Autenticação e autorização do SharePoint Embedded

Para utilizar o SharePoint Embedded, a sua aplicação tem de utilizar o Microsoft Graph. Saiba mais sobre a autenticação e autorização do Microsoft Graph. Saiba mais sobre a arquitetura do SharePoint Embedded.

Visão Geral

Seguem-se alguns princípios fundamentais da autenticação e autorização do SharePoint Embedded:

• As aplicações interagem com o SharePoint Embedded através do Microsoft Graph.
• As aplicações precisam de permissões de aplicação de tipo de contentor para aceder a contentores desse tipo de contentor.
• As aplicações só podem aceder a contentores dos quais o utilizador seja membro ao utilizar o acesso em nome de um utilizador.
• As aplicações podem aceder a todos os contentores ativados pelas respetivas permissões de aplicação de tipo de contentor ao utilizar o acesso sem um utilizador.
• As aplicações utilizam o acesso em nome dos utilizadores sempre que possível para melhorar a segurança e a responsabilidade

Pré-requisitos

• Um Microsoft Entra ID registo de aplicação. Veja Registar uma aplicação.
• O inquilino do Microsoft Entra ID tem uma subscrição do Microsoft 365

Authorization

As operações do SharePoint Embedded são expostas através do Microsoft Graph. O SharePoint Embedded suporta o acesso em nome de um utilizador e também o acesso sem um utilizador.

Permissões de aplicativos

As aplicações Do SharePoint Embedded têm de pedir as seguintes permissões do Microsoft Graph no manifesto da aplicação para funcionarem com o SharePoint Embedded:

• FileStorageContainerType.Manage.All para permitir que uma aplicação crie e faça a gestão de tipos de contentor no inquilino proprietário. Esta permissão só é necessária no inquilino proprietário onde o tipo de contentor é criado.
• FileStorageContainerTypeReg.Selected para permitir que uma aplicação registe o tipo de contentor no consumo de inquilinos.
• FileStorageContainer.Selected para permitir que uma aplicação aceda a contentores do tipo de contentor especificado no consumo de inquilinos.

Acesso em nome de um utilizador

As operações do SharePoint Embedded em nome de um utilizador requerem que as aplicações recebam consentimento para a permissão delegada Do Microsoft Graph FileStorageContainer.Selected .

Além de a sua aplicação receber consentimento para FileStorageContainer.Selected num inquilino consumidor, é necessário que o utilizador de que está a agir em nome de tenha permissões de utilizador. As permissões efetivas que a aplicação tem são a interseção das permissões da aplicação e as permissões de utilizador ao agir em nome de um utilizador.

Acesso sem um utilizador

As operações do SharePoint Embedded sem um utilizador requerem que as aplicações recebam consentimento para a permissão da aplicação Microsoft Graph FileStorageContainer.Selected . Esta permissão requer o consentimento do administrador no inquilino que está a consumir.

Permissões de aplicação do tipo de contentor

É necessário conceder permissões de aplicação de tipo de contentor às aplicações do SharePoint Embedded pela aplicação proprietária antes de poderem aceder aos contentores do tipo de contentor especificado. As permissões de aplicação do tipo de contentor são concedidas às aplicações através do registo de tipo de contentor num inquilino que consome.

Permissões do usuário

São concedidos aos utilizadores diferentes níveis de acesso ao SharePoint Embedded com base no cenário:

• Aceder a conteúdos em contentores
• Gerir aplicações Do SharePoint Embedded instaladas no inquilino que está a consumir
• Gerir aplicações Do SharePoint Embedded criadas no inquilino proprietário

Aceder a conteúdos em contentores

Existem duas formas de os utilizadores obterem acesso ao conteúdo nos contentores:

• Permissões de contentor
• Acesso a itens específicos num contentor

Permissões de contentor

Podem ser atribuídas permissões de contentor aos utilizadores de duas formas:

• Associação direta. Um utilizador é adicionado diretamente como membro de um contentor com permissões específicas.
• Associação transitiva. Um utilizador é membro de um grupo do Microsoft 365 que é, por si só, membro de um contentor com permissões específicas.

A associação a um contentor concede permissões de contentor aos utilizadores. Estas permissões definem o nível de acesso que os utilizadores têm num determinado contentor. As permissões de contentor aplicam-se apenas ao acesso em nome de um utilizador e não ao acesso sem um utilizador. Uma aplicação do SharePoint Embedded que acede a contentores sem um utilizador obtém o acesso total definido nas permissões de aplicação do tipo de contentor .

Acesso a itens específicos num contentor

Os itens específicos num contentor podem ser partilhados com os utilizadores através do convite driveItem ou da criação de permissões de pontos finais. A partilha concede aos utilizadores acesso aos itens específicos, mas não lhes concede acesso ao próprio contentor ou a qualquer outro item no contentor. Para obter informações sobre os níveis de acesso suportados, veja funções de permissão.

Gerir aplicações Do SharePoint Embedded instaladas no inquilino que está a consumir

Os Administradores do SharePoint Embedded podem gerir todas as aplicações Do SharePoint Embedded instaladas no inquilino que consome . Para saber mais sobre a gestão de aplicações instaladas no inquilino que consome, veja Gerir aplicações Do SharePoint Embedded instaladas no inquilino que consome.

Gerir aplicações Do SharePoint Embedded criadas no inquilino proprietário

Os Administradores do SharePoint Embedded podem gerir todas as aplicações Do SharePoint Embedded criadas no inquilino proprietário . Além disso, qualquer utilizador Microsoft Entra que não seja uma identidade externa pode ser atribuído como proprietário de um tipo de contentor. Os proprietários do tipo de contentor podem gerir esse tipo de contentor específico. Para saber mais sobre a gestão de aplicações criadas no inquilino proprietário, veja Administrador de programadores do SharePoint Embedded.

Capacidades de proprietário do tipo de contentor

Os proprietários do tipo de contentor são geridos através da propriedade de navegação de permissões no recurso fileStorageContainerType . Cada entrada de permissão tem uma função de owner e identifica o utilizador através de grantedToV2. Os proprietários podem ser geridos das seguintes formas:

• Atribuição automática: o utilizador que cria um tipo de contentor é automaticamente atribuído como proprietário.
• Adicionar proprietários: utilize POST /containerTypes/{id}/permissions para adicionar até três proprietários por tipo de contentor.
• Remover proprietários: utilize DELETE /containerTypes/{id}/permissions/{id} para remover um proprietário.
• Proprietários de leitura: utilize GET /containerTypes/{id}?$expand=permissions ou GET /containerTypes/{id}/permissions para obter os proprietários do tipo de contentor.

Os proprietários do tipo de contentor podem realizar as seguintes operações no inquilino proprietário ao utilizar uma aplicação com FileStorageContainerType.Manage.All no modo delegado:

• Crie, leia, atualize e elimine o tipo de contentor que possui. Os proprietários não administradores só podem gerir tipos de contentor onde aparecem na coleção de permissões e a aplicação de chamada corresponde à aplicação proprietária.
• Adicionar e remover outros proprietários no tipo de contentor que possuem (através do ponto final de permissões)
• Crie contentores do tipo de contentor que possuem, desde que a chamada seja delegada (não apenas para aplicações)

Padrões de acesso excecionais

Atualmente, existem dois tipos de operações com padrões de acesso excecionais:

• Operações que envolvem a pesquisa de conteúdos do SharePoint Embedded
• Operações que requerem uma licença de utilizador

Operações que envolvem a pesquisa de conteúdos do SharePoint Embedded

Esta secção refere-se apenas aos cenários de pesquisa no Conteúdo de Pesquisa e não aos cenários de enumeração.

Para utilizar o Conteúdo do Pesquisa da Microsoft no SharePoint Embedded, tem de pedir o Files Delegado. Read.Todas as permissões do Microsoft Graph sobre FileStorageContainer.Selected, normalmente utilizadas para acesso ao SharePoint Embedded. Durante a fase de Pré-visualização desta funcionalidade, o Files. Read.Todas as permissões de aplicação concedem às aplicações acesso às capacidades de pesquisa em todos os conteúdos do SharePoint Embedded.

Operações que requerem uma licença de utilizador

O SharePoint Embedded foi concebido para funcionar sem a necessidade de os utilizadores finais terem qualquer tipo de licenças de produto do Microsoft 365 atribuídas aos mesmos. No entanto, existem determinadas operações que ainda não cumprem este princípio.

Listar contentores

A operação Listar contentores devolve um código de resposta 403 Proibido se for chamado em nome de um utilizador que não tenha um OneDrive. Existem planos para remover esta dependência em breve. Esta dependência não se aplica à operação Listar contentores quando chamada sem um contexto de utilizador (modo apenas de aplicação).

Mencionar utilizadores em documentos do Office

A experiência comum do Office inclui rever documentos e adicionar comentários a esses documentos. Para que os @mentions utilizadores apareçam no seletor de pessoas, precisam de ter uma licença do Microsoft 365 atribuída.

O que vem a seguir

Seguem-se algumas ações que pode efetuar a seguir:

1. Configure o manifesto da aplicação Do SharePoint Embedded (pode utilizar o Microsoft Entra PowerShell ou a CLI do Azure) para pedir as permissões necessárias no seu próprio inquilino:

   • Adicione a permissão do Microsoft Graph FileStorageContainerType.Manage.Manage.All para criar tipos de contentor no inquilino proprietário :
     • resourceAppId: 00000003-0000-0000-c000-000000000000
     • tipo: Role
     • ID: 8e6ec84c-5fcd-4cc7-ac8a-2296efc0ed9b

2. Conceder consentimento do administrador à sua aplicação no seu inquilino proprietário

3. Crie um novo tipo de contentor no inquilino proprietário .

4. Reconfigure o manifesto da aplicação Do SharePoint Embedded para pedir apenas as permissões necessárias para consumir inquilinos:

   • Remova a permissão do Microsoft Graph FileStorageContainerType.Manage.All** uma vez que só é necessário para criar o tipo de contentor no inquilino proprietário :

     • resourceAppId: 00000003-0000-0000-c000-000000000000

     • tipo: Role

     • ID: 8e6ec84c-5fcd-4cc7-ac8a-2296efc0ed9b

       Observação

       Depois de criar o tipo de contentor no inquilino proprietário , deve remover a permissão FileStorageContainerType.Manage.All do manifesto da sua aplicação. A aplicação NÃO precisa disto para consumir inquilinos, apenas no inquilino proprietário para criar o tipo de contentor. A não remoção desta permissão do manifesto da aplicação fará com que os seus clientes se preocupem com as permissões excessivas pedidas pela sua aplicação.

   • Adicione a permissão do Microsoft Graph FileStorageContainerTypeReg.Selected para registar o tipo de contentor no consumo de inquilinos:

     • resourceAppId: 00000003-0000-0000-c000-000000000000
     • tipo: Role
     • ID: 2dcc6599-bd30-442b-8f11-90f88ad441dc

   • Adicione a permissão do Microsoft Graph FileStorageContainer.Selected para aceder a contentores que consomem inquilinos em nome dos utilizadores:

     • resourceAppId: 00000003-0000-0000-c000-000000000000
     • tipo: Scope
     • ID: 085ca537-6565-41c2-aca7-db852babc212

   • Opcionalmente, adicione a permissão do Microsoft Graph FileStorageContainer.Selected para aceder ao contentor sobre o consumo de inquilinos sem um utilizador:

     • resourceAppId: 00000003-0000-0000-c000-000000000000
     • tipo: Role
     • ID: 40dc41bc-0f7e-42ff-89bd-d9516947e474

5. Conceda o consentimento do administrador à sua aplicação num inquilino consumidor (que pode ser o mesmo que o inquilino proprietário).

6. Registe o tipo de contentor no inquilino que está a consumir .

7. Remova FileStorageContainerTypeReg.Selected do manifesto da sua aplicação após a conclusão do registo.

   Observação

   Depois de registar o tipo de contentor, deve remover a permissão FileStorageContainerTypeReg.Selected do manifesto da sua aplicação. Esta permissão só é necessária durante a configuração do registo. Mantê-la após o registo aumenta desnecessariamente a superfície de permissões da sua aplicação.

8. Criar um contentor no inquilino que está a consumir