Crear una aplicació d'entitat de seguretat de servei amb el PowerShell

L'autenticació mitjançant el nom d'usuari i la contrasenya sovint no és ideal, especialment amb l'augment de l'autenticació multifactor. En aquests casos, és preferible l'autenticació d'entitat de seguretat de servei (o flux de credencials del client). Això es pot fer registrant una nova aplicació d'entitat de servei al vostre propi Microsoft Entra inquilí i, a continuació, registrant la mateixa aplicació Power Platform.

Registrar una aplicació de gestió d'administrador

En primer lloc, l'aplicació client s'ha de registrar al vostre Microsoft Entra inquilí. Per configurar-la, reviseu l'article Autenticació per a les API del Power Platform perquè cal la mateixa configuració d'aplicació per al PowerShell.

Després de registrar la vostra sol·licitud de client a Microsoft Entra l'ID, també s'ha de registrar Microsoft Power Platform. Avui no hi ha cap manera de fer-ho a través del centre d'administració del Power Platform; s'ha de fer mitjançant programació a través de l'API del Power Platform o el PowerShell per a administradors del Power Platform. Una entitat de seguretat de servei no es pot registrar per si mateixa: per disseny, l'aplicació s'ha de registrar en un context de nom d'usuari i contrasenya d'administrador. Això garanteix que l'aplicació sigui creada per algú que sigui administrador de l'inquilí.

Per registrar una aplicació d'administració nova, utilitzeu l'script següent:

$appId = "CLIENT_ID_FROM_AZURE_APP"

# Login interactively with a tenant administrator for Power Platform
Add-PowerAppsAccount -Endpoint prod -TenantID $tenantId 

# Register a new application, this gives the SPN / client application same permissions as a tenant admin
New-PowerAppManagementApp -ApplicationId $appId

Fer sol·licituds com a entitat de seguretat de servei

Ara que s'ha registrat amb el Microsoft Power Platform, podeu autenticar-la com a entitat de seguretat de servei. Utilitzeu l'script següent per consultar la llista d'entorns:

$appId = "CLIENT_ID_FROM_AZURE_APP"
$secret = "SECRET_FROM_AZURE_APP"
$tenantId = "TENANT_ID_FROM_AZURE_APP"

Add-PowerAppsAccount -Endpoint prod -TenantID $tenantId -ApplicationId $appId -ClientSecret $secret -Verbose
Get-AdminPowerAppEnvironment

Limitacions de les entitats de seguretat de servei

Actualment, l'autenticació d'entitat de seguretat de servei funciona per a l'administració de l'entorn, la configuració de l'inquilí i l'administració del Power Apps. Els cmdlets relacionats amb el flux s'admeten per a l'autenticació de l'entitat de servei en situacions en què no es requereix una llicència, ja que no és possible assignar llicències a les identitats de l'entitat de servei a Microsoft Entra l'ID.

Les aplicacions de l'entitat de servei es tracten de Power Platform manera similar a com són els usuaris normals amb la funció d'administrador Power Platform assignada. No es poden assignar funcions i permisos granulars per limitar les seves capacitats. L'aplicació no té cap funció especial assignada a Microsoft Entra l'ID, ja que així és com els serveis de plataforma tracten les sol·licituds fetes pels principals serveis.