Gerenciador de Migração com Autenticação Baseada em Certificado

O Migration Manager permite que os clientes usem Registros de Aplicativos do Azure App com autenticação de certificado como o modelo de identidade para migrar o compartilhamento de arquivos de rede para o SharePoint e o OneDrive.

Etapas de preparação

1. Registre um aplicativo

Siga as instruções para registrar um aplicativo no centro de administração do Microsoft Entra. Vamos chamar esse aplicativo de MigApp.

2. Conceda permissões

No centro de administração do Microsoft Entra, vá para o Registros de aplicativo de aplicativos > e selecione 'MigApp' na guia Todos os aplicativos.

Em seguida, conceda as permissões de API necessárias na página Permissões de API .

Para limitar o 'MigApp' a mover conteúdo para sites específicos do SharePoint, conceda a permissão 'Sites.Selected' na API do Graph do SharePoint e do Microsoft Graph.

• API do SharePoint:
  • 'Sites.Selected': necessário para chamadas REST e CSOM (modelo de objeto do lado do cliente).
  • API do Graph:
    • 'Sites.Selected': necessário para operações relacionadas ao site.

Para permitir que 'MigApp' mova conteúdo para todos os sites do SharePoint, conceda a permissão 'Sites.FullControl.All' no SharePoint e na API do Graph.

• API do SharePoint:
  • 'Sites.FullControl.All': necessário para o controle total de todos os conjuntos de sites.
  • API do Graph:
    • 'Sites.FullControl.All': necessário para o controle total de todos os conjuntos de sites.

Conceder mais permissões

• API do Graph:
  • 'User.Read.All': necessário para resolver o mapeamento de usuários.
  • 'Group.Read.All': necessário para resolver o mapeamento de usuários.
  • 'Organization.Read.All': necessário para enviar telemetria para a localização geográfica correta.

3. Carregue o certificado

Acesse a página Certificados & segredos e selecione a guia Certificados .

• Carregue a chave pública do seu certificado X.509 emitido pela PKI (Infraestrutura de Chave Pública) Corporativa.
• Copie o valor em 'Thumbprint' para uso futuro.

Conceder permissão de acesso ao site de destino

Se você definir a permissão SharePoint Sites.Selected para 'MigApp', precisará conceder ao aplicativo permissões FullControl para todos os sites de destino da migração antes que a migração comece.

Conceder permissão de leitura ao site de Administração do SharePoint

Você também precisa conceder ao aplicativo permissões de leitura para o site de Administração do SharePoint antes do início da migração.

Instalar o agente

Na estação de trabalho do agente, instale seu certificado X.509, emitido pela PKI (Infraestrutura de Chave Pública) Corporativa, no caminho do 'Usuário Atual' do repositório de gerenciamento de certificados do Windows. Você pode iniciar o aplicativo de gerenciamento de certificados digitando o comando certmgr.msc.

Prepare um arquivo Json de configuração com o seguinte conteúdo:

{
    "Thumbprint":"The client credential certificate thumbprint",
    "TenantId":"Tenant ID",
    "ClientId":"App registration Id",
    "AdminUrl": "The SharePoint Admin site URL, example https://contoso-admin.sharepoint.com",
}

Instale um agente seguindo as instruções. Na página de boas-vindas de configuração do agente, selecione a opção "Autenticação de certificado" e carregue o arquivo de configuração de autenticação de certificado, que é preparado na etapa anterior. Em seguida, conclua as etapas de instalação restantes.

• Se o arquivo contiver valores de atributo incorretos, o agente exibirá uma mensagem de erro para explicar o motivo e desativará o botão Avançar.
• Se 'MigApp' não tiver permissões suficientes, o agente exibirá uma mensagem de erro lembrando você de conceder as permissões necessárias ao aplicativo.

Depois que os agentes forem iniciados com êxito, você poderá iniciar a migração de conteúdo no Gerenciador de Migração.

Etapas para conceder permissão a um site

Usar a API do Graph para conceder permissão a um site

Siga as etapas para conceder permissões a um determinado site usando a API do Graph.

1. Obtenha a ID do site chamando Obter API do Site.

• Para recuperar a ID do site de administração, chame GET /sites/contoso-admin.sharepoint.com
• Para recuperar a ID do site raiz, chame GET /sites/contoso.sharepoint.com.
• Para recuperar a ID do site de outros sites, chame GET /sites/contoso.sharepoint.com:/sites/{site relative url} ou GET /sites/contoso.sharepoint.com:/teams/{site relative url}.

A propriedade ID no corpo da resposta contém três partes separadas por vírgulas; copie a cadeia de caracteres inteira.

2. Atribua permissões ao site chamando a API Criar Permissão. Usando a cadeia de caracteres copiada da Etapa 1, chame POST /sites/{siteId}/permissions com o corpo da solicitação.

• Para atribuir permissões ao site de administração, defina as funções como lidas.
• Para qualquer outro site, defina as funções como proprietário.

    {
      "roles": ["read/write/owner"],
      "grantedToIdentities": [{
        "application": {
          "id": "IdOfYourEntraApp",
          "displayName": "NameOfYourEntraApp"
        }
      }]
    }

Usar o PowerShell PnP para conceder permissão a um site

Siga as etapas para conceder permissão a um site usando o PowerShell PnP.

1. Instale o Powershell7 e importe os módulos necessários com o comando:

Install-Module PnP.PowerShell -Force and Import-Module PnP.PowerShell

2. Execute o comando para criar um aplicativo que funcione como um proxy de PnP-PowerShell para conceder permissões. Copie o ID do cliente do resultado da execução.

Register-PnPEntraIDAppForInteractiveLogin -ApplicationName "PnP PowerShell" -Tenant yourtenant.onmicrosoft.com -Interactive

3. Defina uma variável PnPClientId com a ID do cliente recuperada na etapa anterior.

$PnPClientId = <The client ID from the step above>

4. Execute o comando para se conectar ao site de Administração do SharePoint. A URL de administrador está no formato https://contoso-admin.sharepoint.com.

Connect-PnPOnline –interactive  –Url <AdminSiteUrl>  -ClientId <PnPClientId>

5. Conceda a seu aplicativo a permissão de acesso ao site de Administração do SharePoint. A 'ClientId' é a ID do cliente do seu aplicativo entra.

Grant-PnPAzureADAppSitePermission -AppId <ClientId> -DisplayName <App name or a random name> -Permissions ``<Permission> -Site <DestinationSiteUrl>

• Para conceder ao seu aplicativo a permissão de Leitura do site de Administração do SharePoint, o comando é:

Grant-PnPAzureADAppSitePermission -AppId <ClientId> -DisplayName <App name or a random name> -Permissions Read -Site < AdminSiteUrl >

• Para conceder a permissão FullControl ao seu aplicativo para o site de destino, o comando é:

Grant-PnPAzureADAppSitePermission -AppId <ClientId> -DisplayName < App name or a random name > -Permissions FullControl -Site < DestinationSiteUrl >