Inscrire les autorisations d’application

S’applique à : Développeur

Enregistrez les autorisations d’application de type conteneur avant que votre application SharePoint Embedded ne crée des conteneurs ou accède au contenu d’un client consommateur.

Terminez d’abord créer et configurer un type de conteneur afin de disposer d’un ID de type de conteneur et de l’application propriétaire.

Pourquoi l’inscription est-elle nécessaire ?

Une application SharePoint Embedded ne peut pas interagir avec les conteneurs d’un client consommateur tant que le type de conteneur n’est pas inscrit dans ce client.

Contrôles d’enregistrement :

• Les ID d’application qui peuvent accéder au type de conteneur.
• Les autorisations déléguées dont dispose chaque application.
• Les autorisations d’application uniquement dont dispose chaque application.
• Indique si les applications invitées peuvent interagir avec les conteneurs de l’application propriétaire.

Si l’inscription est manquante ou incomplète, les appels ultérieurs peuvent échouer avec des erreurs d’accès refusé.

Comprendre qui peut s’inscrire

Seule l’application propriétaire du type de conteneur peut appeler l’API d’inscription dans le client consommateur.

L’application propriétaire doit avoir :

• Un principal de service installé sur le client consommateur.
• Consentement de l’Administration pour effectuer l’inscription dans le client consommateur.
• Autorisation FileStorageContainerTypeReg.Selected Microsoft Graph (déléguée par l’utilisateur ou application uniquement).
• Jeton valide pour la ressource Microsoft Graph.

Lorsque l’application propriétaire appelle l’API d’inscription pour le compte d’un utilisateur (délégué), cet utilisateur doit disposer du rôle d’administrateur SharePoint Embedded ou d’administrateur global . Lorsqu’il appelle sans contexte utilisateur (application uniquement), il utilise le flux d’octroi d’informations d’identification client.

Accorder le consentement de l’administrateur

Demandez à un administrateur client consommateur d’accorder un consentement administrateur à l’application propriétaire.

Utilisez le point de terminaison de consentement de l’administrateur de la Plateforme d’identités Microsoft :

https://login.microsoftonline.com/{consuming-tenant-id}/v2.0/adminconsent?client_id={owning-app-clientid}&scope=https://graph.microsoft.com/.default&redirect_uri={spe-app-redirect-uri}

Configurez la gestion des réussites et des erreurs pour votre flux d’intégration.

Pour les points de terminaison de cloud national, consultez Points de terminaison de la Plateforme d’identités Microsoft sur les clouds nationaux.

Acquérir un jeton pour l’inscription

Utilisez l’authentification déléguée ou l’authentification basée uniquement sur l’application pour l’inscription.

L’inscription nécessite :

• L’autorisation FileStorageContainerTypeReg.Selected Microsoft Graph.
• Pour les appels d’application uniquement, les informations d’identification du client accordent le flux.
• Pour les appels délégués, un utilisateur connecté avec le rôle Administrateur SharePoint Embedded ou Administrateur général.

Inscrire les autorisations de type de conteneur

Appelez le point de terminaison d’inscription dans le client consommateur.

PUT https://graph.microsoft.com/v1.0/storage/fileStorage/containerTypeRegistrations/{containerTypeId}

{containerTypeId} est l’ID de type de conteneur créé dans le locataire développeur.

Dans le corps de la demande, indiquez les autorisations d’application pour le type de conteneur.

Créer, remplacer ou mettre à jour une inscription

Choisissez l’opération selon que vous devez remplacer l’inscription complète ou mettre à jour les propriétés sélectionnées :

L’opération PATCH utilise l’inscription etag pour l’accès concurrentiel optimiste. Lisez l’enregistrement actuel et incluez sa etag propriété dans le corps de la mise à jour. Si une autre demande modifie d’abord l’inscription, lisez la dernière valeur et rapprochez votre mise à jour au lieu de l’écraser.

La propagation des mises à jour d’inscription peut prendre jusqu’à une heure.

Pour plus d’informations sur l’API, consultez Créer un fichierStorageContainerTypeRegistration et Mettre à jour un fichierStorageContainerTypeRegistration.

Accorder des autorisations à l’application propriétaire

Une première inscription courante accorde à l’application propriétaire toutes les autorisations pour les appels délégués et les appels d’application uniquement.

{
  "applicationPermissionGrants": [
    {
      "appId": "71392b2f-1765-406e-86af-5907d9bdb2ab",
      "delegatedPermissions": ["full"],
      "applicationPermissions": ["full"]
    }
  ]
}

Remplacez l’exemple d’ID d’application par votre propre ID d’application.

Accorder des autorisations à une application invitée

L’application propriétaire peut également enregistrer des autorisations pour une autre application.

Utilisez ce modèle lorsqu’une application invitée a besoin d’une charge de travail définie, telle que la sauvegarde ou le traitement.

{
  "applicationPermissionGrants": [
    {
      "appId": "71392b2f-1765-406e-86af-5907d9bdb2ab",
      "delegatedPermissions": ["full"],
      "applicationPermissions": ["full"]
    },
    {
      "appId": "89ea5c94-7736-4e25-95ad-3fa95f62b6cd",
      "delegatedPermissions": ["read", "write"],
      "applicationPermissions": ["none"]
    }
  ]
}

Remplacez les deux ID d’application par vos applications.

Valeurs d’autorisation

Valider l’inscription

Un enregistrement réussi revient 201 Created et les autorisations configurées dans le corps de la réponse.

Une fois l’enregistrement réussi :

1. Vérifiez que la réponse inclut les ID d’application attendus.
2. Vérifiez que les tableaux délégués et applications correspondent aux autorisations prévues.
3. Acquérir un jeton Microsoft Graph avec des autorisations SharePoint Embedded.
4. Essayez une opération à faible risque qui correspond à l’autorisation enregistrée.
5. Continuez à configurer l’authentification et l’autorisation.

Résoudre les problèmes liés au consentement

Se réinscrire en toute sécurité

Il n’existe aucune restriction quant au nombre de fois que l’API d’inscription peut être invoquée.

Le dernier appel d’inscription réussi détermine les paramètres utilisés dans le client consommateur.

Utilisez un processus de mise à jour sécurisé :

1. Déterminez si la modification nécessite un remplacement complet PUT ou une mise à jour ciblée PATCH .
2. Pour PUT, créez une charge utile d’inscription complète.
3. Pour PATCH, lisez et incluez l’enregistrement etagactuel .
4. Incluez toutes les applications qui doivent conserver l’accès.
5. Envoyez l’appel d’inscription.
6. Validez la réponse.
7. Exécutez des tests de fumée pour chaque rôle d’application.

Étapes suivantes

Configurer les jetons et les flux d’autorisation dans Configurez l’authentification et l’autorisation.