Crearea unei aplicații de entitate principală de serviciu folosind PowerShell

Autentificarea prin nume de utilizator și parolă nu este adesea ideală, mai ales odată cu creșterea autentificării multifactoriale. În astfel de cazuri, este preferată autentificarea principalului de serviciu (sau fluxul de acreditări ale clientului). Acest lucru se poate face atât prin înregistrarea unei noi aplicații principale de serviciu în propriul Microsoft Entra chiriaș, cât și prin înregistrarea aceleiași aplicații cu Power Platform.

Înregistrarea unei aplicații de administrare a administratorului

Mai întâi, aplicația client trebuie să fie înregistrată în Microsoft Entra chiriașul dvs. Pentru a efectua această configurare, consultați articolul Authentificare pentru API-uri Power Platform deoarece aceeași configurare a aplicației este necesară pentru PowerShell.

După ce aplicația dvs. client este înregistrată în Microsoft Entra ID, trebuie să fie înregistrată și cu aceasta Microsoft Power Platform. Astăzi, nu există nicio modalitate de a face acest lucru prin intermediul centrului de administrator Power Platform; trebuie făcut programatic prin API Power Platform sau PowerShell pentru administratori Power Platform. O entitate principală de serviciu nu se poate înregistra singură – prin concepție, aplicația trebuie să fie înregistrată de un context de nume de utilizator și parolă de administrator. Acest lucru asigură că aplicația este creată de cineva care este administrator pentru chiriaș.

Pentru a înregistra o nouă aplicație de gestionare, utilizați următorul script:

$appId = "CLIENT_ID_FROM_AZURE_APP"

# Login interactively with a tenant administrator for Power Platform
Add-PowerAppsAccount -Endpoint prod -TenantID $tenantId 

# Register a new application, this gives the SPN / client application same permissions as a tenant admin
New-PowerAppManagementApp -ApplicationId $appId

Faceți cereri ca director al serviciului

Acum că a fost înregistrat la Microsoft Power Platform, vă puteți autentifica ca principalul serviciu în sine. Utilizați următorul script pentru a interoga lista de mediu:

$appId = "CLIENT_ID_FROM_AZURE_APP"
$secret = "SECRET_FROM_AZURE_APP"
$tenantId = "TENANT_ID_FROM_AZURE_APP"

Add-PowerAppsAccount -Endpoint prod -TenantID $tenantId -ApplicationId $appId -ClientSecret $secret -Verbose
Get-AdminPowerAppEnvironment

Limitări ale directorilor de servicii

În prezent, autentificarea principală a serviciului funcționează pentru gestionarea mediului, setările entității găzduite și management Power Apps. Cmdleturile legate de Flow sunt acceptate pentru autentificarea principalului de serviciu în situațiile în care nu este necesară o licență, deoarece nu este posibilă alocarea de licențe identităților principale de serviciu în Microsoft Entra ID.

Aplicațiile principale ale serviciului sunt tratate în Power Platform la fel cum sunt utilizatorii obișnuiți cu rolul Power Platform administrator atribuit. Rolurile și permisiunile granulare nu pot fi atribuite pentru a le limita capacitățile. Aplicația nu primește niciun rol special atribuit în Microsoft Entra ID, deoarece astfel tratează serviciile platformei cererile făcute de directorii de servicii.