Zakładanie aplikacji w ekosystemie Microsoft Entra ID

Podczas tworzenia aplikacji w usłudze Microsoft Entra ID należy najpierw ustanowić tożsamość dla aplikacji. Aplikacja potrzebuje tożsamości w identyfikatorze Entra firmy Microsoft, aby zażądać tokenów. Interfejs programowania aplikacji (API) wymaga tożsamości w identyfikatorze Entra firmy Microsoft, aby mieć tokeny wystawione dla aplikacji w celu uzyskania dostępu do zasobów.

Z tego artykułu dowiesz się, jak zarejestrować aplikacje w dzierżawie Microsoft Entra ID w centrum administracyjnym Microsoft Entra lub przy użyciu Microsoft Graph API. Jest to drugi z serii artykułów na temat tego, jak niezależni deweloperzy oprogramowania (ISV) mogą tworzyć i optymalizować swoje aplikacje dla identyfikatora Entra firmy Microsoft. W tej serii możesz dowiedzieć się więcej o następujących tematach:

• Microsoft Entra ID for Independent Software Developers opisuje sposób używania tej opartej na chmurze usługi zarządzania tożsamościami i dostępem w celu umożliwienia pracownikom uzyskiwania dostępu do zasobów za pomocą aplikacji.
• Uwierzytelnianie aplikacji i użytkowników opisuje sposób używania identyfikatora Entra firmy Microsoft do uwierzytelniania użytkowników i aplikacji.
• Autoryzowanie aplikacji, zasobów i obciążeń ilustruje, kiedy poszczególne osoby wchodzą w interakcje i kierują aplikację, gdy interfejsy API działają dla użytkownika, a aplikacje lub usługi działają niezależnie.
• Dostosowywanie tokenów ułatwia tworzenie zabezpieczeń w aplikacjach przy użyciu tokenów identyfikatorów i tokenów dostępu z identyfikatora Entra firmy Microsoft. W tym artykule opisano informacje, które można otrzymywać w tokenach identyfikatorów Entra firmy Microsoft oraz sposób ich dostosowywania.

Rejestrowanie aplikacji

Deweloperzy mogą rejestrować aplikacje jako aplikacje wieloetapowe lub aplikacje jednoetapowe. W przypadku niezależnych dostawców oprogramowania zalecamy wielodostępne aplikacje. Aplikacja wielodostępna ma jedną rejestrację aplikacji, którą ISV całkowicie kontroluje i rejestruje w swoim dzierżawcy. Dowiedz się, jak utworzyć dzierżawcę Microsoft Entra ID w celu zarejestrowania aplikacji.

Aby zapewnić rozwiązania dla każdego klienta z działającym Microsoft Entra ID i bezproblemowym środowiskiem dołączania do dzierżawy Microsoft Entra ID klienta, przejdź do centrum administracyjnego Microsoft Entra, Rejestracje aplikacji, Zarejestruj aplikację. W tej nowej rejestracji aplikacji wybierz pozycję Obsługiwane typy kont, Konta w dowolnym katalogu organizacyjnym (dowolna dzierżawa Microsoft Entra ID — multitenant) lub konta w dowolnym katalogu organizacyjnym (dowolna dzierżawa Microsoft Entra ID — multitenant) i osobiste konta Microsoft (np. Skype, Xbox).

Dołączenie aplikacji wielodostępnej do dzierżawy zewnętrznej może być tak proste, jak uruchomienie aplikacji i zalogowanie się użytkownika do aplikacji. Gdy dzierżawa zezwala na zgodę użytkownika (użytkownicy mogą logować się do aplikacji bez wcześniejszego zatwierdzania aplikacji przez administratora), dołączanie aplikacji wymaga tylko zalogowania się użytkownika do aplikacji. Warsztaty dotyczące tożsamości dla deweloperów (kod czasu od 1:05:20 do 1:08:00) pokazują, że aplikacja jest dołączana do dzierżawy, gdy użytkownik loguje się do aplikacji.

Podczas rejestrowania aplikacji w dzierżawie Microsoft Entra ID, aplikacja otrzymuje identyfikator aplikacji (App ID), który jest również nazywany identyfikatorem klienta aplikacji. Jest to jak userid dla użytkownika, który jednoznacznie identyfikuje aplikację. Identyfikator aplikacji jest globalnie unikatowy w chmurze Microsoft Entra ID i niezmienny. Wszystkie interakcje między aplikacją a identyfikatorem Entra firmy Microsoft obejmują identyfikator aplikacji.

Oprócz identyfikatora aplikacji rejestracja aplikacji zawiera informacje o aplikacji, którą deweloperzy aplikacji znają lub muszą wiedzieć. Na przykład deweloper aplikacji musi znać identyfikator aplikacji, aby wchodzić w interakcję z identyfikatorem Entra firmy Microsoft. Deweloper zna typ aplikacji, który tworzysz (aplikacja internetowa, aplikacja natywna, aplikacja jednostronicowa, aplikacja mobilna lub aplikacja klasyczna). Typy aplikacji mają wymagane atrybuty.

Na przykład wymagany atrybut aplikacji jest identyfikatorem URI (Redirect Uniform Resource Identifier). Atrybut informuje Microsoft Entra ID o adresie aplikacji internetowej lub natywnej, do wysłania użytkownikowi po uwierzytelnieniu lub autoryzacji. Deweloper zna identyfikatory URI przekierowania dla aplikacji na podstawie typu aplikacji i środowiska, w którym działa aplikacja.

Manifest aplikacji (do którego uzyskujesz dostęp z centrum administracyjnego firmy Microsoft Entra lub interfejsu API programu Microsoft Graph) przechowuje wiele atrybutów aplikacji. Zapoznaj się z informacjami na temat manifestu aplikacji Entra firmy Microsoft, aby dowiedzieć się więcej o atrybutach aplikacji i ich dozwolonych wartościach.

Zapoznaj się z przykładami kodu dotyczącymi uwierzytelniania i autoryzacji Platforma tożsamości Microsoft, aby odnaleźć zalecane ustawienia dla opracowywanych aplikacji. Znajdź przykład aplikacji, który jest podobny do aplikacji, którą tworzysz, i przeczytaj jej dokumentację. Przykłady szczegółowo opisują wymagane ustawienia rejestracji aplikacji dla różnych typów aplikacji. Jeśli na przykład tworzysz interfejs API w Node.js, możesz znaleźć przykłady prowadzące do tych instrukcji rejestracji.

Rejestracja aplikacji komunikuje, co deweloper wie. W każdej dzierżawie, z której użytkownicy mogą uwierzytelniać się w aplikacji wielodostępnej, administratorzy dzierżawy konfigurują sposób działania aplikacji w dzierżawie. Na przykład administrator dzierżawy może ustawić zasady dostępu warunkowego, które ograniczają aplikację do określonych lokalizacji sieciowych. Ponadto mogą istnieć zasady dostępu warunkowego, aby wymagać uwierzytelniania wieloskładnikowego (MFA) dla użytkownika w celu uzyskania dostępu do aplikacji lub ustawień aplikacji, które zezwalają określonym użytkownikom lub grupom na korzystanie z aplikacji.

Aby włączyć takie ograniczenia, administratorzy dzierżawy potrzebują punktów kontrolnych dla aplikacji w swojej dzierżawie. Microsoft Entra ID automatycznie tworzy aplikację korporacyjną w każdej dzierżawie, gdzie użytkownik uwierzytelnia aplikację. W centrum administracyjnym firmy Microsoft Entra są nazywane aplikacjami dla przedsiębiorstw, ale obiekty są jednostkami usługi. Dowiedz się więcej o aplikacjach i zasadach usługi w usłudze Microsoft Entra ID.

Po uwierzytelnieniu aplikacji przez użytkownika, Microsoft Entra ID tworzy jednostkę usługi w dzierżawie, z której użytkownik się uwierzytelnił. Administratorzy dzierżawy mogą używać obiektu jednostki usługi w programie Microsoft Graph (lub w centrum administracyjnym firmy Microsoft Entra, aplikacjach dla przedsiębiorstw), aby skonfigurować sposób działania aplikacji w dzierżawie.

Jednostki usługi nie są kopiami rejestracji aplikacji, mimo że mają wiele tych samych atrybutów. Zamiast tego jednostka usługi łączy się z rejestracją aplikacji. Aktualizacje rejestracji aplikacji można wyświetlić w połączonych aplikacjach dla przedsiębiorstw. W przypadku aplikacji wielodostępnych klient nie ma dostępu do rejestracji aplikacji, które pozostają w dzierżawie ISV. Jednak aplikacja może uzyskać dostęp do jednostki usługi przy użyciu programu Microsoft Graph nawet wtedy, gdy ta jednostka usługi znajduje się w innej dzierżawie. W związku z tym aplikacja może uzyskiwać dostęp do atrybutów aplikacji dla przedsiębiorstw (na przykład niezależnie od tego, czy wymaga przypisania użytkownika do aplikacji, czy też użytkowników przypisanych do roli w aplikacji).

Mimo że zalecamy aplikacje wielodostępne do rejestracji aplikacji dla Niezależnych Dostawców Oprogramowania (ISV), aplikacja dla pojedynczego dzierżawcy jest inną opcją rejestrowania aplikacji. Zamiast rejestracji pojedynczej aplikacji w dzierżawie dostawcy oprogramowania (ISV), gdzie dostawca ma pełną kontrolę nad rejestracją, możesz poprosić klientów o zarejestrowanie aplikacji w ich własnej dzierżawie. Po zakończeniu rejestracji klient konfiguruje wystąpienie aplikacji, używając szczegółów rejestracji swojej aplikacji. Zalecamy takie podejście do aplikacji z jedną dzierżawą głównie w przypadku aplikacji biznesowych opracowanych dla konkretnych przedsiębiorstw.

Ze względu na obciążenie związane z rejestrowaniem i konfigurowaniem aplikacji przez klientów, nie zalecamy stosowania aplikacji jednokrotnego dzierżawcy przez ISV. Istnieją jednak scenariusze, w których aplikacja wielodostępna nie jest możliwa dla twojej aplikacji.

Jeśli aplikacja używa Security Assertion Markup Language 2.0 (SAML), zamiast OpenID Connect (OIDC) lub OAuth 2.0, jest zgodna z modelem rejestracji aplikacji dla pojedynczego dzierżawcy. W przypadku aplikacji SAML kolejność tworzenia głównych punktów usług i rejestracji aplikacji jest odwrotna niż w przypadku aplikacji OIDC lub OAuth 2.0, przynajmniej dla administratora, który dodaje aplikację SAML do dzierżawy. Zamiast rejestrować aplikację i pozwolić, aby Microsoft Entra ID automatycznie utworzył jednostkę usługi, administratorzy zaczynają od utworzenia aplikacji przedsiębiorstwa. Identyfikator Entra firmy Microsoft automatycznie tworzy rejestrację aplikacji. Galeria aplikacji Microsoft Entra ID opisana w sekcji Publikowanie aplikacji ułatwia proces tworzenia aplikacji SAML dla administratorów.

Ograniczenia dotyczące identyfikatorów URI (Uniform Resource Identifiers) przekierowania mogą uniemożliwić niezależnemu dostawcy oprogramowania tworzenie aplikacji wielodostępnej. Aplikacja może mieć co najwyżej 256 identyfikatorów URI przekierowania bez symboli wieloznacznych. Jeśli Twoja aplikacja wymaga unikalnego URI przekierowania dla każdego klienta, a istnieje więcej niż 256 klientów wymagających unikalnego wystąpienia, może się nie udać utworzyć aplikacji multi-tenant. W Microsoft Entra ID ze względów bezpieczeństwa nie można używać symboli wieloznacznych (*) w URI przekierowania. Jedną z opcji jest posiadanie pojedynczego identyfikatora URI przekierowania dla usługi centralnej (jeśli możliwa jest usługa centralna). Centralny identyfikator URI przekierowania zweryfikuje token, a następnie przekierowuje użytkownika do punktu końcowego specyficznego dla klienta.

Publikowanie aplikacji

Gdy użytkownicy początkowo uwierzytelniają aplikację lub autoryzują aplikację w celu uzyskania dostępu do zasobu dla użytkownika, zdecydują, czy ufają Twojej aplikacji. Administratorzy mogą podejmować podobne decyzje dla wszystkich użytkowników w swoim tenancie. Administratorzy mogą zdecydować, czy użytkownik loguje się do aplikacji i czy aplikacja uzyskuje dostęp do określonych zasobów.

Poniższe metody publikacji aplikacji mogą pomóc dostawcom oprogramowania prezentować swoje aplikacje jako zasługujące na zaufanie użytkowników i administratorów.

• Opublikuj aplikację z zweryfikowanej domeny. Domena wydawcy informuje użytkowników i administratorów, które lokalizacje otrzymują ich informacje. Publikowanie ze zweryfikowanej domeny wydawcy pokazuje, że zarejestrowany dzierżawca aplikacji ma kontrolę nad domeną wymienioną jako domena wydawcy aplikacji.
• Publikowanie aplikacji przy użyciu weryfikacji wydawcy. Posiadanie zweryfikowanej domeny wydawcy jest warunkiem wstępnym weryfikacji wydawcy, co wykracza poza to, że wydawca aplikacji ma kontrolę nad domeną. Weryfikacja wydawcy pokazuje, że firma Microsoft zweryfikowała jako autentyczne jednostkę stojącą za domeną i dzierżawcą. Użytkownicy, którzy nie są administratorami, często nie ufają wielodostępnym aplikacjom od niezweryfikowanych wydawców. Administratorzy mogą konfigurować dzierżawy tak, aby aplikacje, które nie są od zweryfikowanych wydawców, zawsze wymagały zgody administratora. Weryfikacja wydawcy dotyczy głównie niezależnych dostawców oprogramowania, którzy tworzą aplikacje wielodostępne w ramach OAuth 2.0 i OIDC. Zweryfikowani wydawcy są członkami programu Microsoft Cloud Partner Program. Weryfikacja wydawcy nie ma wpływu na aplikacje dostępne tylko dla jednego dzierżawcy, takie jak aplikacje SAML lub aplikacje biznesowe.
• Opublikuj aplikację w galerii aplikacji Microsoft Entra ID. Możesz poprosić firmę Microsoft o wyświetlenie listy aplikacji przy użyciu protokołu SAML 2.0 i tych, którzy korzystają z protokołu OAuth 2.0 i OIDC w galerii aplikacji Microsoft Entra ID. Administratorzy znajdują wstępnie zintegrowane aplikacje w galerii aplikacji Microsoft Entra ID z centrum administracyjnego Microsoft Entra, Aplikacje dla przedsiębiorstw, Nowe aplikacje. Publikowanie aplikacji w galerii aplikacji Microsoft Entra ID upraszcza i minimalizuje konfigurację aplikacji. Firma Microsoft testuje aplikacje i zapewnia weryfikację zgodności, szczególnie cenną w przypadku aplikacji korzystających z protokołu SAML 2.0, które wymagają konfiguracji przed użyciem. Aby skonfigurować aplikację z galerii aplikacji do celów aprowizacji, skorzystaj z implementacji Systemu Zarządzania Tożsamością Między Domenami (SCIM) 2.0 swojej aplikacji. Zobacz sekcję Automatyczna aprowizacja. Aby rozpocząć, prześlij żądanie opublikowania aplikacji. Możesz korzystać z jednokrotnego logowania i aprowizacji użytkowników przy użyciu SCIM z pojedynczą aplikacją dostępną w galerii aplikacji.
• Weź udział w programie zgodności aplikacji platformy Microsoft 365. Użycie zweryfikowanej domeny pokazuje, że masz kontrolę nad domeną. Weryfikacja wydawcy pokazuje, że firma Microsoft zweryfikowała twoją organizację jako autentyczną. Umieszczenie aplikacji w galerii aplikacji Microsoft Entra ID pokazuje, że aplikacja współpracuje z Microsoft Entra ID w celu łatwego wdrażania. Program zgodności platformy Microsoft 365 umożliwia informowanie klientów o zabezpieczeniach i zgodności aplikacji według zaświadczania wydawcy, certyfikacji platformy Microsoft 365 lub narzędzia do automatyzacji zgodności aplikacji (ACAT) na platformie Azure. Pokazuje ona, w jaki sposób aplikacja chroni zasoby, do których klient autoryzuje aplikację w celu uzyskania dostępu.

Automatyczne dostarczanie

Udostępnianie aplikacji w usłudze Microsoft Entra ID może automatycznie udostępniać tożsamości użytkowników, obiekty grup oraz role do aplikacji w chmurze, do których użytkownicy muszą mieć dostęp. Oprócz tworzenia obiektów użytkowników i grup, automatyczna aprowizacja obejmuje zarządzanie tożsamością użytkownika oraz usuwanie w przypadku zmiany stanu lub ról. Usługa aprowizacji Microsoft Entra automatycznie aprowizuje użytkowników i grupy w aplikacjach, wywołując punkt końcowy interfejsu API zarządzania obiektami SCIM, który jest udostępniany przez aplikację.

W przypadku niezależnych dostawców oprogramowania zalety aprowizacji aplikacji w identyfikatorze Entra firmy Microsoft obejmują następujące elementy.

• Aprowizowanie aplikacji za pomocą Microsoft Graph jest możliwe. Utworzenie punktu końcowego SCIM umożliwia współpracę aprowizacji z dostawcami tożsamości obsługującymi standard SCIM. Większość dostawców usług tożsamości obsługuje protokół udostępniania SCIM.
• Aprowizowanie to operacja synchronizacji , w której dane są synchronizowane między identyfikatorem Entra firmy Microsoft i aplikacją. Aby zaimplementować rozwiązanie synchronizacji oparte na programie Microsoft Graph, aplikacja wymaga dostępu do wszystkich atrybutów wszystkich użytkowników i grup w dzierżawie. Niektórzy klienci microsoft Entra ID niechętnie zezwalają na taki szeroki dostęp. Za pomocą protokołu SCIM administrator może wybrać atrybuty, które Microsoft Entra ID synchronizuje z aplikacją. Wielu administratorów preferuje możliwość posiadania tej szczegółowej kontroli, która jest dostępna tylko w implementacji SCIM.
• Utworzenie własnej usługi synchronizacji Microsoft Graph na potrzeby aprowizacji oznacza, że musisz zarządzać tą usługą i zaimplementować model pobierający w celu monitorowania Microsoft Entra ID w celu wykrywania zmian. Podczas implementowania punktu końcowego SCIM, Microsoft Entra ID zarządza usługą aprowizacji i przekazuje zmiany do Twojej aplikacji.

Używanie identyfikatorów SCIM, Microsoft Graph i Microsoft Entra ID do aprowizowania użytkowników i wzbogacania aplikacji danymi zawiera wskazówki dotyczące tego, kiedy należy używać programu SCIM i kiedy używać programu Microsoft Graph. Dokumentacja firmy Microsoft dotycząca planowania, kompilowania i weryfikowania punktu końcowego SCIM za pomocą identyfikatora Entra firmy Microsoft oraz rozwiązywania znanych problemów ze zgodnością rozwiązania SCIM.

Oprócz synchronizowania danych z aplikacjami firma Microsoft Entra ID oferuje aprowizację przy użyciu aplikacji kadrowych opartych na chmurze (HR). Aprowizowanie oparte na kadrach to proces tworzenia tożsamości cyfrowych opartych na rozwiązaniu kadrowym. Systemy HR stają się punktem autorytetu dla tych nowo utworzonych tożsamości cyfrowych i często są punktem początkowym dla wielu procesów udostępniania. Lokalne rozwiązania kadrowe mogą używać programu Microsoft Identity Manager do udostępniania użytkowników w lokalnej usłudze Active Directory. Następnie mogą synchronizować się z identyfikatorem Entra firmy Microsoft za pomocą programu Microsoft Entra Connect lub bezpośrednio z identyfikatorem Entra firmy Microsoft.

W przypadku aprowizacji przychodzącej opartej na interfejsie API, niezależni dostawcy oprogramowania HR w chmurze mogą dostarczać natywne doświadczenia synchronizacji, dzięki czemu zmiany w systemie HR automatycznie przepływają do Microsoft Entra ID i połączonych domen lokalnego Active Directory. Na przykład aplikacja hr lub aplikacje systemów informacyjnych uczniów mogą wysyłać dane do identyfikatora Entra firmy Microsoft, gdy tylko transakcja zostanie ukończona lub jako aktualizacja zbiorcza na koniec dnia. Aby dowiedzieć się więcej na temat pojęć związanych z aprowizowaniem przychodzącym opartych na interfejsie API, zapoznaj się z funkcjami bulkUpload w programie Microsoft Graph i zapoznaj się z pojęciami, scenariuszami i ograniczeniami dotyczącymi aprowizacji opartej na interfejsie API.

Następne kroki

• Aby potwierdzić, że Twoja aplikacja działa z Microsoft Entra ID, prześlij wniosek o opublikowanie aplikacji.
• Microsoft Entra ID for Independent Software Developers opisuje sposób używania tej opartej na chmurze usługi zarządzania tożsamościami i dostępem w celu umożliwienia pracownikom uzyskiwania dostępu do zasobów za pomocą aplikacji.
• Uwierzytelnianie aplikacji i użytkowników opisuje sposób używania identyfikatora Entra firmy Microsoft do uwierzytelniania użytkowników i aplikacji.
• Autoryzowanie aplikacji, zasobów i obciążeń omawia autoryzację, gdy dana osoba wchodzi w interakcję z aplikacją i kieruje aplikację, gdy interfejsy API działają w imieniu użytkownika, a aplikacje lub usługi działają niezależnie.
• Dostosowywanie tokenów ułatwia tworzenie zabezpieczeń w aplikacjach przy użyciu tokenów identyfikatorów i tokenów dostępu z identyfikatora Entra firmy Microsoft. W tym artykule opisano informacje, które można otrzymywać w tokenach identyfikatorów Entra firmy Microsoft oraz sposób ich dostosowywania.