Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
In diesem Artikel erfahren Sie, wie Sie delegierten Zugriff mit dem powerShell-Modul Microsoft Entra verwenden. Mit delegiertem Zugriff kann eine Anwendung Aktionen im Namen eines Benutzers ausführen, der derzeit angemeldet ist.
Dieses Szenario eignet sich ideal für einmalige Verwaltungsaufgaben und Umgebungen, die eine manuelle Anmeldung erfordern, z. B. für die mehrstufige Authentifizierung (Multifactor Authentication, MFA). Außerdem ist es einfacher, Skripts zu testen, zu lernen und Aufgaben spontan zu verwalten, ohne dass Dienstprinzipale oder andere Nur-App-Authentifizierungsmethoden eingerichtet werden müssen, die keine Benutzerinteraktion erfordern.
Während die delegierte Zugriffsmethode der Authentifizierung die empfohlene Anmeldemethode ist, können Sie auch andere interaktive Authentifizierungsmethoden verwenden, z. B.:
- Autorisierungscodeflow
- Gerätecodefluss
- Zugriffstoken
In diesem Artikel erfahren Sie, wie Sie sich bei Microsoft Entra PowerShell anmelden können, um Ihre Microsoft Entra Ressourcen zu verwalten.
Voraussetzungen
Um eine Verbindung mit Microsoft Entra PowerShell mit delegiertem Zugriff herzustellen, benötigen Sie Folgendes:
- Ein Microsoft Entra ID Konto. Wenn Sie noch kein Konto besitzen, können Sie kostenlos ein Konto erstellen.
- Eine der folgenden Rollen:
- Microsoft Entra PowerShell-Modul installiert. Folgen Sie dem Installationshandbuch , um das Modul zu installieren.
Verwenden des delegierten Zugriffs mit einer benutzerdefinierten Anwendung (empfohlen)
In diesem Abschnitt erfahren Sie, wie Sie delegierten Zugriff mit einer benutzerdefinierten Anwendung verwenden, um eine Verbindung mit dem Modul herzustellen. Sie können die benutzerdefinierte Anwendung auf Ihre spezifischen Anforderungen anpassen, um die Berechtigungen zu isolieren und einzuschränken, die für die Verwendung des Moduls gewährt werden.
Führen Sie den folgenden Befehl aus, um eine Verbindung mit dem Modul mit delegiertem Zugriff mithilfe einer benutzerdefinierten Anwendung herzustellen. Sie müssen sich mit mindestens einer Cloudanwendungsadministratorrolle anmelden.
Connect-Entra -Scopes 'User.Read.All', 'Group.ReadWrite.All' -ClientId <your-custom-app-id>
Um den Wert -ClientId zu erhalten, der im Beispiel als your-custom-app-id bezeichnet wird, folgen Sie den Schritten im Leitfaden Erstellen einer benutzerdefinierten Anwendung.
Andere Anmeldemethoden
In diesem Abschnitt erfahren Sie, wie Sie andere Anmeldemethoden verwenden, um eine Verbindung mit Microsoft Entra PowerShell herzustellen.
Verwenden Sie den Autorisierungscode-Flow
Die Standardauthentifizierungsmethode für die Anmeldung des Moduls verwendet einen Webbrowser und ein Zugriffstoken für die Anmeldung. Um sich interaktiv anzumelden, verwenden Sie das Cmdlet Connect-Entra , das standardmäßig eine interaktive browserbasierte Anmeldeaufforderung verwendet.
Connect-Entra
Er öffnet Ihren Standardbrowser und initiiert den Autorisierungscodefluss, um Microsoft Entra Anmeldeseite zu laden.
Um beispielsweise die Details eines Benutzers abzurufen, fügen Sie den -Scopes Parameter hinzu, um eine Liste der erforderlichen Berechtigungen anzuzeigen.
Connect-Entra -Scopes 'User.Read.All', 'Group.ReadWrite.All'
Verwenden der Gerätecodeflussauthentifizierungsmethode
Der Gerätecodefluss weist Sie an, eine Browserseite bei microsoft.com/devicelogin zu öffnen und den code einzugeben, der in Ihrer PowerShell-Sitzung angezeigt wird.
Connect-Entra -Scopes 'User.Read.All', 'Group.ReadWrite.All' -UseDeviceCode
Verwenden Sie Ihr Zugriffstoken
Im nächsten Beispiel wird davon ausgegangen, dass Sie bereits über ein Zugriffstoken verfügen. Siehe So erhalten Sie ein Zugriffstoken vom Tokenendpunkt.
$accessToken = '{my-securely-acquired-token}'
$secureString = ConvertTo-SecureString -String $accessToken -AsPlainText -Force
Connect-Entra -AccessToken $secureString
Verwenden der kennwortlosen Authentifizierung
Die kennwortlose Authentifizierung ist eine Methode zum Überprüfen der Identität eines Benutzers ohne Die Verwendung eines Kennworts. Kennwörter sind ein primärer Angriffsvektor und eine kennwortlose Authentifizierung ist eine Strategie zur Verringerung von Angriffen, bei denen schlechte Akteure Social Engineering, Phishing und Sprayangriffe verwenden, um Kennwörter zu kompromittieren.
Microsoft Entra PowerShell unterstützt die folgenden kennwortlosen Authentifizierungsmethoden:
- Windows Hello für Unternehmen
- Fast ID Online v2.0 (FIDO2)
- Microsoft Authenticator-App
- Zertifikatbasierte Authentifizierung (CBA)
Hinweis
Die Option "FIDO2-Sicherheitsschlüssel" wird nur in PowerShell 7 und höher unterstützt.
Weitere Informationen finden Sie unter Kennwortlose Authentifizierungsoptionen für Microsoft Entra ID.
Häufig auftretende Fehler und Problembehandlungstipps
Häufige Authentifizierungsfehler sind:
- "Unzureichende Berechtigungen zum Abschließen des Vorgangs" – Der Fehler tritt auf, wenn Ihre Anmeldeinformationen falsch sind oder Sie nicht über die erforderlichen Berechtigungen für den Zugriff auf die Microsoft Entra Ressource verfügen.
- "Der Begriff 'Cmdlet-Name' wird nicht als Name eines Cmdlets erkannt" – Der Fehler gibt an, dass das Microsoft Entra PowerShell-Modul nicht installiert oder geladen ist. Stellen Sie sicher, dass Sie das richtige Modul für das Cmdlet installieren und laden, das Sie verwenden möchten.
Eine ausführliche Anleitung zur Problembehandlung häufiger Fehler finden Sie im Handbuch zur Problembehandlung.