Rejestrowanie aplikacji w dzierżawie zewnętrznej

Dotyczy: Dzierżawcy siły roboczej — dzierżawcy zewnętrzni (dowiedz się więcej)

Tożsamość zewnętrzna Microsoft Entra umożliwia organizacji zarządzanie tożsamościami klientów i bezpieczne kontrolowanie dostępu do publicznych aplikacji i interfejsów API. Aplikacje, w których klienci mogą kupować produkty, subskrybować usługi lub uzyskiwać dostęp do ich konta i danych. Klienci muszą zalogować się tylko raz na urządzeniu lub w przeglądarce internetowej i mieć dostęp do wszystkich aplikacji, którym udzielono im uprawnień.

Aby umożliwić aplikacji logowanie się przy użyciu identyfikatora zewnętrznego, musisz zarejestrować aplikację przy użyciu identyfikatora zewnętrznego. Rejestracja aplikacji ustanawia relację zaufania między aplikacją a identyfikatorem zewnętrznym. Podczas rejestracji aplikacji należy określić identyfikator URI przekierowania. Identyfikator URI przekierowania to punkt końcowy, do którego użytkownicy są przekierowywani za pomocą identyfikatora zewnętrznego po uwierzytelnieniu. Proces rejestracji aplikacji generuje identyfikator aplikacji, znany również jako identyfikator klienta, który jednoznacznie identyfikuje twoją aplikację.

Identyfikator zewnętrzny obsługuje uwierzytelnianie dla różnych nowoczesnych architektur aplikacji, na przykład aplikacji internetowej lub aplikacji jednostronicowej. Interakcja każdego typu aplikacji z dzierżawą zewnętrzną jest inna, dlatego należy określić typ aplikacji, którą chcesz zarejestrować.

Z tego artykułu dowiesz się, jak zarejestrować aplikację w dzierżawie zewnętrznej.

Wymagania wstępne

• Konto platformy Azure z aktywną subskrypcją. Utwórz konto bezpłatnie.
• Dzierżawa zewnętrzna. Jeśli jeszcze go nie masz, utwórz konto bezpłatnej wersji próbnej.

Wybierz typ aplikacji

Aplikacja jednostronicowa (SPA)

Rejestrowanie aplikacji jednostronicowej

Identyfikator zewnętrzny obsługuje uwierzytelnianie dla aplikacji jednostronicowych (SPA).

W poniższych krokach pokazano, jak zarejestrować spa w centrum administracyjnym firmy Microsoft Entra:

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako deweloper aplikacji.

2. Jeśli masz dostęp do wielu dzierżaw, użyj ikony Ustawienia w górnym menu, aby przełączyć się do dzierżawy zewnętrznej z menu Katalogi i subskrypcje.

3. Przejdź do aplikacji tożsamości>> Rejestracje aplikacji.

4. Wybierz pozycję + Nowa rejestracja.

5. Na wyświetlonej stronie Rejestrowanie aplikacji wprowadź informacje o rejestracji aplikacji:

   1. W sekcji Nazwa wprowadź zrozumiałą nazwę aplikacji wyświetlaną użytkownikom aplikacji, na przykład ciam-client-app.

   2. W obszarze Obsługiwane typy kont wybierz pozycję Konta tylko w tym katalogu organizacyjnym.

   3. W obszarze Identyfikator URI przekierowania (opcjonalnie) wybierz pozycję Aplikacja jednostronicowa (SPA), a następnie w polu Adres URL wprowadź .http://localhost:3000/

6. Wybierz pozycję Zarejestruj.

7. Po zakończeniu rejestracji zostanie wyświetlone okienko Przegląd aplikacji. Zapisz identyfikator katalogu (dzierżawy) i identyfikator aplikacji (klienta) do użycia w kodzie źródłowym aplikacji.

Informacje o identyfikatorze URI przekierowania

Identyfikator URI przekierowania to punkt końcowy, do którego użytkownik jest wysyłany przez serwer autoryzacji (w tym przypadku microsoft Entra ID) po zakończeniu interakcji z użytkownikiem oraz do którego jest wysyłany token dostępu lub kod autoryzacji po pomyślnej autoryzacji.

W aplikacji produkcyjnej zazwyczaj jest to publicznie dostępny punkt końcowy, w którym aplikacja jest uruchomiona, na przykład https://contoso.com/auth-response.

Podczas tworzenia aplikacji możesz dodać punkt końcowy, w którym aplikacja nasłuchuje lokalnie, na przykład http://localhost:3000. W dowolnym momencie możesz dodawać i modyfikować identyfikatory URI przekierowania w zarejestrowanych aplikacjach.

Następujące ograniczenia dotyczą identyfikatorów URI przekierowania:

• Adres URL odpowiedzi musi zaczynać się od schematu https, chyba że używasz adresu URL przekierowania localhost.

• W adresie URL odpowiedzi jest uwzględniana wielkość liter. Jego wielkość liter musi być zgodna ze wielkością ścieżki adresu URL uruchomionej aplikacji. Jeśli na przykład aplikacja zawiera jako część ścieżki .../abc/response-oidc, nie należy określać .../ABC/response-oidc w adresie URL odpowiedzi. Ponieważ przeglądarka internetowa traktuje ścieżki jako wrażliwe na wielkość liter, pliki cookie skojarzone z usługą .../abc/response-oidc mogą zostać wykluczone w przypadku przekierowania do niezgodnego .../ABC/response-oidc adresu URL.

• Adres URL odpowiedzi powinien zawierać lub wykluczyć ukośnik końcowy w miarę oczekiwania aplikacji. Na przykład https://contoso.com/auth-response i https://contoso.com/auth-response/ może być traktowana jako niezgodne adresy URL w aplikacji.

Wyrażanie zgody administratora

Po zarejestrowaniu aplikacji zostanie przypisane uprawnienie User.Read . Jednak ponieważ dzierżawa jest dzierżawą zewnętrzną, użytkownicy sami nie mogą wyrazić zgody na to uprawnienie. Administrator musi wyrazić zgodę na to uprawnienie w imieniu wszystkich użytkowników w dzierżawie:

1. Na stronie Rejestracje aplikacji wybierz utworzoną aplikację (np. ciam-client-app), aby otworzyć stronę Przegląd.

2. W obszarze Zarządzanie wybierz pozycję Uprawnienia interfejsu API.

   1. Wybierz pozycję Udziel zgody administratora dla <swojej nazwy> dzierżawy, a następnie wybierz pozycję Tak.
   2. Wybierz pozycję Odśwież, a następnie sprawdź, czy dla nazwy dzierżawy jest wyświetlana wartość> w <obszarze Stan uprawnienia.

Udziel uprawnień interfejsu API (opcjonalnie):

Jeśli SPA musi wywołać interfejs API, musisz przyznać swoje uprawnienia interfejsu API SPA, aby mógł wywołać interfejs API. Musisz również zarejestrować internetowy interfejs API , który należy wywołać.

Aby udzielić aplikacji klienckiej (ciam-client-app) uprawnień interfejsu API, wykonaj następujące kroki:

1. Na stronie Rejestracje aplikacji wybierz utworzoną aplikację (np. ciam-client-app), aby otworzyć stronę Przegląd.

2. W obszarze Zarządzanie wybierz pozycję Uprawnienia interfejsu API.

3. W obszarze Skonfigurowane uprawnienia wybierz pozycję Dodaj uprawnienie.

4. Wybierz kartę Interfejsy API używane przez moją organizację.

5. Na liście interfejsów API wybierz interfejs API, taki jak ciam-ToDoList-api.

6. Wybierz opcję Delegowane uprawnienia .

7. Z listy uprawnień wybierz pozycję ToDoList.Read, ToDoList.ReadWrite (w razie potrzeby użyj pola wyszukiwania).

8. Wybierz przycisk Dodaj uprawnienia. W tym momencie przypisano uprawnienia poprawnie. Jednak ponieważ dzierżawa jest dzierżawą klienta, użytkownicy odbiorcy sami nie mogą wyrazić zgody na te uprawnienia. Aby rozwiązać ten problem, administrator musi wyrazić zgodę na te uprawnienia w imieniu wszystkich użytkowników w dzierżawie:

   1. Wybierz pozycję Udziel zgody administratora dla <swojej nazwy> dzierżawy, a następnie wybierz pozycję Tak.

   2. Wybierz pozycję Odśwież, a następnie sprawdź, czy w obszarze Stan dla obu zakresów jest wyświetlana wartość Przyznane dla <nazwy> dzierżawy.

9. Z listy Skonfigurowane uprawnienia wybierz uprawnienia ToDoList.Read i ToDoList.ReadWrite, pojedynczo, a następnie skopiuj pełny identyfikator URI uprawnienia do późniejszego użycia. Pełny identyfikator URI uprawnień wygląda podobnie do api://{clientId}/{ToDoList.Read} lub api://{clientId}/{ToDoList.ReadWrite}.

Jeśli chcesz dowiedzieć się, jak uwidocznić uprawnienia, dodając link, przejdź do sekcji Internetowy interfejs API .

Testowanie przepływu użytkownika (opcjonalnie)

Aby przetestować przepływ użytkownika przy użyciu tej rejestracji aplikacji, włącz niejawny przepływ udzielania na potrzeby uwierzytelniania.

Ważne

Niejawny przepływ powinien być używany tylko do celów testowych, a nie do uwierzytelniania użytkowników w aplikacjach produkcyjnych. Po zakończeniu testowania zalecamy jego usunięcie.

Aby włączyć przepływ niejawny, wykonaj następujące kroki:

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako deweloper aplikacji.
2. Jeśli masz dostęp do wielu dzierżaw, użyj ikony Ustawienia w górnym menu, aby przełączyć się do dzierżawy zewnętrznej z menu Katalogi i subskrypcje.
3. Przejdź do aplikacji tożsamości>> Rejestracje aplikacji.
4. Wybierz utworzoną rejestrację aplikacji.
5. W obszarze Zarządzanie wybierz pozycję Uwierzytelnianie.
6. W obszarze Niejawne udzielanie i przepływy hybrydowe zaznacz pole wyboru Tokeny identyfikatorów (używane dla przepływów niejawnych i hybrydowych).
7. Wybierz pozycję Zapisz.

Aplikacja sieci web

Rejestrowanie aplikacji internetowej

Identyfikator zewnętrzny obsługuje uwierzytelnianie dla aplikacji internetowych.

W poniższych krokach pokazano, jak zarejestrować aplikację internetową w centrum administracyjnym firmy Microsoft Entra:

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako deweloper aplikacji.

2. Jeśli masz dostęp do wielu dzierżaw, użyj ikony Ustawienia w górnym menu, aby przełączyć się do dzierżawy zewnętrznej z menu Katalogi i subskrypcje.

3. Przejdź do aplikacji tożsamości>> Rejestracje aplikacji.

4. Wybierz pozycję + Nowa rejestracja.

5. Na wyświetlonej stronie Rejestrowanie aplikacji wprowadź informacje o rejestracji aplikacji:

   1. W sekcji Nazwa wprowadź zrozumiałą nazwę aplikacji wyświetlaną użytkownikom aplikacji, na przykład ciam-client-app.

   2. W obszarze Obsługiwane typy kont wybierz pozycję Konta tylko w tym katalogu organizacyjnym.

   3. W obszarze Identyfikator URI przekierowania (opcjonalnie) wybierz pozycję Sieć Web , a następnie w polu Adres URL wprowadź adres URL, taki jak http://localhost:3000/.

6. Wybierz pozycję Zarejestruj.

7. Po zakończeniu rejestracji zostanie wyświetlone okienko Przegląd aplikacji. Zapisz identyfikator katalogu (dzierżawy) i identyfikator aplikacji (klienta) do użycia w kodzie źródłowym aplikacji.

Informacje o identyfikatorze URI przekierowania

Identyfikator URI przekierowania to punkt końcowy, do którego użytkownik jest wysyłany przez serwer autoryzacji (w tym przypadku microsoft Entra ID) po zakończeniu interakcji z użytkownikiem oraz do którego jest wysyłany token dostępu lub kod autoryzacji po pomyślnej autoryzacji.

W aplikacji produkcyjnej zazwyczaj jest to publicznie dostępny punkt końcowy, w którym aplikacja jest uruchomiona, na przykład https://contoso.com/auth-response.

Podczas tworzenia aplikacji możesz dodać punkt końcowy, w którym aplikacja nasłuchuje lokalnie, na przykład http://localhost:3000. W dowolnym momencie możesz dodawać i modyfikować identyfikatory URI przekierowania w zarejestrowanych aplikacjach.

Następujące ograniczenia dotyczą identyfikatorów URI przekierowania:

• Adres URL odpowiedzi musi zaczynać się od schematu https, chyba że używasz adresu URL przekierowania localhost.

• W adresie URL odpowiedzi jest uwzględniana wielkość liter. Jego wielkość liter musi być zgodna ze wielkością ścieżki adresu URL uruchomionej aplikacji. Jeśli na przykład aplikacja zawiera jako część ścieżki .../abc/response-oidc, nie należy określać .../ABC/response-oidc w adresie URL odpowiedzi. Ponieważ przeglądarka internetowa traktuje ścieżki jako wrażliwe na wielkość liter, pliki cookie skojarzone z usługą .../abc/response-oidc mogą zostać wykluczone w przypadku przekierowania do niezgodnego .../ABC/response-oidc adresu URL.

• Adres URL odpowiedzi powinien zawierać lub wykluczyć ukośnik końcowy w miarę oczekiwania aplikacji. Na przykład https://contoso.com/auth-response i https://contoso.com/auth-response/ może być traktowana jako niezgodne adresy URL w aplikacji.

Wyrażanie zgody administratora

Po zarejestrowaniu aplikacji zostanie przypisane uprawnienie User.Read . Jednak ponieważ dzierżawa jest dzierżawą zewnętrzną, użytkownicy sami nie mogą wyrazić zgody na to uprawnienie. Administrator musi wyrazić zgodę na to uprawnienie w imieniu wszystkich użytkowników w dzierżawie:

1. Na stronie Rejestracje aplikacji wybierz utworzoną aplikację (np. ciam-client-app), aby otworzyć stronę Przegląd.

2. W obszarze Zarządzanie wybierz pozycję Uprawnienia interfejsu API.

   1. Wybierz pozycję Udziel zgody administratora dla <swojej nazwy> dzierżawy, a następnie wybierz pozycję Tak.
   2. Wybierz pozycję Odśwież, a następnie sprawdź, czy dla nazwy dzierżawy jest wyświetlana wartość> w <obszarze Stan uprawnienia.

Tworzenie wpisu tajnego klienta

 

Utwórz klucz tajny klienta dla zarejestrowanej aplikacji. Aplikacja używa wpisu tajnego klienta, aby udowodnić swoją tożsamość, gdy żąda tokenów.

1. Na stronie Rejestracje aplikacji wybierz utworzoną aplikację (np. ciam-client-app), aby otworzyć stronę Przegląd.
2. W obszarze Zarządzanie wybierz pozycję Certyfikaty i wpisy tajne.
3. Wybierz Nowy klucz tajny klienta.
4. W polu Opis wprowadź opis wpisu tajnego klienta (na przykład wpis tajny klienta aplikacji ciam).
5. W obszarze Wygasa wybierz czas trwania, dla którego wpis tajny jest prawidłowy (zgodnie z regułami zabezpieczeń organizacji), a następnie wybierz pozycję Dodaj.
6. Zarejestruj wartość wpisu tajnego. Użyjesz tej wartości do konfiguracji w późniejszym kroku. Wartość wpisu tajnego nie zostanie ponownie wyświetlona i nie będzie pobierana w żaden sposób po przejściu z obszaru Certyfikaty i wpisy tajne. Upewnij się, że został on zarejestrowany.

Udzielanie uprawnień interfejsu API (opcjonalnie)

Jeśli aplikacja internetowa musi wywołać interfejs API, musisz udzielić uprawnień interfejsu API aplikacji internetowej, aby mogła wywołać interfejs API. Musisz również zarejestrować internetowy interfejs API , który należy wywołać.

Aby udzielić aplikacji klienckiej (ciam-client-app) uprawnień interfejsu API, wykonaj następujące kroki:

1. Na stronie Rejestracje aplikacji wybierz utworzoną aplikację (np. ciam-client-app), aby otworzyć stronę Przegląd.

2. W obszarze Zarządzanie wybierz pozycję Uprawnienia interfejsu API.

3. W obszarze Skonfigurowane uprawnienia wybierz pozycję Dodaj uprawnienie.

4. Wybierz kartę Interfejsy API używane przez moją organizację.

5. Na liście interfejsów API wybierz interfejs API, taki jak ciam-ToDoList-api.

6. Wybierz opcję Delegowane uprawnienia .

7. Z listy uprawnień wybierz pozycję ToDoList.Read, ToDoList.ReadWrite (w razie potrzeby użyj pola wyszukiwania).

8. Wybierz przycisk Dodaj uprawnienia. W tym momencie przypisano uprawnienia poprawnie. Jednak ponieważ dzierżawa jest dzierżawą klienta, użytkownicy odbiorcy sami nie mogą wyrazić zgody na te uprawnienia. Aby rozwiązać ten problem, administrator musi wyrazić zgodę na te uprawnienia w imieniu wszystkich użytkowników w dzierżawie:

   1. Wybierz pozycję Udziel zgody administratora dla <swojej nazwy> dzierżawy, a następnie wybierz pozycję Tak.

   2. Wybierz pozycję Odśwież, a następnie sprawdź, czy w obszarze Stan dla obu zakresów jest wyświetlana wartość Przyznane dla <nazwy> dzierżawy.

9. Z listy Skonfigurowane uprawnienia wybierz uprawnienia ToDoList.Read i ToDoList.ReadWrite, pojedynczo, a następnie skopiuj pełny identyfikator URI uprawnienia do późniejszego użycia. Pełny identyfikator URI uprawnień wygląda podobnie do api://{clientId}/{ToDoList.Read} lub api://{clientId}/{ToDoList.ReadWrite}.

Testowanie przepływu użytkownika (opcjonalnie)

Aby przetestować przepływ użytkownika przy użyciu tej rejestracji aplikacji, włącz niejawny przepływ udzielania na potrzeby uwierzytelniania.

Ważne

Niejawny przepływ powinien być używany tylko do celów testowych, a nie do uwierzytelniania użytkowników w aplikacjach produkcyjnych. Po zakończeniu testowania zalecamy jego usunięcie.

Aby włączyć przepływ niejawny, wykonaj następujące kroki:

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako deweloper aplikacji.
2. Jeśli masz dostęp do wielu dzierżaw, użyj ikony Ustawienia w górnym menu, aby przełączyć się do dzierżawy zewnętrznej z menu Katalogi i subskrypcje.
3. Przejdź do aplikacji tożsamości>> Rejestracje aplikacji.
4. Wybierz utworzoną rejestrację aplikacji.
5. W obszarze Zarządzanie wybierz pozycję Uwierzytelnianie.
6. W obszarze Niejawne udzielanie i przepływy hybrydowe zaznacz pole wyboru Tokeny identyfikatorów (używane dla przepływów niejawnych i hybrydowych).
7. Wybierz pozycję Zapisz.

Internetowy interfejs API

Rejestrowanie internetowego interfejsu API

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako deweloper aplikacji.

2. Jeśli masz dostęp do wielu dzierżaw, użyj ikony Ustawienia w górnym menu, aby przełączyć się do dzierżawy zewnętrznej z menu Katalogi i subskrypcje.

3. Przejdź do aplikacji tożsamości>> Rejestracje aplikacji.

4. Wybierz pozycję + Nowa rejestracja.

5. Na wyświetlonej stronie Rejestrowanie aplikacji wprowadź informacje o rejestracji aplikacji:

   1. W sekcji Nazwa wprowadź zrozumiałą nazwę aplikacji, która będzie wyświetlana użytkownikom aplikacji, na przykład ciam-ToDoList-api.

   2. W obszarze Obsługiwane typy kont wybierz pozycję Konta tylko w tym katalogu organizacyjnym.

6. Wybierz pozycję Zarejestruj, aby utworzyć aplikację.

7. Po zakończeniu rejestracji zostanie wyświetlone okienko Przegląd aplikacji. Zapisz identyfikator katalogu (dzierżawy) i identyfikator aplikacji (klienta) do użycia w kodzie źródłowym aplikacji.

Uwidaczniaj uprawnienia

Interfejs API musi opublikować co najmniej jeden zakres, nazywany również uprawnieniem delegowanym, aby aplikacje klienckie pomyślnie uzyskały token dostępu dla użytkownika. Aby opublikować zakres, wykonaj następujące kroki:

1. Na stronie Rejestracje aplikacji wybierz utworzoną aplikację interfejsu API (ciam-ToDoList-api), aby otworzyć stronę Przegląd.

2. W obszarze Zarządzanie wybierz pozycję Uwidaczniaj interfejs API.

3. W górnej części strony obok pozycji Identyfikator URI identyfikatora aplikacji wybierz link Dodaj , aby wygenerować identyfikator URI unikatowy dla tej aplikacji.

4. Zaakceptuj proponowany identyfikator URI identyfikatora aplikacji, taki jak api://{clientId}, i wybierz pozycję Zapisz. Gdy aplikacja internetowa żąda tokenu dostępu dla internetowego interfejsu API, dodaje identyfikator URI jako prefiks dla każdego zakresu zdefiniowanego dla interfejsu API.

5. W obszarze Zakresy zdefiniowane przez ten interfejs API wybierz pozycję Dodaj zakres.

6. Wprowadź następujące wartości, które definiują dostęp do odczytu do interfejsu API, a następnie wybierz pozycję Dodaj zakres , aby zapisać zmiany:

   Właściwości	Wartość
   Nazwa zakresu	ToDoList.Read
   Kto może wyrazić zgodę	Tylko administratorzy
   Zgodę administratora wyświetlana nazwa	Odczytywanie listy zadań do wykonania użytkowników przy użyciu listy "TodoListApi"
   Opis zgody administratora	Zezwól aplikacji na odczytywanie listy zadań do wykonania użytkownika przy użyciu listy "TodoListApi".
   Stan	Włączono

7. Ponownie wybierz pozycję Dodaj zakres i wprowadź następujące wartości, które definiują zakres dostępu do odczytu i zapisu w interfejsie API. Wybierz pozycję Dodaj zakres , aby zapisać zmiany:

   Właściwości	Wartość
   Nazwa zakresu	ToDoList.ReadWrite
   Kto może wyrazić zgodę	Tylko administratorzy
   Zgodę administratora wyświetlana nazwa	Odczytywanie i zapisywanie listy zadań do wykonania użytkowników przy użyciu listy "ToDoListApi"
   Opis zgody administratora	Zezwalaj aplikacji na odczytywanie i zapisywanie listy zadań do wykonania użytkownika przy użyciu listy "ToDoListApi"
   Stan	Włączono

8. W obszarze Zarządzanie wybierz pozycję Manifest , aby otworzyć edytor manifestu interfejsu API.

9. Ustaw accessTokenAcceptedVersion właściwość na 2.

10. Wybierz pozycję Zapisz.

Dowiedz się więcej o zasadzie najniższych uprawnień podczas publikowania uprawnień dla internetowego interfejsu API.

Dodawanie ról aplikacji

Interfejs API musi opublikować co najmniej jedną rolę aplikacji dla aplikacji, nazywanych również uprawnieniem aplikacji, aby aplikacje klienckie uzyskały token dostępu jako siebie. Uprawnienia aplikacji to typ uprawnień, które interfejsy API powinny publikować, gdy chcą umożliwić aplikacjom klienckim pomyślne uwierzytelnienie się jako siebie i nie trzeba logować użytkowników. Aby opublikować uprawnienie aplikacji, wykonaj następujące kroki:

1. Na stronie Rejestracje aplikacji wybierz utworzoną aplikację (np. ciam-ToDoList-api), aby otworzyć stronę Przegląd.

2. W obszarze Zarządzanie wybierz pozycję Role aplikacji.

3. Wybierz pozycję Utwórz rolę aplikacji, a następnie wprowadź następujące wartości, a następnie wybierz pozycję Zastosuj , aby zapisać zmiany:

   Właściwości	Wartość
   Display name	ToDoList.Read.All
   Dozwolone typy składowych	Aplikacje
   Wartość	ToDoList.Read.All
   opis	Zezwalaj aplikacji na odczytywanie listy zadań do wykonania każdego użytkownika przy użyciu listy "TodoListApi"

4. Ponownie wybierz pozycję Utwórz rolę aplikacji, a następnie wprowadź następujące wartości dla drugiej roli aplikacji, a następnie wybierz pozycję Zastosuj , aby zapisać zmiany:

   Właściwości	Wartość
   Display name	ToDoList.ReadWrite.All
   Dozwolone typy składowych	Aplikacje
   Wartość	ToDoList.ReadWrite.All
   opis	Zezwalaj aplikacji na odczytywanie i zapisywanie listy zadań do wykonania każdego użytkownika przy użyciu listy "ToDoListApi"

Aplikacja klasyczna lub mobilna

Rejestrowanie aplikacji klasycznej lub mobilnej

W poniższych krokach pokazano, jak zarejestrować aplikację w centrum administracyjnym firmy Microsoft Entra:

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako deweloper aplikacji.

2. Jeśli masz dostęp do wielu dzierżaw, użyj ikony Ustawienia w górnym menu, aby przełączyć się do dzierżawy zewnętrznej z menu Katalogi i subskrypcje.

3. Przejdź do aplikacji tożsamości>> Rejestracje aplikacji.

4. Wybierz pozycję + Nowa rejestracja.

5. Na wyświetlonej stronie Rejestrowanie aplikacji wprowadź informacje o rejestracji aplikacji:

   1. W sekcji Nazwa wprowadź zrozumiałą nazwę aplikacji wyświetlaną użytkownikom aplikacji, na przykład ciam-client-app.

   2. W obszarze Obsługiwane typy kont wybierz pozycję Konta tylko w tym katalogu organizacyjnym.

   3. W obszarze Identyfikator URI przekierowania (opcjonalnie) wybierz opcję Aplikacje mobilne i klasyczne, a następnie w polu Adres URL wprowadź identyfikator URI z unikatowym schematem. Na przykład identyfikator URI przekierowania aplikacji klasycznej Electron wygląda mniej więcej tak, podczas gdy interfejs użytkownika aplikacji wieloplatformowej platformy .NET (MAUI) wygląda podobnie do http://localhost msal{ClientId}://auth.

6. Wybierz pozycję Zarejestruj.

7. Po zakończeniu rejestracji zostanie wyświetlone okienko Przegląd aplikacji. Zapisz identyfikator katalogu (dzierżawy) i identyfikator aplikacji (klienta) do użycia w kodzie źródłowym aplikacji.

Wyrażanie zgody administratora

Po zarejestrowaniu aplikacji zostanie przypisane uprawnienie User.Read . Jednak ponieważ dzierżawa jest dzierżawą zewnętrzną, użytkownicy sami nie mogą wyrazić zgody na to uprawnienie. Administrator musi wyrazić zgodę na to uprawnienie w imieniu wszystkich użytkowników w dzierżawie:

1. Na stronie Rejestracje aplikacji wybierz utworzoną aplikację (np. ciam-client-app), aby otworzyć stronę Przegląd.

2. W obszarze Zarządzanie wybierz pozycję Uprawnienia interfejsu API.

   1. Wybierz pozycję Udziel zgody administratora dla <swojej nazwy> dzierżawy, a następnie wybierz pozycję Tak.
   2. Wybierz pozycję Odśwież, a następnie sprawdź, czy dla nazwy dzierżawy jest wyświetlana wartość> w <obszarze Stan uprawnienia.

Udzielanie uprawnień interfejsu API (opcjonalnie)

Jeśli aplikacja mobilna musi wywołać interfejs API, musisz udzielić uprawnień interfejsu API aplikacji mobilnej, aby mogła wywołać interfejs API. Musisz również zarejestrować internetowy interfejs API , który należy wywołać.

Aby udzielić aplikacji klienckiej (ciam-client-app) uprawnień interfejsu API, wykonaj następujące kroki:

1. Na stronie Rejestracje aplikacji wybierz utworzoną aplikację (np. ciam-client-app), aby otworzyć stronę Przegląd.

2. W obszarze Zarządzanie wybierz pozycję Uprawnienia interfejsu API.

3. W obszarze Skonfigurowane uprawnienia wybierz pozycję Dodaj uprawnienie.

4. Wybierz kartę Interfejsy API używane przez moją organizację.

5. Na liście interfejsów API wybierz interfejs API, taki jak ciam-ToDoList-api.

6. Wybierz opcję Delegowane uprawnienia .

7. Z listy uprawnień wybierz pozycję ToDoList.Read, ToDoList.ReadWrite (w razie potrzeby użyj pola wyszukiwania).

8. Wybierz przycisk Dodaj uprawnienia. W tym momencie przypisano uprawnienia poprawnie. Jednak ponieważ dzierżawa jest dzierżawą klienta, użytkownicy odbiorcy sami nie mogą wyrazić zgody na te uprawnienia. Aby rozwiązać ten problem, administrator musi wyrazić zgodę na te uprawnienia w imieniu wszystkich użytkowników w dzierżawie:

   1. Wybierz pozycję Udziel zgody administratora dla <swojej nazwy> dzierżawy, a następnie wybierz pozycję Tak.

   2. Wybierz pozycję Odśwież, a następnie sprawdź, czy w obszarze Stan dla obu zakresów jest wyświetlana wartość Przyznane dla <nazwy> dzierżawy.

9. Z listy Skonfigurowane uprawnienia wybierz uprawnienia ToDoList.Read i ToDoList.ReadWrite, pojedynczo, a następnie skopiuj pełny identyfikator URI uprawnienia do późniejszego użycia. Pełny identyfikator URI uprawnień wygląda podobnie do api://{clientId}/{ToDoList.Read} lub api://{clientId}/{ToDoList.ReadWrite}.

Testowanie przepływu użytkownika (opcjonalnie)

Aby przetestować przepływ użytkownika przy użyciu tej rejestracji aplikacji, włącz niejawny przepływ udzielania na potrzeby uwierzytelniania.

Ważne

Niejawny przepływ powinien być używany tylko do celów testowych, a nie do uwierzytelniania użytkowników w aplikacjach produkcyjnych. Po zakończeniu testowania zalecamy jego usunięcie.

Aby włączyć przepływ niejawny, wykonaj następujące kroki:

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako deweloper aplikacji.
2. Jeśli masz dostęp do wielu dzierżaw, użyj ikony Ustawienia w górnym menu, aby przełączyć się do dzierżawy zewnętrznej z menu Katalogi i subskrypcje.
3. Przejdź do aplikacji tożsamości>> Rejestracje aplikacji.
4. Wybierz utworzoną rejestrację aplikacji.
5. W obszarze Zarządzanie wybierz pozycję Uwierzytelnianie.
6. W obszarze Niejawne udzielanie i przepływy hybrydowe zaznacz pole wyboru Tokeny identyfikatorów (używane dla przepływów niejawnych i hybrydowych).
7. Wybierz pozycję Zapisz.

Aplikacja demona

Rejestrowanie aplikacji demona

W poniższych krokach pokazano, jak zarejestrować aplikację demona w centrum administracyjnym firmy Microsoft Entra:

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako deweloper aplikacji.

2. Jeśli masz dostęp do wielu dzierżaw, użyj ikony Ustawienia w górnym menu, aby przełączyć się do dzierżawy zewnętrznej z menu Katalogi i subskrypcje.

3. Przejdź do aplikacji tożsamości>> Rejestracje aplikacji.

4. Wybierz pozycję + Nowa rejestracja.

5. Na wyświetlonej stronie Rejestrowanie aplikacji wprowadź informacje o rejestracji aplikacji:

   1. W sekcji Nazwa wprowadź zrozumiałą nazwę aplikacji, która będzie wyświetlana użytkownikom aplikacji, na przykład ciam-client-app.

   2. W obszarze Obsługiwane typy kont wybierz pozycję Konta tylko w tym katalogu organizacyjnym.

6. Wybierz pozycję Zarejestruj.

7. Po zakończeniu rejestracji zostanie wyświetlone okienko Przegląd aplikacji. Zapisz identyfikator katalogu (dzierżawy) i identyfikator aplikacji (klienta) do użycia w kodzie źródłowym aplikacji.

Udzielanie uprawnień interfejsu API

Aplikacja demona loguje się jako sama przy użyciu przepływu poświadczeń klienta OAuth 2.0. Przyznajesz uprawnienia aplikacji (role aplikacji), które są wymagane przez aplikacje, które uwierzytelniają się jako siebie. Musisz również zarejestrować internetowy interfejs API , który musi wywołać aplikacja demona.

1. Na stronie Rejestracje aplikacji wybierz utworzoną aplikację, na przykład ciam-client-app.

2. W obszarze Zarządzanie wybierz pozycję Uprawnienia interfejsu API.

3. W obszarze Skonfigurowane uprawnienia wybierz pozycję Dodaj uprawnienie.

4. Wybierz kartę Interfejsy API używane przez moją organizację.

5. Na liście interfejsów API wybierz interfejs API, taki jak ciam-ToDoList-api.

6. Wybierz opcję Uprawnienia aplikacji. Wybieramy tę opcję, gdy aplikacja loguje się jako sama, ale nie w imieniu użytkownika.

7. Z listy uprawnień wybierz pozycję TodoList.Read.All, ToDoList.ReadWrite.All (w razie potrzeby użyj pola wyszukiwania).

8. Wybierz przycisk Dodaj uprawnienia.

9. W tym momencie przypisano uprawnienia poprawnie. Jednak ponieważ aplikacja demona nie zezwala użytkownikom na interakcję z nią, sami użytkownicy nie mogą wyrazić zgody na te uprawnienia. Aby rozwiązać ten problem, administrator musi wyrazić zgodę na te uprawnienia w imieniu wszystkich użytkowników w dzierżawie:

   1. Wybierz pozycję Udziel zgody administratora dla <swojej nazwy> dzierżawy, a następnie wybierz pozycję Tak.
   2. Wybierz pozycję Odśwież, a następnie sprawdź, czy w obszarze Stan dla obu uprawnień jest wyświetlana wartość Przyznane dla <nazwy> dzierżawy.

Testowanie przepływu użytkownika (opcjonalnie)

Aby przetestować przepływ użytkownika przy użyciu tej rejestracji aplikacji, włącz niejawny przepływ udzielania na potrzeby uwierzytelniania.

Ważne

Niejawny przepływ powinien być używany tylko do celów testowych, a nie do uwierzytelniania użytkowników w aplikacjach produkcyjnych. Po zakończeniu testowania zalecamy jego usunięcie.

Aby włączyć przepływ niejawny, wykonaj następujące kroki:

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako deweloper aplikacji.
2. Jeśli masz dostęp do wielu dzierżaw, użyj ikony Ustawienia w górnym menu, aby przełączyć się do dzierżawy zewnętrznej z menu Katalogi i subskrypcje.
3. Przejdź do aplikacji tożsamości>> Rejestracje aplikacji.
4. Wybierz utworzoną rejestrację aplikacji.
5. W obszarze Zarządzanie wybierz pozycję Uwierzytelnianie.
6. W obszarze Niejawne udzielanie i przepływy hybrydowe zaznacz pole wyboru Tokeny identyfikatorów (używane dla przepływów niejawnych i hybrydowych).
7. Wybierz pozycję Zapisz.

Interfejs API programu Microsoft Graph

Rejestrowanie aplikacji interfejsu API programu Microsoft Graph

Aby umożliwić aplikacji logowanie użytkowników w usłudze Microsoft Entra, Tożsamość zewnętrzna Microsoft Entra należy pamiętać o tworzonej aplikacji. Rejestracja aplikacji ustanawia relację zaufania między aplikacją a firmą Microsoft Entra. Podczas rejestrowania aplikacji identyfikator zewnętrzny generuje unikatowy identyfikator znany jako identyfikator aplikacji (klienta) — wartość używana do identyfikowania aplikacji podczas tworzenia żądań uwierzytelniania.

W poniższych krokach pokazano, jak zarejestrować aplikację w centrum administracyjnym firmy Microsoft Entra:

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako deweloper aplikacji.

2. Jeśli masz dostęp do wielu dzierżaw, użyj ikony Ustawienia w górnym menu, aby przełączyć się do dzierżawy zewnętrznej z menu Katalogi i subskrypcje.

3. Przejdź do aplikacji tożsamości>> Rejestracje aplikacji.

4. Wybierz pozycję + Nowa rejestracja.

5. Na wyświetlonej stronie Rejestrowanie aplikacji ;

   1. Wprowadź zrozumiałą nazwę aplikacji wyświetlaną użytkownikom aplikacji, na przykład ciam-client-app.
   2. W obszarze Obsługiwane typy kont wybierz pozycję Konta tylko w tym katalogu organizacyjnym.

6. Wybierz pozycję Zarejestruj.

7. Po pomyślnej rejestracji zostanie wyświetlone okienko Przegląd aplikacji. Zarejestruj identyfikator aplikacji (klienta), który ma być używany w kodzie źródłowym aplikacji.

Udzielanie dostępu do interfejsu API aplikacji

Aby aplikacja mogła uzyskiwać dostęp do danych w interfejsie MICROSOFT Graph API, przyznaj zarejestrowanej aplikacji odpowiednie uprawnienia aplikacji. Skuteczne uprawnienia aplikacji to pełny poziom uprawnień implikowany przez uprawnienie. Aby na przykład utworzyć, odczytać, zaktualizować i usunąć każdego użytkownika w dzierżawie zewnętrznej, dodaj uprawnienie User.ReadWrite.All.

1. W obszarze Zarządzanie wybierz pozycję Uprawnienia interfejsu API.

2. W obszarze Skonfigurowane uprawnienia wybierz pozycję Dodaj uprawnienie.

3. Wybierz kartę Interfejsy API firmy Microsoft, a następnie wybierz pozycję Microsoft Graph.

4. Wybierz Uprawnienia aplikacji.

5. Rozwiń odpowiednią grupę uprawnień i zaznacz pole wyboru uprawnienia, aby udzielić aplikacji do zarządzania. Na przykład:

   • User.ReadWrite.All>: w przypadku scenariuszy migracji użytkowników lub zarządzania użytkownikami.

   • Group Group.ReadWrite.All>: tworzenie grup, odczytywanie i aktualizowanie członkostwa w grupach oraz usuwanie grup.

   • AuditLog AuditLog.Read.All>: aby odczytać dzienniki inspekcji katalogu.

   • Policy.ReadWrite.TrustFramework>: w przypadku scenariuszy ciągłej integracji/ciągłego dostarczania (CI/CD). Na przykład wdrożenie zasad niestandardowych za pomocą usługi Azure Pipelines.

6. Wybierz Przyznaj uprawnienia. Zgodnie z zaleceniami poczekaj kilka minut, zanim przejdziesz do następnego kroku.

7. Wybierz pozycję Udziel zgody administratora (nazwa dzierżawy).

8. Jeśli obecnie nie zalogowano się, zaloguj się przy użyciu konta w dzierżawie zewnętrznej, do której przypisano co najmniej rolę Administrator aplikacji w chmurze, a następnie wybierz pozycję Udziel zgody administratora (nazwa dzierżawy).

9. Wybierz pozycję Odśwież, a następnie sprawdź, czy wyrażenie "Przyznane dla ..." pojawi się w obszarze Stan. Propagacja uprawnień może potrwać kilka minut.

Po zarejestrowaniu aplikacji należy dodać klucz tajny klienta do aplikacji. Ten klucz tajny klienta będzie używany do uwierzytelniania aplikacji w celu wywołania interfejsu API programu Microsoft Graph.

Tworzenie wpisu tajnego klienta

Utwórz klucz tajny klienta dla zarejestrowanej aplikacji. Aplikacja używa wpisu tajnego klienta, aby udowodnić swoją tożsamość, gdy żąda tokenów.

1. Na stronie Rejestracje aplikacji wybierz utworzoną aplikację (np. ciam-client-app), aby otworzyć stronę Przegląd.
2. W obszarze Zarządzanie wybierz pozycję Certyfikaty i wpisy tajne.
3. Wybierz Nowy klucz tajny klienta.
4. W polu Opis wprowadź opis wpisu tajnego klienta (na przykład wpis tajny klienta aplikacji ciam).
5. W obszarze Wygasa wybierz czas trwania, dla którego wpis tajny jest prawidłowy (zgodnie z regułami zabezpieczeń organizacji), a następnie wybierz pozycję Dodaj.
6. Zarejestruj wartość wpisu tajnego. Użyjesz tej wartości do konfiguracji w późniejszym kroku. Wartość wpisu tajnego nie zostanie ponownie wyświetlona i nie będzie pobierana w żaden sposób po przejściu z obszaru Certyfikaty i wpisy tajne. Upewnij się, że został on zarejestrowany.

Testowanie przepływu użytkownika (opcjonalnie)

Aby przetestować przepływ użytkownika przy użyciu tej rejestracji aplikacji, włącz niejawny przepływ udzielania na potrzeby uwierzytelniania.

Ważne

Niejawny przepływ powinien być używany tylko do celów testowych, a nie do uwierzytelniania użytkowników w aplikacjach produkcyjnych. Po zakończeniu testowania zalecamy jego usunięcie.

Aby włączyć przepływ niejawny, wykonaj następujące kroki:

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako deweloper aplikacji.
2. Jeśli masz dostęp do wielu dzierżaw, użyj ikony Ustawienia w górnym menu, aby przełączyć się do dzierżawy zewnętrznej z menu Katalogi i subskrypcje.
3. Przejdź do aplikacji tożsamości>> Rejestracje aplikacji.
4. Wybierz utworzoną rejestrację aplikacji.
5. W obszarze Zarządzanie wybierz pozycję Uwierzytelnianie.
6. W obszarze Niejawne udzielanie i przepływy hybrydowe zaznacz pole wyboru Tokeny identyfikatorów (używane dla przepływów niejawnych i hybrydowych).
7. Wybierz pozycję Zapisz.

Uwierzytelnianie natywne

Rejestrowanie natywnej aplikacji uwierzytelniania

Aby umożliwić aplikacji logowanie użytkowników w usłudze Microsoft Entra, Tożsamość zewnętrzna Microsoft Entra należy pamiętać o tworzonej aplikacji. Rejestracja aplikacji ustanawia relację zaufania między aplikacją a firmą Microsoft Entra. Podczas rejestrowania aplikacji identyfikator zewnętrzny generuje unikatowy identyfikator znany jako identyfikator aplikacji (klienta) — wartość używana do identyfikowania aplikacji podczas tworzenia żądań uwierzytelniania.

W poniższych krokach pokazano, jak zarejestrować aplikację w centrum administracyjnym firmy Microsoft Entra:

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako deweloper aplikacji.

2. Jeśli masz dostęp do wielu dzierżaw, użyj ikony Ustawienia w górnym menu, aby przełączyć się do dzierżawy zewnętrznej z menu Katalogi i subskrypcje.

3. Przejdź do aplikacji tożsamości>> Rejestracje aplikacji.

4. Wybierz pozycję + Nowa rejestracja.

5. Na wyświetlonej stronie Rejestrowanie aplikacji ;

   1. Wprowadź zrozumiałą nazwę aplikacji wyświetlaną użytkownikom aplikacji, na przykład ciam-client-app.
   2. W obszarze Obsługiwane typy kont wybierz pozycję Konta tylko w tym katalogu organizacyjnym.

6. Wybierz pozycję Zarejestruj.

7. Po pomyślnej rejestracji zostanie wyświetlone okienko Przegląd aplikacji. Zarejestruj identyfikator aplikacji (klienta), który ma być używany w kodzie źródłowym aplikacji.

Wyrażanie zgody administratora

Po zarejestrowaniu aplikacji zostanie przypisane uprawnienie User.Read . Jednak ponieważ dzierżawa jest dzierżawą zewnętrzną, użytkownicy sami nie mogą wyrazić zgody na to uprawnienie. Administrator musi wyrazić zgodę na to uprawnienie w imieniu wszystkich użytkowników w dzierżawie:

1. Na stronie Rejestracje aplikacji wybierz utworzoną aplikację (np. ciam-client-app), aby otworzyć stronę Przegląd.

2. W obszarze Zarządzanie wybierz pozycję Uprawnienia interfejsu API.

   1. Wybierz pozycję Udziel zgody administratora dla <swojej nazwy> dzierżawy, a następnie wybierz pozycję Tak.
   2. Wybierz pozycję Odśwież, a następnie sprawdź, czy dla nazwy dzierżawy jest wyświetlana wartość> w <obszarze Stan uprawnienia.

Włączanie przepływów uwierzytelniania publicznego klienta i natywnych

Aby określić, że ta aplikacja jest klientem publicznym i może używać uwierzytelniania natywnego, włącz przepływy uwierzytelniania publicznego i natywnego klienta:

1. Na stronie rejestracje aplikacji wybierz rejestrację aplikacji, dla której chcesz włączyć przepływy uwierzytelniania publicznego klienta i natywnego uwierzytelniania.
2. W obszarze Zarządzanie wybierz pozycję Uwierzytelnianie.
3. W obszarze Ustawienia zaawansowane zezwalaj na przepływy klientów publicznych:
   1. W obszarze Włącz następujące przepływy mobilne i klasyczne wybierz pozycję Tak.
   2. W obszarze Włącz uwierzytelnianie natywne wybierz pozycję Tak.
4. Wybierz przycisk Zapisz .

Znajdowanie identyfikatora aplikacji (klienta)

Po zarejestrowaniu nowej aplikacji można znaleźć identyfikator aplikacji (klienta) z przeglądu w centrum administracyjnym firmy Microsoft Entra.

1. Na stronie Rejestracje aplikacji wybierz kartę Wszystkie aplikacje lub Aplikacje należące.

2. Wybierz aplikację, aby otworzyć stronę Przegląd .

3. W obszarze Podstawy znajdziesz wszystkie szczegóły aplikacji, w tym identyfikator aplikacji (klienta).

   

Następne kroki

• Tworzenie przepływu użytkownika rejestracji i logowania