Vytváranie aplikácie objektu služby pomocou PowerShell

Overovanie pomocou používateľského mena a hesla často nie je ideálne, najmä s nárastom viacfaktorového overovania. V takýchto prípadoch sa uprednostňuje overovanie objektom služby (alebo postupom poverení klienta). Môžete to urobiť tak, že zaregistrujete novú hlavnú aplikáciu služby vo svojom vlastnom Microsoft Entra nájomníkovi a potom zaregistrujete tú istú aplikáciu Power Platform.

Registrácia aplikácie na správu správcu

Najprv musí byť klientska aplikácia zaregistrovaná u vášho Microsoft Entra nájomníka. Toto nastavenie je popísané v článku Overenie pre API Power Platform, pretože pre PowerShell sa vyžaduje rovnaké nastavenie aplikácie.

Keď je vaša klientska aplikácia zaregistrovaná v Microsoft Entra ID, musí byť zaregistrovaná aj u Microsoft Power Platform. Dnes neexistuje spôsob, ako to urobiť prostredníctvom centra spravovania Power Platform; musí sa to robiť programovo cez API Power Platform alebo PowerShell pre správcov Power Platform. Objekt služby sa nemôže sám zaregistrovať – zámerne musí byť aplikácia zaregistrovaná v kontexte používateľského mena a hesla správcu. Tým sa zabezpečí, že aplikáciu vytvorí niekto, kto je správcom nájomníka.

Na registráciu novej aplikácie na správu použite nasledujúci skript:

$appId = "CLIENT_ID_FROM_AZURE_APP"

# Login interactively with a tenant administrator for Power Platform
Add-PowerAppsAccount -Endpoint prod -TenantID $tenantId 

# Register a new application, this gives the SPN / client application same permissions as a tenant admin
New-PowerAppManagementApp -ApplicationId $appId

Zadajte požiadavky ako objekt služby

Teraz, keď bol zaregistrovaný v Microsoft Power Platform, môžete sa overiť ako samotný objekt služby. Pomocou nasledujúceho skriptu môžete požiadať o zoznam vašich prostredí:

$appId = "CLIENT_ID_FROM_AZURE_APP"
$secret = "SECRET_FROM_AZURE_APP"
$tenantId = "TENANT_ID_FROM_AZURE_APP"

Add-PowerAppsAccount -Endpoint prod -TenantID $tenantId -ApplicationId $appId -ClientSecret $secret -Verbose
Get-AdminPowerAppEnvironment

Obmedzenia objektov služby

V súčasnosti funguje overenie objektu služby pre správu prostredia, nastavenia nájomníkov a správu Power Apps. Rutinné rutiny súvisiace s Flow sú podporované na overenie princípu služby v situáciách, keď sa licencia nevyžaduje, pretože nie je možné priradiť licencie k identitám hlavného objektu v Microsoft Entra ID.

S hlavnými aplikáciami služby sa zaobchádza Power Platform podobne ako s bežnými používateľmi s priradenou rolou Power Platform Správca. Nie je možné priradiť podrobné roly a povolenia, aby sa obmedzili ich možnosti. Aplikácii sa v Microsoft Entra ID nepriraďuje žiadna špeciálna rola, pretože služby platformy takto zaobchádzajú s požiadavkami zo strany principálov služieb.