Referência de comando CLI query-entra do Agente 365

Oferece opções para consultar o Microsoft Entra ID para obter informações do agente, incluindo alcances, permissões e estado de consentimento. Podes verificar o estado de configuração e consentimento tanto para os blueprints do agente como para as instâncias do agente.

Função mínima exigida: Leitor de Diretório

Syntax

a365 query-entra [command] [options]

Opções

Option Description
-?, -h, --help Mostrar ajuda e informação de utilização

query-entra blueprint-scopes

Liste as permissões delegadas e de aplicação declaradas pela aplicação blueprint do agente.

a365 query-entra blueprint-scopes [options]

Este comando recupera e apresenta os escopos delegados e as atribuições de funções de aplicação concedidas no principal do serviço blueprint no Microsoft Entra ID. Este resultado corresponde ao que vês na lâmina de permissões da API no centro de administração do Entra para a aplicação blueprint.

blueprint-scopes Opções

Option Description
-n, --agent-name <name> Nome da base do agente. Quando fornece esta opção, não precisa de um ficheiro de configuração.
--tenant-id <tenantId> ID do inquilino do Azure AD. Overrides autodetection. Utilizar com --agent-name.
-?, -h, --help Mostrar informações de ajuda e utilização.

query-entra inheritance

Verifique se as permissões herdadas do blueprint estão corretamente configuradas e que as identidades dos agentes as irão realmente herdar.

a365 query-entra inheritance [options]

Este comando verifica duas coisas para cada recurso configurado no blueprint:

  1. A entrada do inheritablePermissions blueprint é usada kind=allAllowed tanto para escopos como para funções (a configuração necessária).
  2. O blueprint service principal tem concessões reais de permissões para esse recurso (sem concessões, não há nada a herdar mesmo que a configuração esteja correta).

Para cada recurso, o comando reporta:

  • Scopes: OK—kind=allAllowed é definido e as permissões delegadas são concedidas no blueprint SP.
  • Scopes: WARN— kind=allAllowed' é definido, mas não são concedidas permissões delegadas, ou a entrada utiliza um formulário enumerado legado.
  • Roles: OK—kind=allAllowed é definido e as atribuições de papéis de aplicação são concedidas no blueprint SP.
  • Roles: WARN—mesmas condições que o Scopes WARN, para funções de aplicação.
  • Effective inheritance: OK—ambos os lados são allAllowed e pelo menos existe uma subvenção. As identidades dos agentes criadas a partir deste blueprint herdarão permissões para este recurso.
  • Effective inheritance: NONE—configuração está correta, mas não existem subvenções no blueprint SP. Candidate-se a365 setup permissions a Administrador Global para adicionar subsídios.
  • Effective inheritance: BROKEN—a entrada não é usada allAllowed num ou em ambos os lados. Correr a365 setup permissions para reconciliar.

O comando sai com código 1 se algum recurso tiver um estado diferente de Effective inheritance: OK. Use este comando para confirmar que um blueprint está pronto antes de criar identidades de agentes, ou para diagnosticar porque é que as identidades dos agentes não recebem as permissões esperadas.

inheritance Opções

Option Description
-n, --agent-name <name> Nome da base do agente. Quando fornece esta opção, não precisa de um ficheiro de configuração.
--tenant-id <tenantId> ID do inquilino do Azure AD. Overrides autodetection. Utilizar com --agent-name.
-?, -h, --help Mostrar informações de ajuda e utilização.

Tip

Se Effective inheritance: NONE for para um ou mais recursos, a causa mais comum é uma reclamação opcional em falta wids na aplicação do cliente. Corre a365 setup requirements para detetar e reparar automaticamente.

query-entra instance-scopes

Liste os escopos configurados e o estado de consentimento para a instância do agente.

a365 query-entra instance-scopes [options]

Este comando recupera e apresenta os escopos configurados e o seu estado de consentimento para a aplicação de instância do agente no Microsoft Entra ID.

instance-scopes Opções

Option Description
-n, --agent-name <name> Nome da base do agente. Quando fornece esta opção, não precisa de um ficheiro de configuração.
--tenant-id <tenantId> ID do inquilino do Azure AD. Overrides autodetection. Utilizar com --agent-name.
-v, --verbose Ativar o registo de verboses.
-?, -h, --help Mostrar informações de ajuda e utilização.

Note

Ler as concessões de autorização OAuth2 para todo o inquilino requer o âmbito apenas DelegatedPermissionGrant.Read.All administrativo. Se iniciar sessão sem esse âmbito, o comando encaminha-o para o centro de administração Microsoft Entra para verificar o estado do consentimento em vez de reportar "o consentimento de administrador não foi concedido".

  • Last updated on