生产力活动

上次更新日期 2025年9月3日

交互式令牌

概述

交互式令牌身份验证类型包括以下特征：

以用户身份运行。
用于有人值守的自动化场景。
使用委派权限。

注意：这与 Integration Service 通过UiPath 公共应用或自带应用程序方法支持的身份验证方法相同。

详细信息

当需要多重身份验证 (MFA) 时，您可以使用交互式令牌身份验证类型进行有人值守的自动化。如果要测试活动包，请使用此身份验证方法，因为它易于配置并且适用于个人帐户。交互式令牌使用注册应用程序部分中提到的默认重定向 URI。

您可以使用默认 UiPath 公共应用程序（OAuth 应用程序 = UiPath），也可以注册并使用自己的 Azure 应用程序（OAuth 应用程序 = 自定义）：

UiPath 公共应用注册: 使用 UiPath 公共应用的优点是，您无需配置或维护应用程序。
注意： UiPath 不会存储任何用户数据。身份验证令牌仅保存在您的计算机或 Orchestrator 存储桶中。有关更多详细信息，请查看UiPath 公共应用注册。
自带应用程序 (BYOA) : 使用自己的应用程序的优点是，您可以更精细地管理、自定义和分配组织内的权限。有关更多详细信息，请查看自定义 OAuth 应用程序注册 - 自带应用程序 (BYOA) 。

创建应用程序时，您必须选择应用程序类型。对于交互式令牌身份验证，请使用移动或桌面应用程序，该应用程序使用OAuth 2.0 授权代码流程以及类型为public client或native的重定向 URI（移动版和桌面版）。

当您首次使用交互式令牌身份验证类型运行 Microsoft 365 活动时，系统会提示您授权访问您在注册应用程序时已授予权限的资源。有关更多详细信息，请查看代表用户获取访问权限。

一个组织可以拥有多个应用程序（客户端）ID。每个应用程序 ID 都包含其自己的权限和身份验证要求。例如，您和您的同事都可以在公司的 Microsoft Entra ID 中使用不同的权限注册 Microsoft 365 应用程序。您的应用程序可以配置为仅授权与文件交互的权限，而您同事的应用程序可以授权与文件、邮件和日历交互的权限。

备注：

如果您在Microsoft 365 作用域活动中选择交互式令牌身份验证类型，请将“用户名”和“密码”字段留空。
如果您使用的是单租户应用程序，请配置“租户”字段。
如果您使用的是多租户应用程序（UiPath 公共应用程序是多租户），请将“租户”字段留空。

交互式令牌的作用域

备注：

本节适用于 UiPath 公共应用程序和“自带应用程序”方法。

当您将活动添加到Microsoft 365 作用域时，Studio 会自动检测其所需的作用域。您还可以允许更多或更少的作用域。但是，如果选择的作用域较少，则某些活动功能可能无法正常工作。

有关更多详细信息，请查看使用活动作用域。

UiPath 公共应用注册

已使用以下信息注册 UiPath 公共应用程序：

名称：UiPath Studio O365 应用程序
客户端 ID ： f2f43f65-16a6-4319-91b6-d2a342a88744
作用域：Calendars.Read、Calendars.Read.Shared、Calendars.ReadWrite、Calendars.ReadWrite.Shared、 Chat.ReadWrite、电子邮件、EWS.AccessAsUser.All、Files.Read、Files.Read.All、Files.ReadWrite、文件。 ReadWrite.All、Group.Read.All、Group.ReadWrite.All、Mail.Read、Mail.Read.Shared、Mail.ReadWrite、Mail.ReadWrite.Shared、Mail.Send、Mail.Send.Shared、offline_access、openid， Presence.Read、Presence.Read.All、配置文件、Sites.Read.All、Sites.ReadWrite.All、User.Read、User.Read.All。

自定义 OAuth 应用程序注册 - 自带应用程序 (BYOA)

本节说明如何为Microsoft 365 作用域连接创建应用程序。

概述

要启用 Microsoft 365 传统活动，您的应用程序必须满足以下条件：

与 Microsoft 身份平台集成。
已分配正确的 Microsoft Graph API 权限。

在您注册 Microsoft 365 应用程序后，Microsoft 365 入口 ID 会分配您在Microsoft 365 作用域活动中输入的唯一应用程序（客户端）ID 以及您分配权限的服务（文件、邮件和日历）。

注册您自己的应用程序 (BYOA)

提示：快速入门：向 Microsoft 身份平台注册应用程序中的 Microsoft 文档详细介绍了此流程。但是，自首次记录这些步骤以来，Microsoft 用户界面可能已发生变化。

使用您的个人、工作或学校 Microsoft 365 帐户登录 Azure 门户。
选择“Microsoft Entra ID” 。
选择“添加”按钮，然后从下拉列表中选择“应用注册” 。
在“注册应用程序”页面上，填写以下字段： “名称” 、 “支持的帐户类型”和“重定向 URI（可选）” 字段。
在“名称”字段中，输入应用程序的名称。
在“支持的帐户类型”下，选择适用于您的选项：
- “仅限此组织目录中的帐户”（仅限 UiPath - 单租户） - 如果您的目标受众是组织内部的帐户，请使用此选项。这表示单租户应用程序。
- 任何组织目录中的帐户（任何 Microsoft 实体 ID 租户 - 多租户） - 如果您的目标受众是企业或教育客户，请使用此选项。这代表一个多租户应用程序。
- “任何组织目录”中的帐户（任何 Microsoft 框架 ID 租户 - 多租户）和个人 Microsoft 帐户（例如 Skype、Space）中的帐户- 使用此选项来定位最广泛的 Microsoft 身份集。这代表一个多租户应用程序。
- 仅限 Microsoft 个人帐户
有关所选选项的更多信息，请参阅谁可以登录您的应用程序？
在“重定向 URI(可选)”下，输入 URI 地址（如果适用）。Microsoft 身份验证库 (MSAL.NET) 使用默认重定向 URI： https://login.microsoftonline.com/common/oauth2/nativeclient 。使用交互式令牌身份验证类型时，此值可能适用。
- 您的选择取决于您的身份验证类型。有关更多详细信息，请查看如何连接到 Microsoft 365 活动。
- 在我们的示例中，组织支持多租户身份验证，并且只能使用需要重定向 URI 的交互式令牌身份验证类型。
  - 如果您使用交互式令牌和默认的 Microsoft 重定向 URI，则必须添加类型为“移动和桌面应用程序”的平台。有关更多详细信息，请查看 Microsoft 文档中的配置平台设置。
  - 如果您的身份验证类型为“集成 Windows 身份验证 (IWA)”或“用户名和密码” ，则无需为应用程序注册重定向 URI。这些流程会往返 Microsoft 身份平台 v2.0 端点，并且应用程序不会在任何特定 URI 上回调。
- 在面向.NET 5.0 的UiPath Studio 项目中使用 Microsoft 365 时，请将http://localhost添加到您所拥有应用程序的重定向 URI 中。
  有关更多详细信息，请查看 Microsoft 身份平台文档中的桌面应用程序注册。
选择“注册” ，这会将您重定向到已注册应用程序的“概述”页面。

要完成应用程序配置，还必须向其添加 API 权限。

注意：此设置只是一个示例。因此，您可以根据组织的策略进行选择。

添加 API 权限

备注：

交互式令牌身份验证使用委派权限。
权限可能因活动而异，因为每个活动都包含其特定功能所需的权限。

注册应用程序后，请添加必要的 API 权限，如下所示：

在Azure 门户中，转到您已注册的应用程序。
展开“管理”选项，然后选择“API 权限” 。
选择添加权限，这将打开“请求 API 权限”侧面板。
在“Microsoft API” 选项卡下选择“Microsoft Graph” 。
选择“委派的权限”以显示权限列表。
备注：
- 委派权限与交互式令牌一起使用。
- 应用程序权限与应用程序 ID 和密码一起使用。
有关权限类型的更多详细信息，请查看 Microsoft Azure 文档中的配置客户端应用程序以访问网页 API 。
使用搜索栏或向下滚动列表，然后选择以下权限：
备注：
- 权限可能因活动而异，因为每个活动都包含其特定功能所需的权限。
- 这些权限并非全部是必需权限。以下列表显示了运行所有 Microsoft 365 活动所需的完整权限集。您可以根据特定用例限制权限。查看活动文档页面，了解其需要哪些权限。
- 日历
  - 日历. 读取
  - Calendars.ReadWrite
- 文件
  - 文件。读取
  - 文件读取全部
  - Files.ReadWrite
  - Files.ReadWrite.All
- 网站
  - 站点。只读。全部
  - Sites.ReadWrite.All
- 邮件
  - 邮件读取
  - 邮件读写
  - 邮件.发送
- 用户
  - User.Read
- 共享- 访问与用户共享但不属于用户所有的资源所需的作用域。
  - 邮件读取共享
  - 邮件读写共享
  - 邮件.发送.共享
  - Calendars.Read.Shared
  - Calendars.ReadWrite.Shared
选择“添加权限”以返回到 API 权限列表。
确保您的 API 权限包括您添加的“日历” 、 “文件” 、 “用户”和“邮件”权限。

将应用程序限制为只能访问特定网站

如果要控制应用程序可以访问的网站，请继续执行以下操作：

首先，为您的应用程序分配“Sites.Selected”权限：

在Azure 门户中，转到您已注册的应用程序。
展开“管理”选项，然后选择“API 权限” 。
选择添加权限，这将打开“请求 API 权限”侧面板。
在“Microsoft API”选项卡下，选择“Microsoft Graph” 。
选择“应用程序权限” 。
搜索网站，然后展开“网站”下拉菜单以查看所有可用的网站权限。
在“Sites.Selected ” 权限旁边添加选中标记，然后选择“添加权限” 。

然后，允许应用程序使用 API 访问特定网站：

转到Microsoft Graph 资源管理器。
创建类型为GET的 API。例如https://graph.microsoft.com/v1.0/sites?search=FPH_Test ，其中FPH_Test是 SharePoint 站点的名称。
图 1.包含 GET API 的 Microsoft Graph Explorer 页面
选择“运行查询” 。
从响应正文中复制站点 ID 6c964666-500d-48e6-9ca6-84acee41c5b9,f955b6bc-9d48-4155-b1f5-e722d5cea1b5 ，并将其粘贴到文档中以备后用。
图 2. Microsoft Graph 资源管理器中的 GET API 响应正文
要允许应用程序访问此网站，请创建另一个 API，这次的类型为POST 。例如 https://graph/microsoft.com/v1.0/sites/0yxd4.sharepoint.com,6c964666-500d-48e6-9ca6-84acee41c5b9,f955b6bc-9d48-4155-b1f5-e722d5cea1b5/permissions ，其中6c964666-500d-48e6-9ca6-84acee41c5b9,f955b6bc-9d48-4155-b1f5-e722d5cea1b5是站点 ID。
由于这是 POST API，因此请在请求正文中以 JSON 格式输入有效负载数据。例如:
```
{
	"roles": [
		"write"
	],
	"grantedToIdentities": [
		{
			"application": {
				"id": "14dbd4c1-9ebf-47e8-c3f75bffed2d",
				"displayName": "BOYA_Nisarg"
			}
		}
	]
}{
	"roles": [
		"write"
	],
	"grantedToIdentities": [
		{
			"application": {
				"id": "14dbd4c1-9ebf-47e8-c3f75bffed2d",
				"displayName": "BOYA_Nisarg"
			}
		}
	]
}	
```
备注：
- 确保有效负载包含应用程序名称和 ID。
- 在 Azure 中访问应用程序时，您可以在“概述”下找到应用程序 ID。
选择“运行查询” 。如果查询已成功运行，则系统会显示消息“已创建” - 201 。