Registrare l'app nel tenant esterno

Microsoft Entra per ID esterno consente all'organizzazione di gestire le identità dei clienti e di controllare in modo sicuro l'accesso alle applicazioni e alle API pubbliche. Applicazioni in cui i clienti possono acquistare i prodotti, sottoscrivere i servizi o accedere al proprio account e dati. I clienti devono accedere solo a un dispositivo o a un Web browser una sola volta e avere accesso a tutte le applicazioni a cui sono state concesse le autorizzazioni.

Per abilitare l'accesso dell'applicazione con ID esterno, è necessario registrare l'app con ID esterno. La registrazione dell'app stabilisce una relazione di trust tra l'app e l'ID esterno. Durante la registrazione dell'app, si specifica l'URI di reindirizzamento. L'URI di reindirizzamento è l'endpoint a cui gli utenti vengono reindirizzati da ID esterno dopo l'autenticazione. Il processo di registrazione dell'app genera un ID applicazione, noto anche come ID client, che identifica in modo univoco l'app.

L'ID esterno supporta l'autenticazione per varie architetture di applicazioni moderne, ad esempio app Web o app a pagina singola. L'interazione di ogni tipo di applicazione con il tenant esterno è diversa, pertanto è necessario specificare il tipo di applicazione da registrare.

Questo articolo illustra come registrare un'applicazione nel tenant esterno.

Prerequisiti

• Un account Azure con una sottoscrizione attiva. Creare un account gratuitamente.
• Tenant esterno. Se non è già disponibile, iscriversi per ottenere una versione di valutazione gratuita.

Scegliere il tipo di app

App a pagina singola

Registrare l'app a pagina singola

L'ID esterno supporta l'autenticazione per le app a pagina singola.

I passaggi seguenti illustrano come registrare l'applicazione a pagina singola nell'interfaccia di amministrazione di Microsoft Entra:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno uno sviluppatore di applicazioni.

2. Se si ha accesso a più tenant, usare l'icona Impostazioni nel menu in alto per passare al tenant esterno dal menu Directory e sottoscrizioni.

3. Passare a Applicazioni> di identità>Registrazioni app.

4. Seleziona + Nuova registrazione.

5. Nella pagina Registra un'applicazione visualizzata immettere le informazioni sulla registrazione dell'applicazione:

   1. Nella sezione Nome immettere un nome di applicazione significativo visualizzato agli utenti dell'app, ad esempio ciam-client-app.

   2. In Tipi di account supportati selezionare Account solo in questa directory organizzativa.

   3. In URI di reindirizzamento (facoltativo) selezionare Applicazione a pagina singola (SPA) e quindi, nella casella URL immettere http://localhost:3000/.

6. Selezionare Registra.

7. Al termine della registrazione, viene visualizzato il riquadro Panoramica dell'applicazione. Registrare l'ID directory (tenant) e l'ID applicazione (client) da usare nel codice sorgente dell'applicazione.

Informazioni sull'URI di reindirizzamento

L'URI di reindirizzamento è l'endpoint a cui l'utente viene inviato dal server di autorizzazione (in questo caso, Microsoft Entra ID) dopo aver completato l'interazione con l'utente e a cui viene inviato un token di accesso o un codice di autorizzazione al momento dell'autorizzazione.

In un'applicazione di produzione, si tratta in genere di un endpoint accessibile pubblicamente in cui l'app è in esecuzione, ad esempio https://contoso.com/auth-response.

Durante lo sviluppo di app, è possibile aggiungere l'endpoint in cui l'applicazione è in ascolto in locale, ad esempio http://localhost:3000. È possibile aggiungere e modificare gli URI di reindirizzamento nelle applicazioni registrate in qualsiasi momento.

Agli URL di reindirizzamento si applicano le restrizioni seguenti:

• L'URL di risposta deve iniziare con lo schema https, a meno che non si usi un URL di reindirizzamento localhost.

• L'URL di risposta rileva la distinzione tra maiuscole e minuscole. Le maiuscole e le minuscole devono corrispondere a quelle nel percorso URL dell'applicazione in esecuzione. Se, ad esempio, l'applicazione include come parte del percorso .../abc/response-oidc, non specificare .../ABC/response-oidc nell'URL di risposta. Poiché il Web browser rileva la distinzione tra maiuscole e minuscole nei percorsi, è possibile che i cookie associati a .../abc/response-oidc vengano esclusi se reindirizzati all'URL .../ABC/response-oidc senza la corrispondenza tra maiuscole e minuscole.

• L'URL di risposta deve includere o escludere la barra finale come previsto dall'applicazione. Ad esempio, https://contoso.com/auth-response e https://contoso.com/auth-response/ potrebbero essere considerati come URL non corrispondenti nell'applicazione.

Concedere autorizzazioni delegate

Questa app accede agli utenti. È possibile aggiungere autorizzazioni delegate, seguendo questa procedura:

1. Nella pagina Registrazioni app selezionare l'applicazione creata (ad esempio ciam-client-app) per aprire la relativa pagina Panoramica.

2. In Gestisci selezionare Autorizzazioni API.

3. In Autorizzazioni configurate selezionare Aggiungi un'autorizzazione.

4. Selezionare la scheda API Microsoft.

5. Nella sezione API Microsoft comunemente usate selezionare Microsoft Graph.

6. Selezionare l'opzione Autorizzazioni delegate.

7. Nella sezione Seleziona autorizzazioni cercare e selezionare sia openidche offline_access autorizzazioni.

8. Selezionare il pulsante Aggiungi autorizzazioni.

9. A questo punto, le autorizzazioni sono state assegnate correttamente. Tuttavia, poiché il tenant è un tenant di un cliente, gli utenti consumer stessi non possono fornire il consenso a queste autorizzazioni. L'amministratore deve fornire il consenso a queste autorizzazioni per conto di tutti gli utenti nel tenant:

   1. Selezionare Concedi consenso amministratore per <il nome> del tenant e quindi selezionare Sì.
   2. Selezionare Aggiorna, quindi verificare che Concesso per <il nome> del tenant venga visualizzato in Stato per entrambi gli ambiti.

Concedere autorizzazioni API (facoltativo):

Se l'applicazione a pagina singola deve chiamare un'API, è necessario concedere le autorizzazioni dell'API SPA in modo che possa chiamare l'API. È anche necessario registrare l'API Web che è necessario chiamare.

Per concedere all'app client (ciam-client-app) le autorizzazioni api, seguire questa procedura:

1. Nella pagina Registrazioni app selezionare l'applicazione creata (ad esempio ciam-client-app) per aprire la relativa pagina Panoramica.

2. In Gestisci selezionare Autorizzazioni API.

3. In Autorizzazioni configurate selezionare Aggiungi un'autorizzazione.

4. Selezionare la scheda API Microsoft.

5. Nella sezione API Microsoft comunemente usate selezionare Microsoft Graph.

6. Selezionare l'opzione Autorizzazioni delegate.

7. Nella sezione Seleziona autorizzazioni cercare e selezionare sia openidche offline_access autorizzazioni.

8. Selezionare il pulsante Aggiungi autorizzazioni .

9. In Autorizzazioni configurate selezionare di nuovo Aggiungi un'autorizzazione .

10. Selezionare la scheda API usate dall'organizzazione .

11. Nell'elenco delle API selezionare l'API, ad esempio ciam-ToDoList-api.

12. Selezionare l'opzione Autorizzazioni delegate.

13. Nell'elenco delle autorizzazioni selezionare ToDoList.Read, ToDoList.ReadWrite (usare la casella di ricerca, se necessario).

14. Selezionare il pulsante Aggiungi autorizzazioni.

15. A questo punto, le autorizzazioni sono state assegnate correttamente. Tuttavia, poiché il tenant è un tenant di un cliente, gli utenti consumer stessi non possono fornire il consenso a queste autorizzazioni. Per risolvere questo problema, l'amministratore deve fornire il consenso a queste autorizzazioni per conto di tutti gli utenti nel tenant:

    1. Selezionare Concedi consenso amministratore per <il nome> del tenant e quindi selezionare Sì.

    2. Selezionare Aggiorna, quindi verificare che Concesso per <il nome> del tenant venga visualizzato in Stato per entrambi gli ambiti.

16. Nell'elenco Autorizzazioni configurate selezionare le autorizzazioni ToDoList.Read e ToDoList.ReadWrite, una alla volta e quindi copiare l'URI completo dell'autorizzazione per un uso successivo. L'URI completo dell'autorizzazione ha un aspetto simile a api://{clientId}/{ToDoList.Read} o api://{clientId}/{ToDoList.ReadWrite}.

Per informazioni su come esporre le autorizzazioni aggiungendo un collegamento, passare alla sezione API Web.

Applicazione Web

Registrare l'app Web

L'ID esterno supporta l'autenticazione per le app Web.

I passaggi seguenti illustrano come registrare l'app Web nell'interfaccia di amministrazione di Microsoft Entra:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno uno sviluppatore di applicazioni.

2. Se si ha accesso a più tenant, usare l'icona Impostazioni nel menu in alto per passare al tenant esterno dal menu Directory e sottoscrizioni.

3. Passare a Applicazioni> di identità>Registrazioni app.

4. Seleziona + Nuova registrazione.

5. Nella pagina Registra un'applicazione visualizzata immettere le informazioni sulla registrazione dell'applicazione:

   1. Nella sezione Nome immettere un nome di applicazione significativo visualizzato agli utenti dell'app, ad esempio ciam-client-app.

   2. In Tipi di account supportati selezionare Account solo in questa directory organizzativa.

   3. In URI di reindirizzamento (facoltativo) selezionare Web e quindi, nella casella URL immettere un URL, ad esempio . http://localhost:3000/

6. Selezionare Registra.

7. Al termine della registrazione, viene visualizzato il riquadro Panoramica dell'applicazione. Registrare l'ID directory (tenant) e l'ID applicazione (client) da usare nel codice sorgente dell'applicazione.

Informazioni sull'URI di reindirizzamento

L'URI di reindirizzamento è l'endpoint a cui l'utente viene inviato dal server di autorizzazione (in questo caso, Microsoft Entra ID) dopo aver completato l'interazione con l'utente e a cui viene inviato un token di accesso o un codice di autorizzazione al momento dell'autorizzazione.

In un'applicazione di produzione, si tratta in genere di un endpoint accessibile pubblicamente in cui l'app è in esecuzione, ad esempio https://contoso.com/auth-response.

Durante lo sviluppo di app, è possibile aggiungere l'endpoint in cui l'applicazione è in ascolto in locale, ad esempio http://localhost:3000. È possibile aggiungere e modificare gli URI di reindirizzamento nelle applicazioni registrate in qualsiasi momento.

Agli URL di reindirizzamento si applicano le restrizioni seguenti:

• L'URL di risposta deve iniziare con lo schema https, a meno che non si usi un URL di reindirizzamento localhost.

• L'URL di risposta rileva la distinzione tra maiuscole e minuscole. Le maiuscole e le minuscole devono corrispondere a quelle nel percorso URL dell'applicazione in esecuzione. Se, ad esempio, l'applicazione include come parte del percorso .../abc/response-oidc, non specificare .../ABC/response-oidc nell'URL di risposta. Poiché il Web browser rileva la distinzione tra maiuscole e minuscole nei percorsi, è possibile che i cookie associati a .../abc/response-oidc vengano esclusi se reindirizzati all'URL .../ABC/response-oidc senza la corrispondenza tra maiuscole e minuscole.

• L'URL di risposta deve includere o escludere la barra finale come previsto dall'applicazione. Ad esempio, https://contoso.com/auth-response e https://contoso.com/auth-response/ potrebbero essere considerati come URL non corrispondenti nell'applicazione.

Aggiungere autorizzazioni delegate

Questa app accede agli utenti. È possibile aggiungere autorizzazioni delegate, seguendo questa procedura:

1. Nella pagina Registrazioni app selezionare l'applicazione creata (ad esempio ciam-client-app) per aprire la relativa pagina Panoramica.

2. In Gestisci selezionare Autorizzazioni API.

3. In Autorizzazioni configurate selezionare Aggiungi un'autorizzazione.

4. Selezionare la scheda API Microsoft.

5. Nella sezione API Microsoft comunemente usate selezionare Microsoft Graph.

6. Selezionare l'opzione Autorizzazioni delegate.

7. Nella sezione Seleziona autorizzazioni cercare e selezionare sia openidche offline_access autorizzazioni.

8. Selezionare il pulsante Aggiungi autorizzazioni.

9. A questo punto, le autorizzazioni sono state assegnate correttamente. Tuttavia, poiché il tenant è un tenant di un cliente, gli utenti consumer stessi non possono fornire il consenso a queste autorizzazioni. L'amministratore deve fornire il consenso a queste autorizzazioni per conto di tutti gli utenti nel tenant:

   1. Selezionare Concedi consenso amministratore per <il nome> del tenant e quindi selezionare Sì.
   2. Selezionare Aggiorna, quindi verificare che Concesso per <il nome> del tenant venga visualizzato in Stato per entrambi gli ambiti.

Creare un segreto client

Creare un segreto client per l'applicazione registrata. L'applicazione usa il segreto client per dimostrare la propria identità quando richiede token.

1. Nella pagina Registrazioni app selezionare l'applicazione creata (ad esempio ciam-client-app) per aprire la relativa pagina Panoramica.
2. In Gestisci, selezionare Certificati e segreti.
3. Selezionare Nuovo segreto client.
4. Nella casella Descrizione immettere una descrizione per il segreto client, ad esempio il segreto client dell'app ciam.
5. In Scadenza selezionare una durata per cui il segreto è valido (in base alle regole di sicurezza dell'organizzazione) e quindi selezionare Aggiungi.
6. Registrare il Valore del segreto. Questo valore verrà usato per la configurazione in un passaggio successivo. Il valore del segreto non verrà visualizzato di nuovo e non sarà recuperabile in alcun modo, dopo che si esce dai certificati e dai segreti. Assicurarsi di registrarlo.

Concedere autorizzazioni API (facoltativo)

Se l'app Web deve chiamare un'API, è necessario concedere le autorizzazioni api dell'app Web in modo che possa chiamare l'API. È anche necessario registrare l'API Web che è necessario chiamare.

Per concedere all'app client (ciam-client-app) le autorizzazioni api, seguire questa procedura:

1. Nella pagina Registrazioni app selezionare l'applicazione creata (ad esempio ciam-client-app) per aprire la relativa pagina Panoramica.

2. In Gestisci selezionare Autorizzazioni API.

3. In Autorizzazioni configurate selezionare Aggiungi un'autorizzazione.

4. Selezionare la scheda API Microsoft.

5. Nella sezione API Microsoft comunemente usate selezionare Microsoft Graph.

6. Selezionare l'opzione Autorizzazioni delegate.

7. Nella sezione Seleziona autorizzazioni cercare e selezionare sia openidche offline_access autorizzazioni.

8. Selezionare il pulsante Aggiungi autorizzazioni .

9. In Autorizzazioni configurate selezionare di nuovo Aggiungi un'autorizzazione .

10. Selezionare la scheda API usate dall'organizzazione .

11. Nell'elenco delle API selezionare l'API, ad esempio ciam-ToDoList-api.

12. Selezionare l'opzione Autorizzazioni delegate.

13. Nell'elenco delle autorizzazioni selezionare ToDoList.Read, ToDoList.ReadWrite (usare la casella di ricerca, se necessario).

14. Selezionare il pulsante Aggiungi autorizzazioni.

15. A questo punto, le autorizzazioni sono state assegnate correttamente. Tuttavia, poiché il tenant è un tenant di un cliente, gli utenti consumer stessi non possono fornire il consenso a queste autorizzazioni. Per risolvere questo problema, l'amministratore deve fornire il consenso a queste autorizzazioni per conto di tutti gli utenti nel tenant:

    1. Selezionare Concedi consenso amministratore per <il nome> del tenant e quindi selezionare Sì.

    2. Selezionare Aggiorna, quindi verificare che Concesso per <il nome> del tenant venga visualizzato in Stato per entrambi gli ambiti.

16. Nell'elenco Autorizzazioni configurate selezionare le autorizzazioni ToDoList.Read e ToDoList.ReadWrite, una alla volta e quindi copiare l'URI completo dell'autorizzazione per un uso successivo. L'URI completo dell'autorizzazione ha un aspetto simile a api://{clientId}/{ToDoList.Read} o api://{clientId}/{ToDoList.ReadWrite}.

API Web

Registrare l'API Web

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno uno sviluppatore di applicazioni.

2. Se si ha accesso a più tenant, usare l'icona Impostazioni nel menu in alto per passare al tenant esterno dal menu Directory e sottoscrizioni.

3. Passare a Applicazioni> di identità>Registrazioni app.

4. Seleziona + Nuova registrazione.

5. Nella pagina Registra un'applicazione visualizzata immettere le informazioni sulla registrazione dell'applicazione:

   1. Nella sezione Nome immettere un nome di applicazione significativo che verrà visualizzato agli utenti dell'app, ad esempio ciam-ToDoList-api.

   2. In Tipi di account supportati selezionare Account solo in questa directory organizzativa.

6. Selezionare Registra per creare l'applicazione.

7. Al termine della registrazione, viene visualizzato il riquadro Panoramica dell'applicazione. Registrare l'ID directory (tenant) e l'ID applicazione (client) da usare nel codice sorgente dell'applicazione.

Esporre le autorizzazioni

Un'API deve pubblicare almeno un ambito, detto anche Autorizzazione delegata, affinché le app client ottengano correttamente un token di accesso per un utente. Per pubblicare un ambito, seguire questa procedura:

1. Nella pagina Registrazioni app selezionare l'applicazione API creata (ciam-ToDoList-api) per aprire la relativa pagina Panoramica.

2. In Gestisci selezionare Esponi un'API.

3. Nella parte superiore della pagina, accanto a URI ID applicazione, selezionare il collegamento Aggiungi per generare un URI univoco per questa app.

4. Accettare l'URI dell'ID applicazione proposto, api://{clientId}ad esempio , e selezionare Salva. Quando l'applicazione Web richiede un token di accesso per l'API Web, aggiunge l'URI come prefisso per ogni ambito definito per l'API.

5. In Ambiti definiti da questa API selezionare Aggiungi un ambito.

6. Immettere i valori seguenti che definiscono un accesso in lettura all'API, quindi selezionare Aggiungi ambito per salvare le modifiche:

   Proprietà	valore
   Nome ambito	ToDoList.Read
   Utenti che possono fornire il consenso	Solo amministratori
   Nome visualizzato consenso dell'amministratore	Leggere l'elenco ToDo degli utenti usando "TodoListApi"
   Descrizione consenso dell'amministratore	Consentire all'app di leggere l'elenco ToDo dell'utente usando "TodoListApi".
   Provincia	Abilitato

7. Selezionare di nuovo Aggiungi un ambito e immettere i valori seguenti che definiscono un ambito di accesso in lettura e scrittura all'API. Selezionare Aggiungi ambito per salvare le modifiche:

   Proprietà	valore
   Nome ambito	ToDoList.ReadWrite
   Utenti che possono fornire il consenso	Solo amministratori
   Nome visualizzato consenso dell'amministratore	Leggere e scrivere l'elenco ToDo degli utenti usando "ToDoListApi"
   Descrizione consenso dell'amministratore	Consentire all'app di leggere e scrivere l'elenco ToDo dell'utente usando "ToDoListApi"
   Provincia	Abilitato

8. In Gestisci selezionare Manifesto per aprire l'editor del manifesto dell'API.

9. Impostare accessTokenAcceptedVersion la proprietà su 2.

10. Seleziona Salva.

Altre informazioni sul principio dei privilegi minimi durante la pubblicazione delle autorizzazioni per un'API Web.

Aggiungere ruoli dell'app

Un'API deve pubblicare almeno un ruolo dell'app per le applicazioni, detta anche autorizzazione dell'applicazione, affinché le app client ottengano un token di accesso come se stessi. Le autorizzazioni dell'applicazione sono il tipo di autorizzazioni che le API devono pubblicare quando vogliono consentire alle applicazioni client di eseguire correttamente l'autenticazione come se stesse e non devono accedere agli utenti. Per pubblicare un'autorizzazione dell'applicazione, seguire questa procedura:

1. Nella pagina Registrazioni app selezionare l'applicazione creata(ad esempio ciam-ToDoList-api) per aprire la relativa pagina Panoramica.

2. In Gestisci selezionare Ruoli app.

3. Selezionare Crea ruolo app, quindi immettere i valori seguenti, quindi selezionare Applica per salvare le modifiche:

   Proprietà	valore
   Nome visualizzato	ToDoList.Read.All
   Tipi di membro consentiti	Applicazioni
   Valore	ToDoList.Read.All
   Descrizione	Consenti all'app di leggere l'elenco ToDo di ogni utente usando "TodoListApi"

4. Selezionare di nuovo Crea ruolo app, quindi immettere i valori seguenti per il secondo ruolo dell'app, quindi selezionare Applica per salvare le modifiche:

   Proprietà	valore
   Nome visualizzato	ToDoList.ReadWrite.All
   Tipi di membro consentiti	Applicazioni
   Valore	ToDoList.ReadWrite.All
   Descrizione	Consentire all'app di leggere e scrivere l'elenco ToDo di ogni utente usando "ToDoListApi"

App desktop o per dispositivi mobili

Registrare l'app Desktop o Mobile

I passaggi seguenti illustrano come registrare l'app nell'interfaccia di amministrazione di Microsoft Entra:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno uno sviluppatore di applicazioni.

2. Se si ha accesso a più tenant, usare l'icona Impostazioni nel menu in alto per passare al tenant esterno dal menu Directory e sottoscrizioni.

3. Passare a Applicazioni> di identità>Registrazioni app.

4. Seleziona + Nuova registrazione.

5. Nella pagina Registra un'applicazione visualizzata immettere le informazioni sulla registrazione dell'applicazione:

   1. Nella sezione Nome immettere un nome di applicazione significativo visualizzato agli utenti dell'app, ad esempio ciam-client-app.

   2. In Tipi di account supportati selezionare Account solo in questa directory organizzativa.

   3. In URI di reindirizzamento (facoltativo) selezionare l'opzione Applicazioni per dispositivi mobili e desktop e quindi immettere un URI con uno schema univoco nella casella URL. Ad esempio, l'URI di reindirizzamento dell'app desktop Electron ha un aspetto simile a http://localhost mentre quello di un'interfaccia utente dell'app multipiattaforma .NET (MAUI) è simile a msal{ClientId}://auth.

6. Selezionare Registra.

7. Al termine della registrazione, viene visualizzato il riquadro Panoramica dell'applicazione. Registrare l'ID directory (tenant) e l'ID applicazione (client) da usare nel codice sorgente dell'applicazione.

Aggiungere autorizzazioni delegate

1. Nella pagina Registrazioni app selezionare l'applicazione creata (ad esempio ciam-client-app) per aprire la relativa pagina Panoramica.

2. In Gestisci selezionare Autorizzazioni API.

3. In Autorizzazioni configurate selezionare Aggiungi un'autorizzazione.

4. Selezionare la scheda API Microsoft.

5. Nella sezione API Microsoft comunemente usate selezionare Microsoft Graph.

6. Selezionare l'opzione Autorizzazioni delegate.

7. Nella sezione Seleziona autorizzazioni cercare e selezionare sia openidche offline_access autorizzazioni.

8. Selezionare il pulsante Aggiungi autorizzazioni.

9. A questo punto, le autorizzazioni sono state assegnate correttamente. Tuttavia, poiché il tenant è un tenant di un cliente, gli utenti consumer stessi non possono fornire il consenso a queste autorizzazioni. L'amministratore deve fornire il consenso a queste autorizzazioni per conto di tutti gli utenti nel tenant:

   1. Selezionare Concedi consenso amministratore per <il nome> del tenant e quindi selezionare Sì.
   2. Selezionare Aggiorna, quindi verificare che Concesso per <il nome> del tenant venga visualizzato in Stato per entrambi gli ambiti.

Concedere autorizzazioni API (facoltativo)

Se l'app per dispositivi mobili deve chiamare un'API, è necessario concedere le autorizzazioni api dell'app per dispositivi mobili in modo che possa chiamare l'API. È anche necessario registrare l'API Web che è necessario chiamare.

Per concedere all'app client (ciam-client-app) le autorizzazioni api, seguire questa procedura:

1. Nella pagina Registrazioni app selezionare l'applicazione creata (ad esempio ciam-client-app) per aprire la relativa pagina Panoramica.

2. In Gestisci selezionare Autorizzazioni API.

3. In Autorizzazioni configurate selezionare Aggiungi un'autorizzazione.

4. Selezionare la scheda API Microsoft.

5. Nella sezione API Microsoft comunemente usate selezionare Microsoft Graph.

6. Selezionare l'opzione Autorizzazioni delegate.

7. Nella sezione Seleziona autorizzazioni cercare e selezionare sia openidche offline_access autorizzazioni.

8. Selezionare il pulsante Aggiungi autorizzazioni .

9. In Autorizzazioni configurate selezionare di nuovo Aggiungi un'autorizzazione .

10. Selezionare la scheda API usate dall'organizzazione .

11. Nell'elenco delle API selezionare l'API, ad esempio ciam-ToDoList-api.

12. Selezionare l'opzione Autorizzazioni delegate.

13. Nell'elenco delle autorizzazioni selezionare ToDoList.Read, ToDoList.ReadWrite (usare la casella di ricerca, se necessario).

14. Selezionare il pulsante Aggiungi autorizzazioni.

15. A questo punto, le autorizzazioni sono state assegnate correttamente. Tuttavia, poiché il tenant è un tenant di un cliente, gli utenti consumer stessi non possono fornire il consenso a queste autorizzazioni. Per risolvere questo problema, l'amministratore deve fornire il consenso a queste autorizzazioni per conto di tutti gli utenti nel tenant:

    1. Selezionare Concedi consenso amministratore per <il nome> del tenant e quindi selezionare Sì.

    2. Selezionare Aggiorna, quindi verificare che Concesso per <il nome> del tenant venga visualizzato in Stato per entrambi gli ambiti.

16. Nell'elenco Autorizzazioni configurate selezionare le autorizzazioni ToDoList.Read e ToDoList.ReadWrite, una alla volta e quindi copiare l'URI completo dell'autorizzazione per un uso successivo. L'URI completo dell'autorizzazione ha un aspetto simile a api://{clientId}/{ToDoList.Read} o api://{clientId}/{ToDoList.ReadWrite}.

App daemon

Registrare l'app Daemon

I passaggi seguenti illustrano come registrare l'app daemon nell'interfaccia di amministrazione di Microsoft Entra:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno uno sviluppatore di applicazioni.

2. Se si ha accesso a più tenant, usare l'icona Impostazioni nel menu in alto per passare al tenant esterno dal menu Directory e sottoscrizioni.

3. Passare a Applicazioni> di identità>Registrazioni app.

4. Seleziona + Nuova registrazione.

5. Nella pagina Registra un'applicazione visualizzata immettere le informazioni sulla registrazione dell'applicazione:

   1. Nella sezione Nome immettere un nome di applicazione significativo che verrà visualizzato agli utenti dell'app, ad esempio ciam-client-app.

   2. In Tipi di account supportati selezionare Account solo in questa directory organizzativa.

6. Selezionare Registra.

7. Al termine della registrazione, viene visualizzato il riquadro Panoramica dell'applicazione. Registrare l'ID directory (tenant) e l'ID applicazione (client) da usare nel codice sorgente dell'applicazione.

Concedere le autorizzazioni delle API

Un'app daemon accede come se stessa usando il flusso di credenziali client OAuth 2.0. Si concedono le autorizzazioni dell'applicazione (ruoli dell'app), richieste dalle app che eseguono l'autenticazione come se stesse. È anche necessario registrare l'API Web che l'app daemon deve chiamare.

1. Nella pagina Registrazioni app selezionare l'applicazione creata, ad esempio ciam-client-app.

2. In Gestisci selezionare Autorizzazioni API.

3. In Autorizzazioni configurate selezionare Aggiungi un'autorizzazione.

4. Selezionare la scheda API usate dall'organizzazione .

5. Nell'elenco delle API selezionare l'API, ad esempio ciam-ToDoList-api.

6. Selezionare l'opzione Autorizzazioni applicazione. Questa opzione viene selezionata quando l'app esegue l'accesso come se stesso, non come utenti.

7. Nell'elenco delle autorizzazioni selezionare TodoList.Read.All, ToDoList.ReadWrite.All (usare la casella di ricerca, se necessario).

8. Selezionare il pulsante Aggiungi autorizzazioni.

9. A questo punto, le autorizzazioni sono state assegnate correttamente. Tuttavia, poiché l'app daemon non consente agli utenti di interagire con essa, gli utenti stessi non possono fornire il consenso a queste autorizzazioni. Per risolvere questo problema, l'amministratore deve fornire il consenso a queste autorizzazioni per conto di tutti gli utenti nel tenant:

   1. Selezionare Concedi consenso amministratore per <il nome> del tenant e quindi selezionare Sì.
   2. Selezionare Aggiorna, quindi verificare che Concesso per <il nome> del tenant sia visualizzato in Stato per entrambe le autorizzazioni.

API di Microsoft Graph

Registrare un'applicazione API Microsoft Graph

Per consentire all'applicazione di accedere agli utenti con Microsoft Entra, Microsoft Entra per ID esterno deve essere informato dell'applicazione creata. La registrazione dell'app stabilisce una relazione di trust tra l'app e Microsoft Entra. Quando si registra un'applicazione, l'ID esterno genera un identificatore univoco noto come ID applicazione (client), un valore usato per identificare l'app durante la creazione di richieste di autenticazione.

I passaggi seguenti illustrano come registrare l'app nell'interfaccia di amministrazione di Microsoft Entra:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno uno sviluppatore di applicazioni.

2. Se si ha accesso a più tenant, usare l'icona Impostazioni nel menu in alto per passare al tenant esterno dal menu Directory e sottoscrizioni.

3. Passare a Applicazioni> di identità>Registrazioni app.

4. Seleziona + Nuova registrazione.

5. Nella pagina Registra un'applicazione visualizzata;

   1. Immettere un nome di applicazione significativo visualizzato agli utenti dell'app, ad esempio ciam-client-app.
   2. In Tipi di account supportati selezionare Account solo in questa directory organizzativa.

6. Selezionare Registra.

7. Al termine della registrazione, viene visualizzato il riquadro Panoramica dell'applicazione. Registrare l'ID applicazione (client) da usare nel codice sorgente dell'applicazione.

Concedere l'accesso all'API all'applicazione

Per consentire all'applicazione di accedere ai dati nell'API Microsoft Graph, concedere all'applicazione registrata le autorizzazioni dell'applicazione pertinenti. Le autorizzazioni valide dell'applicazione sono il livello completo di privilegi impliciti per l'autorizzazione. Ad esempio, per creare, leggere, aggiornare ed eliminare ogni utente nel tenant esterno, aggiungere l'autorizzazione User.ReadWrite.All.

1. In Gestisci selezionare Autorizzazioni API.

2. In Autorizzazioni configurate selezionare Aggiungi un'autorizzazione.

3. Selezionare la scheda API Microsoft, quindi selezionare Microsoft Graph.

4. Seleziona Autorizzazioni applicazione.

5. Espandere il gruppo di autorizzazioni appropriato e selezionare la casella di controllo dell'autorizzazione da concedere all'applicazione di gestione. Ad esempio:

   • User.ReadWrite.All>: per scenari di migrazione utente o gestione utenti.

   • Group.ReadWrite.All>: per creare gruppi, leggere e aggiornare le appartenenze ai gruppi ed eliminare gruppi.

   • AuditLog.Read.All>: per la lettura dei log di controllo della directory.

   • Policy.ReadWrite.TrustFramework>: per scenari di integrazione continua/recapito continuo (CI/CD). Ad esempio, distribuzione di criteri personalizzati con Azure Pipelines.

6. Selezionare Aggiungi autorizzazioni. Come indicato, attendere alcuni minuti prima di procedere con il passaggio successivo.

7. Selezionare Concedi consenso amministratore per (nome del tenant).

8. Se non si è attualmente connessi, accedere con un account nel tenant esterno a cui è stato assegnato almeno il ruolo Applicazione cloud Amministrazione istrator e quindi selezionare Concedi consenso amministratore per (nome del tenant).

9. Selezionare Aggiorna e quindi verificare che "Concesso per ..." viene visualizzato in Stato. La propagazione delle autorizzazioni potrebbe richiedere alcuni minuti.

Dopo aver registrato l'applicazione, è necessario aggiungere un segreto client all'applicazione. Questo segreto client verrà usato per autenticare l'applicazione per chiamare l'API Microsoft Graph.

Creare un segreto client

Creare un segreto client per l'applicazione registrata. L'applicazione usa il segreto client per dimostrare la propria identità quando richiede token.

1. Nella pagina Registrazioni app selezionare l'applicazione creata (ad esempio ciam-client-app) per aprire la relativa pagina Panoramica.
2. In Gestisci, selezionare Certificati e segreti.
3. Selezionare Nuovo segreto client.
4. Nella casella Descrizione immettere una descrizione per il segreto client, ad esempio il segreto client dell'app ciam.
5. In Scadenza selezionare una durata per cui il segreto è valido (in base alle regole di sicurezza dell'organizzazione) e quindi selezionare Aggiungi.
6. Registrare il Valore del segreto. Questo valore verrà usato per la configurazione in un passaggio successivo. Il valore del segreto non verrà visualizzato di nuovo e non sarà recuperabile in alcun modo, dopo che si esce dai certificati e dai segreti. Assicurarsi di registrarlo.

Autenticazione nativa

Registrare un'applicazione di autenticazione nativa

Per consentire all'applicazione di accedere agli utenti con Microsoft Entra, Microsoft Entra per ID esterno deve essere informato dell'applicazione creata. La registrazione dell'app stabilisce una relazione di trust tra l'app e Microsoft Entra. Quando si registra un'applicazione, l'ID esterno genera un identificatore univoco noto come ID applicazione (client), un valore usato per identificare l'app durante la creazione di richieste di autenticazione.

I passaggi seguenti illustrano come registrare l'app nell'interfaccia di amministrazione di Microsoft Entra:

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno uno sviluppatore di applicazioni.

2. Se si ha accesso a più tenant, usare l'icona Impostazioni nel menu in alto per passare al tenant esterno dal menu Directory e sottoscrizioni.

3. Passare a Applicazioni> di identità>Registrazioni app.

4. Seleziona + Nuova registrazione.

5. Nella pagina Registra un'applicazione visualizzata;

   1. Immettere un nome di applicazione significativo visualizzato agli utenti dell'app, ad esempio ciam-client-app.
   2. In Tipi di account supportati selezionare Account solo in questa directory organizzativa.

6. Selezionare Registra.

7. Al termine della registrazione, viene visualizzato il riquadro Panoramica dell'applicazione. Registrare l'ID applicazione (client) da usare nel codice sorgente dell'applicazione.

Aggiungere autorizzazioni delegate

Questa app accede agli utenti. È possibile aggiungere autorizzazioni delegate, seguendo questa procedura:

1. Nella pagina Registrazioni app selezionare l'applicazione creata (ad esempio ciam-client-app) per aprire la relativa pagina Panoramica.

2. In Gestisci selezionare Autorizzazioni API.

3. In Autorizzazioni configurate selezionare Aggiungi un'autorizzazione.

4. Selezionare la scheda API Microsoft.

5. Nella sezione API Microsoft comunemente usate selezionare Microsoft Graph.

6. Selezionare l'opzione Autorizzazioni delegate.

7. Nella sezione Seleziona autorizzazioni cercare e selezionare sia openidche offline_access autorizzazioni.

8. Selezionare il pulsante Aggiungi autorizzazioni.

9. A questo punto, le autorizzazioni sono state assegnate correttamente. Tuttavia, poiché il tenant è un tenant di un cliente, gli utenti consumer stessi non possono fornire il consenso a queste autorizzazioni. L'amministratore deve fornire il consenso a queste autorizzazioni per conto di tutti gli utenti nel tenant:

   1. Selezionare Concedi consenso amministratore per <il nome> del tenant e quindi selezionare Sì.
   2. Selezionare Aggiorna, quindi verificare che Concesso per <il nome> del tenant venga visualizzato in Stato per entrambi gli ambiti.

Abilitare i flussi di autenticazione nativi e client pubblici

Per specificare che l'app è un client pubblico e può usare l'autenticazione nativa, abilitare i flussi di autenticazione pubblici e nativi del client:

1. Nella pagina Registrazioni app selezionare la registrazione dell'app per cui si vuole abilitare i flussi di autenticazione pubblici e client pubblici.
2. In Gestisci selezionare Autenticazione.
3. In Impostazioni avanzate consentire i flussi client pubblici:
   1. Per Abilita i flussi per dispositivi mobili e desktop seguenti selezionare Sì.
   2. Per Abilita autenticazione nativa selezionare Sì.
4. Selezionare il pulsante Salva.

Trovare l'ID applicazione (client)

Dopo aver registrato una nuova applicazione, è possibile trovare l'ID applicazione (client) dalla panoramica nell'interfaccia di amministrazione di Microsoft Entra.

1. Nella pagina Registrazioni app selezionare la scheda Tutte le applicazioni o Applicazioni di proprietà.

2. Selezionare l'applicazione per aprire la relativa pagina Panoramica .

3. In Informazioni di base sono disponibili tutti i dettagli dell'app, incluso l'ID applicazione (client).

   

Passaggi successivi

• Creare un flusso utente di iscrizione e accesso