Einrichtung der OAuth-Anwendung

In diesem Abschnitt wird erläutert, wie Sie die OAuth-Anwendung einrichten, unabhängig vom verwendeten Authentifizierungstyp, egal ob es sich um ein interaktives Token, eine integrierte Windows-Authentifizierung, Benutzername und Kennwort, Anwendungs-ID und Geheimschlüssel oder Anwendungs-ID und Zertifikat handelt.

Sie können entweder die standardmäßige öffentliche UiPath-App (OAuthApplication = UiPath) verwenden oder Ihre eigene Azure-App registrieren und verwenden (OAuthApplication = Custom):

• Registrierung der öffentlichen UiPath-App: Der Vorteil der Verwendung der öffentlichen UiPath-App besteht darin, dass Sie die Anwendung nicht konfigurieren oder verwalten müssen.

Hinweis:

UiPath speichert keine Benutzerdaten. Das Authentifizierungstoken wird nur auf Ihrer Maschine oder in Ihrem Orchestrator-Bucket gespeichert. Weitere Informationen finden Sie unter Registrierung der öffentlichen UiPath-App.

• Bring Your Own App (BYOA): Der Vorteil der Verwendung Ihrer eigenen Anwendung besteht darin, dass Sie Berechtigungen in Ihrer Organisation detaillierter verwalten, anpassen und zuweisen können. Weitere Informationen finden Sie unter Benutzerdefinierte OAuth-Anwendungsregistrierung – Bring your own App (BYOA).

Registrierung der öffentlichen UiPath App

Die öffentliche UiPath App wird mit den folgenden Informationen registriert:

• Name: UiPathStudioO365App
• Client-ID: f2f43f65-16a6-4319-91b6-d2a342a88744
• Scopes: Calendars.Read, Calendars.Read.Shared, Calendars.ReadWrite, Calendars.ReadWrite.Shared, Chat.ReadWrite, Email, EWS.AccessAsUser.All, Files.Read, Files.Read.All, Files.ReadWrite, Files. ReadWrite.All, Group.Read.All, Group.ReadWrite.All, Mail.Read, Mail.Read.Shared, Mail.ReadWrite, Mail.ReadWrite.Shared, Mail.Send, Mail.Send.Shared, offline_access, openid, Presence.Read, Presence.Read.All, Profil, Sites.Read.All, Sites.ReadWrite.All, User.Read, User.Read.All.

Benutzerdefinierte OAuth-Anwendungsregistrierung – Bringen Sie Ihre eigene App mit (BYoa)

In diesem Abschnitt wird erläutert, wie Sie eine Anwendung für die Microsoft 365 Scope -Verbindungen erstellen.

Überblick

Um die klassischen Microsoft 365 Aktivitäten zu aktivieren, muss Ihre Anwendung:

• in die Microsoft Identity-Plattform integriert werden.
• die richtigen Microsoft Graph API-Berechtigungen zugewiesen haben.

Nachdem Sie Ihre Microsoft 365-Anwendung registriert haben, weist Microsoft Entra ID eine eindeutige Anwendungs-ID (Client-ID) zu, die Sie in der Aktivität Microsoft 365 Scope zusammen mit den Diensten eingeben, denen Sie Berechtigungen zugewiesen haben, also Dateien, E-Mails und Kalender.

Registrieren Ihrer eigenen Anwendung (BYOA)

Tipp:

Dieser Prozess wird in der Microsoft-Dokumentation unter Schnellstart: Registrieren einer Anwendung bei der Microsoft Identity-Plattform ausführlich beschrieben. Die Microsoft-Benutzeroberfläche kann sich jedoch geändert haben, seit diese Schritte zum ersten Mal dokumentiert wurden.

1. Melden Sie sich mit Ihrem persönlichen, geschäftlichen oder schulischen Microsoft 365-Konto beim Azure-Portal an.
2. Wählen Sie Microsoft Entra ID aus.
3. Wählen Sie die Schaltfläche Hinzufügen und dann in der Dropdownliste App-Registrierung aus.
4. Füllen Sie auf der Seite Registrieren einer Anwendung die folgenden Felder aus: Name, Unterstützte Kontotypen und Umleitungs-URI ( optional).
5. Geben Sie im Feld Name einen Namen für Ihre Anwendung ein.
6. Wählen Sie unter Unterstützte Kontotypen die Option aus, die für Sie gilt:
   • Nur Konten in diesem Organisationsverzeichnis (Nur UiPath – Einzelner Mandant) – Verwenden Sie diese Option, wenn Ihre Zielgruppe intern in Ihrer Organisation ist. Dies stellt eine Anwendung mit einem einzelnen Mandanten dar.
   • Konten in beliebigen Organisationsverzeichnissen (Beliebiger Microsoft Entra ID-Mandant – Multitenant) – Verwenden Sie diese Option, wenn Ihre Zielgruppe aus Geschäfts- oder Bildungskunden besteht. Dies stellt eine Anwendung mit mehreren Mandanten dar.
   • Konten in beliebigen Organisationsverzeichnissen (Beliebiger Microsoft Entra ID-Mandant – Multitenant) und persönliche Microsoft-Konten (z. B. Skype, Xbox) – verwenden Sie diese Option, um die unterschiedlichsten Microsoft-Identitäten anzuvisieren. Dies stellt eine Anwendung mit mehreren Mandanten dar.
   • Nur persönliche Microsoft-Konten Weitere Informationen darüber, welche Option ausgewählt werden soll, finden Sie unter Wer kann sich bei Ihrer App anmelden?
7. Geben Sie unter Umleitungs-URI ( optional) eine URI-Adresse ein, falls zutreffend. Die Microsoft Authentifizierungsbibliothek (MSAL.NET) verwendet einen Standard-Umleitungs-URI: https://login.microsoftonline.com/common/oauth2/nativeclient. Dieser Wert funktioniert wahrscheinlich für Sie, wenn Sie den Authentifizierungstyp „Interaktives Token“ verwenden.
   • Ihre Auswahl hängt vom Authentifizierungstyp ab. Weitere Informationen finden Sie unter So stellen Sie eine Verbindung mit Microsoft 365-Aktivitäten her).
   • Im vorliegenden Beispiel unterstützt die Organisation die Authentifizierung mehrerer Mandanten und kann nur den Authentifizierungstyp Interaktives Token verwenden, der einen Umleitungs-URI erfordert.
     • Wenn Sie das interaktive Token und den standardmäßigen Microsoft-Umleitungs-URI verwenden, müssen Sie eine Plattform vom Typ Mobil- und Desktopanwendungen hinzufügen. Weitere Informationen finden Sie unter Konfigurieren der Plattformeinstellungen in der Microsoft-Dokumentation.
     • Wenn Ihr Authentifizierungstyp Integrierte Windows-Authentifizierung (IWA) oder Benutzername und Kennwort ist, müssen Sie keinen Umleitungs-URI für Ihre Anwendung registrieren. Diese Flows machen eine Runde zum Endpunkt der Microsoft Identity Platform v2.0 und Ihre Anwendung wird nicht über eine bestimmte URI aufgerufen.
   • Wenn Sie mit Microsoft 365 in einem UiPath Studio-Projekt arbeiten, das auf .NET 5.0 abzielt, fügen Sie http://localhost zum Umleitungs-URI der Anwendungen hinzu, die Sie besitzen. Weitere Informationen finden Sie unter Desktop-App-Registrierung in der Dokumentation zur Microsoft Identity Platform.
8. Wählen Sie Registrieren aus, die Sie zur Übersichtsseite Ihrer registrierten Anwendung umleitet.

Um die Anwendungskonfiguration abzuschließen, müssen Sie ihr auch API-Berechtigungen hinzufügen.

Hinweis:

Dieses Setup ist nur ein Beispiel. Daher können Sie basierend auf den Richtlinien Ihrer Organisation Auswahlen treffen.

API-Berechtigungen hinzufügen

Hinweis:

• Die interaktive Tokenauthentifizierung verwendet delegierte Berechtigungen.
• Berechtigungen können je nach Aktivität variieren, da jede Aktivität die Berechtigungen enthält, die sie für ihre spezifischen Funktionen benötigt.

Nachdem Sie Ihre Anwendung registriert haben, fügen Sie die erforderlichen API-Berechtigungen wie folgt hinzu:

1. Wechseln Sie im Azure-Portal zu Ihrer registrierten Anwendung.

2. Erweitern Sie die Option Verwalten und wählen Sie API-Berechtigungen aus .

3. Wählen Sie Berechtigung hinzufügen aus, wodurch der Seitenbereich API-Berechtigungen anfordern geöffnet wird.

4. Wählen Sie Microsoft Graph unter der Registerkarte Microsoft-APIs aus.

5. Wählen Sie Delegierte Berechtigungen aus, um die Liste der Berechtigungen anzuzeigen.

   Hinweis:

   • Delegierte Berechtigungen werden mit interaktiven Token verwendet.
   • Anwendungsberechtigungen werden mit Anwendungs-ID und Geheimschlüssel verwendet.

   Weitere Informationen zu den Berechtigungstypen finden Sie unter Konfigurieren einer Clientanwendung für den Zugriff auf Web-APIs in der Microsoft Azure-Dokumentation.

6. Verwenden Sie die Suchleiste oder scrollen Sie in der Liste nach unten und wählen Sie die folgenden Berechtigungen aus:

   Hinweis:

   • Berechtigungen können je nach Aktivität variieren, da jede Aktivität die Berechtigungen enthält, die sie für ihre spezifischen Funktionen benötigt.
   • Diese Berechtigungen sind nicht alle obligatorisch. Die folgende Liste stellt den vollständigen Satz von Berechtigungen dar, die für die Ausführung aller Microsoft 365 -Aktivitäten erforderlich sind. Sie können Berechtigungen abhängig von Ihrem speziellen Anwendungsfall einschränken. Sehen Sie sichdie Dokumentationsseiten der Aktivitäten an, um zu erfahren, welche Berechtigungen sie benötigen.
   • Kalender
     • Kalender.Lesen
     • Calendars.ReadWrite
   • Dateien
     • Files.Read
     • Files.Read.All
     • Files.ReadWrite
     • Files.ReadWrite.All
   • Websites
     • Sites.Read.All
     • Sites.ReadWrite.All
   • E-Mail (Mail)
     • Mail.Read
     • Mail.ReadWrite
     • Mail.Send
   • Benutzer
     • User.Read
   • Freigegeben – Scopes, die für den Zugriff auf Ressourcen erforderlich sind, die für den Benutzer freigegeben wurden, aber nicht im Besitz von ihm sind.
     • Mail.Read.Shared
     • Mail.ReadWrite.Shared
     • Mail.Send.Shared
     • Calendars.Read.Shared
     • Calendars.ReadWrite.Shared

7. Wählen Sie Berechtigungen hinzufügen aus, um zu Ihrer Liste der API-Berechtigungen zurückzukehren.

8. Stellen Sie sicher, dass Ihre API-Berechtigungen die hinzugefügten Berechtigungen für Kalender, Dateien, Benutzer und E-Mails enthalten.

Beschränken Sie eine Anwendung auf bestimmte Websites

Wenn Sie steuern möchten, auf welche Websites Ihre Anwendung zugreifen kann, gehen Sie wie folgt vor:

Weisen Sie Ihrer Anwendung zuerst die Berechtigung Sites.Selected zu:

1. Wechseln Sie im Azure-Portal zu Ihrer registrierten Anwendung.
2. Erweitern Sie die Option Verwalten und wählen Sie API-Berechtigungen aus .
3. Wählen Sie Berechtigung hinzufügen aus, wodurch der Seitenbereich API-Berechtigungen anfordern geöffnet wird.
4. Wählen Sie auf der Registerkarte Microsoft-APIs die Option Microsoft Graph aus.
5. Wählen Sie Anwendungsberechtigungen aus.
6. Suchen Sie nach Sites und erweitern Sie das Dropdownmenü Sites , um alle verfügbaren Site-Berechtigungen anzuzeigen.
7. Fügen Sie ein Häkchen neben der Berechtigung Sites.Selected hinzu und wählen Sie dann Berechtigung hinzufügen aus.

Erlauben Sie der Anwendung dann mithilfe von APIs den Zugriff auf eine bestimmte Website:

1. Wechseln Sie zum Microsoft Graph-Explorer.
2. Erstellen Sie eine API vom Typ GET. Zum Beispiel https://graph.microsoft.com/v1.0/sites?search=FPH_Test, wobei FPH_Test der Name einer SharePoint-Website ist.

Abbildung 1. Microsoft Graph Explorer-Seite mit der GET-API

3. Wählen Sie Abfrage ausführen aus.
4. Kopieren Sie die Site-ID 6c964666-500d-48e6-9ca6-84acee41c5b9,f955b6bc-9d48-4155-b1f5-e722d5cea1b5 aus dem Antworttext und fügen Sie sie zur späteren Verwendung in ein Dokument ein.

Abbildung 2. Der GET-API-Antworttext im Microsoft Graph Explorer

5. Um der Anwendung den Zugriff auf diese Website zu ermöglichen, erstellen Sie eine weitere API, diesmal vom Typ POST. Zum Beispiel https://graph/microsoft.com/v1.0/sites/0yxd4.sharepoint.com,6c964666-500d-48e6-9ca6-84acee41c5b9,f955b6bc-9d48-4155-b1f5-e722d5cea1b5/permissions, wobei 6c964666-500d-48e6-9ca6-84acee41c5b9,f955b6bc-9d48-4155-b1f5-e722d5cea1b5 die Site-ID ist.

6. Da es sich um eine POST-API handelt, geben Sie die Nutzlastdaten im JSON-Format in den Anforderungstext ein . Zum Beispiel:

   {
   	"roles": [
   		"write"
   	],
   	"grantedToIdentities": [
   		{
   			"application": {
   				"id": "14dbd4c1-9ebf-47e8-c3f75bffed2d",
   				"displayName": "BOYA_Nisarg"
   			}
   		}
   	]
   }
   

   Hinweis:

   • Stellen Sie sicher, dass die Nutzlast den Anwendungsnamen und die ID enthält.
   • Sie finden die App-ID, wenn Sie in Azure auf die Anwendung zugreifen, unter Übersicht.

7. Wählen Sie Abfrage ausführen aus. Wenn die Abfrage erfolgreich ausgeführt wurde, wird die Meldung Erstellt – 201 angezeigt.

Um zu überprüfen, welche Anwendungen auf bestimmte Sites zugreifen können, ändern Sie die API von POST in GET, entfernen Sie die Nutzlast, behalten Sie dieselbe API bei und führen Sie die Abfrage aus. Im Antworttext finden Sie alle Anwendungen, die auf diese bestimmte Website zugreifen können.