Configurar o gerenciador de credenciais - API do Microsoft Graph

APLICA-SE A: Todas as camadas de gerenciamento de API

Este artigo orienta-o pelos passos necessários para criar uma ligação gerida à Microsoft Graph API a partir do Azure API Management. Use o fornecedor de identidade Microsoft Entra para chamar a Microsoft Graph API. Este exemplo utiliza o tipo de concessão de código de autorização.

Você aprende a:

Pré-requisitos

• Acesso a um locatário do Microsoft Entra onde é possível ter permissões para criar um registo de aplicação e dar consentimento de administrador para as permissões da aplicação. Para saber mais, consulte Restringir quem pode criar aplicativos.

  Se você quiser criar seu próprio locatário de desenvolvedor, você pode se inscrever para o Microsoft 365 Developer Program.

• Uma instância de Gerenciamento de API em execução. Se você não tiver uma, consulte Criar uma nova instância de Gerenciamento de API do Azure.

• Habilite uma identidade gerenciada atribuída ao sistema na instância de Gerenciamento de API.

Etapa 1: Criar um aplicativo Microsoft Entra

Crie um aplicativo Microsoft Entra para a API e dê a ele as permissões apropriadas para as solicitações que você deseja chamar.

1. Inicia sessão no portal Azure com uma conta que tenha permissões suficientes no tenant.

2. Procure e selecione Microsoft Entra ID.

3. Em Gerir no menu da barra lateral, selecione Registos de aplicações e, em seguida, selecione + Novo registo.

4. Em Registar uma candidatura, introduza as definições de registo da sua candidatura:

   1. Em Nome, insira um nome significativo para o aplicativo, como MicrosoftGraphAuth.

   2. Em Tipos de Conta Suportados, selecione uma opção que se adeque ao seu cenário, como Contas apenas neste diretório organizacional (Inquilino único).

   3. Defina o URI de Redirecionamento para Web e introduza https://authorization-manager.consent.azure-apim.net/redirect/apim/<YOUR-APIM-SERVICENAME>, substituindo o nome do serviço de Gestão de API onde configura o fornecedor de credenciais.

   4. Selecione Register.

      

5. No menu lateral, selecione Gerir>permissões da API. Certifique-se de que a permissão User.Read com o tipo Delegated já foi adicionada.

6. Selecione + Adicionar uma permissão.

   1. Selecione Microsoft Graph e, em seguida, selecione Permissões delegadas.
   2. Digite Team, expanda as opções Team e selecione Team.ReadBasic.All. Selecione Adicionar permissões.
   3. Em seguida, selecione Conceder consentimento de administrador para o diretório padrão. O status das permissões muda para Granted for Default Directory.

7. No menu da barra lateral, selecione Visão geral. Na Visão Geral, encontre o valor do ID da Aplicação (cliente ) e grave-o para uso no Passo 2. Se necessário, copie também o valor do ID do Diretório (inquilino ).

Etapa 3: Configurar uma conexão

Na guia Conexão , conclua as etapas para sua conexão com o provedor.

1. Introduza um Nome de ligação e, em seguida, selecione Guardar.
2. Em Etapa 2: Faça login na sua conexão (para o tipo de concessão de código de autorização), selecione o botão Login . Complete os passos com o seu fornecedor de identidade para autorizar o acesso e volte à Gestão de APIs. Após iniciar sessão bem-sucedido, o estado da ligação muda para Ligado.
3. Em Etapa 3: Determinar quem terá acesso a essa conexão (política de acesso), o membro da identidade gerenciada será listado. Adicionar outros membros é opcional, dependendo do seu cenário.
4. Selecione Concluir.

A nova conexão aparece na lista de conexões e mostra um status de Conectado. Se desejar criar outra conexão para o provedor de credenciais, conclua as etapas anteriores.

Etapa 4: Criar uma API do Microsoft Graph no Gerenciamento de API e configurar uma política

1. Em APIs no menu da barra lateral, selecione APIs.

2. Selecione HTTP e insira as seguintes configurações. Em seguida, selecione Criar.

   Configuração	Valor
   Nome de exibição	Msgraph
   URL do serviço Web	https://graph.microsoft.com/v1.0
   Sufixo de URL da API	Msgraph

3. Vai à API recém-criada e seleciona + Adicionar operação. Insira as seguintes configurações e selecione Salvar.

   Configuração	Valor
   Nome de exibição	getprofile
   URL para GET	/me

4. Siga as etapas anteriores para adicionar outra operação com as seguintes configurações.

   Configuração	Valor
   Nome de exibição	getJoinedTeams
   URL para GET	/me/joinedTeams

5. Selecione Todas as operações. Na seção Processamento de entrada, selecione o ícone </> (editor de código).

6. Copie e cole o trecho a seguir. Atualize a get-authorization-context política com os nomes do provedor de credenciais e da conexão que você configurou nas etapas anteriores e selecione Salvar.

   • Substitua o nome do seu fornecedor de credencial pelo valor de provider-id.
   • Substitua o nome da sua ligação pelo valor de authorization-id.

   <policies>
       <inbound>
           <base />
           <get-authorization-context provider-id="MicrosoftEntraID-01" authorization-id="first-connection" context-variable-name="auth-context" identity-type="managed" ignore-error="false" />
          <set-header name="Authorization" exists-action="override">
              <value>@("Bearer " + ((Authorization)context.Variables.GetValueOrDefault("auth-context"))?.AccessToken)</value>
          </set-header>
       </inbound>
       <backend>
           <base />
       </backend>
       <outbound>
           <base />
       </outbound>
       <on-error>
           <base />
       </on-error>
   </policies>
   

A definição de política precedente consiste em duas partes:

• A política get-authorization-context busca um token de autorização fazendo referência ao provedor de credenciais e à conexão que você criou anteriormente.
• A política set-header cria um cabeçalho HTTP com o token de acesso buscado.

Etapa 5: Testar a API

1. No separador Teste , selecione uma operação que tenha configurado.

2. Selecione Enviar.

   

   Uma resposta bem-sucedida retorna dados do usuário do Microsoft Graph.

Conteúdo relacionado

• Autenticação e autorização no Gerenciamento de API do Azure
• Escopos e permissões na plataforma de identidade da Microsoft