Registro de una aplicación para solicitar tokens de autorización y trabajar con API

Para acceder a Azure API REST, como la API de Log Analytics, o para enviar métricas personalizadas, genere un token de autorización basado en un identificador de cliente y un secreto. Incluya el token en su solicitud de la API REST. En este artículo se muestra cómo registrar una aplicación cliente y crear un secreto de cliente para generar un token.

Prerequisites

• Para registrar una aplicación, necesita un rol de directorio Microsoft Entra como Desarrollador de aplicaciones.
• Para asignar un rol a la aplicación, necesita permisos de propietario o administrador de acceso de usuario en el ámbito en el que se asigna el rol.

Registrar una aplicación

Cree una entidad de servicio y registre una aplicación mediante el portal de Azure, CLI de Azure o Azure PowerShell.

Portal

1. Para registrar una aplicación, abra la página información general de Microsoft Entra ID en el portal de Azure.

2. Seleccione Registros de aplicaciones en la barra lateral.

3. Seleccione Nuevo registro.

4. En la página Registrar una aplicación, escriba el Nombre de la aplicación.

5. Seleccione Registrar.

6. En la página de información general de la aplicación, seleccione Certificados y secretos

7. Anote la Id. de aplicación (cliente). Se usa en la solicitud HTTP para un token.

8. En la pestaña Secretos de cliente, seleccione Nuevo secreto de cliente

9. Escriba una descripción y seleccione Agregar

10. Copie y guarde el valor del secreto de cliente.

    Nota

    Los valores de secreto de cliente solo se pueden ver inmediatamente después de la creación. Asegúrese de guardar el secreto antes de salir de la página.

    

Asigne un rol a la aplicación para los recursos a los que desea acceder con la API:

1. En el portal de Azure, vaya al recurso, al grupo de recursos o a la suscripción donde quiera conceder acceso y seleccione Control de acceso (IAM).
2. Seleccione Agregar>Agregar asignación de rol.
3. En la pestaña Rol , seleccione el rol Lector y, a continuación, seleccione Siguiente.
4. En la pestaña Miembros , seleccione Asignar acceso a>usuario, grupo o entidad de servicio y, a continuación, seleccione Seleccionar miembros y elija la aplicación.
5. Seleccione Revisar y asignar.

CLI de Azure

En el ejemplo de CLI de Azure siguiente se usa el az ad sp create-for-rbac comando . Crea una aplicación y una entidad de servicio de Microsoft Entra mediante el parámetro --name.

# Set variables
servicePrincipalName="<ServicePrincipalDisplayName>"

# Create the service principal and app registration
az ad sp create-for-rbac --name "$servicePrincipalName"

La respuesta tiene el siguiente aspecto:

{
  "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
  "displayName": "AzMonAPIApp",
  "password": "123456.ABCDE.~XYZ876123ABcEdB7169",
  "tenant": "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
}

Importante

La salida incluye las credenciales que debe proteger. No incluya estas credenciales en el código ni compruébalas en el control de código fuente.

En el ejemplo de CLI de Azure siguiente se usa el az role assignment create comando . Otorga a la entidad de servicio acceso a los recursos a los que te diriges con la API mediante el parámetro --scope.

# Set variables
appId="<AppId>"
roleName="<RoleName>"
scope="<ScopeResourceId>"

# Assign the role to the service principal
az role assignment create \
  --assignee "$appId" \
  --role "$roleName" \
  --scope "$scope"

Azure PowerShell

En el ejemplo de Azure PowerShell siguiente se usa el New-AzADServicePrincipal cmdlet . Crea el registro de la aplicación y asigna un rol mediante el Scope parámetro .

# Set variables
$servicePrincipalName = "<ServicePrincipalDisplayName>"
$roleName = "<RoleName>"
$scope = "<ScopeResourceId>"

# Create a Microsoft Entra application and service principal with an auto-generated credential
$servicePrincipal = New-AzADServicePrincipal -DisplayName $servicePrincipalName

# Save the generated secret securely. It can't be retrieved after this point.
$servicePrincipal.PasswordCredentials.SecretText

# Define parameters for New-AzRoleAssignment
$newAzRoleAssignmentParams = @{
    RoleDefinitionName   = $roleName
    ServicePrincipalName = $servicePrincipal.AppId
    Scope                = $scope
}

# Assign the role to the service principal
New-AzRoleAssignment @newAzRoleAssignmentParams

Pasos siguientes

Ha registrado una aplicación y le ha asignado un rol. A continuación, use la aplicación, el identificador de cliente y el secreto de cliente para generar un token de portador para acceder a la API REST.

El rol que asigne depende del tipo de recurso y de la API que use. Por ejemplo:

• Para obtener acceso de lectura a un área de trabajo de Log Analytics, asigne el rol Lector en el área de trabajo. Para más información, consulte Acceso a la API.
• Para enviar métricas personalizadas para un recurso, asigne el rol Métricas de supervisión Publisher en el recurso. Para obtener más información, consulte Envío de métricas a la base de datos de métricas de Azure Monitor mediante la API REST.

Para más información sobre cómo asignar roles, consulte Asignación de roles de Azure mediante Azure Portal.

Nota

Al usar la autenticación de Microsoft Entra, la API REST de Aplicación de Azure Insights puede tardar hasta 60 minutos en reconocer los nuevos permisos de control de acceso basado en roles (RBAC). Mientras se propagan los permisos, es posible que se produzca un error en las llamadas a la API REST con el código de error 403.