De rolclaim configureren

  • Artikel

U kunt de rolclaim aanpassen in het toegangstoken dat wordt ontvangen nadat een toepassing is geautoriseerd. Gebruik deze functie als uw toepassing aangepaste rollen verwacht in het token. U kunt zoveel rollen maken als u nodig hebt.

Vereisten

Notitie

In dit artikel wordt uitgelegd hoe u toepassingsrollen in de service-principal maakt, bijwerkt of verwijdert met behulp van API's. Als u de nieuwe gebruikersinterface voor app-rollen wilt gebruiken, raadpleegt u App-rollen toevoegen aan uw toepassing en ontvangt u deze in het token.

De bedrijfstoepassing zoeken

Tip

Stappen in dit artikel kunnen enigszins variëren op basis van de portal waaruit u begint.

Gebruik de volgende stappen om de bedrijfstoepassing te zoeken:

  1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een cloudtoepassing Beheer istrator.
  2. Blader naar Bedrijfstoepassingen voor identiteitstoepassingen>>>Alle toepassingen.
  3. Voer de naam van de bestaande toepassing in het zoekvak in en selecteer vervolgens de toepassing in de zoekresultaten.
  4. Nadat de toepassing is geselecteerd, kopieert u de object-id in het overzichtsvenster.

Rollen toevoegen

Gebruik Microsoft Graph Explorer om rollen toe te voegen aan een bedrijfstoepassing.

  1. Open Microsoft Graph Explorer in een ander venster en meld u aan met de beheerdersreferenties voor uw tenant.

    Notitie

    De rol Cloud App Beheer istrator en App Beheer istrator werkt niet in dit scenario. De algemene Beheer-machtigingen zijn nodig voor het lezen en schrijven van mappen.

  2. Selecteer machtigingen voor wijzigen, selecteer Toestemming voor de Application.ReadWrite.All en de Directory.ReadWrite.All machtigingen in de lijst.

  3. Vervang <objectID> in de volgende aanvraag door de object-id die eerder is vastgelegd en voer de query uit:

    https://graph.microsoft.com/v1.0/servicePrincipals/<objectID>

  4. Een bedrijfstoepassing wordt ook wel een service-principal genoemd. Noteer de eigenschap appRoles van het service-principal-object dat is geretourneerd. In het volgende voorbeeld ziet u de typische eigenschap appRoles:

    {
  "appRoles": [
    {
      "allowedMemberTypes": [
        "User"
      ],
      "description": "msiam_access",
      "displayName": "msiam_access",
      "id": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
      "isEnabled": true,
      "origin": "Application",
      "value": null
    }
  ]
}

  5. Wijzig in Graph Explorer de methode van GET naar PATCH.

  6. Kopieer de eigenschap appRoles die eerder is vastgelegd in het deelvenster Aanvraagbody van Graph Explorer, voeg de nieuwe roldefinitie toe en selecteer vervolgens Query uitvoeren om de patchbewerking uit te voeren. Een bericht met succes bevestigt het maken van de rol. In het volgende voorbeeld ziet u de toevoeging van een Beheer rol:

    {
  "appRoles": [
    {
      "allowedMemberTypes": [
        "User"
      ],
      "description": "msiam_access",
      "displayName": "msiam_access",
      "id": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
      "isEnabled": true,
      "origin": "Application",
      "value": null
    },
    {
      "allowedMemberTypes": [
        "User"
      ],
      "description": "Administrators Only",
      "displayName": "Admin",
      "id": "11bb11bb-cc22-dd33-ee44-55ff55ff55ff",
      "isEnabled": true,
      "origin": "ServicePrincipal",
      "value": "Administrator"
    }
  ]
}

    U moet het msiam_access rolobject naast eventuele nieuwe rollen in de hoofdtekst van de aanvraag opnemen. Als u geen bestaande rollen in de aanvraagbody opneemt, worden deze verwijderd uit het appRoles-object . U kunt ook zoveel rollen toevoegen als uw organisatie nodig heeft. De waarde van deze rollen wordt verzonden als de claimwaarde in het SAML-antwoord. Als u de GUID-waarden voor de id van nieuwe rollen wilt genereren, gebruikt u de webhulpprogramma's, zoals de online-GUID/UUID-generator. De eigenschap appRoles in het antwoord bevat wat zich in de aanvraagtekst van de query bevond.

Kenmerken bewerken

Werk de kenmerken bij om de rolclaim te definiëren die is opgenomen in het token.

  1. Zoek de toepassing in het Microsoft Entra-beheercentrum en selecteer eenmalige aanmelding in het menu links.
  2. Selecteer Bewerken in de sectie Kenmerken en claims.
  3. Selecteer Nieuwe claim toevoegen.
  4. Typ de kenmerknaam in het vak Naam . In dit voorbeeld wordt rolnaam gebruikt als claimnaam.
  5. Laat het vak Naamruimte leeg.
  6. Selecteer user.assignedroles in de lijst bronkenmerken.
  7. Selecteer Opslaan. Het nieuwe kenmerk Rolnaam moet nu worden weergegeven in de sectie Kenmerken en claims . De claim moet nu worden opgenomen in het toegangstoken wanneer u zich aanmeldt bij de toepassing.

Rollen toewijzen

Nadat de service-principal is gepatcht met meer rollen, kunt u gebruikers toewijzen aan de respectieve rollen.

  1. Zoek de toepassing waaraan de rol is toegevoegd in het Microsoft Entra-beheercentrum.
  2. Selecteer Gebruikers en groepen in het linkermenu en selecteer vervolgens de gebruiker waaraan u de nieuwe rol wilt toewijzen.
  3. Selecteer Toewijzing bewerken boven aan het deelvenster om de rol te wijzigen.
  4. Selecteer Geen geselecteerd, selecteer de rol in de lijst en selecteer vervolgens Selecteren.
  5. Selecteer Toewijzen om de rol toe te wijzen aan de gebruiker.

Rollen bijwerken

Voer de volgende stappen uit om een bestaande rol bij te werken:

  1. Open Microsoft Graph Explorer.

  2. Meld u aan bij de Graph Explorer-site met behulp van de globale beheerders- of coadmin-referenties voor uw tenant.

  3. Vervang de object-id voor de toepassing in het overzichtsvenster <objectID> door de volgende aanvraag en voer vervolgens de query uit:

    https://graph.microsoft.com/v1.0/servicePrincipals/<objectID>

  4. Noteer de eigenschap appRoles van het service-principal-object dat is geretourneerd.

  5. Wijzig in Graph Explorer de methode van GET naar PATCH.

  6. Kopieer de eigenschap appRoles die eerder is vastgelegd in het deelvenster Aanvraagbody van Graph Explorer, voeg de roldefinitie bij en selecteer vervolgens Query uitvoeren om de patchbewerking uit te voeren.

Rollen verwijderen

Voer de volgende stappen uit om een bestaande rol te verwijderen:

  1. Open Microsoft Graph Explorer.

  2. Meld u aan bij de Graph Explorer-site met behulp van de globale beheerders- of coadmin-referenties voor uw tenant.

  3. Vervang in de volgende aanvraag door de object-id voor de toepassing in het overzichtsvenster in Azure Portal <objectID> en voer vervolgens de query uit:

    https://graph.microsoft.com/v1.0/servicePrincipals/<objectID>

  4. Noteer de eigenschap appRoles van het service-principal-object dat is geretourneerd.

  5. Wijzig in Graph Explorer de methode van GET naar PATCH.

  6. Kopieer de eigenschap appRoles die eerder is vastgelegd in het deelvenster Aanvraagbody van Graph Explorer, stel de waarde IsEnabled in op False voor de rol die u wilt verwijderen en selecteer Vervolgens Query uitvoeren om de patchbewerking uit te voeren. Een rol moet worden uitgeschakeld voordat deze kan worden verwijderd.

  7. Nadat de rol is uitgeschakeld, verwijdert u dat rolblok uit de sectie appRoles . Behoud de methode als PATCH en selecteer Query uitvoeren opnieuw.

Volgende stappen