Registratie van een aangepaste clienttoepassing voor Agent 365 CLI

De Agent 365 CLI vereist een registratie van een aangepaste clienttoepassing in uw Microsoft Entra ID-tenant om agentidentiteitsblauwdrukken te authenticeren en te beheren.

Dit artikel beschrijft het proces in vier hoofdstappen:

Registratieaanvraag
De omleidings-URI instellen
Toepassings-ID (client-ID) kopiëren
API-machtigingen configurerenBeheerdersrechten vereist
De rolclaim wids toevoegen

Raadpleeg de sectie Probleemoplossing als u problemen ondervindt.

Vereisten

Zorg er voordat u begint voor dat u toegang hebt tot het Microsoft Entra-beheercentrum en, indien nodig, een van de vereiste beheerdersrollen om toestemming te verlenen.

De app registreren

Standaard kan iedere gebruiker in de tenant toepassingen registreren in het Microsoft Entra-beheercentrum. Echter tenantbeheerders kunnen deze mogelijkheid beperken. Als u uw app niet kunt registreren, neem dan contact op met uw beheerder.

U hebt een van deze beheerdersrollen nodig voor 4. API-machtigingen configureren.

Applicatiebeheerder: Aanbevolen - kan app-registraties beheren en toestemming verlenen
Cloudapplicatiebeheerder: Kan app-registraties beheren en toestemming verlenen
Globale beheerder: Heeft alle machtigingen, maar is niet vereist

Fooi

Geen beheerdersrechten? U kunt stap 1-3 zelf uitvoeren en vervolgens uw tenantbeheerder vragen om stap 4 te voltooien. Geef hen uw Applicatie-ID (client-ID) uit stap 3 en een link naar de API-machtigingen configureren-sectie.

Fooi

Globale beheerders kunnen handmatige registratie overslaan. Voer a365 setup requirements uit en als de Agent 365 CLI app niet in uw tenant wordt gevonden, vraagt de CLI u om deze te maken en automatisch beheerdersrechten te verlenen. Typ C bij de prompt om de app in één stap te maken. Als u deze geautomatiseerde methode gebruikt, kunt u de stappen in dit gedeelte overslaan.

1. Toepassing registreren

Deze instructies vatten de volledige instructies voor het maken van een app-registratie samen.

Ga naar Microsoft Entra-beheercentrum
Selecteer App-registraties
Selecteer Nieuwe registratie
Voer in:
- Naam: Voer een zinvolle naam in voor uw app, bijvoorbeeld my-agent-app. App-gebruikers zien deze naam en u kunt deze op elk moment wijzigen. U kunt meerdere app-registraties met dezelfde naam hebben.
  
  Fooi
  
  Als u de configuratievrije a365 setup all --agent-name-flow wilt gebruiken, geef de app dan exact de naam Agent 365 CLI. De CLI zoekt de client-app automatisch op aan de hand van deze bekende weergavenaam, zodat u de client-ID niet in een configuratiebestand hoeft te kopiëren.
- Ondersteunde accounttypen: Alleen accounts in deze organisatiedirectory (Single tenant)
- Redirect-URI: Selecteer Openbare client/native (mobiel & desktop) en voer in http://localhost:8400/
Selecteer Registratie

De CLI vereist in totaal drie redirect-URI's. De CLI voegt automatisch alle ontbrekende items toe wanneer u a365 setup requirements uitvoert:

URI	Doel
`http://localhost:8400/`	Microsoft Authentication Library (MSAL) interactieve browserauthenticatie
`http://localhost`	Microsoft Graph PowerShell SDK `Connect-MgGraph`
`ms-appx-web://Microsoft.AAD.BrokerPlugin/{client-id}`	Web Account Manager (WAM) gebruiken

Zie Wat de CLI automatisch configureert voor meer informatie.

2. De omleidings-URI instellen

Ga naar Overzicht en kopieer de waarde van Toepassings-ID (client-ID).
Ga naar Authenticatie (preview) en selecteer Omleidings-URI toevoegen.
Selecteer Mobiele en desktoptoepassingen en stel de waarde in op ms-appx-web://Microsoft.AAD.BrokerPlugin/{client-id}, waarbij {client-id} de Toepassings-ID (client-ID)-waarde is die u hebt gekopieerd.
Selecteer Configureren om de waarde toe te voegen.

3. Toepassings- (client) ID kopiëren

KopieerOverzicht -pagina vanuit de appApplicatie (client) ID in GUID-indeling. U gebruikt deze waarde bij het uitvoeren van a365 setup all of bij het handmatig aanmaken van a365.config.json.

Fooi

Verwar deze waarde niet met Object-ID — u hebt de Applicatie-ID (client-ID) nodig.

Als u uw app in stap 1 een naam hebt gegeven Agent 365 CLI, kunt u deze stap overslaan bij gebruik van a365 setup all --agent-name. De CLI lost de client-ID automatisch op aan de hand van de weergavenaam.

4. API-machtigingen configureren

Belangrijk

Voor deze stap hebt u beheerdersrechten nodig. Als u een ontwikkelaar bent zonder beheerdersrechten, stuur dan uw Applicatie-ID (client-ID) uit Stap 3 naar uw tenantbeheerder en laat hem/haar deze stap voltooien.

Notitie

Vanaf december 2025 zijn de AgentIdentityBlueprint.*, AgentInstance.* en AgentIdentity.* machtigingen bèta-API's en mogelijk niet zichtbaar in het Microsoft Entra-beheercentrum. Als deze machtigingen algemeen beschikbaar komen in uw tenant, kunt u optie A gebruiken voor alle machtigingen.

Kies de juiste methode:

Optie A: Gebruik het Microsoft Entra-beheercentrum voor alle machtigingen (als bètamachtigingen zichtbaar zijn)
Optie B: Gebruik de Microsoft Graph API om alle machtigingen toe te voegen (aanbevolen als bètamachtigingen niet zichtbaar zijn)

Optie A: Microsoft Entra-beheercentrum (standaardmethode)

Gebruik deze methode als u bètamachtigingen in uw tenant kunt zien.

Ga in uw app-registratie naar API-machtigingen.
Selecteer Een machtiging toevoegen>Microsoft Graph>Gedelegeerde machtigingen.

Belangrijk

U moet Gedelegeerde machtigingen gebruiken (niet Toepassingsmachtigingen). De CLI authenticeert interactief - u meldt zich aan en de CLI handelt namens u. Zie Onjuist machtigingstype voor meer informatie.

Voeg deze zeven machtigingen één voor één toe:

Machtiging	Doel
`AgentIdentityBlueprint.ReadWrite.All`	Blueprint aanmaken, clientgeheim beheren, overerfbare machtigingen, federatieve identiteitsgegevens en verwijderen (beta-API)
`AgentIdentityBlueprintPrincipal.Create`	De Agent Blueprint-serviceprincipal aanmaken (beta-API)
`AgentIdentity.Read.All`	Idempotentiecontrole en agent-identiteitsserviceprincipal opzoeken (beta-API)
`AgentIdentity.DeleteRestore.All`	Agent-identiteitsserviceprincipals verwijderen tijdens opschoning (beta-API)
`AgentRegistration.ReadWrite.All`	Alle agentregistraties lezen en schrijven
`Application.Read.All`	Serviceprincipal opzoeken op app-ID (engere vervanging voor Directory.Read.All)
`User.Read`	Aangemelde gebruikersprofiel lezen voor toewijzing van blueprint-eigenaar en sponsor

Notitie

AgentRegistration.ReadWrite.All is vereist voor agentconfiguratie. De CLI-validator controleert expliciet op deze machtiging. Deze moet aanwezig zijn in uw app-registratie en beheerdersgoedkeuring moet zijn verleend.

Voor elke machtiging:

Typ in het zoekvak de naam van de machtiging (bijvoorbeeld AgentIdentityBlueprint.ReadWrite.All).
Vink het selectievakje naast de machtiging aan.
Selecteer Machtigingen toevoegen.
Herhaal dit voor alle zeven machtigingen.

Selecteer Beheerdersrechten verlenen voor [Uw tenant].
- Waarom is dit nodig? Agent-identiteitsblauwdrukken zijn tenantbrede resources waarnaar meerdere gebruikers en applicaties kunnen verwijzen. Zonder tenantbrede toestemming mislukt de CLI tijdens de authenticatie.
- Wat als het mislukt? U hebt de rol Applicatiebeheerder, Cloudapplicatiebeheerder of Globale beheerder nodig. Vraag uw tenantbeheerder om hulp.
Controleer of alle machtigingen groene vinkjes tonen onder Status.

Als de bètamachtigingen (AgentIdentityBlueprint.*) niet zichtbaar zijn, ga dan verder met Optie B.

Optie B: Microsoft Graph API (voor bètamachtigingen)

Gebruik deze methode als het Microsoft Entra-beheercentrum geen AgentIdentityBlueprint.* machtigingen weergeeft.

Waarschuwing

Als u deze API-methode gebruikt, gebruik dan niet de knop 'Beheerderstoestemming verlenen' in het Microsoft Entra-beheercentrum daarna. De API-methode verleent automatisch beheerderstoestemming en het gebruik van de knop in het Microsoft Entra-beheercentrum verwijdert uw bètamachtigingen. Zie Bètamachtigingen verdwijnen voor meer informatie.

Open Graph Explorer.
Meld u aan met uw beheerdersaccount (Toepassingsbeheerder of Cloudtoepassingsbeheerder).
Verleen beheerderstoestemming met behulp van de Graph API. Om deze stap te voltooien, hebt u het volgende nodig:
- Service Principal ID. U hebt een variabele waarde nodig (SP_OBJECT_ID).
- Graph resource ID. U hebt een variabele waarde nodig (GRAPH_RESOURCE_ID).
- Maak (of update) gedelegeerde machtigingen met behulp van het resourcetype oAuth2PermissionGrant met de variabele waarden SP_OBJECT_ID en GRAPH_RESOURCE_ID.

Gebruik de informatie in de volgende secties om deze stappen te voltooien.

Haal uw service principal ID op

Een service principal is de identiteit van uw app in uw tenant. U hebt deze nodig voordat u machtigingen kunt verlenen via de API.

Stel de Graph Explorer-methode in op GET en gebruik deze URL. Vervang <YOUR_CLIENT_APP_ID> door uw daadwerkelijke applicatieclient-ID uit Stap 3: Kopieer applicatie (client) ID:
```
https://graph.microsoft.com/v1.0/servicePrincipals?$filter=appId eq '<YOUR_CLIENT_APP_ID>'&$select=id
```
Selecteer Query uitvoeren.
- Als de query slaagt, is de geretourneerde waarde uw SP_OBJECT_ID.
- Als de query mislukt met een machtigingsfout, selecteer dan het tabblad Machtigingen wijzigen, geef toestemming voor de vereiste machtigingen en selecteer vervolgens Query uitvoeren opnieuw. De geretourneerde waarde is uw SP_OBJECT_ID.
- Als de query lege resultaten retourneert ("value": []), maak dan de serviceprincipal aan met behulp van de volgende stappen:
  1. Stel de methode in op POST en gebruik deze URL:
```
https://graph.microsoft.com/v1.0/servicePrincipals
```
    Aanvraagbody (vervang YOUR_CLIENT_APP_ID door uw daadwerkelijke applicatieclient-ID):
```
{
   "appId": "YOUR_CLIENT_APP_ID"
}
```
  2. Selecteer Query uitvoeren. U zou een 201 Created-antwoord moeten ontvangen. De geretourneerde waarde id is uw SP_OBJECT_ID.

Haal uw Graph-resource-ID op

Stel de Graph Explorer-methode in op GET en gebruik deze URL:

https://graph.microsoft.com/v1.0/servicePrincipals?$filter=appId eq '00000003-0000-0000-c000-000000000000'&$select=id

Selecteer Query uitvoeren.
- Als de query slaagt, kopieer dan de id-waarde. Deze waarde is uw GRAPH_RESOURCE_ID.
- Als de query mislukt met een machtigingsfout, selecteer dan het tabblad Machtigingen wijzigen, geef toestemming voor de vereiste machtigingen en selecteer vervolgens Query uitvoeren opnieuw. Kopieer de waarde id. Deze waarde is uw GRAPH_RESOURCE_ID.

Gedelegeerde machtigingen maken

Deze API-aanroep verleent tenantbrede beheerdersrechten voor alle zeven machtigingen, inclusief de bètamachtigingen die niet zichtbaar zijn in het Microsoft Entra-beheercentrum.

Stel de Graph Explorer-methode in op POST en gebruik deze URL en aanvraagbody:

https://graph.microsoft.com/v1.0/oauth2PermissionGrants

Verzoektekst:

{
"clientId": "<SP_OBJECT_ID>",
"consentType": "AllPrincipals",
"principalId": null,
"resourceId": "<GRAPH_RESOURCE_ID>",
"scope": "AgentIdentityBlueprint.ReadWrite.All AgentIdentityBlueprintPrincipal.Create AgentIdentity.Read.All AgentIdentity.DeleteRestore.All AgentRegistration.ReadWrite.All Application.Read.All User.Read"
}

Selecteer Query uitvoeren.
- Als u het antwoord 201 Created krijgt: Succes! Het veld scope in het antwoord toont alle zeven machtigingsnamen. U bent klaar.
- Als de query mislukt met een machtigingsfout, selecteert u het tabblad Machtigingen wijzigen, geeft u toestemming voor de vereiste machtigingen en selecteert u vervolgens Query opnieuw uitvoeren.
- Als u de foutmelding Request_MultipleObjectsWithSameKeyValue krijgt: Er bestaat al een machtiging. Mogelijk heeft iemand eerder machtigingen toegevoegd. Zie het volgende Gedelegeerde machtigingen bijwerken.

Waarschuwing

De consentType: "AllPrincipals" in het POST verzoek verleent al tenantbrede beheerdersrechten. Selecteer NIET "Beheerdersrechten verlenen" in het Microsoft Entra-beheercentrum nadat u deze API-methode hebt gebruikt. Als u dit doet, verwijdert u uw bètamachtigingen omdat het Microsoft Entra-beheercentrum geen bètamachtigingen kan zien en uw via de API verleende toestemming overschrijft met alleen de zichtbare machtigingen.

Gedelegeerde machtigingen bijwerken

Als u een Request_MultipleObjectsWithSameKeyValue foutmelding krijgt bij het volgen van de stappen om Gedelegeerde machtigingen te maken, gebruikt u deze stappen om de gedelegeerde machtigingen bij te werken.

Stel de Graph Explorer-methode in op GET en gebruik deze URL:

https://graph.microsoft.com/v1.0/oauth2PermissionGrants?$filter=clientId eq 'SP_OBJECT_ID_FROM_ABOVE'

Selecteer Query uitvoeren. Kopieer de waarde id uit het antwoord. Deze waarde is YOUR_GRANT_ID.

Stel de Graph Explorer-methode in op PATCH en gebruik deze URL met YOUR_GRANT_ID.

https://graph.microsoft.com/v1.0/oauth2PermissionGrants/<YOUR_GRANT_ID>

Request Body:

{
   "scope": "AgentIdentityBlueprint.ReadWrite.All AgentIdentityBlueprintPrincipal.Create AgentIdentity.Read.All AgentIdentity.DeleteRestore.All AgentRegistration.ReadWrite.All Application.Read.All User.Read"
}

Selecteer Query uitvoeren. U zou een 200 OK-antwoord moeten ontvangen met alle zeven machtigingen in het scope-veld.

5. Voeg de rolclaim voor wids toe

De Agent 365 CLI leest uw Entra-directoryroltoewijzingen rechtstreeks uit het toegangstoken om te bepalen of u beheerdersrechten hebt. Hiervoor moet de claim wids worden toegevoegd aan de toegangstokens die zijn uitgegeven voor uw app-registratie.

Zonder deze claim kan de CLI uw rol niet detecteren en worden PowerShell-instructies weergegeven voor elke stap die beheerdersrechten vereist, zelfs als u een beheerder bent. Voltooi deze stap om het juiste gedrag te verkrijgen.

Ga in uw app-registratie naar Tokenconfiguratie.
Selecteer Optionele claim toevoegen.
Selecteer voor TokentypeToegang.
Vink in de lijst met claims het vakje naast breedtes aan.
Selecteer Toevoegen.

Als u wordt gevraagd om de Microsoft Graph-machtigingprofile in te schakelen om de claim te activeren, selecteer dan Ja, toevoegen.

Notitie

De wids-claim bevat de GUID's van de roltemplates van de Entra-directoryrollen die direct zijn toegewezen aan de aangemelde gebruiker. De CLI gebruikt deze GUID's om de rollen Globale Beheerder en Agent-ID Beheerder te detecteren zonder een extra Graph API-aanroep.

Beperking:wids geeft alleen direct toegewezen rollen weer. Als uw tenant directoryrollen toewijst via aan rollen toewijsbare beveiligingsgroepen, detecteert de CLI deze op groepen gebaseerde roltoewijzingen mogelijk niet. Directe roltoewijzing is het standaardpatroon voor zowel Agent ID-ontwikkelaars- als beheerdersrollen.

Best practices voor beveiliging

Bekijk deze richtlijnen om uw app-registratie veilig en conform te houden.

Doen:

Gebruik registratie voor één tenant.
Verleen alleen de vereiste gedelegeerde machtigingen.
Controleer machtigingen regelmatig.
Verwijder de app wanneer deze niet langer nodig is.

Niet doen:

Verleen applicatiemachtigingen. Gebruik alleen gedelegeerde machtigingen.
Deel de client-ID niet openbaar.
Verleen andere onnodige machtigingen.
Gebruik de app niet voor andere doeleinden.

Wat de CLI automatisch configureert

Wanneer u a365 setup requirements uitvoert, valideert de CLI uw app-registratie en moet deze mogelijk wijzigingen aanbrengen. Voordat er wijzigingen worden toegepast, toont de CLI een samenvatting en vraagt om bevestiging:

WARNING: The CLI needs to make the following changes to your app registration (<app-id>):

  - Add redirect URI(s): http://localhost
  - Enable 'Allow public client flows' (isFallbackPublicClient = true)

Do you want to proceed? (y/N):

Om de bevestigingsprompt over te slaan (bijvoorbeeld in een CI-omgeving), gebruikt u de vlag --yes:

a365 setup requirements --yes

De volgende tabel beschrijft elke wijziging die de CLI kan aanbrengen:

Wijziging	Reden
Redirect-URI toevoegen `http://localhost`	De Microsoft Graph PowerShell SDK vereist deze URI voor browserauthenticatie. Zonder deze URI vallen OAuth2-grantbewerkingen terug op een token dat niet over de vereiste gedelegeerde machtigingen beschikt en mislukken ze met een 403-fout.
Redirect-URI toevoegen `http://localhost:8400/`	MSAL vereist deze URI voor interactieve browserauthenticatie.
Omleidings-URI toevoegen `ms-appx-web://Microsoft.AAD.BrokerPlugin/{id}`	Vereist voor Web Account Manager (WAM), een authenticatiebroker voor Windows OS. Meer informatie over Tokens verkrijgen die aan apparaten zijn gekoppeld.
Openbare clientstromen toestaan inschakelen	Vereist voor terugval naar authenticatie met apparaatcode op macOS, Linux, Windows-subsysteem voor Linux (WSL), headless-omgevingen en als terugval naar een beleid voor voorwaardelijke toegang op Windows.
Ontbrekende machtigingen toevoegen aan app-registratie	Houdt de app-registratie gesynchroniseerd met nieuw vereiste machtigingen na een CLI-update.
Toestemming voor beheerders uitbreiden	Breidt de bestaande OAuth2-machtiging uit met alle nieuw toegekende machtigingen.

Als u de prompt weigert, wijzigt de CLI uw app-registratie niet. Als er wijzigingen nodig zijn om de CLI te laten werken, kunt u deze handmatig configureren in Microsoft Entra-beheercentrum of opnieuw uitvoeren met --yes.

Volgende stappen

Nadat u uw aangepaste client-app hebt geregistreerd, gebruikt u deze met de Agent 365 CLI om uw Agent 365-installatie te voltooien:

Aan de slag met Agent 365-ontwikkeling

Probleemoplossing

In dit gedeelte wordt beschreven hoe u fouten bij de registratie van aangepaste client-apps kunt oplossen.

Fooi

De Gids voor probleemoplossing in Agent 365 bevat aanbevelingen voor probleemoplossing op hoog niveau, best practices en links naar relevante probleemoplossingsinformatie voor elk onderdeel van de Agent 365-ontwikkelingscyclus.

CLI-validatie mislukt tijdens configuratie

Symptoom: Het uitvoeren van a365 setup of a365 setup requirements mislukt met validatiefouten met betrekking tot uw aangepaste client-app.

Oplossing: Gebruik deze checklist om te controleren of uw app-registratie correct is:

# Run requirements validation to see validation messages
a365 setup requirements

Verwacht resultaat: De CLI geeft Custom client app validation successful weer.

Als u niet het verwachte resultaat krijgt, controleert u elk van de volgende punten:

Controle	Hoe te controleren	Fix
✅ Juiste ID gebruikt	U hebt de Toepassings-ID (client-ID) gekopieerd (niet de object-ID)	Ga naar Overzicht van de app in Microsoft Entra-beheercentrum
✅ Gedelegeerde machtigingen	Machtigingen tonen Type: Gedelegeerd in API-machtigingen	Zie Onjuist machtigingstype
✅ Alle machtigingen toegevoegd	Bekijk alle onderstaande machtigingen	Volg Stap 4 opnieuw
✅ Beheerderstoestemming verleend	Alles toont een groen vinkje onder Status	Zie Beheerderstoestemming onjuist verleend

Vereiste gedelegeerde machtigingen:

AgentIdentityBlueprint.ReadWrite.All [bèta]
AgentIdentityBlueprintPrincipal.Create [bèta]
AgentIdentity.Read.All [bèta]
AgentIdentity.DeleteRestore.All [bèta]
AgentRegistration.ReadWrite.All
Application.Read.All
User.Read

Symptoom: Validatie mislukt, ook al hebt u Machtigingen toegevoegd.

Hoofdoorzaak: U hebt geen beheerdersrechten verleend, of u hebt deze onjuist verleend.

Oplossing: Ga in uw app-registratie in het Microsoft Entra-beheercentrum naar API-machtigingen en selecteer Beheerdersrechten verlenen voor [Uw tenant]. Controleer of alle machtigingen groene vinkjes tonen onder Status.

Symptoom: a365 setup all Er wordt "Succesvol verzekerde gedelegeerde applicatietoestemming" afgedrukt, maar het maken van de blauwdruk mislukt onmiddellijk met de volgende foutmelding:

Admin consent has not been granted for this application.
Share this URL with an Application Administrator or Global Administrator to grant consent:
  https://login.microsoftonline.com/<tenant-id>/v2.0/adminconsent?client_id=<client-app-id>

Hoofdoorzaak: Uw tenant heeft al een oauth2PermissionGrant-record voor uw aangepaste client-app (van een eerdere gedeeltelijke installatie of van een eerdere actie "Beheerderstoestemming verlenen" in het Microsoft Entra-beheercentrum voor andere scopes), maar in dat record ontbreekt de vereiste scope (AgentIdentityBlueprint.ReadWrite.All). De CLI detecteert de ontbrekende scope en geeft een toestemmings-URL weer waarmee een beheerder de toestemming kan verlenen.

Oplossing:

Deel de toestemmings-URL die in de foutmelding wordt weergegeven met een applicatiebeheerder of globale beheerder. De URL ziet er als volgt uit:

https://login.microsoftonline.com/<tenant-id>/v2.0/adminconsent?client_id=<client-app-id>

Nadat de beheerder toestemming heeft verleend, voert u a365 setup all --agent-name <name> opnieuw uit.

Als u beheerdersrechten hebt, kunt u de URL rechtstreeks in een browser openen om toestemming te verlenen zonder te wachten.

Onjuist machtigingstype

Symptoom: De CLI faalt met authenticatiefouten of fouten met geweigerde toegang.

Hoofdoorzaak: U hebt Toepassingsmachtigingen toegevoegd in plaats van Gedelegeerde machtigingen.

Deze tabel beschrijft de verschillende machtigingstypen.

Machtigingstype	Gebruik	Hoe Agent 365 CLI het gebruikt
Gedelegeerde ("Bereik")	Gebruiker meldt zich interactief aan	Agent 365 CLI gebruikt dit - U meldt zich aan, de CLI handelt namens u
Aanvraag ("Rol")	Service wordt uitgevoerd zonder gebruiker	Niet gebruiken - Alleen voor achtergrondservices/daemons

Waarom gedelegeerd?

U meldt zich interactief aan (browserverificatie)
De CLI voert acties uit als u (auditlogboeken tonen uw identiteit)
Veiliger - beperkt door uw werkelijke machtigingen
Zorgt voor verantwoording en naleving

Oplossing:

Ga naar Microsoft Entra-beheercentrum>App-registraties> Uw app >API-machtigingen
Verwijder alle toepassingsmachtigingen. Deze machtigingen worden weergegeven als Toepassing in de kolom Type.
Voeg dezelfde machtigingen toe als Gedelegeerde-machtigingen.
Verleen opnieuw beheerdersgoedkeuring.

Symptoom: U hebt Optie B: Microsoft Graph API (voor bètamachtigingen) gebruikt om bètamachtigingen toe te voegen, maar deze verdwijnen nadat u Beheerderstoestemming verlenen selecteert in het Microsoft Entra-beheercentrum.

Hoofdoorzaak: Het Microsoft Entra-beheercentrum toont geen bètamachtigingen in de gebruikersinterface. Wanneer u Beheerderstoestemming verlenen selecteert, verleent de portal alleen toestemming voor de zichtbare machtigingen en overschrijft de via de API verleende toestemming.

Waarom dit gebeurt:

U gebruikt de Graph API (Optie B) om alle zeven machtigingen toe te voegen, inclusief bètamachtigingen.
De API-aanroep met consentType: "AllPrincipals" verleent al tenantbrede beheerdersrechten.
U gaat naar het Microsoft Entra-beheercentrum en ziet slechts een subset van machtigingen, omdat bètamachtigingen niet zichtbaar zijn in de portal.
U selecteert Beheerdersrechten verlenen in de veronderstelling dat dit nodig is.
Het Microsoft Entra-beheercentrum overschrijft uw via de API verleende toestemming met alleen de zichtbare machtigingen.
Uw bètamachtigingen zijn nu verwijderd.

Oplossing:

Gebruik geen beheerdersrechten in het Microsoft Entra-beheercentrum na de API-methode: De API-methode verleent al beheerdersrechten.
Als u per ongeluk bètamachtigingen verwijdert, voert u Optie B Stap 3 (Beheerdersrechten verlenen met behulp van de Graph API) opnieuw uit om ze te herstellen. Als u een Request_MultipleObjectsWithSameKeyValue-foutmelding krijgt, volg dan de stappen om gedelegeerde machtigingen bij te werken.
Om te controleren of alle zeven machtigingen worden weergegeven, controleert u het scope-veld in het POST- of PATCH-antwoord.

App niet gevonden tijdens validatie

Symptoom: CLI meldt Application not found- of Invalid client ID-foutmeldingen.

Oplossing:

Controleer of u de Toepassings-(client)-ID in GUID-formaat hebt gekopieerd, en niet de Object-ID:
- Ga naar het Microsoft Entra-beheercentrum>App-registraties> Uw app >Overzicht
- Kopieer de waarde onder Toepassings-(client)-ID
- Het formaat moet zijn: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

Controleer of de app in uw tenant bestaat:

# Sign in to the correct tenant
az login

# List your app registrations
az ad app list --display-name "<The display name of your app>"

Lees hoe u een toepassing registreert in Microsoft Entra ID.

Feedback

Is deze pagina nuttig?

Last updated on 2026-07-30

Registratie van een aangepaste clienttoepassing voor Agent 365 CLI

Vereisten

De app registreren

Om machtigingen toe te voegen en toestemming te verlenen

1. Toepassing registreren

2. De omleidings-URI instellen

3. Toepassings- (client) ID kopiëren

4. API-machtigingen configureren

Optie A: Microsoft Entra-beheercentrum (standaardmethode)

Optie B: Microsoft Graph API (voor bètamachtigingen)

Haal uw service principal ID op

Haal uw Graph-resource-ID op

Gedelegeerde machtigingen maken

Gedelegeerde machtigingen bijwerken

5. Voeg de rolclaim voor wids toe

Best practices voor beveiliging

Wat de CLI automatisch configureert

Volgende stappen

Probleemoplossing

CLI-validatie mislukt tijdens configuratie

Beheerderstoestemming onjuist verleend

Het maken van een blauwdruk mislukt met de foutmelding "Beheerderstoestemming is niet verleend"

Onjuist machtigingstype

Bètamachtigingen verdwijnen na toestemming van de beheerder in het Microsoft Entra-beheercentrum

App niet gevonden tijdens validatie

Feedback

Aanvullende resources