名前空間: microsoft.graph
これはアプリケーションを表すものです。 認証を Microsoft Entra ID にアウトソーシングするアプリケーションは、Microsoft ID プラットフォームに登録する必要があります。 アプリケーションの登録には、アプリケーションが存在する URL、認証後に応答を送信するための URL、アプリケーションを識別するための URI など、アプリケーションについて Microsoft Entra ID に通知することが含まれます。
directoryObject から継承します。
このリソースは、ここに記載されているもの以外の追加のプロパティを許可するオープン型です。
agentIdentityBlueprint リソースは、このオブジェクトから継承されます。
このリソースは以下をサポートしています。
- 拡張機能として、カスタム プロパティに独自のデータを追加します。
- デルタ関数を提供することにより、デルタ クエリを使用して、増分の追加、削除、更新を追跡します。
- 代替キー構文。
appIdプロパティは、サポートされている代替キーです。 詳細については、 アプリケーションの取得を参照してください。
メソッド
| メソッド | 戻り値の型 | 説明 |
|---|---|---|
| List | application コレクション | 組織内のアプリケーションの一覧を取得します。 |
| Create | application | 新しいアプリケーションを作成 (登録) します。 |
| Get | application | application オブジェクトのプロパティと関係を読み取ります。 |
| Update | なし | アプリケーション オブジェクトを更新します。 |
| Upsert | application | 存在しない場合は新しいアプリケーションを作成するか、既存のアプリケーションのプロパティを更新します。 |
| Delete | なし | アプリケーション オブジェクトを削除します。 |
| 差分を取得する | application | リソース コレクション全体を完全に読み取ることなく、新しく作成、更新、または削除されたアプリケーションを取得します。 |
| 削除済みアイテム | ||
| List | directoryObject コレクション | 最近削除したアプリケーションの一覧を取得します。 |
| Get | directoryObject | 最近削除したアプリケーションのプロパティを取得します。 |
| 復元 | directoryObject | 最近削除したアプリケーションを復元します。 |
| 完全に削除 | なし | アプリケーションを完全に削除する。 |
| ユーザーによって所有されている削除済みアイテムを一覧表示する | directoryObject コレクション | 過去 30 日間にテナントで削除され、ユーザーによって所有されているアプリケーションを取得します。 |
| 証明書とシークレット | ||
| パスワードを追加する | passwordCredential | アプリケーションに強力なパスワードを追加します。 |
| パスワードを削除する | passwordCredential | アプリケーションからパスワードを削除します。 |
| キーの追加 | keyCredential | アプリケーションにキーの資格情報を追加します。 |
| キーの削除 | なし | アプリケーションからキーの資格情報を削除します。 |
| 所有者 | ||
| List | directoryObject コレクション | アプリケーションの所有者を取得します。 |
| 追加する | directoryObject | アプリケーションに所有者を割り当てる。 アプリケーション所有者は、ユーザーまたはサービス プリンシパルにすることができます。 |
| Remove | なし | アプリケーションから所有者を削除します。 推奨されるベスト プラクティスとして、アプリには少なくとも 2 人の所有者が必要です。 |
| 認証済発行元 | ||
| Set | なし | アプリケーションの認証済みの発行元を設定する。 |
| 設定解除する | なし | アプリケーションの認証済み発行元を解除します。 |
プロパティ
重要
$filter および $search クエリ パラメーターの具体的な使用方法は、ConsistencyLevel ヘッダーの設定を eventual と $count に使用する場合にのみサポートされます。 詳細については、「ディレクトリ オブジェクトの詳細クエリ機能」を参照してください。
| プロパティ | 型 | 説明 |
|---|---|---|
| addIns | addIn コレクション | 特定のコンテキストで利用者サービスがアプリを呼び出すために使用できるカスタムの動作を定義します。 たとえば、ファイル ストリームをレンダリングできるアプリケーションでは、"FileHandler" 機能に addIns プロパティを設定できます 。 これにより、Microsoft 365 などのサービスは、ユーザーが作業しているドキュメントのコンテキストでアプリケーションを呼び出すことができます。 |
| api | apiApplication | Web API を実装するアプリケーションの設定を指定します。 |
| appId | String | Microsoft Entra ID によってアプリケーションに割り当てられているアプリケーションの一意識別子。 null 許容ではありません。 読み取り専用です。 代替キー。
$filter (eq)をサポートしています。 |
| applicationTemplateId | String |
applicationTemplate の一意の識別子。
$filter (eq、not、ne) をサポートします。 読み取り専用です。
null アプリがアプリケーション テンプレートから作成されていない場合。 |
| appRoles | appRole コレクション | アプリケーションに定義されているロールのコレクション。 アプリ ロールの割り当てを使用して、ユーザー、グループ、または他のアプリケーションのサービス プリンシパルにロールを割り当てることができます。 null 許容ではありません。 |
| authenticationBehaviors | authenticationBehaviors | アプリケーション用に構成されている、トークン発行に関連する重大な変更の動作のセット。 認証動作は既定では設定解除され (null)、明示的に有効または無効にする必要があります。 Null 許容型。
$select でのみ返されます。 取得に $select が必要です。 認証動作の詳細については、「 アプリケーション認証動作の管理」を参照してください。 |
| 認定 | 認定 | アプリケーションの認定ステータスを指定します。 |
| createdByAppId | String | このアプリケーションを作成したアプリケーションの appId 。 Microsoft Entra ID によって内部的に設定されます。 読み取り専用です。 |
| createdDateTime | DateTimeOffset | アプリケーションが登録された日付と時刻です。 DateTimeOffset 型は、ISO 8601 形式を使用して日付と時刻の情報を表し、常に UTC 時間です。 たとえば、2014 年 1 月 1 日午前 0 時 (UTC) は、2014-01-01T00:00:00Z です。 読み取り専用です。 $filter (eq、ne、not、ge、le、in、および eq の null値)、および $orderby をサポートします。 |
| deletedDateTime | DateTimeOffset | アプリケーションが削除された日付と時刻です。 DateTimeOffset 型は、ISO 8601 形式を使用して日付と時刻の情報を表し、常に UTC 時間です。 たとえば、2014 年 1 月 1 日午前 0 時 (UTC) は、2014-01-01T00:00:00Z です。 読み取り専用です。 |
| 説明 | String | アプリケーション オブジェクトの説明をエンド ユーザーに提供するフリー テキスト フィールド。 最大許容サイズは 1,024 文字です。
$filter (eq、ne、not、ge、le、startsWith、$search) をサポートします。 |
| disabledByMicrosoftStatus | String | Microsoft で登録済みアプリケーションを無効にしたかどうかを指定します。 可能な値は、 null (既定値)、 NotDisabled、および DisabledDueToViolationOfServicesAgreement です (理由として、疑わしい、虐待的、悪意のあるアクティビティ、あるいは Microsoft サービス規約の違反が含まれます)。 $filter (eq、ne、not) をサポートします。 |
| displayName | String | アプリケーションの表示名。 最大文字数は 256 文字です。
$filter (eq、ne、not、ge、le、in、startsWith、および eq の null値)、$search、および $orderby をサポートします。 |
| groupMembershipClaims | 文字列 | アプリケーションが期待する、ユーザーまたは OAuth 2.0 アクセス トークンで発行される groups 要求を構成します。 この属性を設定するには、有効な文字列値のいずれかを使用します。None、SecurityGroup (セキュリティ グループおよびMicrosoft Entra ロールの場合)、All (これにより、サインインしたユーザーがメンバーであるセキュリティ グループ、配布グループ、およびMicrosoft Entraディレクトリ ロールすべてを取得します)。 |
| id | String | アプリケーション オブジェクトの一意な識別子。 このプロパティは、Microsoft Entra 管理センターではオブジェクト ID と呼ばれます。
directoryObject から継承されます。 キー。 null 許容ではありません。 読み取り専用です。
$filter (eq、ne、not、in) をサポートします。 |
| identifierUris | String collection | アプリ ID URI とも呼ばれるこの値は、アプリケーションがリソース アプリとして使用される場合に設定されます。 identifierUris は、API のコードで参照するスコープのプレフィックスとして機能し、Microsoft Entra ID 全体でグローバルに一意である必要があります。 有効な identifierUri パターンとベスト プラクティスの詳細については、「Microsoft Entra アプリケーション登録セキュリティのベスト プラクティス」を参照してください。 null 許容ではありません。 $filter (eq、ne、ge、le、startsWith) をサポートしています。 |
| info | informationalUrl | アプリのマーケティング、サポート、サービス利用規約、プライバシーに関する声明の URL など、アプリケーションの基本的なプロフィール情報。 サービス利用規約とプライバシーに関する声明は、ユーザーの同意エクスペリエンスからユーザーに提示されます。 詳細については、「方法: 登録済みの Microsoft Entra アプリのサービス利用規約とプライバシーに関する声明を追加する」を参照してください。 $filter (eq、ne、not、ge、le、および< eqの null値)をサポートします。 |
| isDeviceOnlyAuthSupported | Boolean | このアプリケーションがユーザーなしのデバイス認証をサポートするかどうかを指定します。 既定値は false です。 |
| isFallbackPublicClient | Boolean | モバイル デバイスで実行するインストール済みアプリケーションなど、フォールバック アプリケーションの種類をパブリック クライアントとして指定します。 既定値は false です。これは、フォールバック アプリケーションの種類が Web アプリなどの機密クライアントであることを意味します。 Microsoft Entra ID がクライアント アプリケーションの種類を特定できない特定のシナリオがあります。 たとえば、リダイレクト URI を指定せずに構成されている ROPC フローなどです。 このような場合、Microsoft Entra ID はこのプロパティの値に基づいてアプリケーションの種類を解釈します。 |
| keyCredentials | keyCredential コレクション | アプリケーションに関連付けられているキー資格情報のコレクションです。 null 許容ではありません。
$filter (eq、not、ge、le) をサポートします。 |
| logo | Stream | アプリケーションのメイン ロゴです。 null 許容ではありません。 |
| managerApplications | Guid コレクション | マネージャーに指定されている Microsoft ファースト パーティ アプリケーションのアプリケーション ID のコレクション。 マネージャー アプリケーションは、マネージド エージェント ブループリントのサービス プリンシパル、エージェント ID、およびエージェント ユーザーを作成できます。 最大 10 個のエントリに制限されます。 null 許容ではありません。
agentIdentityBlueprint オブジェクトでのみサポートされます。エージェント ブループリント以外のアプリケーションでこのプロパティを設定しようとすると、エラーが返されます。 既定では返されません。 $select 経由で明示的に要求する必要があります。 |
| nativeAuthenticationApisEnabled | nativeAuthenticationApisEnabled | アプリケーションに対してネイティブ認証 API を有効にするかどうかを指定します。 指定できる値は、 none と all です。 既定値は none です。 詳細については、「 ネイティブ認証」を参照してください。 |
| notes | String | アプリケーションの管理に関連するメモです。 |
| oauth2RequiredPostResponse | ブール値 | OAuth 2.0 トークン要求の一部として、Microsoft Entra ID が GET 要求ではなく POST 要求を許可するかどうかを指定します。 既定値はfalseです。これは、GET 要求のみが許可されるよう指定します。 |
| optionalClaims | optionalClaims | アプリケーション開発者は、Microsoft Entra アプリケーションでオプションの要求を構成して、Microsoft セキュリティ トークン サービスによってアプリケーションに送信される要求を指定できます。 詳細については、「方法: アプリにオプションの要求を提供する」を参照してください。 |
| parentalControlSettings | parentalControlSettings | アプリケーションにおける、保護者による制限設定を指定します。 |
| passwordCredentials | passwordCredential コレクション | アプリケーションに関連付けられているパスワード資格情報のコレクションです。 null 許容型ではありません。 |
| publicClient | publicClientApplication | デスクトップやモバイル デバイスなど、インストールされているクライアントの設定を指定します。 |
| publisherDomain | String | アプリケーションの確認済み発行元のドメインです。 読み取り専用です。 詳細については、「方法: アプリケーションの発行元ドメインを構成する」を参照してください。
$filter (eq、ne、ge、le、startsWith) をサポートします。 |
| requestSignatureVerification | requestSignatureVerification | このアプリケーションで、署名された認証要求を確認するために Microsoft Entra ID を要求するかどうかを指定します。 |
| requiredResourceAccess | requiredResourceAccess コレクション | アプリケーションがアクセスする必要があるリソースを指定します。 このプロパティでは、各リソースに必要な委任されたアクセス許可とアプリケーション ロールのセットも指定します。 必要なリソースへのアクセスに対するこの構成によって、同意エクスペリエンスが促進されます。 50 を超えるリソース サービス (API) を構成できます。 2021 年 10 月中旬以降は、必要なアクセス許可の合計が 400 を超えることはできません。 詳細については、「 アプリごとに要求されるアクセス許可の制限」を参照してください。 null 許容ではありません。 $filter (eq、not、ge、le) をサポートします。 |
| samlMetadataUrl | String | サービスによりフェデレーション用の SAML メタデータが公開されている URL。 このプロパティは、シングルテナント アプリケーションに対してのみ有効です。 Null 許容型。 |
| serviceManagementReference | String | サービスまたは資産管理データベースからアプリケーションまたはサービスの連絡先情報を参照します。 Null 許容型。 |
| servicePrincipalLockConfiguration | servicePrincipalLockConfiguration | アプリケーションがテナントにプロビジョニングされた後、マルチテナント アプリケーションの機密プロパティを編集用にロックするかどうかを指定します。 Null 許容型。 既定では null です。 |
| signInAudience | String | 現在のアプリケーションでサポートされている Microsoft アカウントを指定します。 指定できる値は、 AzureADMyOrg (既定値)、 AzureADMultipleOrgs、 AzureADandPersonalMicrosoftAccount、 PersonalMicrosoftAccount です。
表で詳細を確認してください。 このオブジェクトの値によって、アプリが要求できるアクセス許可の数も制限されます。 詳細については、「 アプリごとに要求されるアクセス許可の制限」を参照してください。 このプロパティの値は、他のアプリ オブジェクト プロパティに影響を与えます。 したがって、このプロパティを変更する場合は、他のプロパティを先に変更する必要がある可能性があります。 詳細については、「 signInAudience の検証の違い」を参照してください。 $filter (eq、ne、not) をサポートしています。 |
| SPA | spaApplication | サイン アウト URL、認証コードとアクセス トークンのリダイレクト URI など、シングルページ アプリケーションの設定を指定します。 |
| tags | String コレクション | アプリケーションを分類および識別するために使用できるカスタム文字列です。 null 許容ではありません。 ここで追加した文字列は、関連付けられているサービス プリンシパルの tags プロパティにも表示されます。$filter (eq、not、ge、le、startsWith) と $search をサポートします。 |
| tokenEncryptionKeyId | 文字列 | keyCredentials コレクションにある公開キーの keyId を指定します。 構成されている場合、Microsoft Entra ID は、このプロパティが指すキーを使用して、出力するすべてのトークンを暗号化します。 暗号化されたトークンを受け取るアプリケーション コードでは、一致する秘密キーを使用してトークンを複合化してから、サインインしているユーザーのトークンとして使用する必要があります。 |
| uniqueName | String | アプリケーションに割り当てて代替キーとして使用できる一意の識別子。 不変です。 読み取り専用です。 |
| verifiedPublisher | verifiedPublisher | アプリケーションの検証済み発行元を指定します。 発行元の確認がアプリケーションのセキュリティ、信頼性、コンプライアンスをサポートする方法の詳細については、「発行元の確認」 を参照してください。 |
| Web | webApplication | Web アプリケーションの設定を指定します。 |
signInAudience 値
重要
アプリケーションを使用できる場所を制限するために signInAudience プロパティを使用して いても 、アプリケーション コードでの適切なテナント検証と承認の適用にはなりません。 アプリケーションが特定のテナントでのみアクセスを想定している場合は、アプリケーション コードでその検証 を適用する必要があります 。 詳細については、「 クレームを検証してアプリケーションと API を保護する」を参照してください。
| 値 | 説明 |
|---|---|
| AzureADMyOrg | organization のMicrosoft Entraテナント (シングル テナント) に Microsoft の職場または学校アカウントを持つユーザー。 これは、signInAudience プロパティの既定値です。 |
| AzureADMultipleOrgs | 任意のorganizationのMicrosoft Entraテナント (マルチテナント) に Microsoft の職場または学校アカウントを持つユーザー。 |
| AzureADandPersonalMicrosoftAccount | 個人の Microsoft アカウント、または任意のorganizationの Microsoft Entra テナント内の職場または学校アカウントを持つユーザー。 Azure AD B2C ユーザー フローを使用してユーザーを認証する場合は、 AzureADandPersonalMicrosoftAccount を使用します。 この値は、Microsoft、Facebook、Google、Twitter、または OpenID Connect プロバイダーから提供されるローカル アカウントやユーザー ID など、広範囲のユーザーIDで使用できます。 |
| PersonalMicrosoftAccount | 個人の Microsoft アカウントを持つユーザーのみ。 |
アプリごとの要求されたアクセス許可の制限
Microsoft Entra ID は、クライアント アプリが要求および同意できるアクセス許可の数を制限します。 これらの制限は、アプリのマニフェストに表示されるアプリのsignInAudience値によって異なります。
| signInAudience | 許可されたユーザー | アプリが要求できるアクセス許可の最大数 | アプリが要求できる Microsoft Graph アクセス許可の最大数 | 1 つの要求で同意できるアクセス許可の最大数 |
|---|---|---|---|---|
| AzureADMyOrg | アプリが登録されている組織のユーザー | 400 | 400 | 約 155 の委任されたアクセス許可と約 300 のアプリケーションのアクセス許可 |
| AzureADMultipleOrgs | あらゆるMicrosoft Entra organizationからのユーザー | 400 | 400 | 約 155 の委任されたアクセス許可と約 300 のアプリケーションのアクセス許可 |
| PersonalMicrosoftAccount | コンシューマー ユーザー (Outlook.com、Live.com アカウントなど) | 30 | 30 | 30 |
| AzureADandPersonalMicrosoftAccount | コンシューマー ユーザーと任意のMicrosoft Entra organizationからのユーザー | 30 | 30 | 30 |
注:
Microsoft Entra エージェント ID の場合、一部のリスクの高い Microsoft Graph アクセス許可はエージェントに対してグローバルにブロックされ、エージェント ID に付与することはできません。
ブロックされた Microsoft Graph 委任アクセス許可スコープまたはアプリ ロールをrequiredResourceAccessエントリのresourceAccessコレクションに含めると、要求は HTTP 400 Bad Request応答で拒否され、アクセス許可がブロックされ、エージェント ID に付与できないことを示すエラーが表示されます。
エージェントに対してブロックされた Microsoft Graph アクセス許可の一覧については、「 エージェントに対してブロックされている Microsoft Graph アクセス許可」を参照してください。
リレーションシップ
重要
$filter クエリ パラメーターの特定の使用は、ConsistencyLevel ヘッダーを eventual および $count に設定した場合にのみサポートされます。 詳細については、「ディレクトリ オブジェクトの詳細クエリ機能」を参照してください。
| リレーションシップ | 型 | 説明 |
|---|---|---|
| appManagementPolicies | appManagementPolicy コレクション | このアプリケーションに適用される appManagementPolicy。 |
| createdOnBehalfOf | directoryObject |
$filter (/$count eq 0、/$count ne 0) をサポートします。 読み取り専用です。 |
| extensionProperties | extensionProperty コレクション | 読み取り専用。 Null 許容型。
$expand と$filter (/$count eq 0、/$count ne 0) をサポートします。 |
| federatedIdentityCredentials | federatedIdentityCredential のコレクション | アプリケーションのフェデレーション ID。
$expand と$filter (startsWith、/$count eq 0、/$count ne 0) をサポートします。 |
| owners | directoryObject コレクション | このアプリケーションの所有者であるディレクトリ オブジェクト。 所有者は、このオブジェクトの変更が許可されている管理者以外のユーザーまたはサービス プリンシパルのセットです。
$expand、$filter (/$count eq 0、/$count ne 0、/$count eq 1、/$count ne 1)、$select を $expand にネストしてサポートします。 |
| 同期 | 同期 | Microsoft Graph API を使用した Microsoft Entra ID 同期の機能を表します。 |
JSON 表記
次の JSON 表現は、リソースの種類を示しています。
{
"addIns": [{"@odata.type": "microsoft.graph.addIn"}],
"api": {"@odata.type": "microsoft.graph.apiApplication"},
"appId": "String",
"applicationTemplateId": "String",
"appRoles": [{"@odata.type": "microsoft.graph.appRole"}],
"authenticationBehaviors": {"@odata.type": "microsoft.graph.authenticationBehaviors"},
"certification": {"@odata.type": "microsoft.graph.certification"},
"createdByAppId": "String",
"createdDateTime": "String (timestamp)",
"deletedDateTime": "String (timestamp)",
"disabledByMicrosoftStatus": "String",
"displayName": "String",
"groupMembershipClaims": "String",
"id": "String (identifier)",
"identifierUris": ["String"],
"info": {"@odata.type": "microsoft.graph.informationalUrl"},
"isDeviceOnlyAuthSupported": false,
"isFallbackPublicClient": false,
"keyCredentials": [{"@odata.type": "microsoft.graph.keyCredential"}],
"logo": "Stream",
"managerApplications": ["Guid"],
"nativeAuthenticationApisEnabled": "String",
"notes": "String",
"oauth2RequiredPostResponse": false,
"optionalClaims": {"@odata.type": "microsoft.graph.optionalClaims"},
"parentalControlSettings": {"@odata.type": "microsoft.graph.parentalControlSettings"},
"passwordCredentials": [{"@odata.type": "microsoft.graph.passwordCredential"}],
"publicClient": {"@odata.type": "microsoft.graph.publicClientApplication"},
"publisherDomain": "String",
"requestSignatureVerification": {"@odata.type": "microsoft.graph.requestSignatureVerification"},
"requiredResourceAccess": [{"@odata.type": "microsoft.graph.requiredResourceAccess"}],
"servicePrincipalLockConfiguration": {"@odata.type": "microsoft.graph.servicePrincipalLockConfiguration"},
"serviceManagementReference": "String",
"signInAudience": "String",
"spa": {"@odata.type": "microsoft.graph.spaApplication"},
"tags": ["String"],
"tokenEncryptionKeyId": "String",
"uniqueName": "String",
"verifiedPublisher": {"@odata.type": "microsoft.graph.verifiedPublisher"},
"web": {"@odata.type": "microsoft.graph.webApplication"}
}