Авторизация приложения Microsoft Graph Data Connect

Интерфейс авторизации для приложений Microsoft Graph Data Connect встроен в Центр администрирования Microsoft 365. Только глобальные администраторы могут авторизовать приложения Data Connect. Чтобы авторизовать приложения для вашей организации, глобальные администраторы могут перейти на портал авторизации Microsoft Graph Data Connect, выбрать вкладку Безопасность & конфиденциальность в параметрах организации, а затем выбрать приложения Microsoft Graph Data Connect, как показано на следующем рисунке.

Представление сводки по приложению

На целевой странице портала приложений Data Connect можно быстро просмотреть все интересующие вас приложения Data Connect, как показано на следующем рисунке.

На портале можно найти следующие типы приложений:

• Однотенантные приложения — приложения, зарегистрированные в клиенте и требующие доступа к данным. Эти приложения обычно являются корпоративными сценариями.
• Мультитенантные приложения — приложения, размещенные в другом клиенте и требующие доступа к данным из вашего клиента. Эти приложения обычно являются сценариями независимых поставщиков программного обеспечения (ISV). Внимательно изучите эти приложения. При авторизации мультитенантных приложений данные из вашего клиента можно перенести в клиент разработчика приложения.

Все однотенантные приложения заполняются в таблице по умолчанию. В таблицу включаются только утвержденные, запрещенные или просроченные мультитенантные приложения. Другие приложения отображаются в таблице со следующими состояниями:

• Ожидание авторизации — приложения, ожидающие действия. Это состояние возможно только для приложений с одним клиентом. Приложения в этом состоянии всегда завершаются сбоем во время выполнения.
• Утверждено — приложения, утвержденные администратором для доступа к данным Microsoft 365 для вашего клиента.
• Отклонено — приложения, которым администратор отказал в доступе к данным Microsoft 365 для вашего клиента. Приложения в этом состоянии всегда завершаются сбоем во время выполнения.
• Истек срок действия — приложения, которые администратор одобрил для доступа к данным Microsoft 365 для вашего клиента, но срок утверждения истек. Приложения в этом состоянии всегда завершаются сбоем во время выполнения.
• Доступно обновление — приложения, которые администратор ранее проверял и с которыми действовал, но теперь обновляются. Приложения в этом состоянии продолжают работать согласно предыдущей авторизации. Когда администратор предоставляет новое утверждение, новое определение приложения перезаписывает старое.

Представление сведений о приложении

Выберите приложение из таблицы, чтобы запустить представление сведений о приложении, в котором содержатся дополнительные сведения о данных, необходимых приложению. Этот мастер поможет вам ознакомиться с соответствующими сведениями о доступе к данным. После завершения работы мастера вы можете утвердить или отклонить приложение в конце. На следующем рисунке показано представление сведений о приложении.

Во-первых, в мастере отображаются общие сведения о приложении:

• Developer — имя пользователя разработчика, зарегистрировавшего приложение.

• Назначение данных — приемник, в который доставляются данные. В случае утверждения это приложение может переместить запрошенные данные в любое расположение в указанном приемнике.

• Издатель приложения — идентификатор клиента Microsoft Entra, в котором зарегистрировано приложение. Для приложений с одним клиентом это значение совпадает с идентификатором клиента Microsoft Entra, что и у вашего клиента.

Затем мастер включает несколько шагов набора данных, по одному шагу на каждый набор данных, зарегистрированный в приложении. На каждой странице отображаются важные сведения для каждого набора данных. Например:

• Columns — указывает столбцы, которые приложение намерено извлечь с помощью Data Connect. В случае утверждения это приложение может извлечь любое подмножество утвержденных столбцов для указанного набора данных.

• Область — указывает область (выбор пользователем), который приложение намерено извлечь с помощью Data Connect. Дополнительные сведения об областях см. в статье Использование Microsoft Graph Data Connect для определения область набора данных.

Дополнительные сведения о том, как авторизация работает с различными областями, см. в разделе Проверка авторизации во время выполнения конвейера.

Наконец, мастер подтверждает некоторые ключевые сведения о приложении для просмотра. Можно выбрать Утвердить, Отклонить или Отменить. Действие в приложении — это все или ничего. Авторизация приложения означает, что вы авторизуете весь доступ, указанный на предыдущих шагах.

Утверждение остается действительным в течение 180 дней, после чего оно считается просроченным. Чтобы продлить утверждение, администратор может повторно просмотреть сведения о приложении в Центр администрирования Microsoft 365 и утвердить авторизацию еще на 180 дней. Чтобы отозвать утверждение, администратор также может получить доступ к Центр администрирования Microsoft 365 Отклонить авторизацию приложения.

При авторизации приложения могут возникнуть следующие сообщения об ошибках:

• App approver and owner cannot be the same user.
• App registration not found. It is possible someone deleted this app.

Если возникает непредвиденная ошибка, сообщение об ошибке содержит код ошибки. Запишите этот код ошибки, чтобы поделиться с службой поддержки Майкрософт.

Обнаружение мультитенантных приложений

Чтобы обнаружить мультитенантные приложения, выберите Добавить новое мультитенантное приложение над сводной таблицей приложений. Если в клиенте включена миграция данных между арендаторами, вы увидите два текстовых поля. После ввода идентификатора приложения и идентификатора клиента нажмите кнопку Найти, и на портале откроется представление сведений о приложении для приложения, которое вы ищете.

Журналы аудита Microsoft 365

Интерфейс авторизации приложения Microsoft Graph Data Connect интегрирован с журналами аудита Microsoft 365. Когда администраторы утверждают или отклоняют приложение Data Connect, проверяемое событие отправляет в журналы аудита Microsoft 365 соответствующие данные о том, что было утверждено или отклонено. Используйте одно из следующих полей для поиска событий авторизации Data Connect в журналах аудита:

• Рабочая нагрузка — MicrosoftGraphDataConnect

• Тип записи — MicrosoftGraphDataConnectConsent

• Действия — приложение утверждено или запрещено (в действиях Microsoft Graph Data Connect)

Проверка авторизации во время выполнения конвейера

Во время выполнения Data Connect проверяет входящие запросы на соответствие всем авторизациям в клиенте. Если найдена соответствующая авторизация, задание продолжается. Если авторизация не обнаружена, задание завершается сбоем. Подключение к данным больше не останавливается ConsentPending при ожидании авторизации. Если проверка авторизации завершается сбоем, вы получите определенное сообщение об ошибке о том, почему задание не соответствует существующим разрешениям приложения.

Проверки авторизации, применяемые во время выполнения:

• Идентификатор приложения для входящего запроса соответствует авторизованному приложению.
• Авторизация найденного приложения утверждена.
• Идентификатор клиента приложения для входящего запроса соответствует идентификатору клиента регистрации приложения для авторизации приложения.
• Набор данных для входящего запроса является одним из наборов данных в авторизации найденного приложения.
• Столбцы во входящем запросе являются подмножеством столбцов, которые были авторизованы для запрошенного набора данных.
• Идентификатор целевого клиента соответствует идентификатору целевого клиента авторизации приложения.
• Расположение назначения для входящего запроса содержится в приемнике назначения в авторизации найденного приложения.
• Область для входящего запроса соответствует область в авторизации найденного приложения.
  • Если приложение авторизовано для всех пользователей или групп в клиенте, все область проходят эту проверку.
  • Если приложение авторизовано для списка групп, любое подмножество авторизованных групп проходит эту проверку.
  • Если приложение авторизовано для URI фильтра область, входящий запрос должен точно соответствовать авторизованному значению.