SharePoint Embedded 身份验证和授权

若要使用 SharePoint Embedded，应用程序必须使用 Microsoft Graph。 详细了解 Microsoft Graph 身份验证和授权。 详细了解 SharePoint Embedded 体系结构。

概述

下面是 SharePoint Embedded 身份验证和授权的一些关键原则：

• 应用程序通过 Microsoft Graph 与 SharePoint Embedded 交互。
• 应用程序需要容器类型应用程序权限才能访问该容器类型的容器。
• 当代表用户使用访问权限时，应用程序只能访问用户所属的容器。
• 当在没有用户的情况下使用访问权限时，应用程序可以访问由其容器类型应用程序权限启用的所有容器。
• 应用程序尽可能代表用户使用访问权限来增强安全性和问责制

先决条件

• Microsoft Entra ID应用程序注册。 请参阅 注册应用程序。
• Microsoft Entra ID租户具有 Microsoft 365 订阅

Authorization

SharePoint Embedded 操作通过 Microsoft Graph 公开。 SharePoint Embedded 支持 代表用户进行访问 ，也支持 在没有用户的情况下进行访问。

应用程序权限

SharePoint Embedded 应用程序需要在其应用程序清单中请求以下Microsoft Graph 权限才能使用 SharePoint Embedded：

• FileStorageContainerType.Manage.All 允许应用程序在拥有的租户上创建和管理容器类型。 只有在创建容器类型的拥有租户上才需要此权限。
• FileStorageContainerTypeReg.Selected 允许应用程序在使用租户上注册容器类型。
• FileStorageContainer.Selected 允许应用程序访问使用租户上给定容器类型的容器。

代表用户访问

代表用户的 SharePoint Embedded 操作要求应用程序接收对 Microsoft Graph FileStorageContainer.Selected 委托权限的同意。

除了应用程序在使用租户上获得 FileStorageContainer.Selected 的同意外，它所代表的用户还需要具有 用户权限。 应用程序拥有的有效权限是应用程序权限和代表用户操作时用户权限的交集。

在没有用户的情况下访问

没有用户的 SharePoint Embedded 操作要求应用程序接收Microsoft Graph FileStorageContainer.Selected 应用程序权限的同意。 此权限需要对使用租户的管理员同意。

容器类型应用程序权限

SharePoint Embedded 应用程序需要由拥有的应用程序授予容器类型应用程序权限，然后才能访问给定容器类型的容器。 容器类型应用程序权限是通过使用租户中的 容器类型注册 向应用程序授予的。

用户权限

根据以下方案向用户授予对 SharePoint Embedded 的不同访问级别：

• 访问容器中的内容
• 管理使用租户中安装的 SharePoint Embedded 应用程序
• 管理在拥有租户中创建的 SharePoint Embedded 应用程序

访问容器中的内容

用户可通过两种方式访问容器中的内容：

• 容器权限
• 访问容器中的特定项

容器权限

可以通过两种方式向用户分配容器权限：

• 直接成员身份。 用户直接添加为具有特定权限的容器的成员。
• 可传递成员身份。 用户是 Microsoft 365 组 的成员，该组本身是具有特定权限的容器的成员。

容器的成员身份 授予用户容器权限。 这些权限定义用户在给定容器上拥有的访问级别。 容器权限仅适用于代表用户的访问，而不适用于在没有用户的情况下进行访问。 在没有用户的情况下访问容器的 SharePoint Embedded 应用程序获取在其 容器类型应用程序权限 中定义的完全访问权限。

访问容器中的特定项

容器中的特定项可以通过 driveItem 邀请 或 权限创建 终结点与用户共享。 共享授予用户对特定项的访问权限，但不授予用户访问容器本身或容器中任何其他项的权限。 有关支持的访问级别的信息，请参阅 权限角色。

管理使用租户中安装的 SharePoint Embedded 应用程序

SharePoint Embedded 管理员可以 管理 在使用 租户中安装的所有 SharePoint Embedded 应用程序。 若要详细了解如何在使用租户中管理已安装的应用程序，请参阅 管理使用租户中安装的 SharePoint Embedded 应用程序。

管理在拥有租户中创建的 SharePoint Embedded 应用程序

SharePoint Embedded 管理员可以 管理 在拥有 租户中创建的所有 SharePoint Embedded 应用程序。 此外，可将任何不是外部标识的Microsoft Entra用户分配为容器类型的所有者。 容器类型所有者可以管理该特定容器类型。 若要详细了解如何管理在拥有租户中创建的应用程序，请参阅 SharePoint Embedded 开发人员管理员。

容器类型所有者功能

容器类型所有者通过 fileStorageContainerType 资源的权限导航属性进行管理。 每个权限条目都有一个 角色， owner 并通过 grantedToV2标识用户。 可以通过以下方式管理所有者：

• 自动分配： 创建容器类型的 用户会自动分配为所有者。
• 添加所有者：用于 POST /containerTypes/{id}/permissions 为每个容器类型添加最多三个所有者。
• 删除所有者：用于 DELETE /containerTypes/{id}/permissions/{id} 删除所有者。
• 读取所有者：使用 GET /containerTypes/{id}?$expand=permissions 或 GET /containerTypes/{id}/permissions 检索容器类型所有者。

在委托模式下将应用程序与 FileStorageContainerType.Manage.All 配合使用时，容器类型所有者可以在拥有的租户上执行以下操作：

• 创建、读取、更新和删除 他们拥有的容器类型。 非管理员所有者只能管理容器类型，这些类型显示在权限集合中，并且调用应用与拥有的应用程序匹配。
• 通过权限终结点在他们拥有 (的容器类型上添加和删除其他所有者)
• 创建 他们拥有的容器类型的容器，只要调用委托 (非仅应用)

异常访问模式

目前，有两种类型的操作具有特殊的访问模式：

• 涉及搜索 SharePoint Embedded 内容的操作
• 需要用户许可证的操作

涉及搜索 SharePoint Embedded 内容的操作

本部分仅引用 搜索内容中的搜索方案，而不是枚举方案。

若要对 SharePoint Embedded 内容使用Microsoft搜索，必须请求委托Files。Read.All Microsoft FileStorageContainer.Selected 之上的 Graph 权限，通常用于 SharePoint Embedded 访问。 在此功能的预览阶段，Files。Read.All 应用程序权限授予应用程序对所有 SharePoint Embedded 内容搜索功能的访问权限。

需要用户许可证的操作

SharePoint Embedded 旨在工作，无需最终用户向其分配任何类型的Microsoft 365 个产品许可证。 但是，某些操作尚未遵守此原则。

列出容器

如果代表没有 OneDrive 的用户调用 列表容器 操作，则返回 403 禁止 响应代码。 计划很快删除此依赖项。 在没有用户上下文 (仅应用模式) 调用时，此依赖项不适用于列表容器操作。

在 Office 文档中提及用户

常见的 Office 体验 包括查看文档和向这些文档添加注释。 若要在人员选取器中 @mentions 显示用户，需要为其分配Microsoft 365 许可证。

下一步操作

下面是接下来可以采取的一些操作：

1. 配置 SharePoint Embedded 应用程序清单， (可以使用 Microsoft Entra PowerShell 或 Azure CLI) 请求对拥有租户所需的权限：

   • 添加 Microsoft Graph 权限 FileStorageContainerType.Manage.All ，以在 拥有 租户上创建容器类型：
     • resourceAppId： 00000003-0000-0000-c000-000000000000
     • 类型： Role
     • ID： 8e6ec84c-5fcd-4cc7-ac8a-2296efc0ed9b

2. 在拥有的租户上向应用程序授予管理员许可

3. 在拥有的租户上创建新的容器类型。

4. 重新配置 SharePoint Embedded 应用程序清单 ，以仅请求对使用租户所需的权限：

   • 删除 Microsoft Graph 权限 FileStorageContainerType.Manage.All**，因为只需在 拥有 租户上创建容器类型即可：

     • resourceAppId： 00000003-0000-0000-c000-000000000000

     • 类型： Role

     • ID： 8e6ec84c-5fcd-4cc7-ac8a-2296efc0ed9b

       注意

       在 拥有 租户上创建容器类型后，应从应用程序的清单中删除 FileStorageContainerType.Manage.All 权限。 应用程序在 使用 租户时不需要此项，只需在 拥有 的租户上创建容器类型。 未能从应用程序清单中删除此权限将导致客户担心应用程序请求的权限过多。

   • 添加 Microsoft Graph 权限 FileStorageContainerTypeReg.Selected ，以在 使用 租户上注册容器类型：

     • resourceAppId： 00000003-0000-0000-c000-000000000000
     • 类型： Role
     • ID： 2dcc6599-bd30-442b-8f11-90f88ad441dc

   • 添加 Microsoft Graph 权限 FileStorageContainer.Selected ，以代表用户访问 使用 租户上的容器：

     • resourceAppId： 00000003-0000-0000-c000-000000000000
     • 类型： Scope
     • ID： 085ca537-6565-41c2-aca7-db852babc212

   • （可选）添加 Microsoft Graph 权限 FileStorageContainer.Selected 以在没有用户的情况下访问 使用 租户上的容器：

     • resourceAppId： 00000003-0000-0000-c000-000000000000
     • 类型： Role
     • ID： 40dc41bc-0f7e-42ff-89bd-d9516947e474

5. 在使用租户 (向应用程序授予管理员同意，这可能与拥有租户) 相同。

6. 在使用的租户上注册容器类型。

7. 注册完成后，从应用程序清单中删除 FileStorageContainerTypeReg.Selected 。

   注意

   注册容器类型后，应从应用程序的清单中删除 FileStorageContainerTypeReg.Selected 权限。 仅在注册设置期间需要此权限。 注册后保留它会不必要地增加应用程序的权限图面。

8. 在使用租户上创建容器