Mettre à jour les autorisations demandées d’une application dans Microsoft Entra ID

Dans cette section, vous allez apprendre à ajouter des autorisations dans le consentement statique.

Vous pouvez ajouter des autorisations au consentement statique de deux façons différentes dans le Centre d’administration Microsoft Entra :

Option 1 : ajouter des autorisations dans le volet Autorisations de l’API

1. Connectez-vous au Centre d’administration Microsoft Entra au minimum en tant qu’administrateur d’application cloud ou en tant que propriétaire d’application.
2. Accédez à Identité>Applications>Inscriptions d’applications>Toutes les applications.
3. Recherchez l’inscription d’application à laquelle vous souhaitez ajouter des autorisations et sélectionnez-la. Vous pouvez ajouter des autorisations de deux façons différentes :
4. Ajoutez des autorisations dans le volet Autorisations de l’API.

   1. Recherchez le volet Autorisations de l’API et sélectionnez Ajouter une autorisation.

   2. Sélectionnez l’API à accéder et l’autorisation que vous souhaitez demander dans la liste des options disponibles, puis sélectionnez Ajouter des autorisations.

      

Option 2 : ajouter des autorisations au manifeste de l’application

1. Dans le volet de navigation gauche, sous le groupe de menus Gérer, sélectionnez Manifeste. La sélection ouvre un éditeur pour vous permettre de modifier directement les attributs de l’objet de l’inscription d’application.
2. Modifiez soigneusement la propriété requiredResourceAccess dans le fichier manifeste de l’application.
3. Ajoutez la propriété resourceAppId et la propriété resourceAccess, puis attribuez les autorisations nécessaires.
4. Enregistrez les modifications.

Pour effectuer les étapes suivantes permettant d’ajouter des autorisations, vous avez besoin des ressources et des privilèges suivants :

• Exécutez les requêtes HTTP dans un outil de votre choix, par exemple, dans votre application ou via l’Explorateur graphique.
• Exécutez les API en tant qu’utilisateur avec au minimum le rôle d’administrateur d’application cloud ou en tant que propriétaire de l’inscription d’application cible.
• L’application utilisée pour apporter ces modifications doit recevoir l’autorisation Application.ReadWrite.All.

1. Identifiez les autorisations dont votre application a besoin, leurs ID d’autorisation et si elles sont des rôles d’application (autorisations d’application) ou des permissions déléguées. Par exemple, si vous souhaitez demander des autorisations Microsoft Graph, consultez les autorisations Microsoft Graph pour obtenir la liste des autorisations et leurs ID.

2. Ajoutez les autorisations Microsoft Graph nécessaires à votre application. L’exemple suivant appelle l’API de Mise à jour de l’application afin d’ajouter les autorisations Microsoft Graph nécessaires à une inscription d’application identifiée par l’ID d’objet aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb. Cet exemple utilise la permission déléguée et l’autorisation d’application Analytics.Read et Application.Read.All. Microsoft Graph est identifié comme un objet ServicePrincipal avec 00000003-0000-0000-c000-000000000000 comme son unique AppId global.

   PATCH https://graph.microsoft.com/v1.0/applications/aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb
   Content-Type: application/json
    {
        "requiredResourceAccess": [
            {
                "resourceAppId": "00000003-0000-0000-c000-000000000000",
                "resourceAccess": [
                    {
                        "id": "e03cf23f-8056-446a-8994-7d93dfc8b50e",
                        "type": "Scope"
                    },
                    {
                        "id": "9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30",
                        "type": "Role"
                    }
                ]
            }
        ]
    }
   

Ajouter des autorisations dans le consentement dynamique

Le consentement dynamique est un moyen de demander des autorisations à des utilisateurs ou des administrateurs au moment de l’exécution, plutôt que de les déclarer statiquement dans le volet Inscriptions d’applications. Le consentement dynamique permet à l’application de demander uniquement les autorisations dont elle a besoin pour une fonctionnalité spécifique et d’obtenir le consentement de l’utilisateur ou le consentement administrateur lorsque cela est nécessaire. Le consentement dynamique peut être utilisé avec des permissions déléguées et peut être combiné avec l’étendue /.default afin de demander le consentement administrateur pour toutes les autorisations.

Pour ajouter des autorisations dans le consentement dynamique :

• Utilisez Microsoft Graph : ajoutez les autorisations Microsoft Graph nécessaires à une inscription d’application. Cet exemple utilise la permission déléguée et l’autorisation d’application Analytics.Read et Application.Read.All. Remplacez les valeurs dans « scopes » par les valeurs des permissions déléguées Microsoft Graph que vous souhaitez configurer pour l’application.

  La requête doit être similaire à l’exemple suivant :

  https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=00001111-aaaa-2222-bbbb-3333cccc4444&response_type=code&scope=Analytics.Read+Application.Read

• Utilisez MSAL.js : remplacez les valeurs dans « scopes » par les valeurs des permissions déléguées Microsoft Graph que vous souhaitez configurer pour l’application.

    const Request = {
        scopes: ["openid", "profile"],
        loginHint: "example@domain.net"
    };
  
    myMSALObj.ssoSilent(Request)
        .then((response) => {
            // your logic
        }).catch(error => {
            console.error("Silent Error: " + error);
            if (error instanceof msal.InteractionRequiredAuthError) {
                myMSALObj.loginRedirect(loginRequest);
            }
    });
  

Pour arrêter les demandes d’autorisations nécessitant un consentement statique, vous devez supprimer l’autorisation dans le volet Inscriptions d’applications. Un administrateur du client doit également révoquer l’autorisation dans le volet Applications d’entreprise. Pour plus d’informations sur la révocation des autorisations accordées à une application d’entreprise, consultez Révoquer des autorisations pour une application d’entreprise.

Dans cette section, vous allez apprendre à arrêter les demandes d’autorisations pour le consentement statique.

Vous pouvez supprimer les autorisations du consentement statique de deux façons différentes dans le Centre d’administration Microsoft Entra :

Option 1 : à partir du volet Autorisations de l’API

1. Connectez-vous au Centre d’administration Microsoft Entra au minimum en tant qu’administrateur d’application cloud ou en tant que propriétaire d’application.
2. Accédez à Identité>Applications>Inscriptions d’applications>Toutes les applications.
3. Recherchez l’inscription d’application dont vous souhaitez supprimer les autorisations et sélectionnez-la.
4. Supprimez les autorisations depuis le volet Autorisations de l’API :

   1. Recherchez le volet Autorisations de l’API et recherchez les autorisations à supprimer.

   2. Sélectionnez l’API que vous souhaitez supprimer et sélectionnez d’abord Révoquer le consentement administrateur, puis Supprimer l’autorisation. Cela garantit que l’autorisation accordée est supprimée de votre client.

      

Option 2 : à partir du manifeste de l’application

1. Dans le volet de navigation gauche, sous le groupe de menus Gérer, sélectionnez Manifeste. Un éditeur s’ouvre pour vous permettre de modifier directement les attributs de l’objet de l’inscription d’application.
2. Modifiez soigneusement la propriété requiredResourceAccess dans le fichier manifeste de l’application.
3. Supprimez les autorisations inutiles de la propriété resourceAppId et de la propriété resourceAccess.
4. Enregistrez les modifications.

Pour effectuer les étapes suivantes permettant de supprimer des autorisations, vous avez besoin des ressources et des privilèges suivants :

• Exécutez les requêtes HTTP dans un outil de votre choix, par exemple, dans votre application ou via l’Explorateur graphique.
• Appelez les API au minimum en tant qu’administrateur d’application cloud ou en tant que propriétaire de l’inscription d’application cible.
• L’application utilisée pour apporter ces modifications doit recevoir l’autorisation Application.ReadWrite.All.

1. Identifiez les autorisations pour votre application.

2. Par exemple, pour empêcher votre application de demander des autorisations Microsoft Graph, identifiez les autorisations Microsoft Graph pour votre application, leurs ID d’autorisation et si elles sont des rôles d’application (autorisations d’application) ou des permissions déléguées.

3. Supprimez les autorisations Microsoft Graph indésirables de votre application. L’exemple suivant appelle l’API de Mise à jour de l’application afin de supprimer les autorisations Microsoft Graph indésirables d’une inscription d’application identifiée par un exemple d’ID client 00001111-aaaa-2222-bbbb-3333cccc4444. Dans cet exemple, l’application possède Analytics.Read, User.Read et Application.Read.All. Nous devons supprimer la permission déléguée et l’autorisation d’application Analytics.Read et Application.Read.All. Microsoft Graph est identifié comme un objet ServicePrincipal avec 00000003-0000-0000-c000-000000000000 comme son unique AppId global et Microsoft Graph comme DisplayName et AppDisplayName.

   PATCH https://graph.microsoft.com/v1.0/applications/00001111-aaaa-2222-bbbb-3333cccc4444
   Content-Type: application/json
   {
       "requiredResourceAccess": [
           {
               "resourceAppId": "00000003-0000-0000-c000-000000000000",
               "resourceAccess": [
                   {
                       "id": "311a71cc-e848-46a1-bdf8-97ff7156d8e6 ",
                       "type": "Scope"
                   }
               ]
           }
       ]
   }
   

Arrêter les demandes d’autorisations avec le consentement dynamique

Lorsque vous devez supprimer les permissions déléguées de la demande de consentement dynamique, spécifiez le paramètre d’étendue tout en laissant les autorisations que vous souhaitez supprimer. La suppression des autorisations garantit que l’application n’appelle pas l’API correspondante.

Cette méthode fonctionne uniquement pour les autorisations déléguées. Les autorisations d’application sont demandées et accordées par un administrateur par le biais d’un consentement statique et ne sont pas incluses dans le paramètre d’étendue pendant la demande d’autorisation OAuth 2.0.

Pour arrêter les demandes d’autorisations avec le consentement dynamique :

• À l’aide de Microsoft Graph : supprimez les permissions déléguées Microsoft Graph indésirables du paramètre « scopes ». Dans cet exemple, votre application demande trois autorisations déléguées : Analytics.Read, User.Read et Application.Read. Les permissions déléguées Analytics.Read et Application.Read ne sont plus nécessaires pour cette application. L’application ne nécessite que User.Read.

La requête doit être similaire à celle de l’exemple suivant :

https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=00001111-aaaa-2222-bbbb-3333cccc4444&response_type=code&scope=User.Read

• À l’aide de MSAL.js : supprimez les permissions déléguées Microsoft Graph indésirables dans « scopes ».

      const Request = {
          scopes: ["openid", "profile"],
          loginHint: "example@domain.net"
      };
  
      myMSALObj.ssoSilent(Request)
          .then((response) => {
              // your logic
          }).catch(error => {
              console.error("Silent Error: " + error);
              if (error instanceof msal.InteractionRequiredAuthError) {
                  myMSALObj.loginRedirect(loginRequest);
              }
      });