How to connect to Microsoft 365 activities

Visão geral

Microsoft 365 activities have different authentication flows that you can choose from. Your choice is dependent on: the type of automation mode you plan to run (attended or unattended), the type of projects you want to build (cross-platform or Windows), the type of permissions you want to grant (delegated or app-only), and your application authentication requirements (consult with your administrator if you're unsure which authentication requirements apply to your application).

Use the table below to understand the basic differences between each authentication type:

Microsoft Authentication flow	Microsoft 365 Scope - Authentication type	Conexão do Integration Service	Robot type - Attended	Robot type - Unattended	API permission type
OAuth 2.0 authorization code flow	Interactive Token - public app	Código de autorização do OAuth 2.0			Permissões delegadas
	Interactive Token - BYOA	Traga seu próprio aplicativo OAuth 2.0			Permissões delegadas
Integrated Windows authentication (IWA)	Autenticação do Windows Integrada	N/A			Permissões delegadas
UsernameAndPassword	UsernameAndPassword	N/A			Permissões delegadas
OAuth 2.0 client credentials flow	Application ID and secret	N/A			Permissões do aplicativo
	Application ID and certificate	N/A			Permissões do aplicativo

Delegated permissions versus application permissions

To understand the differences between delegated and application permissions, see the Microsoft official documentation: Comparison of delegated and application permissions.

Briefly, the differences are as follows:

• With delegated permissions, the application impersonates a user and acts on the user's behalf. The application can access only what the signed-in user can access.
• With application permissions, the application acts on its own, without a signed-in user. The application can access any data that its permissions are associated with.

For both delegated and application permissions, you can restrict what the application can and can't access using the scopes defined when you create the app. Refer to Scopes and permissions in the Microsoft documentation.

Multitenant versus single-tenant applications

Both Microsoft 365 Scope and Integration Service connections support single tenant applications and multitenant applications. To learn the difference between the two, refer to Who can sign in to you app? in the Microsoft official documentation.

Azure environments

Both Microsoft 365 Scope and Integration Service connections support multiple Azure environments:

• Connections through the Scope activity support: Azure, Azure Global, China, Germany or US Government. The default value is Global.
• Connections through Integration Service support: Default, US Government L4, US Government L5, and China.

Conexões do Integration Service

Integration Service connectors use OAuth 2.0 authorization code flow with delegated permissions.

The Microsoft 365 modern activities and triggers establish an authenticated connection to the Integration Service Microsoft OneDrive & SharePoint and the Microsoft Outlook 365 connectors. To learn more about Integration Service connections, refer to Set up Integration Service connectors.

When you connect to the Microsoft connectors in Integration Service, you have the option to use the standard UiPath public application (with a set of default, non-configurable scopes) or create your own application with Microsoft and customize the scopes you need.

Microsoft 365 Scope connections

The Microsoft 365 Classic activities establish an authenticated connection to your Microsoft 365 applications via the Microsoft 365 Scope activity.

The activities need authorization from the Microsoft identity platform. To enable authorization, you first register your Microsoft 365 application in your Azure Active Directory. When registering your application, you assign Microsoft Graph API permissions to specify the resources your Robot can access on your behalf.

After registering your Microsoft 365 application, Azure Active Directory assigns a unique application (client) ID that you enter in the Microsoft 365 Scope activity. The Application ID is used to collect the necessary information about your registered app to initiate authentication and get the access token to establish the connection.

When you add an activity to Microsoft 365 Scope, its required scopes are automatically detected. You can also choose to allow additional scopes.

Token Interativo

Visão geral

• Runs: as a user.
• Scenario: attended automation.
• Delegated permissions.

Observação: esse é o mesmo método de autenticação suportado no Integration Service, seja por meio do aplicativo UiPath público ou de um aplicativo personalizado privado (método Traga seu próprio aplicativo).

Detalhes

• When registering your application, you must select an application type. For interactive token authentication, use a mobile/desktop application (which uses OAuth 2.0 authorization code flow).

• O tipo de autenticação do Token Interativo pode ser usado para automação assistida e quando a autenticação multi-factor (MFA) for necessária. Essa é a opção padrão e o que usamos em nossos exemplos. Se você estiver interessado em experimentar o pacote de atividades, essa opção é fácil de configurar e funciona bem para contas pessoais (usando o URI de redirecionamento padrão observado na etapa 7 da seção Registre seu aplicativo do Guia de configuração ).

• You have the option to register and use your own Azure app (i.e., OAuthApplication = Custom) or the one provided by UiPath (OAuthApplication = UiPath).
• When you run the Microsoft 365 activity for the first time using this authentication type, you are prompted to authorize access to the resources (you granted permissions to when registering your app) via a consent dialogue box. See Get access on behalf of a user.

• If you select this authentication type in Microsoft 365 Scope, leave the Username, Password, and Tenant fields empty.

Autenticação integrada do Windows (IWA)

Visão geral

• Runs: as a user.
• Scenario: unattended automation.
• Delegated permissions.

Note: This authentication type does not work when multi-factor authentication (MFA) is enabled. If your application requires MFA, you can run attended automation using the Interactive Token authentication type or unattended automation using Application ID and Secret and Application ID and Certificate. Application ID and Secret and Application ID and Certificate authentication types are appropriate for unattended automation and work regardless of whether the MFA is enabled or disabled.

Detalhes

• O tipo de autenticação Autenticação Integrada do Windows pode ser usado para automação não assistida. Essa opção pode ser aplicada a aplicativos hospedados no Windows em execução em computadores que ingressaram em um domínio do Windows ou Azure Active Directory.

• When registering your application, you must select an application type. For IWA authentication type, you must use a mobile/desktop application (which uses OAuth 2.0 authorization code flow).

• Works only for federated users and if your registered Azure application is configured to support IWA. Doesn't work for multi-factor authentication (MFA). See details here: IWA on GitHub.
• You should only select this option if your registered application is configured to support Integrated Windows Authentication.

• If you select this authentication type in Microsoft 365 Scope, leave the Username and Password fields empty. The Tenant field is optional.

UsernameAndPassword

Summary

• Runs: as a user.
• Scenario: unttended automation.
• Delegated permissions.

Note: This authentication type does not work when multi-factor authentication (MFA) is enabled. If your application requires MFA, you can run attended automation using the Interactive Token authentication type or unattended automation using Application ID and Secret and Application ID and Certificate. Application ID and Secret and Application ID and Certificate authentication types are appropriate for unattended automation and work regardless of whether the MFA is enabled or disabled.

Detalhes

• This authentication type is provided only for legacy reasons. We do not recommend using this option, as it goes against the principles of modern authentication. It doesn't work for multi-factor authentication (MFA). See details here: User & Password on GitHub.

• Embora não seja recomendado pela Microsoft, você pode usar esse tipo de autenticação em aplicativos clientes públicos. O uso desse tipo de autenticação impõe restrições ao seu aplicativo. Por exemplo, os aplicativos que usam esse fluxo não poderão fazer login de um usuário que precise realizar a autenticação multifator (acesso condicional). Isso também não permitirá que seu aplicativo se beneficie do logon único.
• The ApplicationID property is required when selecting the Username and Password authentication type. You can register your Microsoft 365 Application using your personal, work, and/or school account.

ID do Aplicativo e Segredo

Summary

• Runs: as background service.
• Scenario: unattended and unattended with MFA enabled.
• Application permissions.
• Recommended for unattended executions or when you want to access the Microsoft Graph API as an application (a background service / daemon) without a signed-in user.

Detalhes

• When registering your application, you must select an application type. For application ID and secret authentication type, use a confidential/web application (which uses OAuth 2.0 client credentials flow).

• As permissões de APIs apropriadas devem ser configuradas para o aplicativo Azure para que as atividades Microsoft 365 funcionem corretamente (por exemplo, as permissões de aplicativos Group.Create, Group.Read.All e Group.ReadWrite.All devem ser configuradas para o Microsoft Graph ao usar atividades Groups).

• A single organization can have multiple application (client) IDs for their Microsoft 365 account. Each application (client) ID contains its own permissions and authentication requirements. For example, you and your colleague can both register a Microsoft 365 application in your company's Azure Active Directory with different permissions. Your app can be configured to authorize permissions to interact with files only, while your colleague's app is configured to authorize permissions to interact with files, mail, and calendar. If you enter your application (client) ID into this property and run attended automation, the consent dialogue box would be limited to file permissions (and subsequently, only the Files activities can be used).

• Some activities can't be used with this type of authentication because the corresponding Microsoft Graph API does not support application permissions (e.g. Find Meeting Times).

• Para atividades de e-mail, é obrigatório especificar um valor para o parâmetro Account (ou seja, qual caixa de correio de todas as caixas de correio do inquilino você deseja usar).

• Use Sites.Selected application permission to allow the application to access just the specific SharePoint site collections rather than all.
• When using this authentication type, the application has access to all mailboxes from your tenant, the reason being that application API permission Mail.Read means Read mail in all mailboxes and Mail.ReadWrite means Read and write mail in all mailboxes. One solution is to restrict Application permissions to specific mailboxes, so the application has access only to the specified mailboxes. For more information, see Scoping application permissions to specific Exchange Online mailboxes.

IdDoAplicativo e Certificado

Summary

• Runs: as background service.
• Scenario: unattended and unattended with MFA enabled.
• Application permissions.

Detalhes

• When registering your application, you must select an application type. For application ID and certificate authentication type, use a confidential/web application (which uses OAuth 2.0 client credentials flow).

• This authentication mtehod is similar to application ID and secret, but it uses a certificate as a secret instead of a client secret string.

Using certificates

To authenticate using a certificate as a secret, take the following steps:

1. In the the Azure portal:

   • Localize seu aplicativo Microsoft 365 registrado.
   • Selecione Certificados e segredos e carregue seu arquivo de certificado (chave pública). Ele pode ter um dos seguintes tipos de arquivo: .cer, .pem, .crt.
     
     

     

     
     
2. Convert the raw contents of your .pfx file representing the certificate to a base64 string. You can use a web-based tool like Base64.Guru or assign the Convert.ToBase64String(System.IO.File.ReadAllBytes(pfxFilePath)) value to a String variable.
3. In the Microsoft 365 Scope activity:

• Set Authentication Type to Application ID and Certificate.
• Defina CertificarComoBase64 como a representação base64 do certificado.
• Se for necessária uma senha para usar o certificado, defina também o valor para a propriedade Senha do Certificado .

Como usar atividades Microsoft 365 sem conexões do Integration Service

Sobre

Agora você pode usar as atividades mais recentes Microsoft 365 mesmo se não tiver o Integration Service, por meio do Microsoft 365 Scope.

The Microsoft 365 activities designed specifically for Integration Service feature a Connection field, which enables you to choose a connection created through an Integration Service connector. When used inside Microsoft 365 Scope, the activities simply inherit the connection information from the Scope.

Matriz de tipos de projetos e autenticação

Microsoft 365
	Cloud		No local
	Escopo do aplicativo Microsoft Office 365	Integration Service	Escopo do aplicativo Microsoft Office 365	Integration Service
Multiplataforma
ID do Aplicativo e Certificado
ID do Aplicativo e Segredo
OAuth — BYOA
OAuth — aplicativo UiPath
Nome de Usuário e Senha
Autenticação do Windows Integrada
Windows
ID do Aplicativo e Certificado
ID do Aplicativo e Segredo
OAuth — BYOA
OAuth — aplicativo UiPath
Nome de Usuário e Senha
Autenticação do Windows Integrada

Métodos de conexão

Há duas maneiras de configurar uma conexão na atividade Microsoft 365 Scope .

Método de conexão		Description	Benefícios	Desvantagens
Ativo Observação: Recomendado.		Usa um Ativo do Orchestrator para armazenar a conexão com a configuração do Escopo. O ativo está no formato JSON. Sempre que é usada, a atividade recupera a configuração do ativo. Com base na configuração do ativo, o Scope se comporta de maneira diferente; ele identifica o tipo de autenticação e oculta campos desnecessários. Se o JSON do ativo não estiver definido corretamente, ele receberá um erro de validação.	As atividades se beneficiam das pesquisas de tempo de design e podem descobrir arquivos, pastas, listas, intervalos, entre outros. A conexão é facilmente transferível, pois as credenciais não são passadas de um usuário para outro em texto simples. Pode ser configurado por um Admin. É mais seguro, porque as credenciais não chegam no fluxo de trabalho do Studio.	Requer um usuário avançado para configurar o Ativo. Não é fácil configurá-lo para um Desenvolvedor Não Técnico.
Painel de Propriedades		Use o painel de propriedades existente para configurar as credenciais da conexão. A configuração pode ser adicionada em texto simples ou por meio de variáveis.	Mais fácil de usar. Mantém a compatibilidade com versões anteriores.
	Configuração por meio de texto simples Observação: Não é recomendado.	Configure o painel Propriedades com valores de texto simples.	As atividades se beneficiam das pesquisas de tempo de design e podem descobrir arquivos, pastas, listas, intervalos, entre outros.	Menos seguro, porque as credenciais precisam ser passadas entre usuários em texto simples.
	Configuração por meio de variáveis	Configure o painel de propriedades com variáveis.	Mais seguro, porque as credenciais não chegam ao fluxo de trabalho do Studio.	As atividades não podem descobrir quaisquer recursos no momento do design.

Formato de ativo do Microsoft 365 Scope

Formato padrão do ativo

{
    "CertificateAsBase64": "",
    "CertificatePassword": "",
    "ClientSecret": "",
    "Environment": "Default" | "Global" | "China" | "Germany" | "USGovernment" | "USGovernmentDOD",
    "Mode": "interactive" | "integrated" | "uap" | "appidsecret" | "appidcertificate",
    "OAuth2AppData": {
        "ApplicationId": "",
        "TenantId": ""
    }
}

UiPath application asset configuration

{
    "CertificateAsBase64": "",
    "CertificatePassword": "",
    "ClientSecret": "",
    "Environment": "Default",
    "Mode": "interactive" | "integrated" | "uap" | "appidsecret" | "appidcertificate",
    "OAuth2AppData": {
        "ApplicationId": "f2f43f65-16a6-4319-91b6-d2a342a88744",
        "TenantId": ""
    }
}

Configuração de ativo do aplicativo personalizado

Observação: esse é apenas um exemplo. Configure seu próprio aplicativo e recupere os OAuth2AppData necessários.

{
    "CertificateAsBase64": "",
    "CertificatePassword": "",
    "ClientSecret": "",
    "Environment": "Default",
    "Mode": "interactive" | "integrated" | "uap" | "appidsecret" | "appidcertificate",
    "OAuth2AppData": {
        "ApplicationId": "d47f7253-65ae-58n5-ag04-26109734e6de",
        "TenantId": "3ce4ef03-chb1-871f-94b0-345136965f10"
    }
}

Limitações

Os seguintes recursos não estão disponíveis ao usar atividades dentro do Microsoft 365 Scope: gatilhos, associações e experiência de substituição.

Atualização do token

Não há nenhum serviço disponível para atualizar seus tokens de conexão, como o que está disponível no Integration Service.

If the Authorization Token isn't refreshed for a certain number of days, it expires, and you must re-authenticate. To avoid the expiration of authorization tokens, run a robot with that specific connection. Running an automation with the Scope activity refreshes the authorization token.

Recursos adicionais do OAuth 2.0:

• Com o fluxo de aprovação do administrador: fluxo de credenciais do cliente OAuth 2.0 na plataforma de identidade da Microsoft
• Sem fluxo de aprovação do administrador: plataforma de identidade da Microsoft e fluxo de código de autorização do OAuth 2.0 - plataforma de identidade da Microsoft