Verwalten der AnwendungsauthentifizierungVerhalten

Mit der authenticationBehaviors-Eigenschaft des Anwendungsobjekts können Sie Breaking Change-Verhalten im Zusammenhang mit der Token-Ausgabe konfigurieren. Anwendungen können neue wichtige Änderungen übernehmen, indem sie ein Verhalten aktivieren, oder bereits vorhandenes Verhalten weiterhin verwenden, indem sie es deaktivieren.

Sie können die folgenden Verhaltensweisen konfigurieren:

Steuern Sie die COOP-Erzwingung (Cross-Origin-Opener-Policy) für browserbasierte Authentifizierungsantworten.
Zulassen oder Verhindern der Ausstellung von E-Mail-Ansprüchen mit nicht verifizierten Domäneninhabern.
Aktivieren oder deaktivieren Sie den erweiterten Zugriff auf Azure AD Graph bis zum 31. August 2025, wenn Azure AD Graph vollständig eingestellt ist.
Erfordern, dass mehrinstanzenfähige Anwendungen im Rahmen von Autorisierungsprüfungen einen Dienstprinzipal im Ressourcenmandanten haben, bevor ihnen Zugriffstoken gewährt werden.

Hinweis

Die authenticationBehaviors-Eigenschaft des Anwendungsobjekts ist derzeit nur in beta verfügbar.

Lesen der authenticationBehaviors-Einstellung für eine Anwendung

Die authenticationBehaviors-Eigenschaft wird nur bei $select Anforderungen zurückgegeben.

Führen Sie die folgende Beispielanforderung aus, um die Eigenschaft und andere angegebene Eigenschaften aller Apps im Mandanten zu lesen. Die Anforderung gibt einen 200 OK Antwortcode und eine JSON-Darstellung des Anwendungsobjekts zurück, die nur die ausgewählten Eigenschaften anzeigt.

GET https://graph.microsoft.com/beta/applications?$select=id,displayName,appId,authenticationBehaviors


// Code snippets are only available for the latest version. Current version is 5.x

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Applications.GetAsync((requestConfiguration) =>
{
	requestConfiguration.QueryParameters.Select = new string []{ "id","displayName","appId","authenticationBehaviors" };
});



// Code snippets are only available for the latest major version. Current major version is $v0.*

// Dependencies
import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-beta-sdk-go"
	  graphapplications "github.com/microsoftgraph/msgraph-beta-sdk-go/applications"
	  //other-imports
)

requestParameters := &graphapplications.ApplicationsRequestBuilderGetQueryParameters{
	Select: [] string {"id","displayName","appId","authenticationBehaviors"},
}
configuration := &graphapplications.ApplicationsRequestBuilderGetRequestConfiguration{
	QueryParameters: requestParameters,
}

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=go
applications, err := graphClient.Applications().Get(context.Background(), configuration)


// Code snippets are only available for the latest version. Current version is 6.x

GraphServiceClient graphClient = new GraphServiceClient(requestAdapter);

ApplicationCollectionResponse result = graphClient.applications().get(requestConfiguration -> {
	requestConfiguration.queryParameters.select = new String []{"id", "displayName", "appId", "authenticationBehaviors"};
});


const options = {
	authProvider,
};

const client = Client.init(options);

let applications = await client.api('/applications')
	.version('beta')
	.select('id,displayName,appId,authenticationBehaviors')
	.get();


<?php
use Microsoft\Graph\Beta\GraphServiceClient;
use Microsoft\Graph\Beta\Generated\Applications\ApplicationsRequestBuilderGetRequestConfiguration;


$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestConfiguration = new ApplicationsRequestBuilderGetRequestConfiguration();
$queryParameters = ApplicationsRequestBuilderGetRequestConfiguration::createQueryParameters();
$queryParameters->select = ["id","displayName","appId","authenticationBehaviors"];
$requestConfiguration->queryParameters = $queryParameters;


$result = $graphServiceClient->applications()->get($requestConfiguration)->wait();


Import-Module Microsoft.Graph.Beta.Applications

Get-MgBetaApplication -Property "id,displayName,appId,authenticationBehaviors"


# Code snippets are only available for the latest version. Current version is 1.x
from msgraph_beta import GraphServiceClient
from msgraph_beta.generated.applications.applications_request_builder import ApplicationsRequestBuilder
from kiota_abstractions.base_request_configuration import RequestConfiguration
# To initialize your graph_client, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=python
query_params = ApplicationsRequestBuilder.ApplicationsRequestBuilderGetQueryParameters(
		select = ["id","displayName","appId","authenticationBehaviors"],
)

request_configuration = RequestConfiguration(
query_parameters = query_params,
)

result = await graph_client.applications.get(request_configuration = request_configuration)

Um nur die authenticationBehaviors-Eigenschaft für eine einzelne App zu lesen, führen Sie die folgende Beispielanforderung aus.

GET https://graph.microsoft.com/beta/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors

Snippet not available

Snippet not available

Snippet not available


const options = {
	authProvider,
};

const client = Client.init(options);

let authenticationBehaviors = await client.api('/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors')
	.version('beta')
	.get();

Snippet not available

Snippet not available

Snippet not available

Sie können die appId-Eigenschaft auch wie folgt verwenden:

GET https://graph.microsoft.com/beta/applications(appId='37bf1fd4-78b0-4fea-ac2d-6c82829e9365')/authenticationBehaviors

Steuern Sie die Erzwingung der Cross-Origin-Opener-Policy

Die coopEnforcement-Eigenschaft steuert, ob Microsoft Entra-Authentifizierungsantworten für eine Anwendung erzwungene COOP-Header (Cross-Origin-Opener-Policy) enthalten. COOP isoliert Browserfenster vom ursprungsübergreifenden Öffnungszugriff und schützt browserbasierte Authentifizierungsflüsse. Der Dienst wendet diese Einstellung pro App an, wenn die Auswertung per App-COOP-Außerkraftsetzung für die Anforderung verfügbar ist.

Anwendungen, die die Popupauthentifizierung verwenden, sollten zunächst einen COOP-kompatiblen Authentifizierungsablauf übernehmen. Wenn Ihre Anwendung MSAL.js verwendet, migrieren Sie zu MSAL.js v5 oder höher und konfigurieren Sie die unterstützte Umleitungsbrücke. Weitere Informationen finden Sie unter Migrieren von MSAL-Browser v4 zu v5 und Einrichten der Umleitungsbrückenseite im MSAL-Browser. Wenn ein SDK oder eine Hostingplattform Besitzer des Popups und des Rückrufs ist, aktualisieren Sie auf eine kompatible Plattformversion oder melden Sie das Problem dem Eigentümer dieser Plattform.

Die Eigenschaft unterstützt die folgenden Werte:

true: COOP für die Anwendung explizit erzwingen.
false: COOP-Erzwingung als temporäre Kompatibilitätsausnahme explizit unterdrücken.
null: Entfernen Sie die explizite Außerkraftsetzung und verwenden Sie den Dienststandard.

Hinweis

coopEnforcement ist nur im globalen Dienst und nicht in nationalen Cloudbereitstellungen verfügbar.

Wichtig

Bevor Sie coopEnforcement auf truefestlegen, testen Sie den vollständigen Authentifizierungsablauf der Anwendung, einschließlich des Schließens des Popups und der Übermittlung des Authentifizierungsergebnisses an die Hostanwendung. Das Festlegen der false Eigenschaft auf ist eine temporäre Kompatibilitätsausnahme, während die Anwendung oder die besitzende Plattform behandelt wird; es handelt sich nicht um eine Sicherheitskorrektur. Die Ausnahme läuft nicht automatisch ab. Setzen Sie die Eigenschaft auf null oder legen Sie sie auf nach der Wiederherstellung fest true .

COOP-Erzwingung explizit aktivieren

In den folgenden Beispielen wird die COOP-Erzwingung für eine Anwendung explizit aktiviert.

Option 1

Mit diesem Muster zum Angeben der Eigenschaft in der Anforderungs-URL können Sie nur die in der Anforderung angegebene Eigenschaft aktualisieren.

PATCH https://graph.microsoft.com/beta/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors
Content-Type: application/json

{
    "coopEnforcement": true
}

Snippet not available

Snippet not available

Snippet not available


const options = {
	authProvider,
};

const client = Client.init(options);

const authenticationBehaviors = {
    coopEnforcement: true
};

await client.api('/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors')
	.version('beta')
	.update(authenticationBehaviors);

Snippet not available

Snippet not available

Snippet not available

Option 2

Mit diesem Muster zum Angeben der Eigenschaft im Anforderungstext können Sie andere Peereigenschaften in derselben Anforderung aktualisieren.

PATCH https://graph.microsoft.com/beta/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e
Content-Type: application/json

{
    "authenticationBehaviors": {
        "coopEnforcement": true
    }
}

Bei erfolgreicher Ausführung geben diese Anforderungen eine 204 No Content Antwort zurück.


// Code snippets are only available for the latest version. Current version is 5.x

// Dependencies
using Microsoft.Graph.Beta.Models;

var requestBody = new Application
{
	AuthenticationBehaviors = new AuthenticationBehaviors
	{
		AdditionalData = new Dictionary<string, object>
		{
			{
				"coopEnforcement" , true
			},
		},
	},
};

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Applications["{application-id}"].PatchAsync(requestBody);



// Code snippets are only available for the latest major version. Current major version is $v0.*

// Dependencies
import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-beta-sdk-go"
	  graphmodels "github.com/microsoftgraph/msgraph-beta-sdk-go/models"
	  //other-imports
)

requestBody := graphmodels.NewApplication()
authenticationBehaviors := graphmodels.NewAuthenticationBehaviors()
additionalData := map[string]interface{}{
	coopEnforcement := true
authenticationBehaviors.SetCoopEnforcement(&coopEnforcement) 
}
authenticationBehaviors.SetAdditionalData(additionalData)
requestBody.SetAuthenticationBehaviors(authenticationBehaviors)

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=go
applications, err := graphClient.Applications().ByApplicationId("application-id").Patch(context.Background(), requestBody, nil)


// Code snippets are only available for the latest version. Current version is 6.x

GraphServiceClient graphClient = new GraphServiceClient(requestAdapter);

Application application = new Application();
AuthenticationBehaviors authenticationBehaviors = new AuthenticationBehaviors();
HashMap<String, Object> additionalData = new HashMap<String, Object>();
additionalData.put("coopEnforcement", true);
authenticationBehaviors.setAdditionalData(additionalData);
application.setAuthenticationBehaviors(authenticationBehaviors);
Application result = graphClient.applications().byApplicationId("{application-id}").patch(application);


const options = {
	authProvider,
};

const client = Client.init(options);

const application = {
    authenticationBehaviors: {
        coopEnforcement: true
    }
};

await client.api('/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e')
	.version('beta')
	.update(application);


<?php
use Microsoft\Graph\Beta\GraphServiceClient;
use Microsoft\Graph\Beta\Generated\Models\Application;
use Microsoft\Graph\Beta\Generated\Models\AuthenticationBehaviors;


$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestBody = new Application();
$authenticationBehaviors = new AuthenticationBehaviors();
$additionalData = [
	'coopEnforcement' => true,
];
$authenticationBehaviors->setAdditionalData($additionalData);
$requestBody->setAuthenticationBehaviors($authenticationBehaviors);

$result = $graphServiceClient->applications()->byApplicationId('application-id')->patch($requestBody)->wait();


Import-Module Microsoft.Graph.Beta.Applications

$params = @{
	authenticationBehaviors = @{
		coopEnforcement = $true
	}
}

Update-MgBetaApplication -ApplicationId $applicationId -BodyParameter $params


# Code snippets are only available for the latest version. Current version is 1.x
from msgraph_beta import GraphServiceClient
from msgraph_beta.generated.models.application import Application
from msgraph_beta.generated.models.authentication_behaviors import AuthenticationBehaviors
# To initialize your graph_client, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=python
request_body = Application(
	authentication_behaviors = AuthenticationBehaviors(
		additional_data = {
				"coop_enforcement" : True,
		}
	),
)

result = await graph_client.applications.by_application_id('application-id').patch(request_body)

Vorübergehendes Unterdrücken der COOP-Erzwingung

In den folgenden Beispielen wird die COOP-Erzwingung explizit unterdrückt, während der Anwendungsbesitzer einen inkompatiblen Authentifizierungsablauf korrigiert.

Option 1

Mit diesem Muster zum Angeben der Eigenschaft in der Anforderungs-URL können Sie nur die in der Anforderung angegebene Eigenschaft aktualisieren.

PATCH https://graph.microsoft.com/beta/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors
Content-Type: application/json

{
    "coopEnforcement": false
}

Snippet not available

Snippet not available

Snippet not available


const options = {
	authProvider,
};

const client = Client.init(options);

const authenticationBehaviors = {
    coopEnforcement: false
};

await client.api('/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors')
	.version('beta')
	.update(authenticationBehaviors);

Snippet not available

Snippet not available

Snippet not available

Option 2

Mit diesem Muster zum Angeben der Eigenschaft im Anforderungstext können Sie andere Peereigenschaften in derselben Anforderung aktualisieren.

PATCH https://graph.microsoft.com/beta/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e
Content-Type: application/json

{
    "authenticationBehaviors": {
        "coopEnforcement": false
    }
}

Bei erfolgreicher Ausführung geben diese Anforderungen eine 204 No Content Antwort zurück. Möglicherweise ist noch ein COOP-Report-Only-Header vorhanden. Nachdem die Anwendung oder besitzende Plattform korrigiert wurde, setzen Sie die Eigenschaft auf true für eine kontrollierte Überprüfung, oder setzen Sie sie zurück, um null den Dienststandard zu verwenden.


// Code snippets are only available for the latest version. Current version is 5.x

// Dependencies
using Microsoft.Graph.Beta.Models;

var requestBody = new Application
{
	AuthenticationBehaviors = new AuthenticationBehaviors
	{
		AdditionalData = new Dictionary<string, object>
		{
			{
				"coopEnforcement" , false
			},
		},
	},
};

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Applications["{application-id}"].PatchAsync(requestBody);



// Code snippets are only available for the latest major version. Current major version is $v0.*

// Dependencies
import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-beta-sdk-go"
	  graphmodels "github.com/microsoftgraph/msgraph-beta-sdk-go/models"
	  //other-imports
)

requestBody := graphmodels.NewApplication()
authenticationBehaviors := graphmodels.NewAuthenticationBehaviors()
additionalData := map[string]interface{}{
	coopEnforcement := false
authenticationBehaviors.SetCoopEnforcement(&coopEnforcement) 
}
authenticationBehaviors.SetAdditionalData(additionalData)
requestBody.SetAuthenticationBehaviors(authenticationBehaviors)

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=go
applications, err := graphClient.Applications().ByApplicationId("application-id").Patch(context.Background(), requestBody, nil)


// Code snippets are only available for the latest version. Current version is 6.x

GraphServiceClient graphClient = new GraphServiceClient(requestAdapter);

Application application = new Application();
AuthenticationBehaviors authenticationBehaviors = new AuthenticationBehaviors();
HashMap<String, Object> additionalData = new HashMap<String, Object>();
additionalData.put("coopEnforcement", false);
authenticationBehaviors.setAdditionalData(additionalData);
application.setAuthenticationBehaviors(authenticationBehaviors);
Application result = graphClient.applications().byApplicationId("{application-id}").patch(application);


const options = {
	authProvider,
};

const client = Client.init(options);

const application = {
    authenticationBehaviors: {
        coopEnforcement: false
    }
};

await client.api('/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e')
	.version('beta')
	.update(application);


<?php
use Microsoft\Graph\Beta\GraphServiceClient;
use Microsoft\Graph\Beta\Generated\Models\Application;
use Microsoft\Graph\Beta\Generated\Models\AuthenticationBehaviors;


$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestBody = new Application();
$authenticationBehaviors = new AuthenticationBehaviors();
$additionalData = [
	'coopEnforcement' => false,
];
$authenticationBehaviors->setAdditionalData($additionalData);
$requestBody->setAuthenticationBehaviors($authenticationBehaviors);

$result = $graphServiceClient->applications()->byApplicationId('application-id')->patch($requestBody)->wait();


Import-Module Microsoft.Graph.Beta.Applications

$params = @{
	authenticationBehaviors = @{
		coopEnforcement = $false
	}
}

Update-MgBetaApplication -ApplicationId $applicationId -BodyParameter $params


# Code snippets are only available for the latest version. Current version is 1.x
from msgraph_beta import GraphServiceClient
from msgraph_beta.generated.models.application import Application
from msgraph_beta.generated.models.authentication_behaviors import AuthenticationBehaviors
# To initialize your graph_client, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=python
request_body = Application(
	authentication_behaviors = AuthenticationBehaviors(
		additional_data = {
				"coop_enforcement" : False,
		}
	),
)

result = await graph_client.applications.by_application_id('application-id').patch(request_body)

Wiederherstellen der Standardeinstellungen für den Dienst

In den folgenden Beispielen wird die explizite Außerkraftsetzung entfernt.

Option 1

Mit diesem Muster zum Angeben der Eigenschaft in der Anforderungs-URL können Sie nur die in der Anforderung angegebene Eigenschaft aktualisieren.

PATCH https://graph.microsoft.com/beta/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors
Content-Type: application/json

{
    "coopEnforcement": null
}

Snippet not available

Snippet not available

Snippet not available


const options = {
	authProvider,
};

const client = Client.init(options);

const authenticationBehaviors = {
    coopEnforcement: null
};

await client.api('/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors')
	.version('beta')
	.update(authenticationBehaviors);

Snippet not available

Snippet not available

Snippet not available

Option 2

Mit diesem Muster zum Angeben der Eigenschaft im Anforderungstext können Sie andere Peereigenschaften in derselben Anforderung aktualisieren.

PATCH https://graph.microsoft.com/beta/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e
Content-Type: application/json

{
    "authenticationBehaviors": {
        "coopEnforcement": null
    }
}

Bei erfolgreicher Ausführung geben diese Anforderungen eine 204 No Content Antwort zurück. Um den Zurücksetzungsstatus zu bestätigen, lesen Sie die Anwendung mit $select=id,appId,authenticationBehaviors. Wenn die Anwendung kein anderes explizites Authentifizierungsverhalten aufweist, ist authenticationBehaviors .null Wenn ein anderes Authentifizierungsverhalten konfiguriert wird, bleibt das komplexe Objekt vorhanden und coopEnforcement wird weggelassen.


// Code snippets are only available for the latest version. Current version is 5.x

// Dependencies
using Microsoft.Graph.Beta.Models;

var requestBody = new Application
{
	AuthenticationBehaviors = new AuthenticationBehaviors
	{
		AdditionalData = new Dictionary<string, object>
		{
			{
				"coopEnforcement" , null
			},
		},
	},
};

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Applications["{application-id}"].PatchAsync(requestBody);



// Code snippets are only available for the latest major version. Current major version is $v0.*

// Dependencies
import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-beta-sdk-go"
	  graphmodels "github.com/microsoftgraph/msgraph-beta-sdk-go/models"
	  //other-imports
)

requestBody := graphmodels.NewApplication()
authenticationBehaviors := graphmodels.NewAuthenticationBehaviors()
additionalData := map[string]interface{}{
	coopEnforcement := null
authenticationBehaviors.SetCoopEnforcement(&coopEnforcement) 
}
authenticationBehaviors.SetAdditionalData(additionalData)
requestBody.SetAuthenticationBehaviors(authenticationBehaviors)

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=go
applications, err := graphClient.Applications().ByApplicationId("application-id").Patch(context.Background(), requestBody, nil)


// Code snippets are only available for the latest version. Current version is 6.x

GraphServiceClient graphClient = new GraphServiceClient(requestAdapter);

Application application = new Application();
AuthenticationBehaviors authenticationBehaviors = new AuthenticationBehaviors();
HashMap<String, Object> additionalData = new HashMap<String, Object>();
additionalData.put("coopEnforcement", null);
authenticationBehaviors.setAdditionalData(additionalData);
application.setAuthenticationBehaviors(authenticationBehaviors);
Application result = graphClient.applications().byApplicationId("{application-id}").patch(application);


const options = {
	authProvider,
};

const client = Client.init(options);

const application = {
    authenticationBehaviors: {
        coopEnforcement: null
    }
};

await client.api('/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e')
	.version('beta')
	.update(application);


<?php
use Microsoft\Graph\Beta\GraphServiceClient;
use Microsoft\Graph\Beta\Generated\Models\Application;
use Microsoft\Graph\Beta\Generated\Models\AuthenticationBehaviors;


$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestBody = new Application();
$authenticationBehaviors = new AuthenticationBehaviors();
$additionalData = [
	'coopEnforcement' => null,
];
$authenticationBehaviors->setAdditionalData($additionalData);
$requestBody->setAuthenticationBehaviors($authenticationBehaviors);

$result = $graphServiceClient->applications()->byApplicationId('application-id')->patch($requestBody)->wait();


Import-Module Microsoft.Graph.Beta.Applications

$params = @{
	authenticationBehaviors = @{
		coopEnforcement = $null
	}
}

Update-MgBetaApplication -ApplicationId $applicationId -BodyParameter $params


# Code snippets are only available for the latest version. Current version is 1.x
from msgraph_beta import GraphServiceClient
from msgraph_beta.generated.models.application import Application
from msgraph_beta.generated.models.authentication_behaviors import AuthenticationBehaviors
# To initialize your graph_client, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=python
request_body = Application(
	authentication_behaviors = AuthenticationBehaviors(
		additional_data = {
				"coop_enforcement" : None,
		}
	),
)

result = await graph_client.applications.by_application_id('application-id').patch(request_body)

Hinweis

Wenn coopEnforcement in der aktuellen Beta bereits fehlt, kann eine weitere Zurücksetzungsanforderung zurückkehren 400 Request_BadRequest. Lesen Sie zuerst die Anwendung, und behandeln Sie eine ausgelassene Eigenschaft als bereits zurückgesetzt.

Verhindern Sie die Ausstellung von E-Mail-Ansprüchen mit nicht verifizierten Domänenbesitzern

Wie in der Microsoft-Sicherheitsempfehlung Potential Risk of Privilege Escalation in Microsoft Entra Applications beschrieben, sollten Apps niemals den E-Mail-Anspruch für Autorisierungszwecke verwenden. Wenn Ihre Anwendung den E-Mail-Anspruch zur Autorisierung oder primären Benutzeridentifikation verwendet, ist sie Angriffen zur Ausweitung von Konten und Berechtigungen ausgesetzt. Dieses Risiko des nicht autorisierten Zugriffs wird insbesondere in den folgenden Szenarien identifiziert:

Wenn das mail-Attribut des Benutzerobjekts eine E-Mail-Adresse mit einem nicht bestätigten Domänenbesitzer enthält
Für mehrinstanzenfähige Apps, bei denen ein Benutzer eines Mandanten seine Berechtigungen für den Zugriff auf Ressourcen eines anderen Mandanten durch Änderung seines E-Mail-Attributs erweitern könnte

Heute besteht das Standardverhalten darin, E-Mail-Adressen mit nicht überprüften Domänenbesitzern in Ansprüchen zu entfernen, mit Ausnahme von Einzelmandanten-Apps und mehrinstanzenfähigen Apps mit vorheriger Anmeldeaktivität mit nicht überprüften E-Mails. Wenn Ihre App unter eine dieser Ausnahmen fällt und Sie nicht überprüfte E-Mail-Adressen entfernen möchten, legen Sie die removeUnverifiedEmailClaim-Eigenschaft von authenticationBehaviors wie in den folgenden Beispielen gezeigt fest true . Die Anforderung gibt einen 204 No Content Antwortcode zurück.

Entfernen von E-Mail-Adressen mit nicht bestätigten Domänenbesitzern aus Ansprüchen

Option 1

Mit diesem Muster zum Angeben der Eigenschaft in der Anforderungs-URL können Sie nur die in der Anforderung angegebene Eigenschaft aktualisieren.

PATCH https://graph.microsoft.com/beta/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors
Content-Type: application/json

{
    "removeUnverifiedEmailClaim": true
}

Snippet not available

Snippet not available

Snippet not available


const options = {
	authProvider,
};

const client = Client.init(options);

const authenticationBehaviors = {
    removeUnverifiedEmailClaim: true
};

await client.api('/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors')
	.version('beta')
	.update(authenticationBehaviors);

Snippet not available

Snippet not available

Snippet not available

Option 2

Mit diesem Muster zum Angeben der Eigenschaft im Anforderungstext können Sie andere Peereigenschaften in derselben Anforderung aktualisieren.

PATCH https://graph.microsoft.com/beta/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e
Content-Type: application/json

{
    "authenticationBehaviors": {
        "removeUnverifiedEmailClaim": true
    }
}


// Code snippets are only available for the latest version. Current version is 5.x

// Dependencies
using Microsoft.Graph.Beta.Models;

var requestBody = new Application
{
	AuthenticationBehaviors = new AuthenticationBehaviors
	{
		RemoveUnverifiedEmailClaim = true,
	},
};

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Applications["{application-id}"].PatchAsync(requestBody);



// Code snippets are only available for the latest major version. Current major version is $v0.*

// Dependencies
import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-beta-sdk-go"
	  graphmodels "github.com/microsoftgraph/msgraph-beta-sdk-go/models"
	  //other-imports
)

requestBody := graphmodels.NewApplication()
authenticationBehaviors := graphmodels.NewAuthenticationBehaviors()
removeUnverifiedEmailClaim := true
authenticationBehaviors.SetRemoveUnverifiedEmailClaim(&removeUnverifiedEmailClaim) 
requestBody.SetAuthenticationBehaviors(authenticationBehaviors)

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=go
applications, err := graphClient.Applications().ByApplicationId("application-id").Patch(context.Background(), requestBody, nil)


// Code snippets are only available for the latest version. Current version is 6.x

GraphServiceClient graphClient = new GraphServiceClient(requestAdapter);

Application application = new Application();
AuthenticationBehaviors authenticationBehaviors = new AuthenticationBehaviors();
authenticationBehaviors.setRemoveUnverifiedEmailClaim(true);
application.setAuthenticationBehaviors(authenticationBehaviors);
Application result = graphClient.applications().byApplicationId("{application-id}").patch(application);


const options = {
	authProvider,
};

const client = Client.init(options);

const application = {
    authenticationBehaviors: {
        removeUnverifiedEmailClaim: true
    }
};

await client.api('/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e')
	.version('beta')
	.update(application);


<?php
use Microsoft\Graph\Beta\GraphServiceClient;
use Microsoft\Graph\Beta\Generated\Models\Application;
use Microsoft\Graph\Beta\Generated\Models\AuthenticationBehaviors;


$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestBody = new Application();
$authenticationBehaviors = new AuthenticationBehaviors();
$authenticationBehaviors->setRemoveUnverifiedEmailClaim(true);
$requestBody->setAuthenticationBehaviors($authenticationBehaviors);

$result = $graphServiceClient->applications()->byApplicationId('application-id')->patch($requestBody)->wait();


Import-Module Microsoft.Graph.Beta.Applications

$params = @{
	authenticationBehaviors = @{
		removeUnverifiedEmailClaim = $true
	}
}

Update-MgBetaApplication -ApplicationId $applicationId -BodyParameter $params


# Code snippets are only available for the latest version. Current version is 1.x
from msgraph_beta import GraphServiceClient
from msgraph_beta.generated.models.application import Application
from msgraph_beta.generated.models.authentication_behaviors import AuthenticationBehaviors
# To initialize your graph_client, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=python
request_body = Application(
	authentication_behaviors = AuthenticationBehaviors(
		remove_unverified_email_claim = True,
	),
)

result = await graph_client.applications.by_application_id('application-id').patch(request_body)

Akzeptieren von E-Mail-Adressen mit nicht bestätigten Domäneninhabern in Ansprüchen

Option 1

PATCH https://graph.microsoft.com/beta/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors
Content-Type: application/json

{
    "removeUnverifiedEmailClaim": false
}

Snippet not available

Snippet not available

Snippet not available


const options = {
	authProvider,
};

const client = Client.init(options);

const authenticationBehaviors = {
    removeUnverifiedEmailClaim: false
};

await client.api('/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors')
	.version('beta')
	.update(authenticationBehaviors);

Snippet not available

Snippet not available

Snippet not available

Option 2

PATCH https://graph.microsoft.com/beta/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e
Content-Type: application/json

{
    "authenticationBehaviors": {
        "removeUnverifiedEmailClaim": false
    }
}


// Code snippets are only available for the latest version. Current version is 5.x

// Dependencies
using Microsoft.Graph.Beta.Models;

var requestBody = new Application
{
	AuthenticationBehaviors = new AuthenticationBehaviors
	{
		RemoveUnverifiedEmailClaim = false,
	},
};

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Applications["{application-id}"].PatchAsync(requestBody);



// Code snippets are only available for the latest major version. Current major version is $v0.*

// Dependencies
import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-beta-sdk-go"
	  graphmodels "github.com/microsoftgraph/msgraph-beta-sdk-go/models"
	  //other-imports
)

requestBody := graphmodels.NewApplication()
authenticationBehaviors := graphmodels.NewAuthenticationBehaviors()
removeUnverifiedEmailClaim := false
authenticationBehaviors.SetRemoveUnverifiedEmailClaim(&removeUnverifiedEmailClaim) 
requestBody.SetAuthenticationBehaviors(authenticationBehaviors)

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=go
applications, err := graphClient.Applications().ByApplicationId("application-id").Patch(context.Background(), requestBody, nil)


// Code snippets are only available for the latest version. Current version is 6.x

GraphServiceClient graphClient = new GraphServiceClient(requestAdapter);

Application application = new Application();
AuthenticationBehaviors authenticationBehaviors = new AuthenticationBehaviors();
authenticationBehaviors.setRemoveUnverifiedEmailClaim(false);
application.setAuthenticationBehaviors(authenticationBehaviors);
Application result = graphClient.applications().byApplicationId("{application-id}").patch(application);


const options = {
	authProvider,
};

const client = Client.init(options);

const application = {
    authenticationBehaviors: {
        removeUnverifiedEmailClaim: false
    }
};

await client.api('/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e')
	.version('beta')
	.update(application);


<?php
use Microsoft\Graph\Beta\GraphServiceClient;
use Microsoft\Graph\Beta\Generated\Models\Application;
use Microsoft\Graph\Beta\Generated\Models\AuthenticationBehaviors;


$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestBody = new Application();
$authenticationBehaviors = new AuthenticationBehaviors();
$authenticationBehaviors->setRemoveUnverifiedEmailClaim(false);
$requestBody->setAuthenticationBehaviors($authenticationBehaviors);

$result = $graphServiceClient->applications()->byApplicationId('application-id')->patch($requestBody)->wait();


Import-Module Microsoft.Graph.Beta.Applications

$params = @{
	authenticationBehaviors = @{
		removeUnverifiedEmailClaim = $false
	}
}

Update-MgBetaApplication -ApplicationId $applicationId -BodyParameter $params


# Code snippets are only available for the latest version. Current version is 1.x
from msgraph_beta import GraphServiceClient
from msgraph_beta.generated.models.application import Application
from msgraph_beta.generated.models.authentication_behaviors import AuthenticationBehaviors
# To initialize your graph_client, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=python
request_body = Application(
	authentication_behaviors = AuthenticationBehaviors(
		remove_unverified_email_claim = False,
	),
)

result = await graph_client.applications.by_application_id('application-id').patch(request_body)

Wiederherstellen des Standardverhaltens

Option 1

PATCH https://graph.microsoft.com/beta/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors
Content-Type: application/json

{
    "removeUnverifiedEmailClaim": null
}

Snippet not available

Snippet not available

Snippet not available


const options = {
	authProvider,
};

const client = Client.init(options);

const authenticationBehaviors = {
    removeUnverifiedEmailClaim: null
};

await client.api('/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/authenticationBehaviors')
	.version('beta')
	.update(authenticationBehaviors);

Snippet not available

Snippet not available

Snippet not available

Option 2

PATCH https://graph.microsoft.com/beta/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/
Content-Type: application/json

{
    "authenticationBehaviors": {
        "removeUnverifiedEmailClaim": null
    }
}


// Code snippets are only available for the latest version. Current version is 5.x

// Dependencies
using Microsoft.Graph.Beta.Models;

var requestBody = new Application
{
	AuthenticationBehaviors = new AuthenticationBehaviors
	{
		RemoveUnverifiedEmailClaim = null,
	},
};

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Applications["{application-id}"].PatchAsync(requestBody);



// Code snippets are only available for the latest major version. Current major version is $v0.*

// Dependencies
import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-beta-sdk-go"
	  graphmodels "github.com/microsoftgraph/msgraph-beta-sdk-go/models"
	  //other-imports
)

requestBody := graphmodels.NewApplication()
authenticationBehaviors := graphmodels.NewAuthenticationBehaviors()
removeUnverifiedEmailClaim := null
authenticationBehaviors.SetRemoveUnverifiedEmailClaim(&removeUnverifiedEmailClaim) 
requestBody.SetAuthenticationBehaviors(authenticationBehaviors)

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=go
applications, err := graphClient.Applications().ByApplicationId("application-id").Patch(context.Background(), requestBody, nil)


// Code snippets are only available for the latest version. Current version is 6.x

GraphServiceClient graphClient = new GraphServiceClient(requestAdapter);

Application application = new Application();
AuthenticationBehaviors authenticationBehaviors = new AuthenticationBehaviors();
authenticationBehaviors.setRemoveUnverifiedEmailClaim(null);
application.setAuthenticationBehaviors(authenticationBehaviors);
Application result = graphClient.applications().byApplicationId("{application-id}").patch(application);


const options = {
	authProvider,
};

const client = Client.init(options);

const application = {
    authenticationBehaviors: {
        removeUnverifiedEmailClaim: null
    }
};

await client.api('/applications/03ef14b0-ca33-4840-8f4f-d6e91916010e/')
	.version('beta')
	.update(application);


<?php
use Microsoft\Graph\Beta\GraphServiceClient;
use Microsoft\Graph\Beta\Generated\Models\Application;
use Microsoft\Graph\Beta\Generated\Models\AuthenticationBehaviors;


$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestBody = new Application();
$authenticationBehaviors = new AuthenticationBehaviors();
$authenticationBehaviors->setRemoveUnverifiedEmailClaim(null);
$requestBody->setAuthenticationBehaviors($authenticationBehaviors);

$result = $graphServiceClient->applications()->byApplicationId('application-id')->patch($requestBody)->wait();


Import-Module Microsoft.Graph.Beta.Applications

$params = @{
	authenticationBehaviors = @{
		removeUnverifiedEmailClaim = $null
	}
}

Update-MgBetaApplication -ApplicationId $applicationId -BodyParameter $params


# Code snippets are only available for the latest version. Current version is 1.x
from msgraph_beta import GraphServiceClient
from msgraph_beta.generated.models.application import Application
from msgraph_beta.generated.models.authentication_behaviors import AuthenticationBehaviors
# To initialize your graph_client, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=python
request_body = Application(
	authentication_behaviors = AuthenticationBehaviors(
		remove_unverified_email_claim = None,
	),
)

result = await graph_client.applications.by_application_id('application-id').patch(request_body)

Erweiterten Zugriff auf Azure AD Graph bis zum 31. August 2025 zulassen

Standardmäßig erhalten Anwendungen, die nach dem 31. August 2024 erstellt wurden, eine 403 Unauthorized Fehlermeldung, wenn sie Anforderungen an Azure AD Graph-APIs stellen, es sei denn, Sie konfigurieren sie so, dass ein erweiterter Azure AD Graph-Zugriff zulässig ist. Darüber hinaus müssen Sie vorhandene Apps konfigurieren, die vor dem 31. August 2024 erstellt wurden, und Anforderungen an Azure AD Graph-APIs stellen, um einen erweiterten Azure AD Graph-Zugriff bis zum 1. Februar 2025 zu ermöglichen. Dieser erweiterte Zugriff ist nur bis zum 30. Juni 2025 verfügbar, wenn Azure AD Graph vollständig eingestellt wird. Nach diesem Datum erhalten alle Apps eine 403 Unauthorized Fehlermeldung, wenn sie Anforderungen an Azure AD Graph-APIs stellen, unabhängig von ihrer Konfiguration des erweiterten Zugriffs. Weitere Informationen finden Sie unter Update vom Juni 2024 zur Einstellung der Azure AD Graph-API.

Die folgende Anforderung zeigt, wie Sie eine App aktualisieren, um erweiterten Zugriff auf Azure AD Graph zu ermöglichen. Die in diesem Beispiel verwendete ID ist die Objekt-ID der Anwendung, nicht die Anwendungs-ID. Die Anforderung gibt einen 204 No Content Antwortcode zurück.

Option 1

PATCH https://graph.microsoft.com/beta/applications/5c142e6f-0bd3-4e58-b510-8a106704f44f/authenticationBehaviors
Content-Type: application/json

{
    "blockAzureADGraphAccess": false
}

Snippet not available

Snippet not available

Snippet not available


const options = {
	authProvider,
};

const client = Client.init(options);

const authenticationBehaviors = {
    blockAzureADGraphAccess: false
};

await client.api('/applications/5c142e6f-0bd3-4e58-b510-8a106704f44f/authenticationBehaviors')
	.version('beta')
	.update(authenticationBehaviors);

Snippet not available

Snippet not available

Snippet not available

Option 2

PATCH https://graph.microsoft.com/beta/applications/5c142e6f-0bd3-4e58-b510-8a106704f44f
Content-Type: application/json

{
    "authenticationBehaviors": {
        "blockAzureADGraphAccess": false
    }
}


// Code snippets are only available for the latest version. Current version is 5.x

// Dependencies
using Microsoft.Graph.Beta.Models;

var requestBody = new Application
{
	AuthenticationBehaviors = new AuthenticationBehaviors
	{
		BlockAzureADGraphAccess = false,
	},
};

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Applications["{application-id}"].PatchAsync(requestBody);



// Code snippets are only available for the latest major version. Current major version is $v0.*

// Dependencies
import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-beta-sdk-go"
	  graphmodels "github.com/microsoftgraph/msgraph-beta-sdk-go/models"
	  //other-imports
)

requestBody := graphmodels.NewApplication()
authenticationBehaviors := graphmodels.NewAuthenticationBehaviors()
blockAzureADGraphAccess := false
authenticationBehaviors.SetBlockAzureADGraphAccess(&blockAzureADGraphAccess) 
requestBody.SetAuthenticationBehaviors(authenticationBehaviors)

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=go
applications, err := graphClient.Applications().ByApplicationId("application-id").Patch(context.Background(), requestBody, nil)


// Code snippets are only available for the latest version. Current version is 6.x

GraphServiceClient graphClient = new GraphServiceClient(requestAdapter);

Application application = new Application();
AuthenticationBehaviors authenticationBehaviors = new AuthenticationBehaviors();
authenticationBehaviors.setBlockAzureADGraphAccess(false);
application.setAuthenticationBehaviors(authenticationBehaviors);
Application result = graphClient.applications().byApplicationId("{application-id}").patch(application);


const options = {
	authProvider,
};

const client = Client.init(options);

const application = {
    authenticationBehaviors: {
        blockAzureADGraphAccess: false
    }
};

await client.api('/applications/5c142e6f-0bd3-4e58-b510-8a106704f44f')
	.version('beta')
	.update(application);


<?php
use Microsoft\Graph\Beta\GraphServiceClient;
use Microsoft\Graph\Beta\Generated\Models\Application;
use Microsoft\Graph\Beta\Generated\Models\AuthenticationBehaviors;


$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestBody = new Application();
$authenticationBehaviors = new AuthenticationBehaviors();
$authenticationBehaviors->setBlockAzureADGraphAccess(false);
$requestBody->setAuthenticationBehaviors($authenticationBehaviors);

$result = $graphServiceClient->applications()->byApplicationId('application-id')->patch($requestBody)->wait();


Import-Module Microsoft.Graph.Beta.Applications

$params = @{
	authenticationBehaviors = @{
		blockAzureADGraphAccess = $false
	}
}

Update-MgBetaApplication -ApplicationId $applicationId -BodyParameter $params


# Code snippets are only available for the latest version. Current version is 1.x
from msgraph_beta import GraphServiceClient
from msgraph_beta.generated.models.application import Application
from msgraph_beta.generated.models.authentication_behaviors import AuthenticationBehaviors
# To initialize your graph_client, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=python
request_body = Application(
	authentication_behaviors = AuthenticationBehaviors(
		block_azure_a_d_graph_access = False,
	),
)

result = await graph_client.applications.by_application_id('application-id').patch(request_body)

Feedback

War diese Seite hilfreich?

Last updated on 2026-08-20

Verwalten der AnwendungsauthentifizierungVerhalten

Lesen der authenticationBehaviors-Einstellung für eine Anwendung

Steuern Sie die Erzwingung der Cross-Origin-Opener-Policy

COOP-Erzwingung explizit aktivieren

Option 1

Option 2

Vorübergehendes Unterdrücken der COOP-Erzwingung

Option 1

Option 2

Wiederherstellen der Standardeinstellungen für den Dienst

Option 1

Option 2

Verhindern Sie die Ausstellung von E-Mail-Ansprüchen mit nicht verifizierten Domänenbesitzern

Entfernen von E-Mail-Adressen mit nicht bestätigten Domänenbesitzern aus Ansprüchen

Option 1

Option 2

Akzeptieren von E-Mail-Adressen mit nicht bestätigten Domäneninhabern in Ansprüchen

Option 1

Option 2

Wiederherstellen des Standardverhaltens

Option 1

Option 2

Erweiterten Zugriff auf Azure AD Graph bis zum 31. August 2025 zulassen

Option 1

Option 2

Verwandte Inhalte

Feedback

Zusätzliche Ressourcen