创建与 Azure 数字孪生配合使用的应用注册

在 Azure 门户中导航到 Microsoft Entra ID（可以使用此链接，或者通过门户搜索栏查找）。 从服务菜单中选择“应用注册”，然后选择“+ 新建注册”。

在随后出现的“注册应用程序”页中填写请求的值：

• 名称：与注册关联的 Microsoft Entra 应用程序显示名称。
• 支持的帐户类型：选择“仅此组织目录中的帐户(仅默认目录 - 单租户)”。

完成后，选择“注册”按钮。

注册设置完成后，门户会将您重定向到其详细信息页面。

首先创建一个清单文件，其中包含应用注册访问 Azure 数字孪生 API 所需的服务信息。 然后，将此文件传递到 CLI 命令中以创建注册。

创建清单

在计算机上创建名为 manifest.json 的新 .json 文件。 将以下文本复制到该文件中：

[
	{
		"resourceAppId": "0b07f429-9f4b-4714-9392-cc5e8e80c8b0",
		"resourceAccess": [
			{
				"id": "4589bd03-58cb-4e6c-b17f-b580e39652f8",
				"type": "Scope"
			}
		]
	}
]

static 值 0b07f429-9f4b-4714-9392-cc5e8e80c8b0 是 Azure 数字孪生服务终结点的资源 ID，应用注册需要该 ID 才能访问 Azure 数字孪生 API。

保存完成的文件。

Cloud Shell 用户：上传清单

如果在本教程中使用 Azure Cloud Shell，则需要将创建的清单文件上传到 Cloud Shell，以便在配置应用注册时可以通过 Cloud Shell 命令访问它。 如果使用本地安装的 Azure CLI，则可以跳到下一步：运行创建命令。

要上传该文件，请在浏览器中转到 Cloud Shell 窗口。 选择“上传/下载文件”图标，然后选择“上传”。

在计算机上，导航到 manifest.json 文件并选择“打开”。 这样做会将文件上传到 Cloud Shell 存储的根目录。

运行创建命令

在本节中，您将运行 CLI 命令以创建具有以下设置的应用程序注册：

• 首选名称
• 仅适用于默认目录（单租户）中的帐户
• http://localhost 的 Web 回复 URL
• 对 Azure 数字孪生 API 的读/写权限

要创建应用程序注册，请运行以下命令。 如果使用 Cloud Shell，则 manifest.json 文件的路径为 @manifest.json。

az ad app create --display-name <app-registration-name> --sign-in-audience AzureADMyOrg --required-resource-accesses "manifest.json"

该命令的输出是有关您创建的应用程序注册的信息。

验证是否成功

可以通过查看创建命令的输出中 requiredResourceAccess 下的以下字段，来确认是否已授予 Azure 数字孪生权限。 确认它们的值与以下值匹配。

• resourceAccess > id 为 4589bd03-58cb-4e6c-b17f-b580e39652f8
• resourceAppId 为 0b07f429-9f4b-4714-9392-cc5e8e80c8b0

可以从 Azure 门户中应用注册的详细信息页收集“客户端 ID”和“租户 ID”值：

记下你的页面上显示的“应用程序(客户端) ID”和“目录(租户) ID”。

可在az ad app create运行的 命令的输出中找到应用 ID（或使用 az ad app show 再次显示该信息）。

在结果中查找 appId：

可使用 az account tenant list 命令在 shell 中显示租户 ID。

从 Azure 门户中的应用注册页开始。

1. 从注册的菜单中选择“证书和密码”，然后选择“+ 新建客户端密码”。

   

2. 输入要用于“说明”和“有效期”的任何值，然后选择“添加”。

   

3. 验证客户端密码在“证书和密码”页上显示出来，并带有“有效期”和“值”字段。

4. 记下其“密码 ID”和“值”的值以便稍后使用（也可使用“复制”图标将其复制到剪贴板）。

   

要为应用程序注册创建客户端密码，您需要在 上一步中收集的应用程序注册的客户端 ID 值。 要创建新密钥，请在以下 CLI 命令中使用客户端 ID 值：

az ad app credential reset --id <client-ID> --append

还可以向此命令添加可选参数，以指定凭据说明、结束日期和其他详细信息。 有关命令及其参数的详细信息，请参阅 az ad app credential reset 文档。

此命令的输出是有关您创建的客户端密钥的信息。

复制 password 的值，以便在需要客户端密码进行身份验证时使用。

使用这些步骤为注册创建角色分配。

1. 在 Azure 门户中打开 Azure 数字孪生实例的页面。

2. 选择“访问控制 (IAM)”。

3. 选择“添加”“添加角色分配”，打开“添加角色分配”页面 。

4. 分配适当的角色。 有关详细步骤，请参阅使用 Azure 门户分配 Azure 角色。

   设置	值
   角色	按需选择
   成员 > 将访问权限分配给	用户、组或服务主体
   成员 > 成员	“+ 选择成员”，然后搜索应用注册的名称

   

   

   选择角色后， 查看 + 分配 该角色。

验证角色分配

可以查看在 访问控制（IAM） > 角色分配下设置的角色分配。

应用注册应与你分配给它的角色一起显示在列表中。

使用 az dt role-assignment create 命令分配角色（您必须在 Azure 订阅中具有 足够的权限 ）。 该命令要求传入所要分配的角色的名称、Azure 数字孪生实例的名称，以及应用注册的名称或对象 ID。

az dt role-assignment create --dt-name <your-Azure-Digital-Twins-instance> --assignee "<name-or-ID-of-app-registration>" --role "<appropriate-role-name>"

此命令的结果是输出有关为应用程序注册创建的角色分配的信息。

若要进一步验证角色分配，可以在 Azure 门户中查看它（切换到门户说明选项卡）。

在应用注册的门户页中，从菜单中选择“API 权限”。 在随后出现的权限页上，选择“+ 添加权限”按钮。

在随后出现的“请求 API 权限”页中，切换到“我的组织使用的 API”选项卡并搜索“Azure 数字孪生”。 从搜索结果中选择“Azure 数字孪生”，以继续分配对 Azure 数字孪生 API 的权限。

接下来，选择要为这些 API 授予的权限。 展开“读取(1)”权限，然后选中标有“Read.Write”的框，以向此应用注册授予读取者和写入者权限。

完成后选择“添加权限”。

验证 API 权限

在“API 权限”页上，验证现在是否出现了与 Azure 数字孪生对应的、反映 Read.Write 权限的条目：

还可以在应用注册的 manifest.json 中验证与 Azure 数字孪生的连接。添加 API 权限后，会使用 Azure 数字孪生信息自动更新此文件。

为此，请从菜单中选择“清单”以查看应用注册的清单代码。 滚动到代码窗口的底部，然后在 requiredResourceAccess 下查找以下字段和值：

• "resourceAppId": "0b07f429-9f4b-4714-9392-cc5e8e80c8b0" （此值是 Azure 数字孪生服务终结点的资源 ID。
• "resourceAccess" > "id": "4589bd03-58cb-4e6c-b17f-b580e39652f8" （此值是 Azure 数字孪生中 Read.Write 委托权限的权限 ID。

这些值如以下屏幕截图所示：

如果缺少这些值，请重试有关添加 API 权限的部分中所述的步骤。

如果使用的是 CLI，则前面在执行创建注册步骤过程中已设置了 API 权限。

现在可以使用 Azure 门户来验证这些权限（切换到门户说明选项卡）。

以下是订阅的所有者或管理员可能需要执行的一些常见潜在活动。 可从 Azure 门户中的“Microsoft Entra 应用注册”页执行这些操作和其他操作。

• 授予管理员同意进行应用注册。 你的组织可能在订阅中的所有应用注册的 Microsoft Entra ID 中全局启用 “需要管理员同意 ”。 如果是这样，所有者/管理员需要在应用程序注册的 API 权限 页面上为您的公司选择此按钮，应用程序注册才能有效：

  

  • 如果已成功授予同意，则 Azure 数字孪生对应的条目应会显示“状态”值“已授予 (你的公司)”

  

• 激活公共客户端访问

• 设置特定的回复 URL 用于进行 Web 和桌面访问

• 允许隐式 OAuth2 身份验证流

以下是订阅的所有者或管理员可能需要执行的一些常见潜在活动。

• 授予管理员同意进行应用注册。 你的组织可能在订阅中的所有应用注册的 Microsoft Entra ID 中全局启用 “需要管理员同意 ”。 如果是这样，所有者/管理员可能需要授予更多委派权限或应用程序权限。
• 通过将 --set publicClient=true 追加到 create 或 update 命令，为注册激活公共客户端访问。
• 使用 --reply-urls 参数设置特定的回复 URL 用于进行 Web 和桌面访问。 要详细了解如何将此参数与 az ad 命令结合使用，请参阅 az ad app 文档。
• 使用 --oauth2-allow-implicit-flow 参数允许隐式 OAuth2 身份验证流。 要详细了解如何将此参数与 az ad 命令结合使用，请参阅 az ad app 文档。