Autorizace vývojářských účtů pomocí Microsoft Entra ID ve službě Azure API Management

V tomto článku se naučíte:

Povolte přístup k portálu pro vývojáře uživatelům v tenantovi Microsoft Entra ID vaší organizace nebo v rámci jiných pracovních tenantů Microsoft Entra ID.
Volitelně můžete do tenanta pracovních sil Microsoft Entra ID přidat externí zprostředkovatele identity, jako je Google nebo Facebook, aby se uživatelé mohli k těmto účtům přihlásit.
Umožňuje spravovat skupiny uživatelů Microsoft Entra přidáním externích skupin, které obsahují uživatele.

Přehled možností zabezpečení portálu pro vývojáře najdete v tématu Zabezpečený přístup k API Management portálu pro vývojáře.

Důležité

Tento článek se aktualizuje postupem konfigurace aplikace Microsoft Entra pomocí knihovny MICROSOFT Authentication Library (MSAL).
Pokud jste dříve nakonfigurovali aplikaci Microsoft Entra pro přihlašování uživatelů pomocí knihovny Azure AD Authentication Library (ADAL), migrujte na MSAL.

Návod

Služba API Management teď podporuje přístup k portálu pro vývojáře od uživatelů ve více než jednom tenantovi Microsoft Entra ID prostřednictvím jedné registrace aplikace a konfigurace identity. V současné době je to podporováno na úrovních Developer, Standard a Premium.

Požadavky

Dokončete rychlý start k vytvoření instance služby Azure API Management.
Importujte a publikujte rozhraní API v instanci služby Azure API Management.
Pokud jste instanci vytvořili ve vrstvě v2, povolte portál pro vývojáře. Další informace najdete v tématu Kurz: Přístup a přizpůsobení portálu pro vývojáře.

Přejít k instanci služby API Management

Na webu Azure Portal vyhledejte a vyberte služby API Management:
Na stránce služby API Management vyberte instanci služby API Management:

Kvůli zjednodušení konfigurace může API Management automaticky povolit aplikaci Microsoft Entra a zprostředkovatele identity pro uživatele portálu pro vývojáře. Alternativně můžete ručně povolit aplikaci Microsoft Entra a zprostředkovatele identity.

Automatické povolení aplikace Microsoft Entra a poskytovatele identity

Následujícím postupem automaticky povolíte ID Microsoft Entra na portálu pro vývojáře:

V levé nabídce instance služby API Management v části Portál pro vývojáře vyberte Přehled portálu.
Na stránce přehledu portálu přejděte dolů a povolte přihlášení uživatele pomocí Microsoft Entra ID.
Vyberte Povolit Microsoft Entra ID.
Na stránce Povolit Microsoft Entra ID vyberte Povolit Microsoft Entra ID.
Vyberte Zavřít.

Po povolení poskytovatele Microsoft Entra:

Uživatelé ve vašem tenantovi Microsoft Entra se můžou přihlásit k portálu pro vývojáře pomocí účtu Microsoft Entra.
Konfiguraci zprostředkovatele identity Microsoft Entra můžete spravovat na stránceIdentities> pro vývojáře na portálu.
Volitelně můžete aktualizovat registraci aplikace v Microsoft Entra ID tak, aby podporovala více tenantů, jak je popsáno v tématu Konfigurace registrace aplikace pro více tenantů. Název výchozí registrace aplikace vytvořené službou API Management je stejný jako název instance služby API Management.
Volitelně můžete nakonfigurovat další nastavení přihlašování tak, že vyberete Nastavení identit>. Můžete například chtít přesměrovat anonymní uživatele na přihlašovací stránku.
Po jakékoli změně konfigurace znovu publikujte portál pro vývojáře.

Povolení aplikace Microsoft Entra a zprostředkovatele identity ručně

Alternativně můžete ručně povolit MICROSOFT Entra ID na portálu pro vývojáře tak, že si aplikaci zaregistrujete sami v Microsoft Entra ID a nakonfigurujete zprostředkovatele identity pro portál pro vývojáře.

V levé nabídce instance služby API Management v části Portál pro vývojáře vyberte Identity.
Vyberte + Přidat v horní části a otevřete podokno Přidat zprostředkovatele identity vpravo.
V části Typ vyberte Microsoft Entra ID z rozevírací nabídky. Když vyberete tuto možnost, můžete zadat další potřebné informace.
- V rozevíracím seznamu Klientská knihovna vyberte MSAL.
- Pokud chcete přidat ID klienta a tajný klíč klienta, přečtěte si kroky dále v článku.
Uložte adresu URL pro přesměrování pro pozdější použití.
V prohlížeči otevřete portál Azure na nové kartě.
Přejděte k registracím aplikací a zaregistrujte aplikaci v Microsoft Entra ID.
Vyberte Nová registrace. Na stránce Zaregistrovat aplikaci nastavte hodnoty následujícím způsobem:
- Nastavit název na smysluplný název, například vývojář-portál
- Nastavte podporované typy účtů a proveďte výběr vhodný pro vaše scénáře. Pokud chcete uživatelům ve více tenantech Microsoft Entra ID povolit přístup k portálu pro vývojáře, vyberte Účty v libovolném adresáři organizace (Multitenant).
- V přesměrování URI vyberte jednostránkovou aplikaci (SPA) a vložte adresu URL pro přesměrování, kterou jste uložili v předchozím kroku.
- Vyberte Zaregistrovat.
Po registraci aplikace zkopírujte ID aplikace (klienta) ze stránky Přehled .
Přepněte na kartu prohlížeče s vaší instancí služby API Management.
V okně Přidat zprostředkovatele identity vložte hodnotu ID aplikace (klienta) do pole ID klienta.
Přepněte na kartu prohlížeče s registrací aplikace.
Vyberte příslušnou registraci aplikace.
V části Správa boční nabídky vyberte Certifikáty a tajné kódy.
Na stránce Certifikáty a tajné kódy vyberte v části Tajné kódy klienta tlačítko Nový tajný kód klienta.
- Zadejte popis.
- Vyberte libovolnou možnost vypršení platnosti.
- Zvolte položku Přidat.
Před opuštěním stránky zkopírujte hodnotu tajného klíče klienta. Budete ho potřebovat v pozdějším kroku.
V části Spravovat v boční nabídce vyberte Konfiguraci tokenu>+ Přidat volitelnou deklaraci identity.
1. V typu tokenu vyberte ID.
2. Vyberte (zaškrtněte) následující deklarace identity: e-mail, family_name, given_name.
3. Vyberte Přidat. Pokud se zobrazí výzva, vyberte Povolte oprávnění pro e-mail a profil Microsoft Graph.
Přepněte na kartu prohlížeče s vaší instancí služby API Management.
Vložte tajemství klienta do pole Tajemství klienta v podokně Přidat zprostředkovatele identity.

Důležité

Před vypršením platnosti klíče aktualizujte tajný klíč klienta.
Ve Signin tenantovi zadejte název tenanta nebo ID pro přihlášení k Microsoft Entra. Pokud nezadáte hodnotu, použije se společný koncový bod.
V povolených tenantech přidejte jeden nebo více konkrétních názvů tenantů Microsoft Entra nebo ID pro přihlášení k Microsoft Entra.

Poznámka:

Pokud zadáte další tenanty, musí být registrace aplikace nakonfigurovaná tak, aby podporovala více tenantů. Další informace najdete v tématu Konfigurace registrace aplikace pro více tenantů.
Po zadání požadované konfigurace vyberte Přidat.
Znovu publikujte portál pro vývojáře, aby se projevila konfigurace Microsoft Entra. V levém menu v části Portál pro vývojáře vyberte Přehled portálu>Publikovat.

Po povolení poskytovatele Microsoft Entra:

Uživatelé v zadaných tenantech Microsoft Entra se mohou přihlásit k portálu pro vývojáře pomocí účtu Microsoft Entra.
Konfiguraci Microsoft Entra můžete spravovat na stránce Identities portálu>pro vývojáře na portálu.
Volitelně můžete nakonfigurovat další nastavení přihlašování tak, že vyberete Nastavení identit>. Můžete například chtít přesměrovat anonymní uživatele na přihlašovací stránku.
Po jakékoli změně konfigurace znovu publikujte portál pro vývojáře.

Migrace na MSAL

Pokud jste dříve nakonfigurovali aplikaci Microsoft Entra pro přihlašování uživatelů pomocí knihovny ADAL, můžete portál použít k migraci aplikace do knihovny MSAL a aktualizovat zprostředkovatele identity ve službě API Management.

Aktualizace aplikace Microsoft Entra pro zajištění kompatibility MSAL

Postupy najdete v tématu Přepnutí identifikátorů URI přesměrování na typ jednostránkové aplikace.

Aktualizace konfigurace zprostředkovatele identity

V levé nabídce instance služby API Management v části Portál pro vývojáře vyberte Identity.
V seznamu vyberte Microsoft Entra ID.
V rozevíracím seznamu Klientská knihovna vyberte MSAL.
Vyberte Aktualizovat.
Znovu publikujte portál pro vývojáře.

Povolení přístupu externími uživateli v tenantovi Microsoft Entra ID (volitelné)

Služba API Management podporuje externí zprostředkovatele identit, když je nakonfigurujete v tenantovi pracovních sil Microsoft Entra ID. Pokud například povolíte přístup k portálu pro vývojáře uživateli ve vašem tenantovi pracovních sil, jako je třeba organizace Contoso, můžete chtít google nebo Facebook nakonfigurovat jako externího zprostředkovatele identity, aby se tito externí uživatelé mohli také přihlásit pomocí svých účtů.

Pokud chcete volitelně povolit přístup k portálu pro vývojáře externími uživateli ve vašem tenantovi Microsoft Entra ID, proveďte následující kroky:

Přidejte externího zprostředkovatele identity do tenanta Microsoft Entra ID.
Povolte samoobslužnou registraci.

1. Přidejte externí zprostředkovatele identity k tenantovi Microsoft Entra ID

V tomto scénáři musíte povolit externího poskytovatele identity ve vašem pracovním tenantovi. Konfigurace externího zprostředkovatele identity závisí na konkrétním zprostředkovateli a je mimo rozsah tohoto článku. Například pro Google musíte vytvořit projekt v konzole Google Developers Console a pak nakonfigurovat přihlašovací údaje projektu v Microsoft Entra.

Možnosti a odkazy na kroky najdete v tématu Zprostředkovatelé identity pro externí ID v tenantech pracovních sil.

Pokud chcete externím uživatelům povolit registraci pro přístup k portálu pro vývojáře, proveďte následující kroky:

a. Povolte samoobslužnou registraci pro vašeho tenanta.

b) Přidejte aplikaci do toku uživatele samoobslužné registrace.

Další informace a podrobné kroky najdete v tématu Přidání toků uživatelů samoobslužné registrace pro spolupráci B2B.

Povolení přístupu uživatelům ve více než jednom tenantovi Microsoft Entra ID (volitelné)

Poznámka:

Podpora přístupu k portálu pro vývojáře uživatelům z více tenantů Microsoft Entra ID je aktuálně dostupná na úrovních API Management Developer, Standard a Premium.

Pokud chcete volitelně povolit přístup k portálu pro vývojáře uživateli z více tenantů Microsoft Entra ID, proveďte následující kroky:

Nakonfigurujte registraci aplikace pro více tenantů.
Aktualizujte konfiguraci zprostředkovatele identity Microsoft Entra ID pro portál pro vývojáře a přidejte dalšího tenanta.

1. Konfigurace registrace aplikace pro více tenantů

Registrace aplikace musí podporovat více tenantů. Tuto podporu můžete nakonfigurovat některým z následujících způsobů:

Při vytváření registrace aplikace nastavte podporované typy účtů na Účty v libovolném organizačním adresáři (libovolný tenant Microsoft Entra ID – Multitenant).
Pokud jste dříve nakonfigurovali registraci aplikace pro jednoho tenanta, aktualizujte nastavení Podporované typy účtů na stránce Spravovat>ověřování registrace aplikace.

2. Aktualizace konfigurace zprostředkovatele identity Microsoft Entra ID pro více tenantů

Aktualizujte konfiguraci zprostředkovatele identity a přidejte dalšího tenanta:

Na webu Azure Portal přejděte do vaší instance služby API Management.
V části Portál pro vývojáře vyberte Identity.
V seznamu vyberte Microsoft Entra ID.
Do pole ID tenanta přidejte DALŠÍ ID tenanta oddělená čárkami.
Aktualizujte hodnotu tenanta Signin na jednoho z nakonfigurovaných tenantů.
Vyberte Aktualizovat.
Znovu publikujte portál pro vývojáře.

Přidání externí skupiny Microsoft Entra

Po povolení přístupu pro uživatele v tenantovi Microsoft Entra můžete:

Přidejte do služby API Management skupiny Microsoft Entra. Do tenanta, do kterého jste nasadili instanci služby API Management, musíte přidat skupiny.
Řízení viditelnosti produktů pomocí skupin Microsoft Entra

Přejděte na stránku Registrace aplikace pro aplikaci, kterou jste zaregistrovali v předchozí části.
Vyberte oprávnění rozhraní API.
Přidejte následující minimální oprávnění aplikace pro rozhraní Microsoft Graph API:
- User.Read.All oprávnění aplikace – aby služba API Management četla členství uživatele ve skupině, aby při přihlášení uživatele prováděla synchronizaci skupin.
- Group.Read.All oprávnění aplikace – aby služba API Management mohla číst skupiny z Microsoft Entra, když se správce pokusí přidat skupinu do API Management pomocí okna Skupiny na portálu.
Výběrem Udělit souhlas správce pro {tenantname} udělíte přístup všem uživatelům v tomto adresáři.

Teď můžete přidat externí skupiny Microsoft Entra z karty Skupiny vaší instance služby API Management.

V části Portál pro vývojáře v boční nabídce vyberte Skupiny.
Vyberte tlačítko Přidat skupinu Microsoft Entra.
V rozevíracím seznamu vyberte tenanta.
Vyhledejte a vyberte skupinu, kterou chcete přidat.
Vyberte Vybrat.

Po přidání externí skupiny Microsoft Entra můžete zkontrolovat a nakonfigurovat její vlastnosti:

Na kartě Skupiny vyberte název skupiny.
Upravit informace o názvu a popisu skupiny

Uživatelé z nakonfigurované instance Microsoft Entra teď můžou:

Přihlaste se k portálu pro vývojáře.
Zobrazte a přihlaste se k odběru skupin, ke kterým mají přístup.

Poznámka:

Další informace o rozdílu mezi typy delegovaných oprávnění a oprávněními aplikace najdete v článku o oprávněních a souhlasu v článku o platformě Microsoft Identity Platform .

Synchronizace skupin Microsoft Entra se službou API Management

Skupiny, které nakonfigurujete v Microsoft Entra, se musí synchronizovat se službou API Management, abyste je mohli přidat do své instance. Pokud se skupiny nesynchronizují automaticky, použijte jeden z následujících kroků k ruční synchronizaci informací o skupině:

Odhlaste se a přihlaste se k MICROSOFT Entra ID. Tato aktivita obvykle aktivuje synchronizaci skupin.
Ujistěte se, že v nastavení konfigurace ve službě API Management zadáte tenanta přihlášení Microsoft Entra stejným způsobem (pomocí ID tenanta nebo názvu domény). Přihlašovacího tenanta zadáte ve zprostředkovateli identity Microsoft Entra ID pro portál pro vývojáře a když do služby API Management přidáte skupinu Microsoft Entra.

Portál pro vývojáře: Přidání ověřování účtu Microsoft Entra

Na portálu pro vývojáře můžete povolit přihlášení pomocí ID Microsoft Entra pomocí tlačítka Pro přihlášení: Widget OAuth zahrnutý na přihlašovací stránce výchozího obsahu portálu pro vývojáře.

Uživatel se pak může přihlásit pomocí MICROSOFT Entra ID následujícím způsobem:

Přejděte na portál pro vývojáře. Vyberte Sign in (Přihlásit se).
Na přihlašovací stránce vyberte Microsoft Entra ID. Výběrem tohoto tlačítka se otevře přihlašovací stránka Microsoft Entra ID.

Návod

Pokud pro přístup nakonfigurujete více než jednoho tenanta, zobrazí se na přihlašovací stránce více než jedno tlačítko MICROSOFT Entra ID. Každé tlačítko je označené názvem tenanta.
V přihlašovacím okně tenanta Microsoft Entra odpovězte na výzvy.

Poznámka:

Pokud jste v tenantovi Microsoft Entra povolili externího zprostředkovatele identity a nakonfigurovali samoobslužnou registraci, vyberte externího zprostředkovatele identity v přihlašovacím okně a přihlaste se pomocí těchto přihlašovacích údajů. Pokud jste například nakonfigurovali Google jako zprostředkovatele identity, vyberte Přihlásit se pomocí Googlu.

Po dokončení přihlášení se uživatel přesměruje zpět na portál pro vývojáře. Nyní je uživatel přihlášen na portálu pro vývojáře a přidán jako nová uživatelská identita v API Managementu v části Uživatelé.

I když se nový účet automaticky vytvoří, když se nový uživatel přihlásí pomocí ID Microsoft Entra, zvažte přidání stejného widgetu na registrační stránku. Registrační formulář: Widget OAuth představuje formulář používaný k registraci pomocí OAuth.