Зарегистрируйте приложение, чтобы запрашивать токены авторизации и работать с API

1. Чтобы зарегистрировать приложение, откройте страницу обзора Microsoft Entra ID на портале Azure.

2. Выберите Регистрация приложений на боковой панели.

3. Выбор новой регистрации

4. На странице регистрации приложения введите имя приложения.

5. Нажмите кнопку Зарегистрировать.

6. На странице обзора приложения выберите сертификаты и секреты

7. Обратите внимание на идентификатор приложения (клиента). Он используется в HTTP-запросе для токена.

8. На вкладке "Секреты клиента" выберите новый секрет клиента

9. Введите описание и нажмите кнопку "Добавить"

10. Скопируйте и сохраните значение секрета клиента.

    Примечание.

    Значения клиентского секрета можно просматривать только сразу после создания. Перед выходом из страницы обязательно сохраните секрет.

    

Назначьте роль приложению для ресурсов, к которым вы хотите получить доступ с помощью API:

1. На портале Azure перейдите к ресурсу, группе ресурсов или подписке, где требуется предоставить доступ, и выберите элемент управления доступом (IAM).
2. Нажмите кнопку Добавить>Добавить назначение ролей.
3. На вкладке "Роль" выберите роль читателя и нажмите кнопку "Далее".
4. На вкладке "Участники" выберите "Назначить доступ к>пользователю, группе или субъекту-службе", а затем выберите участников и выберите свое приложение.
5. Выберите кнопку Проверить + назначить.

В следующем Azure CLI примере используется az ad sp create-for-rbac команда. Он создает приложение Microsoft Entra и субъект-службу с помощью --name параметра.

# Set variables
servicePrincipalName="<ServicePrincipalDisplayName>"

# Create the service principal and app registration
az ad sp create-for-rbac --name "$servicePrincipalName"

Ответ выглядит следующим образом:

{
  "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
  "displayName": "AzMonAPIApp",
  "password": "123456.ABCDE.~XYZ876123ABcEdB7169",
  "tenant": "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
}

В следующем Azure CLI примере используется az role assignment create команда. Он предоставляет субъекту-службе доступ к ресурсам, к которым вы обращаетесь через API с помощью параметра --scope.

# Set variables
appId="<AppId>"
roleName="<RoleName>"
scope="<ScopeResourceId>"

# Assign the role to the service principal
az role assignment create \
  --assignee "$appId" \
  --role "$roleName" \
  --scope "$scope"

В следующем примере Azure PowerShell используется командлет New-AzADServicePrincipal. Он создает регистрацию приложения и назначает роль с помощью Scope параметра.

# Set variables
$servicePrincipalName = "<ServicePrincipalDisplayName>"
$roleName = "<RoleName>"
$scope = "<ScopeResourceId>"

# Create a Microsoft Entra application and service principal with an auto-generated credential
$servicePrincipal = New-AzADServicePrincipal -DisplayName $servicePrincipalName

# Save the generated secret securely. It can't be retrieved after this point.
$servicePrincipal.PasswordCredentials.SecretText

# Define parameters for New-AzRoleAssignment
$newAzRoleAssignmentParams = @{
    RoleDefinitionName   = $roleName
    ServicePrincipalName = $servicePrincipal.AppId
    Scope                = $scope
}

# Assign the role to the service principal
New-AzRoleAssignment @newAzRoleAssignmentParams