OAuth 应用程序设置

本节说明了如何设置 OAuth 应用程序，无论您使用哪种身份验证类型，无论是“交互式令牌” “集成 Windows 身份验证” “用户名和密码” “应用程序 ID 和密码”还是“应用程序 ID 和证书” 。

您可以使用默认 UiPath 公共应用程序（OAuth 应用程序 = UiPath），也可以注册并使用自己的 Azure 应用程序（OAuth 应用程序 = 自定义）：

• UiPath 公共应用注册: 使用 UiPath 公共应用的优点是，您无需配置或维护应用程序。
  注意： UiPath 不会存储任何用户数据。身份验证令牌仅保存在您的计算机或 Orchestrator 存储桶中。有关更多详细信息，请查看“UiPath 公共应用注册” 。
• 自带应用程序 (BYOA) : 使用自己的应用程序的优点是，您可以更精细地管理、自定义和分配组织内的权限。有关更多详细信息，请查看自定义 OAuth 应用程序注册 - 自带应用程序 (BYOA) 。

UiPath 公共应用注册

已使用以下信息注册 UiPath 公共应用程序：

• 名称：UiPath Studio O365 应用程序
• 客户端 ID ： f2f43f65-16a6-4319-91b6-d2a342a88744
• 作用域：Calendars.Read、Calendars.Read.Shared、Calendars.ReadWrite、Calendars.ReadWrite.Shared、 Chat.ReadWrite、电子邮件、EWS.AccessAsUser.All、Files.Read、Files.Read.All、Files.ReadWrite、文件。 ReadWrite.All、Group.Read.All、Group.ReadWrite.All、Mail.Read、Mail.Read.Shared、Mail.ReadWrite、Mail.ReadWrite.Shared、Mail.Send、Mail.Send.Shared、offline_access、openid， Presence.Read、Presence.Read.All、配置文件、Sites.Read.All、Sites.ReadWrite.All、User.Read、User.Read.All。

自定义 OAuth 应用程序注册 - 自带应用程序 (BYOA)

本节说明如何为Microsoft 365 作用域连接创建应用程序。

概述

要启用 Microsoft 365 传统活动，您的应用程序必须满足以下条件：

• 与 Microsoft 身份平台集成。
• 已分配正确的 Microsoft Graph API 权限。

在您注册 Microsoft 365 应用程序后，Microsoft 365 入口 ID 会分配您在Microsoft 365 作用域活动中输入的唯一应用程序（客户端）ID 以及您分配权限的服务（文件、邮件和日历）。

注册您自己的应用程序 (BYOA)

提示：快速入门：向 Microsoft 身份平台注册应用程序中的 Microsoft 文档详细介绍了此流程。但是，自首次记录这些步骤以来，Microsoft 用户界面可能已发生变化。

1. 使用您的个人、工作或学校 Microsoft 365 帐户登录 Azure 门户。
2. 选择“Microsoft Entra ID” 。
3. 选择“添加”按钮，然后从下拉列表中选择“应用注册” 。
4. 在“注册应用程序”页面上，填写以下字段： “名称” 、 “支持的帐户类型”和“重定向 URI（可选）” 字段。
5. 在“名称”字段中，输入应用程序的名称。
6. 在“支持的帐户类型”下，选择适用于您的选项：
   • “仅限此组织目录中的帐户”（仅限 UiPath - 单租户） - 如果您的目标受众是组织内部的帐户，请使用此选项。这表示单租户应用程序。
   • 任何组织目录中的帐户（任何 Microsoft 实体 ID 租户 - 多租户） - 如果您的目标受众是企业或教育客户，请使用此选项。这代表一个多租户应用程序。
   • “任何组织目录”中的帐户（任何 Microsoft 框架 ID 租户 - 多租户）和个人 Microsoft 帐户（例如 Skype、Space）中的帐户- 使用此选项来定位最广泛的 Microsoft 身份集。这代表一个多租户应用程序。
   • 仅限 Microsoft 个人帐户

   有关所选选项的更多信息，请参阅谁可以登录您的应用程序？

7. 在“重定向 URI(可选)”下，输入 URI 地址（如果适用）。Microsoft 身份验证库 (MSAL.NET) 使用默认重定向 URI： https://login.microsoftonline.com/common/oauth2/nativeclient 。使用交互式令牌身份验证类型时，此值可能适用。
   • 您的选择取决于您的身份验证类型。有关更多详细信息，请查看如何连接到 Microsoft 365 活动。
   • 在我们的示例中，组织支持多租户身份验证，并且只能使用需要重定向 URI 的交互式令牌身份验证类型。
     • 如果您使用交互式令牌和默认的 Microsoft 重定向 URI，则必须添加类型为“移动和桌面应用程序”的平台。有关更多详细信息，请查看 Microsoft 文档中的配置平台设置。
     • 如果您的身份验证类型为“集成 Windows 身份验证 (IWA)”或“用户名和密码” ，则无需为应用程序注册重定向 URI。这些流程会往返 Microsoft 身份平台 v2.0 端点，并且应用程序不会在任何特定 URI 上回调。
   • 在面向.NET 5.0 的UiPath Studio 项目中使用 Microsoft 365 时，请将http://localhost添加到您所拥有应用程序的重定向 URI 中。

     有关更多详细信息，请查看 Microsoft 身份平台文档中的桌面应用程序注册。

8. 选择“注册” ，这会将您重定向到已注册应用程序的“概述”页面。

要完成应用程序配置，还必须向其添加 API 权限。

注意：此设置只是一个示例。因此，您可以根据组织的策略进行选择。

添加 API 权限

备注：

• 交互式令牌身份验证使用委派权限。
• 权限可能因活动而异，因为每个活动都包含其特定功能所需的权限。

注册应用程序后，请添加必要的 API 权限，如下所示：

1. 在Azure 门户中，转到您已注册的应用程序。
2. 展开“管理”选项，然后选择“API 权限” 。
3. 选择添加权限，这将打开“请求 API 权限”侧面板。
4. 在“Microsoft API” 选项卡下选择“Microsoft Graph” 。
5. 选择“委派的权限”以显示权限列表。
   备注：

   • 委派权限与交互式令牌一起使用。
   • 应用程序权限与应用程序 ID 和密码一起使用。

   有关权限类型的更多详细信息，请查看 Microsoft Azure 文档中的配置客户端应用程序以访问网页 API 。

6. 使用搜索栏或向下滚动列表，然后选择以下权限：
   备注：

   • 权限可能因活动而异，因为每个活动都包含其特定功能所需的权限。
   • 这些权限并非全部是必需权限。以下列表显示了运行所有 Microsoft 365 活动所需的完整权限集。您可以根据特定用例限制权限。查看活动文档页面，了解其需要哪些权限。
   • 日历
     • 日历. 读取
     • Calendars.ReadWrite
   • 文件
     • 文件。读取
     • 文件读取全部
     • Files.ReadWrite
     • Files.ReadWrite.All
   • 网站
     • 站点。只读。全部
     • Sites.ReadWrite.All
   • 邮件
     • 邮件读取
     • 邮件读写
     • 邮件.发送
   • 用户
     • User.Read
   • 共享- 访问与用户共享但不属于用户所有的资源所需的作用域。
     • 邮件读取共享
     • 邮件读写共享
     • 邮件.发送.共享
     • Calendars.Read.Shared
     • Calendars.ReadWrite.Shared
7. 选择“添加权限”以返回到 API 权限列表。
   
   

   

   
   
8. 确保您的 API 权限 包括您添加的“日历” 、 “文件” 、 “用户”和“邮件”权限。
   
   

   

   
   

将应用程序限制为只能访问特定网站

如果要控制应用程序可以访问的网站，请继续执行以下操作：

首先，为您的应用程序分配“Sites.Selected”权限：

1. 在Azure 门户中，转到您已注册的应用程序。
2. 展开“管理”选项，然后选择“API 权限” 。
3. 选择添加权限，这将打开“请求 API 权限”侧面板。
4. 在“Microsoft API”选项卡下，选择“Microsoft Graph” 。
5. 选择“应用程序权限” 。
6. 搜索网站，然后展开“网站”下拉菜单以查看所有可用的网站权限。
7. 在“Sites.Selected ” 权限旁边添加选中标记，然后选择“添加权限” 。

然后，允许应用程序使用 API 访问特定网站：

1. 转到Microsoft Graph 资源管理器。
2. 创建类型为GET的 API。例如https://graph.microsoft.com/v1.0/sites?search=FPH_Test ，其中FPH_Test是 SharePoint 站点的名称。
   图 1.包含 GET API 的 Microsoft Graph Explorer 页面
   

   

   
   
3. 选择“运行查询” 。
4. 从响应正文中复制站点 ID 6c964666-500d-48e6-9ca6-84acee41c5b9,f955b6bc-9d48-4155-b1f5-e722d5cea1b5 ，并将其粘贴到文档中以备后用。
   图 2. Microsoft Graph 资源管理器中的 GET API 响应正文
   

   

   
   
5. 要允许应用程序访问此网站，请创建另一个 API，这次的类型为POST 。例如 https://graph/microsoft.com/v1.0/sites/0yxd4.sharepoint.com,6c964666-500d-48e6-9ca6-84acee41c5b9,f955b6bc-9d48-4155-b1f5-e722d5cea1b5/permissions ，其中6c964666-500d-48e6-9ca6-84acee41c5b9,f955b6bc-9d48-4155-b1f5-e722d5cea1b5是站点 ID。
6. 由于这是 POST API，因此请在请求正文中以 JSON 格式输入有效负载数据。例如:

   {
   	"roles": [
   		"write"
   	],
   	"grantedToIdentities": [
   		{
   			"application": {
   				"id": "14dbd4c1-9ebf-47e8-c3f75bffed2d",
   				"displayName": "BOYA_Nisarg"
   			}
   		}
   	]
   }

   备注：

   • 确保有效负载包含应用程序名称和 ID。
   • 在 Azure 中访问应用程序时，您可以在“概述”下找到应用程序 ID。
7. 选择“运行查询” 。如果查询已成功运行，则系统会显示消息“已创建” - 201 。

要检查哪些应用程序可以访问特定站点，请将该 API 从 POST 更改为 GET，删除有效负载，保持相同的 API，然后运行查询。您可以在响应正文中找到可以访问该特定站点的所有应用程序。