Configurare Gestore delle credenziali - API Microsoft Graph

SI APPLICA A: Tutti i livelli di Gestione API

Questo articolo illustra i passaggi necessari per creare una connessione gestita all'API Microsoft Graph da Gestione API di Azure. Usare il provider di identità Microsoft Entra per chiamare l'API Microsoft Graph. In questo esempio viene usato il tipo di concessione del codice di autorizzazione.

Scopri come:

Prerequisiti

• Accesso a un tenant di Microsoft Entra in cui si dispone delle autorizzazioni per creare una registrazione dell'app e concedere il consenso amministratore per le autorizzazioni dell'app. Per altre informazioni, vedere Limitare chi può creare applicazioni.

  Se si vuole creare un tenant per sviluppatore personalizzato, è possibile iscriversi al Programma per sviluppatori di Microsoft 365.

• Istanza di Gestione API in esecuzione. Se non è disponibile, vedere Creare una nuova istanza di Gestione API di Azure.

• Abilitare un'identità gestita assegnata dal sistema nell'istanza di Gestione API.

Passaggio 1: Creare un'applicazione Microsoft Entra

Creare un'applicazione Microsoft Entra per l'API e concedere le autorizzazioni appropriate per le richieste che si desidera chiamare.

1. Accedere al portale di Azure con un account con autorizzazioni sufficienti nel tenant.

2. Cerca e seleziona Microsoft Entra ID.

3. In Gestisci nel menu della barra laterale selezionare Registrazioni app e quindi + Nuova registrazione.

4. In Registra un'applicazione immettere le impostazioni di registrazione dell'applicazione:

   1. In Nome immettere un nome significativo per l'app, ad esempio MicrosoftGraphAuth.

   2. In Tipi di account supportati selezionare un'opzione adatta allo scenario, ad esempio Account in questa directory organizzativa (solo tenant singolo).

   3. Impostare URI di reindirizzamento su Web e immettere https://authorization-manager.consent.azure-apim.net/redirect/apim/<YOUR-APIM-SERVICENAME>, sostituendo il nome del servizio Gestione API in cui si configura il provider di credenziali.

   4. Selezionare Registrazione.

      

5. Nel menu della barra laterale selezionare Gestisci>autorizzazioni API. Assicurarsi che l'autorizzazione User.Read con il tipo Delegato sia già stata aggiunta.

6. Seleziona + Aggiungi un'autorizzazione.

   1. Selezionare Microsoft Graph e quindi autorizzazioni delegate.
   2. Digitare Team, espandere le opzioni Team e quindi selezionare Team.ReadBasic.All. Selezionare Aggiungi autorizzazioni.
   3. Selezionare quindi Concedi consenso amministratore per Directory predefinita. Lo stato delle autorizzazioni cambia in Concesso per la directory predefinita.

7. Nel menu della barra laterale selezionare Panoramica. Nella sezione Panoramica, trova il valore ID applicazione (client) e registralo per l'uso nel passaggio 2. Se necessario, copiare anche il valore ID del tenant (directory).

Passaggio 3: Configurare una connessione

Nella scheda Connessione completare i passaggi per la connessione al provider.

1. Immettere un nome di connessione e quindi selezionare Salva.
2. In Passaggio 2: Accedere alla connessione (per il tipo di concessione del codice di autorizzazione), selezionare il pulsante Login (Accedi ). Completare i passaggi con il provider di identità per autorizzare l'accesso e tornare a Gestione API. Al termine dell'accesso, lo stato della connessione viene modificato in Connesso.
3. In Passaggio 3: Determinare chi avrà accesso a questa connessione (criteri di accesso) viene elencato il membro dell'identità gestita. L'aggiunta di altri membri è facoltativa, a seconda dello scenario.
4. Selezionare Completa.

La nuova connessione viene visualizzata nell'elenco delle connessioni e mostra lo stato Connesso. Se si vuole creare un'altra connessione per il provider di credenziali, completare i passaggi precedenti.

Passaggio 4: Creare un'API Microsoft Graph in Gestione delle API e configurare una politica

1. In API nel menu della barra laterale selezionare API.

2. Selezionare HTTP e immettere le impostazioni seguenti. Successivamente, seleziona Crea.

   Impostazione	Value
   Nome visualizzato	msgraph
   URL del servizio Web	https://graph.microsoft.com/v1.0
   Suffisso URL API	msgraph

3. Passare all'API appena creata e selezionare + Aggiungi operazione. Immettere le impostazioni seguenti e selezionare Salva.

   Impostazione	Value
   Nome visualizzato	getprofile
   URL per richiesta GET	/me

4. Seguire i passaggi precedenti per aggiungere un'altra operazione con le impostazioni seguenti.

   Impostazione	Value
   Nome visualizzato	getJoinedTeams
   URL per richiesta GET	/me/joinedTeams

5. Selezionare Tutte le operazioni. Nella sezione Elaborazione in ingresso selezionare l'icona </> (editor di codice).

6. Copiare e incollare il frammento di codice seguente. Aggiornare i get-authorization-context criteri con i nomi del provider di credenziali e della connessione configurati nei passaggi precedenti e selezionare Salva.

   • Sostituire il nome del provider di credenziali con il valore di provider-id.
   • Sostituire il nome della connessione con il valore di authorization-id.

   <policies>
       <inbound>
           <base />
           <get-authorization-context provider-id="MicrosoftEntraID-01" authorization-id="first-connection" context-variable-name="auth-context" identity-type="managed" ignore-error="false" />
          <set-header name="Authorization" exists-action="override">
              <value>@("Bearer " + ((Authorization)context.Variables.GetValueOrDefault("auth-context"))?.AccessToken)</value>
          </set-header>
       </inbound>
       <backend>
           <base />
       </backend>
       <outbound>
           <base />
       </outbound>
       <on-error>
           <base />
       </on-error>
   </policies>
   

La definizione di criteri precedente è costituita da due parti:

• Il criterio get-authorization-context recupera un token di autorizzazione facendo riferimento al provider di credenziali e alla connessione creata in precedenza.
• Il criterio set-header crea un'intestazione HTTP con il token di accesso recuperato.

Passaggio 5: Testare l'API

1. Nella scheda Test selezionare un'operazione configurata.

2. Seleziona Invia.

   

   Una risposta con esito positivo restituisce i dati utente da Microsoft Graph.

Contenuti correlati

• Autenticazione e autorizzazione in Gestione API di Azure
• Ambiti e autorizzazioni in Microsoft Identity Platform