A Microsoft Entra ID Graph API kivonása

A Microsoft Entra ID (korábbi nevén Azure Active Directory vagy Azure AD) Graph API szolgáltatásmegszűnik. Ez a kivonás a Microsoft Entra ID platform egyszerűsítése és a Microsoft Entra ID fejlesztői élményének javítása érdekében tett szélesebb körű erőfeszítések része.

A kockázatcsökkentés lépései

A Graph API kivonása minden Olyan Azure Stack Hub-ügyfelet érint, amely az Entra ID azonosítót használja identitásszolgáltatóként, és megköveteli, hogy a cikkben szereplő szkriptet minden érintett alkalmazáshoz futtassa. Ha olyan alkalmazásokkal rendelkezik, amelyek folyamatos hozzáférést igényelnek a Graph API-khoz, a szkript beállít egy jelzőt, amely konfigurálja ezeket az alkalmazásokat egy olyan bővítményhez, amely lehetővé teszi, hogy ezek az alkalmazások továbbra is meghívják az örökölt Graph API-t.

A cikkben megadott PowerShell-szkript minden alkalmazáshoz beállít egy jelölőt, amely konfigurálja a Graph API-bővítményt az Azure Stack Hub egyes Entra-azonosítójú identitásszolgáltatóihoz.

Annak érdekében, hogy az Entra-azonosítót identitásszolgáltatóként használó Azure Stack Hub-környezetek továbbra is működjenek, ezt a szkriptet 2025 február végéig kell futtatnia.

A szkript futtatása

Futtassa a következő PowerShell-szkriptet az Entra ID-környezetben, amelyet az Azure Stack Hub a "home directory" (az Azure Stack Hub fő identitásszolgáltatója) néven használ. A szkript együttműködik az Azure-ral, ezért nem kell futtatnia egy adott gépen. A szkript futtatásához azonban legalább "alkalmazásadminisztrátori" jogosultságokra van szüksége a megfelelő Entra ID-bérlőben.

Győződjön meg arról, hogy a következő szkriptet rendszergazdai jogosultságokkal futtatja a helyi gépen:

# Install the graph modules if necessary
#Install-Module Microsoft.Graph.Authentication
#Install-Module Microsoft.Graph.Applications
 
$ErrorActionPreference='Stop'
Import-Module Microsoft.Graph.Authentication
Import-Module Microsoft.Graph.Applications
 
# Repeat this flow for each of your target directory tenants
$tenantId = 'MyTenantId'
 
# Sign-in with admin permissions to read and write all application objects
Connect-MgGraph -TenantId $tenantId -Scopes Application.ReadWrite.All
 
# Retrieve all applications in the current directory
Write-Host "Looking-up all applications in directory '$tenantId'..."
$applications = Get-MgApplication -All -Property id, displayName, appId, identifierUris, requiredResourceAccess, authenticationBehaviors
Write-Host "Found '$($applications.Count)' total applications in directory '$tenantId'"
 
# Find all the unique deployment guids, each one representing an Azure Stack deployment in the current directory
$deploymentGuids = $applications.IdentifierUris |
    Where-Object { $_ -like 'https://management.*' -or $_ -like 'https://adminmanagement.*' } |
    ForEach-Object { "$_".Split('/')[3] } |
    Select-Object -Unique
Write-Host "Found '$($deploymentGuids.Count)' total Azure Stack deployments in directory '$tenantId'"
 
# Find all the Azure Stack application objects for each deployment
$azureStackApplications = @()
foreach ($application in $applications)
{
    foreach ($deploymentGuid in $deploymentGuids)
    {
        if (($application.IdentifierUris -join '') -like "*$deploymentGuid*")
        {
            $azureStackApplications += $application
        }
    }
}
 
# Find which Azure Stack applications require access to Legacy Graph Service
$azureStackLegacyGraphApplications = $azureStackApplications |
    Where-Object { $_.RequiredResourceAccess.ResourceAppId -contains '00000002-0000-0000-c000-000000000000' }
 
# Find which of those applications need to have their authentication behaviors patched to allow access to Legacy Graph
$azureStackLegacyGraphApplicationsToUpdate = $azureStackLegacyGraphApplications |
    Where-Object { -not ($ab = $_.AdditionalProperties.authenticationBehaviors) -or -not $ab.ContainsKey(($key='blockAzureADGraphAccess')) -or $ab[$key] }
 
# Update the applications which require their authentication behaviors patched to allow access to Legacy Graph
Write-Host "Found '$($azureStackLegacyGraphApplicationsToUpdate.Count)' total Azure Stack applications which need permission to continue calling Legacy Microsoft Graph Service"
$count = 0
foreach ($application in $azureStackLegacyGraphApplicationsToUpdate)
{
    $count++
    Write-Host "$count/$($azureStackLegacyGraphApplicationsToUpdate.Count) - Updating application '$($application.DisplayName)' (appId=$($application.AppId)) (id=$($application.Id))"
    Update-MgApplication -ApplicationId $application.Id -BodyParameter @{
        authenticationBehaviors = @{ blockAzureADGraphAccess = $false }
    }
}

A szkript a következő mintakimenetet jeleníti meg:

Looking-up all applications in directory '<ID>'... 
Found '###' total applications in directory '<ID>'
Found '1' total Azure Stack deployments in directory '<app ID>'
Found '16' total Azure Stack applications which need permission to continue calling Legacy Microsoft Graph Service
1/16 - Updating application 'Azure Stack - AKS' (appId=<app ID>) (id=<ID>)
2/16 - Updating application 'Azure Stack - Hubs' (appId=<app ID>) (id=<ID>)
3/16 - Updating application 'Azure Stack - Portal Administration' (appId=<app ID>) (id=<app>)
4/16 - Updating application 'Azure Stack - RBAC Administration' (appId=<app ID>) (id=ID)
5/16 - Updating application 'Azure Stack - Container Registry' (appId=<app ID>) (id=ID)
6/16 - Updating application 'Azure Stack - RBAC' (appId=<app ID>) (id=ID)
7/16 - Updating application 'Azure Stack - Hubs Administration' (appId=<app ID>) (id=ID)
8/16 - Updating application 'Azure Stack - Deployment Provider' (appId=<app ID>) (id=ID)
9/16 - Updating application 'Azure Stack - Deployment' (appId=<app ID>) (id=ID)
10/16 - Updating application 'Azure Stack - KeyVault' (appId=<app ID>) (id=ID)
11/16 - Updating application 'Azure Stack' (appId=<app ID>) (id=ID)
12/16 - Updating application 'Azure Stack - Administration' (appId=<app ID>) (id=ID)
13/16 - Updating application 'Azure Stack - Policy Administration' (appId=<app ID>) (id=ID)
14/16 - Updating application 'Azure Stack - Policy' (appId=<app ID>) (id=ID)
15/16 - Updating application 'Azure Stack - Portal' (appId=<app ID>) (id=ID)
16/16 - Updating application 'Azure Stack - KeyVault Administration ' (appId=<app ID>) (id=ID) 

Futtassa a szkriptet másodszor, és ellenőrizze, hogy az összes alkalmazás frissült-e. A szkriptnek a következő kimenetet kell visszaadnia, ha az összes alkalmazás sikeresen frissült:

Looking-up all applications in directory '<ID>'...
Found '####' total applications in directory '<ID>>'
Found '1' total Azure Stack deployments in directory '<ID>>'
Found '0' total Azure Stack applications which need permission to continue calling Legacy Microsoft Graph Service 

Következő lépések

Az Azure Stack Hub kiadási megjegyzései