註冊應用程式以要求授權權杖並使用 API

1. 若要註冊應用程式，請在 Azure 入口網站中開啟 Active Directory 概觀頁面。

2. 從側邊欄中選取 [應用程式註冊]。

3. 選取[新的註冊]

4. 在 [註冊應用程式] 頁面上，輸入應用程式的 [名稱]。

5. 選取 [註冊]

6. 在應用程式的概觀頁面，選取 [憑證和祕密]

7. 記下 [應用程式 (用戶端) 識別碼]。 在權杖的 HTTP 要求中將會用到。

8. 在 [用戶端密碼] 索引標籤中，選取 [新增用戶端密碼]

9. 輸入 [描述]，然後選取 [新增]

10. 複製並儲存用戶端密碼值。

    注意

    用戶端密碼值只能在建立之後立即檢視。 請務必先儲存該密碼值，再離開頁面。

    

執行下列指令碼，以建立服務主體和應用程式。

az ad sp create-for-rbac -n <Service principal display name> 

回應顯示如下：

{
  "appId": "00001111-aaaa-2222-bbbb-3333cccc4444",
  "displayName": "AzMonAPIApp",
  "password": "123456.ABCDE.~XYZ876123ABcEdB7169",
  "tenant": "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
}

為您想要使用 API 存取的資源新增角色和範圍

az role assignment create --assignee <`appId`> --role <Role> --scope <resource URI>

下列 CLI 範例會將 Reader 角色指派給 rg-001 資源群組中所有資源的服務主體：

 az role assignment create --assignee 00001111-aaaa-2222-bbbb-3333cccc4444 --role Reader --scope '\/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rg-001'

如需使用 Azure CLI 建立服務主體的詳細資訊，請參閱使用 Azure CLI 建立 Azure 服務主體。

下列範例指令碼示範透過 PowerShell 建立 Microsoft Entra 服務主體的方法。 如需更詳細的逐步解說，請參閱使用 Azure PowerShell 建立用來存取資源的服務主體

$subscriptionId = "{azure-subscription-id}"
$resourceGroupName = "{resource-group-name}"

# Authenticate to a specific Azure subscription.
Connect-AzAccount -SubscriptionId $subscriptionId

# Password for the service principal
$pwd = "{service-principal-password}"
$secureStringPassword = ConvertTo-SecureString -String $pwd -AsPlainText -Force

# Create a new Azure Active Directory application
$azureAdApplication = New-AzADApplication `
                        -DisplayName "My Azure Monitor" `
                        -HomePage "https://localhost/azure-monitor" `
                        -IdentifierUris "https://localhost/azure-monitor" `
                        -Password $secureStringPassword

# Create a new service principal associated with the designated application
New-AzADServicePrincipal -ApplicationId $azureAdApplication.ApplicationId

# Assign Reader role to the newly created service principal
New-AzRoleAssignment -RoleDefinitionName Reader `
                          -ServicePrincipalName $azureAdApplication.ApplicationId.Guid