Skapa ett anpassat program

Skapa ett program med PowerShell

Använd det anpassade programmet för att isolera och begränsa de behörigheter som beviljas för en Microsoft Entra resurs.

# Connect to Entra with required scopes
Connect-Entra -Scopes 'Application.ReadWrite.All'

# Define application name and redirect URI
$appName = 'Entra PowerShell Helpdesk App'
$redirectUri = 'http://localhost'

# Create a new application
$app = New-EntraApplication -DisplayName $appName -PublicClient @{ RedirectUris = $redirectUri } -IsFallbackPublicClient $False

# Create a service principal for the application
$servicePrincipal = New-EntraServicePrincipal -AppId $app.AppId

Aktivera den tilldelningsfunktion som krävs med PowerShell

# Set service principal parameters
Set-EntraServicePrincipal -ServicePrincipalId $servicePrincipal.Id -AppRoleAssignmentRequired $True

Tilldela användare och grupper med PowerShell

# Get a user and a group
$user = Get-EntraUser -UserId 'AdeleV@contoso.com'
$group = Get-EntraGroup -Search 'Sales and Marketing'

# Assign users and groups to the application
$emptyGuidUser = [Guid]::Empty.ToString()
New-EntraUserAppRoleAssignment -ObjectId $user.Id -PrincipalId $user.Id -ResourceId $servicePrincipal.Id -Id $emptyGuidUser

$emptyGuidGroup = [Guid]::Empty.ToString()
New-EntraGroupAppRoleAssignment -GroupId $group.Id -PrincipalId $group.Id -ResourceId $servicePrincipal.Id -Id $emptyGuidGroup

Definiera nödvändiga resurser och behörigheter med hjälp av PowerShell

# Get Graph service principal
$graphApiId = '00000003-0000-0000-c000-000000000000'
$graphServicePrincipal = Get-EntraServicePrincipal -Filter "AppId eq '$graphApiId'"
$delegatedPermission = 'User.Read.All'
$app = Get-EntraApplication -Filter "DisplayName eq '$appName'"

# Create resource access object
$resourceAccessDelegated = New-Object Microsoft.Open.MSGraph.Model.ResourceAccess
$resourceAccessDelegated.Id = ((Get-EntraServicePrincipal -ServicePrincipalId $graphServicePrincipal.Id).Oauth2PermissionScopes | Where-Object { $_.Value -eq $delegatedPermission }).Id
$resourceAccessDelegated.Type = 'Scope'

# Create required resource access object
$requiredResourceAccessDelegated = New-Object Microsoft.Open.MSGraph.Model.RequiredResourceAccess
$requiredResourceAccessDelegated.ResourceAppId = $graphApiId
$requiredResourceAccessDelegated.ResourceAccess = $resourceAccessDelegated

# Set application required resource access
Set-EntraApplication -ApplicationId $app.Id -RequiredResourceAccess $requiredResourceAccessDelegated

# Get Graph service principal
$applicationPermission = 'Group.Read.All'
$graphApiId = '00000003-0000-0000-c000-000000000000'
$graphServicePrincipal = Get-EntraServicePrincipal -Filter "AppId eq '$graphApiId'"
$app = Get-EntraApplication -Filter "DisplayName eq '$appName'"

# Create resource access object
$resourceAccess = New-Object Microsoft.Open.MSGraph.Model.ResourceAccess
$resourceAccess.Id = ((Get-EntraServicePrincipal -ServicePrincipalId $graphServicePrincipal.ObjectId).AppRoles | Where-Object { $_.Value -eq $applicationPermission}).Id
$resourceAccess.Type = 'Scope'

# Create required resource access object
$requiredResourceAccess = New-Object Microsoft.Open.MSGraph.Model.RequiredResourceAccess
$requiredResourceAccess.ResourceAppId = $graphApiId
$requiredResourceAccess.ResourceAccess = $resourceAccess

# Set application required resource access
Set-EntraApplication -ApplicationId $app.Id -RequiredResourceAccess $requiredResourceAccess

Tilldela API-behörigheter till appen med hjälp av PowerShell

Du kan tilldela antingen delegerade behörigheter eller programbehörigheter till programmet.

$delegatedPermission = 'User.Read.All'
$graphApiId = '00000003-0000-0000-c000-000000000000'
$servicePrincipal = Get-EntraServicePrincipal -Filter "DisplayName eq '$appName'"
$graphServicePrincipal = Get-EntraServicePrincipal -Filter "AppId eq '$graphApiId'"

# Grant OAuth2 permission
New-EntraOauth2PermissionGrant -ClientId $servicePrincipal.Id -ConsentType 'AllPrincipals' -ResourceId $graphServicePrincipal.Id -Scope $delegatedPermission

$applicationPermission = 'Group.Read.All'
$graphApiId = '00000003-0000-0000-c000-000000000000'
$graphServicePrincipal = Get-EntraServicePrincipal -Filter "AppId eq '$graphApiId'"
$servicePrincipal = Get-EntraServicePrincipal -Filter "DisplayName eq '$appName'"

# Get application role ID
$appRoleId = ($graphServicePrincipal.AppRoles | Where-Object { $_.Value -eq $applicationPermission }).Id

New-EntraServicePrincipalAppRoleAssignment -ObjectId $servicePrincipal.Id -ResourceId $graphServicePrincipal.Id -Id $appRoleId -PrincipalId $servicePrincipal.Id

Resources

Ladda ned och kör det fullständiga skriptet:

• Använd exempelskriptet create-custom-app-with-delegated-permissions för att skapa en anpassad app med delegerade behörigheter.
• Använd exempelskriptet create-custom-app-with-application-permissions för att skapa en anpassad app med programbehörigheter.

Skapa ett program i Microsoft Entra administrationscenter

Följ stegen i följande avsnitt om du vill skapa anpassade program för att ansluta till Microsoft Entra ID med hjälp av Microsoft Entra PowerShell. Använd det anpassade programmet för att isolera och begränsa de behörigheter som beviljas för en Microsoft Entra resurs.

1. Logga in på administrationscentret för Microsoft Entra som minst en molnprogramadministratör.
2. Bläddra till Identitetsprogram>>App registrations och välj sedan Ny registrering.
3. Ange ett namn för ditt program, till exempel Entra PowerShell Five.
4. För Kontotyper som stöds väljer du Konton i den här organisationskatalogen.
5. För Omdirigerings-URI väljer du: – Offentlig klient/intern från listrutan – URI-värde: http://localhost
6. Välj Registrera.

Aktivera den tilldelningsfunktion som krävs i Microsoft Entra administrationscenter

Om du vill hantera de resurser som programmet får åtkomst till i klientorganisationen letar du upp programmets tjänsthuvudnamn i fönstret Företagsprogram .

1. Gå till Identity>Program>Företagsprogram>Alla program och välj det program du skapade.
2. Under Hantera väljer du Egenskaper och anger Tilldelning som krävs? till Ja.
3. Välj Spara.

Tilldela användare och grupper i Microsoft Entra administrationscenter

1. Under Hantera väljer du Användare och grupper.
2. Välj Lägg till användare/grupp och lägg till de användare och grupper som tillåts använda det här programmet.
3. När du har lagt till alla användare och grupper väljer du Tilldela.

Tilldela API-behörigheter till appen i Microsoft Entra administrationscenter

Du måste konfigurera Microsoft Graph behörigheter för det nya programmet för att ansluta till Microsoft Entra ID och hantera Microsoft Entra resurser.

1. Bläddra tillAppregistreringar> för identitetsprogram>>Alla program och välj det program som du skapade.
2. Under API-behörigheter väljer du Lägg till en behörighet> och väljer Microsoft API:er > Microsoft Graph.
3. Välj den typ av behörigheter som du behöver, antingen delegerade behörigheter eller programbehörigheter.
   • Om du behöver logga in på appen för att hantera dina resurser i Microsoft Entra ID väljer du Delegerade behörigheter.
   • Om du vill att appen ska få åtkomst till Microsoft Entra resurser på egen hand utan användarinteraktion väljer du Programbehörigheter
4. Sök efter den behörighet som krävs, till exempel User.Read.All.
5. Välj Bevilja administratörsmedgivande för TenantName. Välj Ja. Kontrollera att statusen visar en grön bockmarkering.