Autorización de aplicaciones de Microsoft Graph Data Connect

La experiencia de autorización para las aplicaciones de Microsoft Graph Data Connect está integrada en el Centro de administración de Microsoft 365. Solo los administradores globales pueden autorizar aplicaciones de Data Connect. Para autorizar aplicaciones para su organización, los administradores globales pueden ir al portal de autorización de Microsoft Graph Data Connect y elegir la pestaña Seguridad & privacidad en Configuración de la organización y, a continuación, seleccionar Aplicaciones de Microsoft Graph Data Connect, como se muestra en la imagen siguiente.

Vista de resumen de la aplicación

La página de aterrizaje del portal de aplicaciones de Data Connect proporciona una vista rápida de todas las aplicaciones de Data Connect que le interesan, como se muestra en la siguiente imagen.

Encontrará los siguientes tipos de aplicaciones en el portal:

• Aplicaciones de inquilino único : aplicaciones que están registradas en el inquilino y requieren acceso a los datos. Estas aplicaciones suelen ser escenarios empresariales.
• Aplicaciones multiinquilino : aplicaciones que se hospedan en otro inquilino y requieren acceso a los datos del inquilino. Estas aplicaciones suelen ser escenarios de proveedor de software independiente (ISV). Revise estas aplicaciones cuidadosamente. Al autorizar aplicaciones multiinquilino, los datos del inquilino se pueden migrar al inquilino del desarrollador de la aplicación.

Todas las aplicaciones de inquilino único se rellenan en la tabla de forma predeterminada. En la tabla solo se incluyen aplicaciones multiinquilino aprobadas, denegadas o expiradas. Otras aplicaciones se muestran en la tabla con los siguientes estados:

• Autorización pendiente : aplicaciones que están pendientes de acción. Este estado solo es posible para las aplicaciones de inquilino único. Las aplicaciones en este estado siempre producen errores en tiempo de ejecución.
• Aprobado : aplicaciones aprobadas por un administrador para acceder a los datos de Microsoft 365 para su inquilino.
• Denegado : aplicaciones que un administrador denegó el acceso a los datos de Microsoft 365 para su inquilino. Las aplicaciones en este estado siempre producen errores en tiempo de ejecución.
• Expiradas : aplicaciones que un administrador aprobó para acceder a los datos de Microsoft 365 para su inquilino, pero la aprobación expiró. Las aplicaciones en este estado siempre producen errores en tiempo de ejecución.
• Actualización disponible : aplicaciones que un administrador ha revisado y actuado anteriormente, pero que ahora se actualizan. Las aplicaciones en este estado siguen funcionando según la autorización anterior. Cuando el administrador proporciona una nueva aprobación, la nueva definición de la aplicación sobrescribe la anterior.

Vista de detalles de la aplicación

Seleccione una aplicación de la tabla para iniciar la vista de detalles de la aplicación, que proporciona más información sobre los datos que requiere la aplicación. Esta experiencia del asistente le guiará por los detalles de acceso a datos pertinentes. Cuando complete el asistente, puede aprobar o denegar la aplicación al final. En la imagen siguiente se muestra la vista de detalles de la aplicación.

En primer lugar, el asistente muestra información general sobre la aplicación:

• Desarrollador : nombre de usuario del desarrollador que registró la aplicación.

• Destino de datos : receptor donde se entregan los datos. Si se aprueba, esta aplicación puede mover los datos solicitados a cualquier ubicación del receptor enumerado.

• Publicador de aplicaciones: el identificador de inquilino Microsoft Entra donde está registrada la aplicación. En el caso de las aplicaciones de inquilino único, este valor es el mismo Microsoft Entra identificador de inquilino que el inquilino.

A continuación, el asistente incluye varios pasos del conjunto de datos, un paso por conjunto de datos registrado en la aplicación. Cada página muestra información relevante para cada conjunto de datos. Por ejemplo:

• Columnas: especifica las columnas que la aplicación pretende extraer a través de Data Connect. Si se aprueba, esta aplicación puede extraer cualquier subconjunto de columnas aprobadas para el conjunto de datos especificado.

• Ámbito: especifica el ámbito (selección de usuario) que la aplicación pretende extraer a través de Data Connect. Para obtener más información sobre los ámbitos, consulte Uso de Microsoft Graph Data Connect para definir el ámbito de un conjunto de datos.

Para obtener más información sobre cómo funciona la autorización con distintos ámbitos, consulte Validación de autorización durante el tiempo de ejecución de la canalización.

Por último, el asistente confirma información clave sobre la aplicación para que la revise. Puede seleccionar Aprobar, Rechazar o Cancelar. Una acción en una aplicación es todo o nada. Autorizar una aplicación significa que está autorizando todo el acceso especificado en los pasos anteriores.

Una aprobación sigue siendo válida durante 180 días, después de lo cual se considera expirada. Para renovar una aprobación, un administrador puede volver a consultar los detalles de la aplicación en el Centro de administración de Microsoft 365 y aprobar la autorización durante otros 180 días. Para revocar una aprobación, un administrador también puede acceder al Centro de administración de Microsoft 365 para rechazar la autorización de una aplicación.

Al autorizar una aplicación, es posible que encuentre estos mensajes de error:

• App approver and owner cannot be the same user.
• App registration not found. It is possible someone deleted this app.

Si se produce un error inesperado, el mensaje de error incluye un código de error. Anote este código de error para compartirlo con el soporte técnico de Microsoft.

Detección de aplicaciones multiinquilino

Para detectar aplicaciones multiinquilino, seleccione Agregar nueva aplicación multiinquilino encima de la tabla de resumen de aplicaciones. Si el inquilino está habilitado para la migración de datos entre inquilinos, verá dos cuadros de texto. Después de escribir el identificador de aplicación y el identificador de inquilino, elija Buscar y el portal iniciará la vista de detalles de la aplicación para la aplicación que está buscando.

Registros de auditoría de Microsoft 365

La experiencia de autorización de aplicaciones de Microsoft Graph Data Connect se integra con los registros de auditoría de Microsoft 365. Cuando los administradores aprueban o deniegan una aplicación Data Connect, un evento auditable emite a los registros de auditoría de Microsoft 365 con datos pertinentes sobre lo que se aprobó o denegó. Use cualquiera de los campos siguientes para buscar eventos de autorización de Data Connect en los registros de auditoría:

• Carga de trabajo : MicrosoftGraphDataConnect

• Tipo de registro : MicrosoftGraphDataConnectConsent

• Actividades : aprobación o denegación de una aplicación (en actividades de Microsoft Graph Data Connect)

Validación de autorización durante el tiempo de ejecución de la canalización

En tiempo de ejecución, Data Connect valida las solicitudes entrantes en todas las autorizaciones del inquilino. Si se encuentra una autorización coincidente, el trabajo continúa. Si no se detecta ninguna autorización, se produce un error en el trabajo. Data Connect ya no se detiene ConsentPending cuando se espera la autorización. Si se produce un error en la validación de la autorización, recibirá un mensaje de error específico sobre por qué el trabajo no pudo coincidir con las autorizaciones de aplicación existentes.

Las validaciones de autorización aplicadas durante el tiempo de ejecución incluyen:

• El identificador de aplicación de la solicitud entrante coincide con una aplicación autorizada.
• Se aprueba la autorización de la aplicación encontrada.
• El identificador de inquilino de la aplicación para la solicitud entrante coincide con el identificador de inquilino de registro de aplicación de la autorización de la aplicación encontrada.
• El conjunto de datos de la solicitud entrante es uno de los conjuntos de datos de la autorización de la aplicación encontrada.
• Las columnas de la solicitud entrante son un subconjunto de las columnas autorizadas para el conjunto de datos solicitado.
• El identificador de inquilino de destino coincide con el identificador de inquilino de destino de la autorización de la aplicación encontrada.
• La ubicación de destino de la solicitud entrante se encuentra dentro del receptor de destino en la autorización de la aplicación encontrada.
• El ámbito de la solicitud entrante se alinea con el ámbito de la autorización de la aplicación encontrada.
  • Si la aplicación está autorizada para todos los usuarios o grupos del inquilino, cualquier ámbito pasa esta validación.
  • Si la aplicación está autorizada para una lista de grupos, cualquier subconjunto de los grupos autorizados pasa esta validación.
  • Si la aplicación está autorizada para un URI de filtro de ámbito, la solicitud entrante debe coincidir exactamente con el valor autorizado.