OAuth アプリケーションの設定

このセクションでは、OAuth アプリケーションの設定方法について説明します。この方法は、使用する認証の種類に関係なく、対話型トークン、統合 Windows 認証、ユーザー名とパスワード、アプリケーション ID とシークレット、またはアプリケーション ID と証明書のどれであっても同じです。

既定のアプリである UiPath パブリック アプリ (OAuthApplication = UiPath) を使用するか、独自の Azure アプリ (OAuthApplication = Custom) を登録して使用できます。

• UiPath パブリック アプリの登録: UiPath パブリック アプリを使用するメリットは、アプリケーションの設定や保守が必要ない点です。
  注: UiPath はユーザー データを一切保存しません。認証トークンは、お使いのマシン上または Orchestrator バケットにのみ保存されます。詳しくは、「UiPath パブリック アプリの登録」をご覧ください。
• 独自のアプリの使用: 独自のカスタム アプリを使用するメリットは、組織内で権限をよりきめ細かく管理、カスタマイズ、割り当てできる点です。詳しくは、「カスタム OAuth アプリケーションの登録 - 独自のアプリ (BYOA)」をご覧ください。

UiPath パブリック アプリの登録

次の情報を使用して UiPath パブリック アプリを登録します。

• 名前: UiPathStudioO365App
• クライアント ID: f2f43f65-16a6-4319-91b6-d2a342a88744
• スコープ: Calendars.Read、Calendars.Read.Shared、Calendars.ReadWrite、Calendars.ReadWrite.Shared、Chat.ReadWrite、email、EWS.AccessAsUser.All、Files.Read、Files.Read.All、Files.ReadWrite、Files.ReadWrite.All、Group.Read.All、Group.ReadWrite.All、Mail.Read、Mail.Read.Shared、Mail.ReadWrite、Mail.ReadWrite.Shared、Mail.Send、Mail.Send.Shared、offline_access、openid、Presence.Read、Presence.Read.All、profile、Sites.Read.All、Sites.ReadWrite.All、User.Read、User.Read.All

カスタム OAuth アプリケーションの登録 - 独自のアプリ (BYOA)

このセクションでは、Microsoft 365 スコープのコネクション用にアプリケーションを作成する方法について説明します。

概要

Microsoft 365 クラシック アクティビティを有効化するには、アプリケーションが以下の条件を満たしている必要があります。

• Microsoft ID プラットフォームと統合されている。
• 適切な Microsoft Graph API のアクセス許可が割り当てられている。

Microsoft 365 アプリケーションを登録すると、Microsoft Entra ID は一意のアプリケーション (クライアント) ID を割り当てます。この ID を、アクセス許可を割り当てたサービス (ファイル、メール、予定表など) とともに [Microsoft 365 スコープ] アクティビティに入力します。

独自のアプリケーションを登録する (BYOA)

ヒント: このプロセスについて詳しくは、Microsoft ドキュメントの「Quickstart: Register an application with the Microsoft identity platform」をご覧ください。ただし、これらの手順が最初に文書化された後、Microsoft のユーザー インターフェイスが変更されている可能性があることに注意してください。

1. 個人、会社、または学校の Microsoft 365 アカウントを使って Azure ポータルにサインインします。
2. [Microsoft Entra ID] を選択します。
3. [追加] ボタンを選択し、ドロップダウン リストから [アプリを登録] を選択します。
4. [アプリケーションの登録] ページで、[名前]、[サポートされているアカウントの種類]、[リダイレクト URI (省略可能)] の各フィールドに入力します。
5. [名前] フィールドに、アプリケーションの名前を入力します。
6. [サポートされているアカウントの種類] のセクションで、該当するオプションを選択します。
   • この組織ディレクトリのみに含まれるアカウント (UiPath のみ - シングル テナント) - ターゲット オーディエンスが組織内のユーザーである場合、このオプションを使用します。これは、シングル テナント アプリケーションを表します。
   • 任意の組織ディレクトリ内のアカウント (任意の Microsoft Entra ID テナント - マルチテナント) - ターゲット オーディエンスが業務または教育関連の顧客である場合は、このオプションを使用します。これは、マルチテナント アプリケーションを表します。
   • 任意の組織ディレクトリ内のアカウント (任意の Microsoft Entra ID テナント - マルチテナント) と個人用の Microsoft アカウント (Skype、Xbox など) - 最も広範な Microsoft ID をターゲットとする場合は、このオプションを使用します。これは、マルチテナント アプリケーションを表します。
   • 個人用の Microsoft アカウントのみ

   選択するオプションの詳細については、「Who can sign in to you app?」をご覧ください。

7. 該当する場合、[リダイレクト URI (省略可能)] に URI アドレスを入力します。Microsoft 認証ライブラリ (MSAL.NET) は、既定のリダイレクト URI https://login.microsoftonline.com/common/oauth2/nativeclient を使用します。認証の種類として対話型トークンを使用する場合、おそらくこの値で問題ありません。
   • 選択は、使用する認証の種類によって決まります。詳しくは、「Microsoft 365 アクティビティへの接続方法」をご覧ください。
   • 今回の例の組織は、マルチテナントの認証をサポートし、認証の種類としてはリダイレクト URI を必要とする対話型トークンのみを使用できます。
     • 対話型トークンと既定の Microsoft リダイレクト URI を使用する場合は、種類がモバイル アプリケーションとデスクトップ アプリケーションのプラットフォームを追加する必要があります。詳しくは、Microsoft ドキュメントの「Configure platform settings」をご覧ください。
     • 認証の種類が統合 Windows 認証 (IWA) またはユーザー名とパスワードの場合、アプリケーションのリダイレクト URI の登録は不要です。これらのフローでは、Microsoft ID プラットフォーム v2.0 エンドポイントまでのラウンド トリップが行われ、アプリケーションが特定の URI でコール バックされることはありません。
   • .NET 5.0 をターゲットにする UiPath Studio プロジェクトで Microsoft 365 を使用する場合、所有しているアプリケーションのリダイレクト URI に http://localhost を追加する必要があります。

     詳細については、Microsoft ID プラットフォームのドキュメントのデスクトップ アプリの登録に関する項をご覧ください。

8. [登録] を選択すると、登録済みアプリケーションの [概要] ページにリダイレクトされます。

アプリケーションの構成を完了するには、API のアクセス許可も追加する必要があります。

注: この設定は一例に過ぎません。したがって、組織のポリシーに基づいて設定を選択できます。

API のアクセス許可を追加する

注:

• 対話型トークン認証では、委任された権限が使用されます。
• 権限はアクティビティによって異なります。各アクティビティには固有の機能に必要な権限が含まれているためです。

アプリケーションを登録したら、次の手順で、必要な API のアクセス許可を追加します。

1. Azure Portal で、登録済みのアプリケーションに移動します。
2. [管理] オプションを展開し、[API のアクセス許可] を選択します。
3. [アクセス許可の追加] を選択します。[API アクセス許可の要求] サイド パネルが開きます。
4. [Microsoft API] タブで [Microsoft Graph] を選択します。
5. [委任されたアクセス許可] を選択して、アクセス許可のリストを表示します。
   注:

   • 委任された権限は対話型トークンと共に使用されます。
   • アプリケーションの権限は、アプリケーション ID とシークレットと共に使用されます。

   アクセス許可の種類について詳しくは、Microsoft Azure のドキュメント「Configure a client application to access web APIs」をご覧ください。

6. 検索バーを使用するか、リストをスクロールして、以下のアクセス許可を選択します。
   注:

   • 権限はアクティビティによって異なります。各アクティビティには固有の機能に必要な権限が含まれているためです。
   • これらのアクセス許可はすべて必須というわけではありません。次のリストは、すべての Microsoft 365 アクティビティを実行するために必要なアクセス許可の完全なセットを表しています。特定のユース ケースに応じてアクセス許可を制限できます。必要なアクセス許可については、アクティビティのドキュメント ページをご覧ください。
   • 予定表/カレンダー
     • Calendars.Read
     • Calendars.ReadWrite
   • ファイル
     • Files.Read
     • Files.Read.All
     • Files.ReadWrite
     • Files.ReadWrite.All
   • サイト
     • Sites.Read.All
     • Sites.ReadWrite.All
   • メール
     • Mail.Read
     • Mail.ReadWrite
     • Mail.Send
   • ユーザー
     • User.Read
   • 共有 - ユーザーと共有しているがそのユーザーが所有しているのではないリソースにアクセスするために必要なスコープ。
     • Mail.Read.Shared
     • Mail.ReadWrite.Shared
     • Mail.Send.Shared
     • Calendars.Read.Shared
     • Calendars.ReadWrite.Shared
7. [アクセス許可の追加] を選択して [API のアクセス許可] リストに戻ります。
   
   

   

   
   
8. [API のアクセス許可] に、予定表、ファイル、ユーザー、メールのアクセス許可が追加されていることを確認します。
   
   

   

   
   

アプリケーションを特定の Web サイトに対して制限する

アプリケーションがアクセスできる Web サイトを制御するには、次の手順に従います。

まず、アプリケーションに Sites.Selected 権限を割り当てます。

1. Azure Portal で、登録済みのアプリケーションに移動します。
2. [管理] オプションを展開し、[API のアクセス許可] を選択します。
3. [アクセス許可の追加] を選択します。[API アクセス許可の要求] サイド パネルが開きます。
4. [Microsoft API] タブで [Microsoft Graph] を選択します。
5. [ アプリケーションのアクセス許可] を選択します。
6. サイトを検索し、[サイト] ドロップダウン メニューを展開して、利用可能なすべてのサイト権限を表示します。
7. Sites.Selected 権限の横にチェックマークを追加し、[権限を追加] を選択します。

次に、アプリケーションが API を使用して特定の Web サイトにアクセスできるようにします。

1. Microsoft Graph エクスプローラーに移動します。
2. 種類が GET の API を作成します。たとえば、 https://graph.microsoft.com/v1.0/sites?search=FPH_Test です。FPH_Test は SharePoint サイトの名前です。
   図 1. GET API を使用した Microsoft Graph エクスプローラー ページ
   

   

   
   
3. [クエリを実行] を選択します。
4. 応答本文からサイト ID 6c964666-500d-48e6-9ca6-84acee41c5b9,f955b6bc-9d48-4155-b1f5-e722d5cea1b5 をコピーし、後で使用するためにドキュメントに貼り付けます。
   図 2. Microsoft Graph エクスプローラーの GET API 応答本文
   

   

   
   
5. アプリケーションがこの Web サイトにアクセスできるようにするには、別の API を作成します。今回は POST です。たとえば、 https://graph/microsoft.com/v1.0/sites/0yxd4.sharepoint.com,6c964666-500d-48e6-9ca6-84acee41c5b9,f955b6bc-9d48-4155-b1f5-e722d5cea1b5/permissions です。6c964666-500d-48e6-9ca6-84acee41c5b9,f955b6bc-9d48-4155-b1f5-e722d5cea1b5 はサイト ID です。
6. これは POST API であるため、要求本文に JSON 形式でペイロード データを入力します。以下に例を示します。

   {
   	"roles": [
   		"write"
   	],
   	"grantedToIdentities": [
   		{
   			"application": {
   				"id": "14dbd4c1-9ebf-47e8-c3f75bffed2d",
   				"displayName": "BOYA_Nisarg"
   			}
   		}
   	]
   }

   注:

   • ペイロードにアプリケーションの名前と ID が含まれていることを確認します。
   • アプリ ID は、Azure でアプリケーションにアクセスして [概要] で確認できます。
7. [クエリを実行] を選択します。クエリが正常に実行されると、「Created - 201」というメッセージが表示されます。

特定のサイトにアクセスできるアプリケーションを確認するには、API を POST から GET に変更し、ペイロードを削除し、同じ API を保持してクエリを実行します。応答本文では、その特定のサイトにアクセスできるすべてのアプリケーションを確認できます。