Kreiranje aplikacije principala usluge pomoću PowerShell skripte

Potvrda identiteta putem korisničkog imena i lozinke često nije idealna, posebno sa porastom višefaktorske potvrde identiteta. U takvim slučajevima je poželjna potvrda identiteta principala usluge (ili protoka akreditiva klijenta). To se može uraditi tako što ćete i registrovati novu aplikaciju za glavnu uslugu u svom Microsoft Entra stanaru, a zatim registrovati tu istu aplikaciju sa Power Platform.

Registrovanje administratorske aplikacije za upravljanje

Prvo, aplikacija klijenta mora biti registrovana u vašem Microsoft Entra stanaru. Da biste ovo postavili, pregledajte članak Potvrda identiteta za Power Platform API-je jer je za PowerShell potrebno isto podešavanje aplikacije.

Nakon što je vaša aplikacija klijenta registrovana u ID-u Microsoft Entra , takođe treba da bude registrovana Microsoft Power Platform. Danas to ne možete da uradite putem Power Platform centra administracije; to se mora uraditi programski putem preko Power Platform API-ja ili PowerShell skripte za Power Platform administratore. Principal usluge ne može se sam registrovati – standardno, aplikacija mora biti registrovana u kontekstu korisničkog imena i lozinke administratora. Ovo osigurava da je aplikacija kreirana od strane nekoga ko je administrator za stanara.

Da biste registrovali novu aplikaciju za upravljanje, koristite sledeću skriptu:

$appId = "CLIENT_ID_FROM_AZURE_APP"

# Login interactively with a tenant administrator for Power Platform
Add-PowerAppsAccount -Endpoint prod -TenantID $tenantId 

# Register a new application, this gives the SPN / client application same permissions as a tenant admin
New-PowerAppManagementApp -ApplicationId $appId

Podnosite zahteve kao principal usluge

Sada kada je registrovan u Microsoft Power Platform, možete se potvrditi kao sam principal usluge. Koristite sledeću skriptu da biste izvršili upit nad listom okruženja:

$appId = "CLIENT_ID_FROM_AZURE_APP"
$secret = "SECRET_FROM_AZURE_APP"
$tenantId = "TENANT_ID_FROM_AZURE_APP"

Add-PowerAppsAccount -Endpoint prod -TenantID $tenantId -ApplicationId $appId -ClientSecret $secret -Verbose
Get-AdminPowerAppEnvironment

Ograničenja principala usluga

Trenutno potvrda identiteta preko principa usluge radi za upravljanje okruženjem, postavke zakupaca i Power Apps upravljanje. Cmdleti koji se odnose na Flow su podržani za proveru identiteta glavnog servisa u situacijama kada nije potrebna licenca, jer nije moguće dodeliti licence za identitete glavnog servisa u ID-u Microsoft Entra .

Glavne aplikacije servisa se tretiraju slično Power Platform kao što su normalni korisnici sa dodeljenom ulogom Power Platform administratora. Granularne uloge i dozvole ne mogu se dodeliti da bi se ograničile njihove mogućnosti. Aplikacija ne dobija nikakvu posebnu ulogu dodeljenu u ID-u Microsoft Entra , jer ovako usluge platforme tretiraju zahteve koje su postavili principi usluga.