建立 Microsoft Entra 專用網連接器的自動安裝腳本

本文可協助您建立 Windows PowerShell 腳本,以啟用 Microsoft Entra 專用網連接器的自動安裝和註冊。

當您要:

  • 在未啟用使用者介面或無法使用遠端桌面存取的 Windows 伺服器上安裝連接器。
  • 一次安裝並註冊許多連接器。
  • 將連接器安裝和註冊整合為另一個程式的一部分。
  • 建立包含連接器位但未註冊的標準伺服器映像。

若要讓專用網連接器能夠運作,您必須向 Microsoft Entra ID 註冊它。 當您安裝連接器時,會在使用者介面中完成註冊,但您可以使用PowerShell將程式自動化。

自動安裝有兩個步驟。 首先,安裝連接器。 其次,使用 Microsoft Entra ID 註冊連接器。

重要

如果您要安裝 Microsoft Azure Government 雲端的連接器,請檢閱 必要條件安裝步驟。 Microsoft Azure Government 雲端需要啟用對不同 URL 集合的存取權,以及執行安裝的其他參數。

安裝連接器

使用下列步驟來安裝連接器,而不註冊連接器:

  1. 開啟命令提示字元。

  2. 執行下列命令, /q 旗標表示無訊息安裝。 無訊息安裝不會提示您接受使用者許可協定。

    AADApplicationProxyConnectorInstaller.exe REGISTERCONNECTOR="false" /q
    

使用 Microsoft Entra 識別元註冊連接器

有兩種方法可用來註冊連接器:

  • 使用 Windows PowerShell 認證對象註冊連接器。
  • 使用離線建立的令牌註冊連接器。

使用 Windows PowerShell 認證對象註冊連接器

  1. 建立 Windows PowerShell 認證物件 $cred ,其中包含目錄的系統管理使用者名稱和密碼。 執行下列指令,取代 <username><password><tenantid>

    $User = "<username>"
    $PlainPassword = '<password>'
    $TenantId = '<tenantid>'
    $SecurePassword = $PlainPassword | ConvertTo-SecureString -AsPlainText -Force
    $cred = New-Object –TypeName System.Management.Automation.PSCredential –ArgumentList $User, $SecurePassword
    
  2. 使用您所建立的物件,移至 C:\Program Files\Microsoft Azure AD App Proxy Connector 並執行下列文稿 $cred

    .\RegisterConnector.ps1 -modulePath "C:\Program Files\Microsoft AAD App Proxy Connector\Modules\" -moduleName "AppProxyPSModule" -Authenticationmode Credentials -Usercredentials $cred -Feature ApplicationProxy -TenantId $TenantId
    

使用離線建立的令牌註冊連接器

  1. 使用此代碼段或 PowerShell Cmdlet 中的值, AuthenticationContext 使用 類別建立離線令牌:

    使用 C#:

    using System;
    using System.Linq;
    using System.Collections.Generic;
    using Microsoft.Identity.Client;
    
    class Program
    {
       #region constants
       /// <summary>
       /// The AAD authentication endpoint uri
       /// </summary>
       static readonly string AadAuthenticationEndpoint = "https://login.microsoftonline.com/common/oauth2/v2.0/authorize";
    
       /// <summary>
       /// The application ID of the connector in AAD
       /// </summary>
       static readonly string ConnectorAppId = "55747057-9b5d-4bd4-b387-abf52a8bd489";
    
       /// <summary>
       /// The AppIdUri of the registration service in AAD
       /// </summary>
       static readonly string RegistrationServiceAppIdUri = "https://proxy.cloudwebappproxy.net/registerapp/user_impersonation";
    
       #endregion
    
       #region private members
       private string token;
       private string tenantID;
       #endregion
    
       public void GetAuthenticationToken()
       {
          IPublicClientApplication clientApp = PublicClientApplicationBuilder
             .Create(ConnectorAppId)
             .WithDefaultRedirectUri() // will automatically use the default Uri for native app
             .WithAuthority(AadAuthenticationEndpoint)
             .Build();
    
          AuthenticationResult authResult = null;
    
          IAccount account = null;
    
          IEnumerable<string> scopes = new string[] { RegistrationServiceAppIdUri };
    
          try
          {
          authResult = await clientApp.AcquireTokenSilent(scopes, account).ExecuteAsync();
          }
          catch (MsalUiRequiredException ex)
          {
          authResult = await clientApp.AcquireTokenInteractive(scopes).ExecuteAsync();
          }
    
          if (authResult == null || string.IsNullOrEmpty(authResult.AccessToken) || string.IsNullOrEmpty(authResult.TenantId))
          {
          Trace.TraceError("Authentication result, token or tenant id returned are null");
          throw new InvalidOperationException("Authentication result, token or tenant id returned are null");
          }
    
          token = authResult.AccessToken;
          tenantID = authResult.TenantId;
       }
    }
    

    使用 PowerShell

    # Load MSAL (Tested with version 4.7.1) 
    
    Add-Type -Path "..\MSAL\Microsoft.Identity.Client.dll"
    
    # The AAD authentication endpoint uri
    
    $authority = "https://login.microsoftonline.com/common/oauth2/v2.0/authorize"
    
    #The application ID of the connector in AAD
    
    $connectorAppId = "55747057-9b5d-4bd4-b387-abf52a8bd489";
    
    #The AppIdUri of the registration service in AAD
    $registrationServiceAppIdUri = "https://proxy.cloudwebappproxy.net/registerapp/user_impersonation"
    
    # Define the resources and scopes you want to call
    
    $scopes = New-Object System.Collections.ObjectModel.Collection["string"] 
    
    $scopes.Add($registrationServiceAppIdUri)
    
    $app = [Microsoft.Identity.Client.PublicClientApplicationBuilder]::Create($connectorAppId).WithAuthority($authority).WithDefaultRedirectUri().Build()
    
    [Microsoft.Identity.Client.IAccount] $account = $null
    
    # Acquiring the token
    
    $authResult = $null
    
    $authResult = $app.AcquireTokenInteractive($scopes).WithAccount($account).ExecuteAsync().ConfigureAwait($false).GetAwaiter().GetResult()
    
    # Check AuthN result
    If (($authResult) -and ($authResult.AccessToken) -and ($authResult.TenantId)) {
    
       $token = $authResult.AccessToken
       $tenantId = $authResult.TenantId
    
       Write-Output "Success: Authentication result returned."
    }
    Else {
    
       Write-Output "Error: Authentication result, token or tenant id returned with null."
    
    } 
    
  2. 擁有權杖之後,請使用權杖建立 SecureString

    $SecureToken = $Token | ConvertTo-SecureString -AsPlainText -Force
    
  3. 執行下列 Windows PowerShell 命令,並將 取代 <tenant GUID> 為您的目錄識別碼:

    .\RegisterConnector.ps1 -modulePath "C:\Program Files\Microsoft AAD App Proxy Connector\Modules\" -moduleName "AppProxyPSModule" -Authenticationmode Token -Token $SecureToken -TenantId <tenant GUID> -Feature ApplicationProxy
    

下一步