Criação de um aplicativo de entidade de serviço usando API (versão preliminar)

[Este artigo faz parte da documentação de pré-lançamento e está sujeito a alterações.]

A autenticação por meio de nome de usuário e senha geralmente não é ideal, especialmente com o aumento da autenticação multifator. Nesses casos, a autenticação da entidade de serviço (ou fluxo de credenciais de cliente) é preferencial. Isso pode ser feito registrando um novo aplicativo principal de serviço em seu próprio locatário do Microsoft Entra e registrando o mesmo aplicativo com o Power Platform.

Registro de um aplicativo de gerenciamento de administrador

Primeiro, o aplicativo cliente precisa ser registrado em seu locatário do Microsoft Entra. Para configurar isso, revise o artigo Autenticação para APIS do Power Platform.

Depois que seu aplicativo cliente for registrado no Microsoft Entra ID, ele também precisará ser registrado no Microsoft Power Platform. Hoje, não há como fazer isso por meio do centro de administração do Power Platform; deve ser feito programaticamente por meio da API do Power Platform ou do PowerShell para administradores do Power Platform. Uma entidade de serviço não pode se registrar – por design, o aplicativo deve ser registrado por um contexto de nome de usuário e senha do administrador. Isso garante que o aplicativo seja criado por alguém que é um administrador para o locatário.

Para registrar um novo aplicativo de gerenciamento, use a seguinte Solicitação com um token de portador obtido usando a autenticação de nome de usuário e senha:

Authorization: Bearer eyJ0eXAiOi...
Host: api.bap.microsoft.com
Accept: application/json
PUT https://api.bap.microsoft.com/providers/Microsoft.BusinessAppPlatform/adminApplications/{CLIENT_ID_FROM_AZURE_APP}?api-version=2020-10-01

Fazer solicitações como a entidade de serviço

Agora que ele foi registrado no Microsoft Power Platform, você poderá se autenticar como a própria entidade de serviço. Use a seguinte solicitação para consultar sua lista de aplicativos de gerenciamento. Isso pode usar um token de portador obtido usando o fluxo de autenticação de credencial do cliente:

Authorization: Bearer eyJ0eXAiOi...
Host: api.bap.microsoft.com
Accept: application/json
GET https://api.bap.microsoft.com/providers/Microsoft.BusinessAppPlatform/adminApplications?api-version=2020-10-01

Limitações de entidades de serviço

Atualmente, a autenticação de entidade de serviço funciona para gerenciamento de ambiente, configurações de locatário e gerenciamento do Power Apps. As APIs relacionadas ao Flow são compatíveis com a autenticação de entidade de serviço em situações em que uma licença não é necessária, pois não é possível atribuir licenças a identidades de entidade de serviço no Microsoft Entra ID.

Os aplicativos da entidade de serviço são tratados no Power Platform semelhante à forma como os usuários normais são com a função Administrador do Power Platform atribuída. Funções e permissões granulares não podem ser atribuídas para limitar seus recursos. O aplicativo não recebe nenhuma função especial atribuída no Microsoft Entra ID, pois é assim que os serviços da plataforma tratam as solicitações feitas pelas entidades de serviço.