Créer internalDomainFederation
Espace de noms: microsoft.graph
Importante
Les API sous la version /beta
dans Microsoft Graph sont susceptibles d’être modifiées. L’utilisation de ces API dans des applications de production n’est pas prise en charge. Pour déterminer si une API est disponible dans v1.0, utilisez le sélecteur Version .
Créez un objet internalDomainFederation .
Cette API est disponible dans les déploiements de cloud national suivants.
Service global | Gouvernement des États-Unis L4 | Us Government L5 (DOD) | Chine gérée par 21Vianet |
---|---|---|---|
✅ | ✅ | ✅ | ✅ |
Autorisations
Choisissez l’autorisation ou les autorisations marquées comme moins privilégiées pour cette API. Utilisez une autorisation ou des autorisations privilégiées plus élevées uniquement si votre application en a besoin. Pour plus d’informations sur les autorisations déléguées et d’application, consultez Types d’autorisations. Pour en savoir plus sur ces autorisations, consultez les informations de référence sur les autorisations.
Type d’autorisation | Autorisations avec privilèges minimum | Autorisations privilégiées plus élevées |
---|---|---|
Déléguée (compte professionnel ou scolaire) | Domain.ReadWrite.All | Non disponible. |
Déléguée (compte Microsoft personnel) | Non prise en charge. | Non prise en charge. |
Application | Domain.ReadWrite.All | Non disponible. |
Importante
Cette méthode présente un problème d’autorisations connu et peut nécessiter le consentement à l’autorisation Directory.AccessAsUser.All pour les scénarios délégués.
Dans les scénarios délégués avec des comptes professionnels ou scolaires, l’utilisateur connecté doit se voir attribuer un rôle Microsoft Entra pris en charge ou un rôle personnalisé avec une autorisation de rôle prise en charge. Les rôles les moins privilégiés suivants sont pris en charge pour cette opération.
- Administrateur de noms de domaine
- Administrateur du fournisseur d’identité externe
- Administrateur d’identité hybride
- Administrateur de sécurité
Requête HTTP
POST /domains/{domainsId}/federationConfiguration
En-têtes de demande
Nom | Description |
---|---|
Autorisation | Porteur {token}. Obligatoire. En savoir plus sur l’authentification et l’autorisation. |
Content-Type | application/json. Obligatoire. |
Corps de la demande
Dans le corps de la demande, fournissez une représentation JSON de l’objet internalDomainFederation .
Vous pouvez spécifier les propriétés suivantes lors de la création d’un internalDomainFederation.
Propriété | Type | Description |
---|---|---|
displayName | Chaîne | Nom complet du fournisseur d’identité fédérée. |
issuerUri | Chaîne | URI de l’émetteur du serveur de fédération. |
metadataExchangeUri | Chaîne | URI du point de terminaison d’échange de métadonnées utilisé pour l’authentification à partir d’applications clientes enrichies. |
signingCertificate | Chaîne | Certificat actuel utilisé pour signer les jetons passés à la plateforme d’identités Microsoft. Le certificat est au format d’une chaîne codée en Base 64 de la partie publique du certificat de signature de jeton du fournisseur d’identité fédéré et doit être compatible avec la classe X509Certificate2. Cette propriété est utilisée dans les scénarios suivants : L’ID Microsoft Entra met à jour les certificats via un processus de substitution automatique dans lequel il tente de récupérer un nouveau certificat à partir des métadonnées du service de fédération, 30 jours avant l’expiration du certificat actuel. Si un nouveau certificat n’est pas disponible, l’ID Microsoft Entra surveille les métadonnées quotidiennement et met à jour les paramètres de fédération du domaine lorsqu’un nouveau certificat est disponible. |
passiveSignInUri | Chaîne | URI vers lequel les clients web sont dirigés lors de la connexion aux services Microsoft Entra. |
preferredAuthenticationProtocol | authenticationProtocol | Protocole d’authentification préféré. Les valeurs possibles sont wsFed , saml , unknownFutureValue . |
activeSignInUri | Chaîne | URL du point de terminaison utilisé par les clients actifs lors de l’authentification avec des domaines fédérés configurés pour l’authentification unique dans l’ID Microsoft Entra. Correspond à la propriété ActiveLogOnUri de l’applet de commande PowerShell Set-MsolDomainFederationSettings MSOnline v1. |
signOutUri | Chaîne | URI vers lequel les clients sont redirigés lorsqu’ils se déconnectent des services Microsoft Entra. Correspond à la propriété LogOffUri de l’applet de commande PowerShell Set-MsolDomainFederationSettings MSOnline v1. |
promptLoginBehavior | promptLoginBehavior | Définit le comportement par défaut pour l’invite de connexion. Les valeurs possibles sont : translateToFreshPasswordAuthentication , nativeSupport , disabled , unknownFutureValue . |
isSignedAuthenticationRequestRequired | Valeur booléenne | Si la valeur est true, lorsque les demandes d’authentification SAML sont envoyées au fournisseur d’identité SAML fédéré, l’ID Microsoft Entra signe ces demandes à l’aide de la clé de signature OrgID. Si la valeur est false (valeur par défaut), les demandes d’authentification SAML envoyées au fournisseur d’identité fédéré ne sont pas signées. |
nextSigningCertificate | Chaîne | Certificat de signature de jeton de secours utilisé pour signer des jetons à l’expiration du certificat de signature principal. Mise en forme en tant que chaînes encodées en Base 64 de la partie publique du certificat de signature de jeton du fournisseur d’identité fédéré. Doit être compatible avec la classe X509Certificate2. Tout comme signingCertificate, la propriété nextSigningCertificate est utilisée si une substitution est requise en dehors de la mise à jour automatique, si un nouveau service de fédération est en cours de configuration ou si le nouveau certificat de signature de jeton n’est pas présent dans les propriétés de fédération après la mise à jour du certificat de service de fédération. |
signingCertificateUpdateStatus | signingCertificateUpdateStatus | Fournit l’état et l’horodatage de la dernière mise à jour du certificat de signature. |
federatedIdpMfaBehavior | federatedIdpMfaBehavior | Détermine si l’ID Microsoft Entra accepte l’authentification multifacteur effectuée par le fournisseur d’identité fédéré lorsqu’un utilisateur fédéré accède à une application régie par une stratégie d’accès conditionnel qui nécessite l’authentification multifacteur. Les valeurs possibles sont : acceptIfMfaDoneByFederatedIdp , enforceMfaByFederatedIdp , rejectMfaByFederatedIdp , unknownFutureValue . Pour plus d’informations, consultez Valeurs federatedIdpMfaBehavior. |
Remarque
Les modules PowerShell Azure AD et MSOnline seront obsolètes à compter du 30 mars 2024. Pour en savoir plus, consultez la mise à jour sur l’obsolescence. Après cette date, la prise en charge de ces modules sera limitée à l’assistance à la migration vers le kit de développement logiciel Microsoft Graph PowerShell et aux correctifs de sécurité. Les modules obsolètes continueront de fonctionner jusqu’au 30 mars 2025.
Nous vous recommandons de migrer vers Microsoft Graph PowerShell pour interagir avec Microsoft Entra ID (anciennement Azure AD). Pour toutes questions liées à la migration, consultez la FAQ sur la migration. Remarque : les versions 1.0.x de MSOnline pourront subir des perturbations après le 30 juin 2024.
Valeurs federatedIdpMfaBehavior
Member | Description |
---|---|
acceptIfMfaDoneByFederatedIdp | L’ID Microsoft Entra accepte l’authentification multifacteur effectuée par le fournisseur d’identité fédérée. Si le fournisseur d’identité fédérée n’a pas effectué l’authentification multifacteur, l’ID Microsoft Entra effectue l’authentification multifacteur. |
enforceMfaByFederatedIdp | L’ID Microsoft Entra accepte l’authentification multifacteur effectuée par le fournisseur d’identité fédérée. Si le fournisseur d’identité fédérée n’a pas effectué l’authentification multifacteur, il redirige la demande vers le fournisseur d’identité fédérée pour effectuer l’authentification multifacteur. |
rejectMfaByFederatedIdp | L’ID Microsoft Entra effectue toujours l’authentification multifacteur et rejette l’authentification multifacteur effectuée par le fournisseur d’identité fédérée. |
Remarque :federatedIdpMfaBehavior est une version évoluée de la propriété SupportsMfa de l’applet de commande PowerShell Set-MsolDomainFederationSettings MSOnline v1.
- Le basculement entre federatedIdpMfaBehavior et SupportsMfa n’est pas pris en charge.
- Une fois la propriété federatedIdpMfaBehavior définie, l’ID Microsoft Entra ignore le paramètre SupportsMfa .
- Si la propriété federatedIdpMfaBehavior n’est jamais définie, l’ID Microsoft Entra continue d’honorer le paramètre SupportsMfa .
- Si ni federatedIdpMfaBehavior ni SupportsMfa n’est défini, l’ID Microsoft Entra est défini par défaut sur
acceptIfMfaDoneByFederatedIdp
le comportement.
Réponse
Si elle réussit, cette méthode renvoie un 201 Created
code de réponse et un objet internalDomainFederation dans le corps de la réponse.
Exemples
Demande
POST https://graph.microsoft.com/beta/domains/contoso.com/federationConfiguration
Content-Type: application/json
{
"@odata.type": "#microsoft.graph.internalDomainFederation",
"displayName": "Contoso",
"issuerUri": "http://contoso.com/adfs/services/trust",
"metadataExchangeUri": "https://sts.contoso.com/adfs/services/trust/mex",
"signingCertificate": "MIIE3jCCAsagAwIBAgIQQcyDaZz3MI",
"passiveSignInUri": "https://sts.contoso.com/adfs/ls",
"preferredAuthenticationProtocol": "wsFed",
"activeSignInUri": "https://sts.contoso.com/adfs/services/trust/2005/usernamemixed",
"signOutUri": "https://sts.contoso.com/adfs/ls",
"promptLoginBehavior": "nativeSupport",
"isSignedAuthenticationRequestRequired": true,
"nextSigningCertificate": "MIIE3jCCAsagAwIBAgIQQcyDaZz3MI",
"federatedIdpMfaBehavior": "rejectMfaByFederatedIdp"
}
Réponse
Remarque : l’objet de réponse affiché ci-après peut être raccourci pour plus de lisibilité.
HTTP/1.1 201 Created
Content-Type: application/json
{
"@odata.type": "#microsoft.graph.internalDomainFederation",
"id": "6601d14b-d113-8f64-fda2-9b5ddda18ecc",
"displayName": "Contoso",
"issuerUri": "http://contoso.com/adfs/services/trust",
"metadataExchangeUri": "https://sts.contoso.com/adfs/services/trust/mex",
"signingCertificate": "MIIE3jCCAsagAwIBAgIQQcyDaZz3MI",
"passiveSignInUri": "https://sts.contoso.com/adfs/ls",
"preferredAuthenticationProtocol": "wsFed",
"activeSignInUri": "https://sts.contoso.com/adfs/services/trust/2005/usernamemixed",
"signOutUri": "https://sts.contoso.com/adfs/ls",
"promptLoginBehavior": "nativeSupport",
"isSignedAuthenticationRequestRequired": true,
"nextSigningCertificate": "MIIE3jCCAsagAwIBAgIQQcyDaZz3MI",
"signingCertificateUpdateStatus": {
"certificateUpdateResult": "Success",
"lastRunDateTime": "2021-08-25T07:44:46.2616778Z"
},
"federatedIdpMfaBehavior": "rejectMfaByFederatedIdp"
}