Konfigurera autentiseringshanteraren – Microsoft Graph API

GÄLLER FÖR: Alla API Management-nivåer

Den här artikeln vägleder dig genom de steg som krävs för att skapa en hanterad anslutning till Microsoft Graph API i Azure API Management. Auktoriseringskodens beviljandetyp används i det här exemplet.

Du lär dig att:

Förutsättningar

• Åtkomst till en Microsoft Entra-klientorganisation där du har behörighet att skapa en appregistrering och bevilja administratörsmedgivande för appens behörigheter. Mer information finns i Begränsa vem som kan skapa program.

  Om du vill skapa en egen klientorganisation för utvecklare kan du registrera dig för Microsoft 365 Developer Program.

• En API Management-instans som körs. Om du inte har någon läser du Skapa en ny Azure API Management-instans.

• Aktivera en systemtilldelad hanterad identitet i API Management-instansen.

Steg 1: Skapa ett Microsoft Entra-program

Skapa ett Microsoft Entra-program för API:et och ge det lämpliga behörigheter för de begäranden som du vill anropa.

1. Logga in på Azure-portalen med ett konto med tillräcklig behörighet i klientorganisationen.

2. Sök efter och välj Microsoft Entra-ID.

3. Under Hantera på sidomenyn väljer du Appregistreringar och sedan + Ny registrering.

4. På sidan Registrera ett program anger du dina inställningar för programregistrering:

   1. I Namn anger du ett beskrivande namn för appen, till exempel MicrosoftGraphAuth.

   2. I Kontotyper som stöds väljer du ett alternativ som passar ditt scenario, till exempel Endast konton i den här organisationskatalogen (enskild klientorganisation).

   3. Ställ in omdirigerings-URI:n på webben och ange https://authorization-manager.consent.azure-apim.net/redirect/apim/<YOUR-APIM-SERVICENAME>och ersätt namnet på API Management-tjänsten där du konfigurerar providern för autentiseringsuppgifter.

   4. Välj Registrera.

      

5. På sidomenyn väljer du API-behörigheter och sedan + Lägg till en behörighet.

   1. Välj Microsoft Graph och välj sedan Delegerade behörigheter.

      Anmärkning

      Kontrollera att behörigheten User.Read med typen Delegerad redan har lagts till.

   2. Skriv Team, expandera teamalternativen och välj sedan Team.ReadBasic.All. Välj Lägg till behörigheter.
   3. Välj sedan Bevilja administratörsmedgivande för Standardkatalog. Statusen för behörigheterna ändras till Beviljad för standardkatalog.

6. På sidomenyn väljer du Översikt. På sidan Översikt letar du upp värdet program-ID (klient) och registrerar det för användning i steg 2.

7. På sidomenyn väljer du Certifikat och hemligheter och sedan + Ny klienthemlighet.

   1. Ange en beskrivning.
   2. Välj ett alternativ för Upphör att gälla.
   3. Välj Lägg till.
   4. Kopiera klienthemlighetens Värde innan du lämnar sidan. Du behöver det i steg 2.

Steg 2: Konfigurera en provider för autentiseringsuppgifter i API Management

1. Gå till din API Management-instans.

2. Under API:er på sidomenyn väljer du Autentiseringshanteraren och sedan + Skapa.

3. På sidan Skapa provider för autentiseringsuppgifter anger du följande inställningar och väljer Skapa:

   Inställningar	Värde
   Providernamn för autentiseringsuppgifter	Ett valfritt namn, till exempel MicrosoftEntraID-01
   Identitetsprovider	Välj Azure Active Directory v1
   Bevilja typ	Välj auktoriseringskod
   Auktoriserings-URL	Valfritt för Microsoft Entra-identitetsprovider. Standard är https://login.microsoftonline.com.
   Kund-ID	Klistra in det värde som du kopierade tidigare från appregistreringen
   Klienthemlighet	Klistra in det värde som du kopierade tidigare från appregistreringen
   Resurs-URL	https://graph.microsoft.com
   Hyresgäst-ID	Valfritt för Microsoft Entra-identitetsprovider. Standardvärdet är Vanligt.
   Omfattningar	Valfritt för Microsoft Entra-identitetsprovider. Konfigureras automatiskt från Microsoft Entra-appens API-behörigheter.

4. Välj Skapa.

Steg 3: Konfigurera en anslutning

På fliken Anslutning slutför du stegen för din anslutning till providern.

1. Ange ett anslutningsnamn och välj sedan Spara.
2. Under Steg 2: Logga in på din anslutning (för beviljandetyp för auktoriseringskod) väljer du knappen Logga in . Slutför stegen där för att auktorisera åtkomst och återgå till API Management.
3. Under Steg 3: Avgör vem som ska ha åtkomst till den här anslutningen (åtkomstprincip) visas den hanterade identitetsmedlemmen. Det är valfritt att lägga till andra medlemmar, beroende på ditt scenario.
4. Välj Slutför.

Den nya anslutningen visas i listan över anslutningar och visar statusen Ansluten. Om du vill skapa en annan anslutning för providern för autentiseringsuppgifter slutför du föregående steg.

Steg 4: Skapa ett Microsoft Graph API i API Management och konfigurera en princip

1. Under API:er på sidomenyn väljer du API:er.

2. Välj HTTP och ange följande inställningar. Välj sedan Skapa.

   Inställning	Värde
   Visningsnamn	msgraph
   Url för webbtjänst	https://graph.microsoft.com/v1.0
   API URL-suffix	msgraph

3. Navigera till det nyligen skapade API:et och välj + Lägg till åtgärd. Ange följande inställningar och välj Spara.

   Inställning	Värde
   Visningsnamn	getprofile
   URL för GET	/mig

4. Följ stegen ovan för att lägga till ytterligare en åtgärd med följande inställningar.

   Inställning	Värde
   Visningsnamn	getJoinedTeams
   URL för GET	/me/joinedTeams

5. Välj Alla åtgärder. I avsnittet Inkommande bearbetning väljer du <ikonen /> (kodredigeraren).

6. Kopiera och klistra in följande kodfragment. get-authorization-context Uppdatera principen med namnen på autentiseringsprovidern och anslutningen som du konfigurerade i föregående steg och välj Spara.

   • Ersätt namnet på autentiseringsprovidern som värdet för provider-id
   • Ersätt ditt anslutningsnamn som värdet för authorization-id

   <policies>
       <inbound>
           <base />
           <get-authorization-context provider-id="MicrosoftEntraID-01" authorization-id="first-connection" context-variable-name="auth-context" identity-type="managed" ignore-error="false" />
          <set-header name="Authorization" exists-action="override">
              <value>@("Bearer " + ((Authorization)context.Variables.GetValueOrDefault("auth-context"))?.AccessToken)</value>
          </set-header>
       </inbound>
       <backend>
           <base />
       </backend>
       <outbound>
           <base />
       </outbound>
       <on-error>
           <base />
       </on-error>
   </policies>
   

Den föregående principdefinitionen består av två delar:

• Principen get-authorization-context hämtar en auktoriseringstoken genom att referera till providern för autentiseringsuppgifter och anslutningen som skapades tidigare.
• Principen set-header skapar ett HTTP-huvud med den hämtade åtkomsttoken.

Steg 5: Testa API:et

1. På fliken Test väljer du en åtgärd som du har konfigurerat.

2. Välj Skicka.

   

   Ett lyckat svar returnerar användardata från Microsoft Graph.

Relaterat innehåll

• Autentisering och auktorisering i Azure API Management
• Omfång och behörigheter på Microsofts identitetsplattform