Configurer un exemple d’application multigéographique

Les parties de cet article portant sur les compléments SharePoint sont des conseils hérités. Le retrait ci-dessous ne met pas hors service les autres API ou plateformes décrites ici.

Lors du développement pour un client multigéographique, il est important de comprendre le modèle de sécurité. Heureusement, le modèle utilisé pour un client multigéographique est le même que celui utilisé pour un client standard.

Cet article vous montre comment configurer les exemples d’application suivants :

• Une application qui peut lire et mettre à jour les profils de tous les utilisateurs à l’aide de l’API Graph
• Une application qui peut lire et mettre à jour les profils de tous les utilisateurs à l’aide de l’API de profil utilisateur CSOM
• Une application qui peut découvrir la configuration multigéographique
• Application capable de créer et de supprimer des collections de sites et de définir des propriétés de collection de sites client

Lire et mettre à jour les profils de tous les utilisateurs à l’aide de l’API Graph

Comme expliqué dans l’article Utiliser des profils utilisateur dans un client multigéographique, le modèle privilégié à utiliser pour lire et mettre à jour les propriétés de profil utilisateur est l’API Graph. Cette section décrit les autorisations que vous devez accorder à votre application pour pouvoir lire et mettre à jour le profil utilisateur à l’échelle du locataire.

La liste des autorisations possibles que vous pouvez accorder à une application définie dans Azure AD est longue, mais pour la manipulation de profils, vous pouvez limiter les autorisations aux éléments suivants.

Les exemples multigéographiques basés sur Microsoft Graph utilisent la bibliothèque d’authentification Microsoft (MSAL) pour se connecter à Microsoft Graph sur le point de terminaison v2. Par rapport à ADAL, qui se connecte à l’aide du point de terminaison v1, MSAL permet la connexion au Microsoft Graph à l’aide de comptes Microsoft, d’Azure AD et d’Azure AD B2C. Les instructions suivantes vous aideront à configurer votre application pour le point de terminaison v2, mais vous pouvez également utiliser l’approche « ancienne » basée sur les points de terminaison v1.

Inscription de votre application

1. Pour utiliser les autorisations d’application sur Microsoft Graph, enregistrez votre application sur https://apps.dev.microsoft.com.

2. Une fois connecté, choisissez Ajouter une application, puis Ajouter une nouvelle application convergée.

3. Donnez un nom à votre application, puis sélectionnez Créer une application.

4. L’écran de configuration de l’application s’affiche.

5. Générez un nouveau mot de passe et notez-le avec l’ID d’application.

6. Choisissez Ajouter une plateforme, puis choisissez Application native comme cible de plateforme, car l’application n’a pas de page de destination.

7. Ajoutez les autorisations d’application nécessaires. Dans cet exemple d’application, nous avons ajouté les autorisations d’application Sites.ReadWrite.All et User.ReadWrite.All.

8. Désactivez la case Kit de développement logiciel (SDK) Live case activée de support.

9. Enregistrez vos modifications.

Consentement à l’application

1. Dans cet exemple, les autorisations d’application User.ReadWrite.All et Sites.ReadWrite.All nécessitent le consentement de l’administrateur d’un client avant de pouvoir être utilisées. Créez une URL de consentement comme suit :

https://login.microsoftonline.com/<tenant>/adminconsent?client_id=<clientid>&state=<something>

2. Utiliser l’ID client de l’application inscrite et donner votre consentement à l’application à partir de mon client contoso.onmicrosoft.com ; l’URL ressemble à ceci :

https://login.microsoftonline.com/contoso.onmicrosoft.com/adminconsent?client_id=6e4433ca-7011-4a11-85b6-1195b0114fea&state=12345

3. Accédez à l’URL créée, connectez-vous en tant qu’administrateur client et acceptez l’application. Vous pouvez voir que l’écran de consentement affiche le nom de votre application ainsi que les étendues d’autorisation que vous avez configurées.

Lisez et mettez à jour les profils de tous les utilisateurs à l’aide de l’API de profil utilisateur CSOM

Lorsque vous utilisez l’API CSOM pour manipuler les propriétés de profil, vous effectuez cette opération uniquement pour les propriétés créées sur mesure, car les propriétés prêtes à l’emploi sont mieux gérées par l’API Graph Microsoft Graph. Pour plus d’informations, consultez l’article Travailler avec les profils utilisateur dans un locataire multigéographique.

Du point de vue de l’autorisation, il existe deux modes :

• Utilisation des informations d’identification de l’utilisateur

  Cela nécessite la configuration d’un ClientContext objet à l’aide de l’URL de l’administrateur client et des informations d’identification d’administrateur SharePoint Online. Étant donné qu’il n’y a qu’une seule instance Azure AD détenant les utilisateurs, cela implique qu’un administrateur SharePoint Online est l’administrateur de tous les emplacements géographiques.

  string tenantAdminSiteForMyGeoLocation = "https://contoso-europe-admin.sharepoint.com";
  
  using (ClientContext cc = new ClientContext(tenantAdminSiteForMyGeoLocation))
  {
      SecureString securePassword = GetSecurePassword("password");
      cc.Credentials = new SharePointOnlineCredentials("admin@contoso.onmicrosoft.com", securePassword);
  
      // user profile logic
  }
  
  static SecureString GetSecurePassword(string Password)
  {
      SecureString sPassword = new SecureString();
      foreach (char c in Password.ToCharArray()) sPassword.AppendChar(c);
      return sPassword;
  }
  

• Utilisation d’un principal d’application uniquement

  Lorsque vous utilisez l’application uniquement, vous devez accorder au principal d’application créé le contrôle total pour l’étendue de l’autorisation http://sharepoint/social/tenant .

Les instructions suivantes vous montrent comment utiliser appregnew.aspx et appinv.aspx pour inscrire un principal d’application et y consentir.

Créer le principal

1. Accédez à un site de votre client (par exemple, https://contoso.sharepoint.com), puis appelez la page appregnew.aspx (par exemple, https://contoso.sharepoint.com/_layouts/15/appregnew.aspx).

2. Sur cette page, cliquez sur le bouton Générer pour générer un ID client et une clé secrète client.

3. Renseignez les champs restants comme suit :

• Titre : Multi-Geo demo
• Domaine de l’application : www.localhost.com
• URI de redirection : https://www.localhost.com

Accorder des autorisations au donneur d’ordre créé

L’étape suivante consiste à accorder des autorisations au principal nouvellement créé. Étant donné que nous accordons des autorisations de portée client, cet octroi ne peut être effectué que via la page appinv.aspx sur le site d’administration des locataires.

1. Vous pouvez accéder à ce site via https://contoso-admin.sharepoint.com/_layouts/15/appinv.aspx.

2. Une fois la page chargée, ajoutez votre ID client, puis recherchez le principal créé.

3. Pour accorder des autorisations, vous devez fournir le fichier XML d’autorisation qui décrit les autorisations nécessaires. Étant donné que le scanner d’expérience utilisateur doit être en mesure d’accéder à tous les sites et utilise la recherche avec l’application uniquement, il nécessite les autorisations suivantes :

<AppPermissionRequests AllowAppOnlyPolicy="true">
  <AppPermissionRequest Scope="http://sharepoint/social/tenant" Right="FullControl" />
</AppPermissionRequests>

4. Lorsque vous choisissez Créer, une boîte de dialogue de consentement à l’autorisation s’affiche. Choisissez Approuver pour accorder les autorisations.

Utiliser le principal dans votre code

Une fois le principal créé et approuvé, vous pouvez utiliser son ID et son secret pour demander l’accès. La TokenHelper.cs classe récupère l’ID et le secret dans le fichier de configuration de l’application.

string tenantAdminSiteForMyGeoLocation = "https://contoso-europe-admin.sharepoint.com";

//Get the realm for the URL.
string realm = TokenHelper.GetRealmFromTargetUrl(siteUri);

//Get the access token for the URL.  
string accessToken = TokenHelper.GetAppOnlyAccessToken(TokenHelper.SharePointPrincipal, siteUri.Authority, realm).AccessToken;

//Create a client context object based on the retrieved access token.
using (ClientContext cc = TokenHelper.GetClientContextWithAccessToken(tenantAdminSiteForMyGeoLocation, accessToken))
{
    // user profile logic
}

Voici un exemple de app.config qui ressemble à ceci :

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <appSettings>
    <!-- Use AppRegNew.aspx and AppInv.aspx to register client id with proper secret -->
    <add key="ClientId" value="[Your Client ID]" />
    <add key="ClientSecret" value="[Your Client Secret]" />
  </appSettings>
</configuration>

Découvrir la configuration multigéographique

La seule API prise en charge que vous pouvez utiliser pour découvrir les emplacements géographiques dans un locataire multigéographique est la API Graph. Cette section décrit les autorisations que vous devez accorder à votre application pour découvrir des informations multigéographiques.

La liste des autorisations possibles que vous pouvez accorder à une application définie dans Azure AD est longue, mais pour lire les informations de configuration de locataire multigéographique, vous pouvez limiter les autorisations aux éléments suivants.

Suivez la procédure de création d’application Azure AD décrite dans la section Lire/mettre à jour les profils pour tous les utilisateurs.

Créer et supprimer des collections de sites et définir les propriétés de collection de sites du locataire

Utilisation de l’API Microsoft Graph

L’article Sites multigéographiques fournit plus d’informations sur la création de sites de groupe (également appelés sites d’équipe « modernes ») à l’aide de l’API Graph de Microsoft Graph. Dans cette section, nous traitons uniquement des autorisations. Le tableau suivant répertorie les autorisations nécessaires.

Les exemples multigéographiques basés sur Microsoft Graph utilisent la bibliothèque d’authentification Microsoft (MSAL) pour se connecter à Microsoft Graph sur le point de terminaison v2. Par rapport à ADAL, qui se connecte à l’aide du point de terminaison v1, MSAL permet la connexion à Microsoft Graph à l’aide de comptes Microsoft, d’Azure AD et d’Azure AD B2C.

Suivez la procédure de création d’application Azure AD décrite dans la section Lire/mettre à jour les profils pour tous les utilisateurs.

Utilisation de l’API client CSOM

L’utilisation de l’API client CSOM est très similaire aux instructions CSOM décrites précédemment ; En fait, les instructions relatives à l’utilisation des informations d’identification de l’utilisateur sont identiques. Pour l’utilisation d’un principal d’application uniquement, les instructions sont les mêmes, mais vous devez accorder des autorisations différentes (client et contrôle total).

<AppPermissionRequests AllowAppOnlyPolicy="true">
  <AppPermissionRequest Scope="http://sharepoint/content/tenant" Right="FullControl" />
</AppPermissionRequests>

Voir aussi

• Centre Microsoft Graph pour les développeurs
• Obtenir des jetons d’accès pour appeler Microsoft Graph
• Documentation Microsoft Graph
• Afficheur Graph
• Application uniquement et privilèges élevés dans le modèle de complément SharePoint
• OneDrive et SharePoint Online Multi-Géo