Поделиться через

agentIdentityBlueprint: addKey

Пространство имен: microsoft.graph

Важно!

API версии /beta в Microsoft Graph могут быть изменены. Использование этих API в производственных приложениях не поддерживается. Чтобы определить, доступен ли API в версии 1.0, используйте селектор версий.

Добавьте учетные данные ключа в agentIdentityBlueprint. Этот метод, наряду с removeKey, можно использовать для автоматизации смены ключей с истекающим сроком действия.

Примечание.

Значение открытого ключа следует указать только при добавлении учетных данных сертификата в приложение. Добавление сертификата закрытого ключа в приложение может поставить его под угрозу.

В рамках проверки запроса для этого метода перед выполнением действия проверяется подтверждение владения существующим ключом.

Схемы удостоверений агента, у которых нет существующих действительных сертификатов (сертификаты еще не добавлены или срок действия всех сертификатов истек), не смогут использовать это действие службы. Вместо этого можно использовать операцию схемы удостоверения агента обновления , чтобы выполнить обновление.

Разрешения

Выберите разрешение или разрешения, помеченные как наименее привилегированные для этого API. Используйте более привилегированное разрешение или разрешения только в том случае, если это требуется приложению. Дополнительные сведения о делегированных разрешениях и разрешениях приложений см. в разделе Типы разрешений. Дополнительные сведения об этих разрешениях см. в справочнике по разрешениям.

Тип разрешения Разрешение с наименьшими привилегиями Более высокие привилегированные разрешения
Делегированные (рабочая или учебная учетная запись) AgentIdentityBlueprint.AddRemoveCreds.All AgentIdentityBlueprint.ReadWrite.All
Делегированные (личная учетная запись Майкрософт) Не поддерживается. Не поддерживается.
Приложение AgentIdentityBlueprint.AddRemoveCreds.All AgentIdentityBlueprint.ReadWrite.All

Важно!

  • Известная проблема. Если клиенту предоставлено разрешение Directory.AccessAsUser.All или Directory.ReadWrite.All , разрешения клиента на создание, обновление и удаление идентификаторов агента игнорируются, что может привести к сбою запросов с 403 Unauthorized ошибкой. Чтобы устранить эту проблему, удалите Directory.AccessAsUser.All разрешение или Directory.ReadWrite.All у клиента, запросите новые маркеры доступа и повторите запрос.

  • При использовании делегированных разрешений пользователю, прошедшему проверку подлинности, должна быть назначена одна из следующих поддерживаемых Microsoft Entra ролей:

    • Администратор идентификатора агента.
    • Разработчик идентификатора агента— создание схем удостоверений агента. Субъект с этой ролью является владельцем создаваемой схемы и может выполнять операции записи в этой схеме.

HTTP-запрос

POST /applications/{id}/microsoft.graph.agentIdentityBlueprint/addKey

Заголовки запросов

Имя Описание
Авторизация Bearer {token}. Обязательно. Дополнительные сведения о проверке подлинности и авторизации.
Content-Type application/json. Обязательно.

Текст запроса

В тексте запроса укажите представление параметров в формате JSON. В следующей таблице перечислены параметры, необходимые при вызове этого действия.

Свойство Тип Описание
keyCredential keyCredential Новые учетные данные ключа приложения для добавления. Тип, использование и ключ являются обязательными свойствами для этого использования. Поддерживаемые типы ключей:
  • AsymmetricX509Cert: использование должно иметь значение Verify.
  • X509CertAndPassword: использование должно быть Sign
passwordCredential passwordCredential Необходимо задать только secretText , который должен содержать пароль для ключа. Это свойство требуется только для ключей типа X509CertAndPassword. Присвойте ему значение в null противном случае.
Доказательство String Самозаверяющий токен JWT, используемый в качестве доказательства владения существующими ключами. Маркер JWT должен быть подписан с использованием закрытого ключа одного из существующих действительных сертификатов приложения. Маркер должен содержать следующие утверждения:
  • aud: аудитория должна быть 00000002-0000-0000-c000-000000000000.
  • iss: издатель должен быть идентификатором приложения , которое инициирует запрос.
  • nbf: Не раньше времени.
  • exp: время окончания срока действия должно иметь значение nbf + 10 минут.

Инструкции по созданию этого маркера владения см. в разделе Создание подтверждения маркеров владения для сменных ключей. Дополнительные сведения о типах утверждений см. в разделе Полезные данные утверждений.

Отклик

В случае успешного выполнения это действие возвращает код отклика 200 OK и keyCredential в тексте ответа.

Примеры

Запрос

Ниже показан пример запроса.

POST https://graph.microsoft.com/beta/applications/{id}/microsoft.graph.agentIdentityBlueprint/addKey
Content-Type: application/json

{
  "keyCredential": {
    "@odata.type": "microsoft.graph.keyCredential"
  },
  "passwordCredential": {
    "@odata.type": "microsoft.graph.passwordCredential"
  },
  "proof": "String"
}

Отклик

Ниже показан пример отклика.

Примечание. Объект отклика, показанный здесь, может быть сокращен для удобочитаемости.

HTTP/1.1 200 OK
Content-Type: application/json

{
  "value": {
    "@odata.type": "microsoft.graph.keyCredential"
  }
}
  • Last updated on