Machtigingsclassificaties configureren

  • Artikel

In dit artikel leert u hoe u machtigingenclassificaties configureert in Microsoft Entra-id. Met machtigingsclassificaties kunt u de impact identificeren die verschillende machtigingen hebben op basis van het beleid en de risico-evaluaties van uw organisatie. U kunt bijvoorbeeld machtigingsclassificaties gebruiken in toestemmingsbeleid om de set machtigingen te identificeren waarvoor gebruikers toestemming mogen geven.

Er worden drie machtigingsclassificaties ondersteund: 'Laag', 'Gemiddeld' (preview) en 'Hoog' (preview). Momenteel kunnen alleen gedelegeerde machtigingen waarvoor geen beheerderstoestemming is vereist, worden geclassificeerd.

De minimale machtigingen die nodig zijn om eenvoudige aanmeldingen uit te voeren, zijn openid, profileemailen offline_access, die alle gedelegeerde machtigingen voor Microsoft Graph zijn. Met deze machtigingen kan een app details van het profiel van de aangemelde gebruiker lezen en deze toegang behouden, zelfs wanneer de gebruiker de app niet meer gebruikt.

Vereisten

Als u machtigingsclassificaties wilt configureren, hebt u het volgende nodig:

  • Een Azure-account met een actief abonnement. Gratis een account maken
  • Een van de volgende rollen: Global Beheer istrator, Application Beheer istrator of Cloud Application Beheer istrator

Machtigingsclassificaties beheren

Tip

Stappen in dit artikel kunnen enigszins variëren op basis van de portal waaruit u begint.

Volg deze stappen om machtigingen te classificeren met behulp van het Microsoft Entra-beheercentrum:

  1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een cloudtoepassing Beheer istrator.
  2. Blader naar Enterprise-toepassingen met toestemming en machtigingen>voor identiteitstoepassingen.>>>
  3. Kies het tabblad voor de machtigingsclassificatie die u wilt bijwerken.
  4. Kies Machtigingen toevoegen om een andere machtiging te classificeren.
  5. Selecteer de API en selecteer vervolgens de gedelegeerde machtiging(en).

In dit voorbeeld hebben we de set minimale machtigingen geclassificeerd die vereist zijn voor eenmalige aanmelding:

Permission classifications

U kunt de nieuwste Azure AD PowerShell gebruiken om machtigingen te classificeren. Machtigingsclassificaties worden geconfigureerd op het ServicePrincipal-object van de API waarmee de machtigingen worden gepubliceerd.

Voer de volgende opdracht uit om verbinding te maken met Azure AD PowerShell. Als u toestemming wilt geven voor de vereiste bereiken, meldt u zich aan als ten minste een cloudtoepassing Beheer istrator.

Connect-AzureAD

De huidige machtigingsclassificaties weergeven met behulp van Azure AD PowerShell

  1. Haal het ServicePrincipal-object voor de API op. Hier halen we het ServicePrincipal-object op voor de Microsoft Graph API:

    $api = Get-AzureADServicePrincipal `
    -Filter "servicePrincipalNames/any(n:n eq 'https://graph.microsoft.com')"

  2. Lees de gedelegeerde machtigingsclassificaties voor de API:

    Get-AzureADMSServicePrincipalDelegatedPermissionClassification `
    -ServicePrincipalId $api.ObjectId | Format-Table Id, PermissionName, Classification

Een machtiging classificeren als 'Lage impact' met behulp van Azure AD PowerShell

  1. Haal het ServicePrincipal-object voor de API op. Hier halen we het ServicePrincipal-object op voor de Microsoft Graph API:

    $api = Get-AzureADServicePrincipal `
    -Filter "servicePrincipalNames/any(n:n eq 'https://graph.microsoft.com')"

  2. Zoek de gedelegeerde machtiging die u wilt classificeren:

    $delegatedPermission = $api.OAuth2Permissions | Where-Object { $_.Value -eq "User.ReadBasic.All" }

  3. Stel de machtigingsclassificatie in met behulp van de machtigingsnaam en -id:

    Add-AzureADMSServicePrincipalDelegatedPermissionClassification `
   -ServicePrincipalId $api.ObjectId `
   -PermissionId $delegatedPermission.Id `
   -PermissionName $delegatedPermission.Value `
   -Classification "low"

Een gedelegeerde machtigingsclassificatie verwijderen met behulp van Azure AD PowerShell

  1. Haal het ServicePrincipal-object voor de API op. Hier halen we het ServicePrincipal-object op voor de Microsoft Graph API:

    $api = Get-AzureADServicePrincipal `
    -Filter "servicePrincipalNames/any(n:n eq 'https://graph.microsoft.com')"

  2. Zoek de gedelegeerde machtigingsclassificatie die u wilt verwijderen:

    $classifications = Get-AzureADMSServicePrincipalDelegatedPermissionClassification `
    -ServicePrincipalId $api.ObjectId
$classificationToRemove = $classifications | Where-Object {$_.PermissionName -eq "User.ReadBasic.All"}

  3. Verwijder de machtigingsclassificatie:

    Remove-AzureADMSServicePrincipalDelegatedPermissionClassification `
    -ServicePrincipalId $api.ObjectId `
    -Id $classificationToRemove.Id

U kunt Microsoft Graph PowerShell gebruiken om machtigingen te classificeren. Machtigingsclassificaties worden geconfigureerd op het ServicePrincipal-object van de API waarmee de machtigingen worden gepubliceerd.

Voer de volgende opdracht uit om verbinding te maken met Microsoft Graph PowerShell. Als u toestemming wilt geven voor de vereiste bereiken, meldt u zich aan als ten minste een cloudtoepassing Beheer istrator.

Connect-MgGraph -Scopes "Policy.ReadWrite.PermissionGrant".

Huidige machtigingsclassificaties voor een API weergeven met Behulp van Microsoft Graph PowerShell

  1. Haal het servicePrincipal-object voor de API op:

    $api = Get-MgServicePrincipal -Filter "displayName eq 'Microsoft Graph'"

  2. Lees de gedelegeerde machtigingsclassificaties voor de API:

    Get-MgServicePrincipalDelegatedPermissionClassification -ServicePrincipalId $api.Id

Een machtiging classificeren als 'Lage impact' met Behulp van Microsoft Graph PowerShell

  1. Haal het servicePrincipal-object voor de API op:

    $api = Get-MgServicePrincipal -Filter "displayName eq 'Microsoft Graph'"

  2. Zoek de gedelegeerde machtiging die u wilt classificeren:

    $delegatedPermission = $api.Oauth2PermissionScopes | Where-Object {$_.Value -eq "openid"}

  3. De machtigingsclassificatie instellen:

    $params = @{ 
   PermissionId = $delegatedPermission.Id 
   PermissionName = $delegatedPermission.Value 
   Classification = "Low"
} 

New-MgServicePrincipalDelegatedPermissionClassification -ServicePrincipalId $api.Id -BodyParameter $params

Een gedelegeerde machtigingsclassificatie verwijderen met Microsoft Graph PowerShell

  1. Haal het servicePrincipal-object voor de API op:

    $api = Get-MgServicePrincipal -Filter "displayName eq 'Microsoft Graph'"

  2. Zoek de gedelegeerde machtigingsclassificatie die u wilt verwijderen:

    $classifications = Get-MgServicePrincipalDelegatedPermissionClassification -ServicePrincipalId $api.Id 

$classificationToRemove = $classifications | Where-Object {$_.PermissionName -eq "openid"}

  3. Verwijder de machtigingsclassificatie:

Remove-MgServicePrincipalDelegatedPermissionClassification -DelegatedPermissionClassificationId $classificationToRemove.Id   -ServicePrincipalId $api.id

Als u machtigingenclassificaties voor een bedrijfstoepassing wilt configureren, meldt u zich aan bij Graph Explorer als ten minste een cloudtoepassing Beheer istrator.

U moet toestemming geven voor de Policy.ReadWrite.PermissionGrant machtiging.

Voer de volgende query's uit in Microsoft Graph Explorer om een classificatie van gedelegeerde machtigingen voor een toepassing toe te voegen.

Huidige machtigingsclassificaties voor een API weergeven met behulp van Microsoft Graph API

Geef de huidige machtigingsclassificaties voor een API weer met behulp van de volgende Microsoft Graph API-aanroep.

GET https://graph.microsoft.com/v1.0/servicePrincipals(appId='00000003-0000-0000-c000-000000000000')/delegatedPermissionClassifications

Een machtiging classificeren als 'Lage impact' met behulp van Microsoft Graph API

In het volgende voorbeeld classificeren we de machtiging als 'lage impact'.

Voeg een gedelegeerde machtigingsclassificatie voor een API toe met behulp van de volgende Microsoft Graph API-aanroep.

POST https://graph.microsoft.com/v1.0/servicePrincipals(appId='00000003-0000-0000-c000-000000000000')/delegatedPermissionClassifications
Content-type: application/json

{
   "permissionId": "b4e74841-8e56-480b-be8b-910348b18b4c",
   "classification": "low"
}

Een gedelegeerde machtigingsclassificatie verwijderen met behulp van Microsoft Graph API

Voer de volgende query uit in Microsoft Graph Explorer om een classificatie van gedelegeerde machtigingen voor een API te verwijderen.

DELETE https://graph.microsoft.com/v1.0/servicePrincipals(appId='00000003-0000-0000-c000-000000000000')/delegatedPermissionClassifications/QUjntFaOC0i-i5EDSLGLTAE

Volgende stappen