用程序：removePassword
    		•
    管理应用程序的联合标识凭据 开始使用 Microsoft Graph 管理联合标识凭据
    管理应用程序的基于证书的凭据
  • application：addKey
  • application：removeKey
  • 通过更新应用程序 API 操作更新keyCredentials 属性
    		•
    管理应用程序的目录扩展
  • extensionProperty 资源类型 及其关联方法。 有关详细信息，请参阅 使用扩展将自定义数据添加到资源
    		•
    跟踪对应用程序的更改
  • 应用程序：delta
  • directoryObject： 具有以下筛选器的增量 ..?$filter=isof('microsoft.graph.application')
    		•
    管理所有者
  • List owners
  • 添加所有者
  • Remove owner
    		•
    管理发布者验证
  • 设置 verifiedPublisher
  • 取消设置 verifiedPublisher
    		•

    用于管理服务主体的 API 用例

    支持以下 API 用例通过 Microsoft Graph 中的 servicePrincipal 资源类型 管理服务主体。

    用例 API 操作
    注册服务主体 创建 servicePrincipal
    配置服务主体的属性，包括：
  • 显示名称、徽标等基本属性
  • 权限
  • 配置 SSO 模式
    		•  更新 servicePrincipal
    删除服务主体 删除 servicePrincipal
    管理已删除的服务主体 (查看、还原或永久删除)
  • 列出 deletedItems
  • 列出用户拥有的 deletedItems
  • Get deleted item
  • 永久删除项目
  • Restore deleted item
    		•
    管理服务主体的密码凭据
  • servicePrincipal：addPassword
  • servicePrincipal：removePassword
    		•
    管理服务主体的基于证书的凭据
  • servicePrincipal：addKey
  • servicePrincipal：removePKey
    		•
    添加 SAML 令牌签名证书
  • servicePrincipal：addTokenSigningCertificate
    		•
    跟踪对服务主体的更改
  • servicePrincipal： delta
  • directoryObject： 具有以下筛选器的增量 ..?$filter=isof('microsoft.graph.servicePrincipal')
    		•
    管理所有者
  • List owners
  • 添加所有者
  • Remove owner
    		•

    应用程序模板

    应用程序模板是在 Microsoft Entra 应用库中提供的应用。 使用 applicationTemplate 资源类型及其关联方法 可以：

    • 从应用程序库中识别应用
    • 按它们支持的 SSO 模式识别应用
    • 从应用程序库实例化应用和服务主体

    适用于应用程序和服务主体的策略

    策略说明 API 操作 适用对象
    (RDS) 身份验证协议管理Microsoft Entra ID远程桌面服务 remoteDesktopSecurityConfiguration 资源类型及其关联方法 服务主体
    配置 SAML 令牌策略 tokenIssuancePolicy 资源类型及其关联方法 应用程序

    服务主体
    配置访问、SAML 和 ID 令牌的策略 令牌生存期策略 - tokenLifetimePolicy 资源类型及其关联方法

    令牌颁发策略 - tokenIssuancePolicy 资源类型及其关联方法    		 应用程序

    服务主体
    管理所有设备类型的 Microsoft 365 Web 应用的空闲会话超时

    注意： 若要仅针对非托管设备触发策略，还需要添加条件访问策略。    		 activityBasedTimeoutPolicy 资源类型及其关联方法 Microsoft 365 Web 应用
    管理如何在组织中使用证书和密码机密的策略。 创建租户范围策略或特定于应用的策略，例如阻止使用或限制密码机密或对称密钥的生存期，以及强制实施受信任的证书颁发机构 应用程序身份验证方法策略 应用程序
    管理 WS-Fed、SAML、OAuth 2.0 和 OpenID Connect 协议的声明映射策略，以及策略应用于的应用程序 claimsMappingPolicy 资源类型及其关联方法 服务主体
    管理租户的主领域发现 (HRD) ，并将策略分配给服务主体 homeRealmDiscoveryPolicy 资源类型及其关联方法 服务主体

    标识同步 (预配)

    Microsoft Graph 中的预配 API 允许在以下方案中自动执行和管理标识的预配和取消预配：

    • 从本地 Active Directory到Microsoft Entra ID
    • 从其他云目录到Microsoft Entra ID
    • 从Microsoft Entra ID到云应用程序，例如 Dropbox、Salesforce、ServiceNow 等

    有关详细信息，请参阅Microsoft Entra同步 API 概述。

    相关内容