Microsoft Graph APIGraph API ile Multi AdminYönetici Approval'ı kullanın

Multi AdminYönetici Approval (MAAMAA), Microsoft Graph APIGraph API aracılığıyla yapılan uygulama kimliği doğrulanmış (app-auth) API çağrılarında onay iş akışlarını uygular. Kuruluşunuz Intune kaynaklarını yönetmek için hizmet sorumluları, otomasyon betikleri veya üçüncü taraf uygulamaları kullanıyorsa, hedef kaynak bir erişim ilkesi tarafından korunduğunda bu çağrılar MAA tarafından kesilir.

Bu makalede, MAA onayı iş akışıyla çalışmak için otomasyonunuzun nasıl güncelleştirileceği ve bir kod değişikliğinin hemen mümkün olmadığı durumlarda belirli uygulamaların zorlama dışında tutulacağı açıklanmaktadır.

Önemli

MAAMAA, her kiracı için iş yükü başına opt-in'dir. Bu zorlama yalnızca MAAMAA erişim ilkeleri yapılandırılmış kiracılar için geçerlidir. Otomatik olarak MAA etkinleştirmez veya hangi kiracıların MAA değiştireceğini değiştirmez. Erişim ilkelerini yapılandırma hakkında daha fazla bilgi için bkz. Çoklu yönetici onayı gerektirmek için erişim ilkelerini kullanma.

App-auth çağrıları için ne değişir?

Önceden, yalnızca etkileşimli (temsilcili) yönetici eylemleri MAAMAA onay iş akışlarına tabiydi. Bu değişiklikle, yalnızca uygulama belirteçlerini kullanan otomatik ve betikli çağrılar, hedef kaynak bir erişim ilkesi tarafından korunduğunda MAA tarafından da kesilir.

Uygulamanız app-auth kullanarak MAA korumalı kaynaklara API çağrıları yaparsa ve gerekli onay üst bilgilerini içermiyorsa, çağrı bir HTTP 400 hatası döndürür. Yanıt gövdesi, işlemin Multi AdminYönetici Approval gerektirdiğini belirtir.

Etkilenen kaynak türleri

MAAMAA erişim ilkeleri aşağıdaki kaynak türlerini koruyabilir. App-auth çağrılarınız bu kaynaklardan herhangi birini hedefliyorsa ve bir erişim ilkesi etkinse, otomasyonunuz etkilenir:

Uygulamalar
Uyumluluk ilkeleri
Yapılandırma ilkeleri
Cihaz eylemleri
Rol tabanlı erişim denetimi
Komut Dosyaları
Kiracı Yapılandırması

MAAMAA yalnızca korunan kaynakları (POST, PATCH, PUT, DELETE) değiştiren işlemler için geçerlidir. Salt okunur işlemler (GET) etkilenmez.

Önkoşullar

Uygulamanızın yönettiği Intune kaynaklar için gerekli Microsoft Graph uygulama izinlerine sahip bir uygulama kaydı (örneğin, DeviceManagementApps.ReadWrite.All).
MAA ilgili iş yükleri için yapılandırılmış erişim ilkeleridir. Daha fazla bilgi için bkz: Erişim ilkesi oluşturma.
Erişim ilkesi için onaylayıcı grubunun üyesi olan ayrı bir yönetici hesabı. Uygulamalar MAAMAA isteklerini onaylayamaz veya reddedemez — yalnızca etkileşimli yönetici hesapları istekleri onaylayabilir.

1. Adım: Gerekçe üst bilgisiyle bir istek gönderin

TMAAMAA etkinleştirildiğinde, isteğinize bir gerekçelendirme başlığı ekleyin. Üst x-msft-approval-justification bilgi değeri Base64 ile kodlanmış olmalıdır.

Aşağıdaki örnek, IntuneIntune'de bir PowerShell betik kaynağı oluşturur ve gerekli justification üst bilgisini içerir:

POST https://graph.microsoft.com/beta/deviceManagement/deviceManagementScripts
Content-Type: application/json
x-msft-approval-justification: YXBwIG9ubHkgdGVzdA==

{
  "displayName": "My Test Script",
  "description": "Testing MAA with app-only token",
  "scriptContent": "V3JpdGUtT3V0cHV0ICJIZWxsbyBXb3JsZCI=",
  "runAsAccount": "system",
  "fileName": "TestScript.ps1",
  "roleScopeTagIds": ["0"]
}

İpucu

Değer x-msft-approval-justification Base64 ile kodlanmıştır. Örneğin, YXBwIG9ubHkgdGVzdA== kodunu çözer app only test. Göndermeden önce kendi gerekçelendirme dizenizi kodlayın.

Gerekçe üst bilgisi olmadığında istek, üst bilginin gerekli olduğunu x-msft-approval-justification belirten bir hatayla başarısız olur.

2. Adım: Onay yanıtını işleme

İstek, dış Microsoft Graph hata koduyla BadRequestbir HTTP 412 (Precondition Failed) döndürür. Bu yanıt beklenen bir durumdur ve bir izin sorunu olduğunu göstermez; MAA, isteğin alındığını ve şimdi onay için beklediğini bu şekilde gösterir. Onay gerektiren ayrıntılar hata iletisinin içine yerleştirilmiştir.

Yanıt, kalan adımlar için ihtiyacınız olan bir x-msft-approval-code üst bilgi içerir. Bu üst bilginin HTTP 412 ile birlikte bulunmasını, MAA isteği kabul ettiğini ve bir onay isteği oluşturduğunu gösteren sinyal olarak kullanın.

Örnek yanıt:

HTTP/1.1 412 Precondition Failed
x-msft-approval-code: aabb1234-5678-9012-abcd-ef0123456789
Content-Type: application/json

{
  "error": {
    "code": "BadRequest",
    "message": "{\r\n  \"_version\": 3,\r\n  \"Message\": \"Approval Required. Request Approval using the request ID returned as part of the x-msft-approval-code response header. x-msft-approval-code: aabb1234-5678-9012-abcd-ef0123456789 - Operation ID (for customer support): 00000000-0000-0000-0000-000000000000 - Activity ID: <activity-id> - Url: <service-url>\",\r\n  \"CustomApiErrorPhrase\": \"\",\r\n  \"RetryAfter\": null,\r\n  \"ErrorSourceService\": \"\",\r\n  \"HttpHeaders\": \"{\\\"x-msft-approval-code\\\":\\\"aabb1234-5678-9012-abcd-ef0123456789\\\"}\"\r\n}"
  }
}

Yanıttan değeri ayıklayın x-msft-approval-code . Özgün HTTP yöntemini, URL'yi ve istek gövdesini bu değerle kaydedin, çünkü onaylandıktan sonra aynı isteği 4. adımda yeniden göndermeniz gerekir.

3. Adım: Onay için bekleyin

Bu noktada, onay isteğinin Microsoft Intune Microsoft Intune yönetim merkezinde başka bir yönetici tarafından gözden geçirilmesi ve onaylanması gerekir. Uygulamalar MAAMAA isteklerini onaylayamaz veya reddedemez — yalnızca etkileşimli yönetici hesapları bunları onaylayabilir.

Onay kodunu kullanarak onay isteği durumunu istediğiniz zaman sorgulayabilirsiniz:

GET https://graph.microsoft.com/beta/deviceManagement/operationApprovalRequests?$filter=requestId eq 'aabb1234-5678-9012-abcd-ef0123456789'

Alan status , isteğin geçerli durumunu gösterir. Ortak değerler arasında needsApproval, approved, rejected, ve cancelledbulunur. Devam etmeden önce durum değeri değişene approved kadar bekleyin.

4. Adım: Onay koduyla yeniden gönderin

İstek onaylandıktan sonra, özgün isteği yeniden gönderin. İki yana yaslama üst bilgisini üst bilgiyle x-msft-approval-code değiştirin ve 2. Adımdaki onay kodunu kullanın:

POST https://graph.microsoft.com/beta/deviceManagement/deviceManagementScripts
Content-Type: application/json
x-msft-approval-code: aabb1234-5678-9012-abcd-ef0123456789

{
  "displayName": "My Test Script",
  "description": "Testing MAA with app-only token",
  "scriptContent": "V3JpdGUtT3V0cHV0ICJIZWxsbyBXb3JsZCI=",
  "runAsAccount": "system",
  "fileName": "TestScript.ps1",
  "roleScopeTagIds": ["0"]
}

İstek başarıyla tamamlanır ve kaynak oluşturulur.

Bir uygulamayı MAAMAA zorlamasının dışında tutma

Uygulamanızı onay iş akışını içerecek şekilde hemen güncelleştiremiyorsanız, erişim ilkesinde MAA zorlamasının dışında tutabilirsiniz. Bir dışlamayı yapılandırmak için, uygulamanızın çağırdığı iş yükünün erişim ilkesini düzenleyin ve uygulamayı Dışlamalar sekmesine ekleyin. Dışlamanın yürürlüğe girmesi için ikinci bir yöneticinin değişikliği onaylaması gerekir.

Dışlamalar yalnızca dışlanan hizmet sorumlusu tarafından yapılan app-auth (uygulama kimliği doğrulanmış) çağrıları için geçerlidir. Aynı korumalı kaynaklardaki etkileşimli (temsilcili) yönetici eylemleri hala MAAMAA onayı gerektirir.

Kapsam, sınırlar ve güvenlikle ilgili hususlar dahil olmak üzere istisnalar hakkında daha fazla bilgi için bkz: Erişim ilkesi oluşturma.

İzleme MAAMAA activity for app-auth calls

MAAMAA ile ilgili olaylar — onaylama, engelleme, geçme, dışlama ekleme ve dışlama kaldırma dahil — mevcut IntuneIntune denetim günlüğüne kaydedilir. Hangi uygulama kimlik doğrulama çağrılarının MAAMAA üzerinden geçtiğini ve bunların nasıl ele alındığını görmek için standart denetim günlüğünü ve Graph APIGraph API dışa aktarımını kullanın.

Sık sorulan sorular

Otomasyon komut dosyalarım neden başarısız oluyor?

Otomasyonunuz Microsoft Graph'ı çağırıyorsa ve bir MAAMAA erişim ilkesi tarafından korunan kaynakları hedefliyorsa, betiğin temsili veya yalnızca uygulama kimlik doğrulaması kullanıp kullanmadığına bakılmaksızın bu çağrılar MAAMAA onay iş akışı tarafından kesilir. Betiklerinizi, bu makalede açıklanan gerekçelendirme ve onay üst bilgilerini içerecek şekilde güncelleştirin. Betiğiniz yalnızca uygulama belirteçleri (istemci kimlik bilgileri akışı) kullanıyorsa, uygulamayı erişim ilkesinin dışında da tutabilirsiniz .

TMAAMAA salt okunur API çağrılarını etkiler mi?

Hayır. MAAMAA yalnızca korunan kaynakları (POST, PATCH, PUT, DELETE) değiştiren işlemler için geçerlidir. GET istekleri etkilenmez.

Bir uygulama kendi MAAMAA isteklerini onaylayabilir mi?

Hayır. Uygulamalar, MAAMAA isteklerini onaylayamaz veya reddedemez. Onaylayan grubunun üyesi olan ayrı bir etkileşimli yönetici hesabının, Microsoft IntuneMicrosoft Intune yönetim merkezinde isteği onaylaması gerekir.

Nasıl yaparım? kiracımda MAA etkinleştirilip etkinleştirilmediğini kontrol ederim?

Microsoft Intune yönetim merkezinde Kiracı yönetimi>Çoklu Yönetici Onayı Erişim>ilkeleri'ne gidin. Listelenen etkin erişim ilkeleri varsa, bu iş yükleri için MAA etkinleştirilir.

Yaptırımı durdurmak için MAAMAA özelliğini kapatabilir miyim?

MAAMAA erişim ilkeleri, uygun izinlere sahip yöneticiler tarafından yönetilebilir. Bununla birlikte, Microsoft en iyi güvenlik uygulaması olarak MAA etkin tutulmasını kesinlikle önerir.

Geri Bildirim

Bu sayfayı yararlı buldunuz mu?

Son güncelleştirme: 2026-08-12