Microsoft Defender for Cloud Apps API elérése felhasználói környezettel

Ez az oldal bemutatja, hogyan hozhat létre alkalmazást, hogy programozott hozzáférést kapjon a Defender for Cloud Apps egy felhasználó nevében.

Ha felhasználó nélküli programozott hozzáférésre Microsoft Defender for Cloud Apps van szüksége, tekintse meg az Access Microsoft Defender for Cloud Apps alkalmazáskörnyezettel című témakört.

Ha nem biztos abban, hogy melyik hozzáférésre van szüksége, olvassa el a Bevezetés oldalt.

Microsoft Defender for Cloud Apps az adatok és műveletek nagy részét programozott API-k segítségével teszi elérhetővé. Ezek az API-k lehetővé teszik a munkafolyamatok automatizálását és az innovációt Microsoft Defender for Cloud Apps képességek alapján. Az API-hozzáféréshez OAuth2.0-hitelesítés szükséges. További információ: OAuth 2.0 engedélyezési kódfolyamat.

Az API-k használatához általában a következő lépéseket kell elvégeznie:

• Microsoft Entra-alkalmazás létrehozása
• Hozzáférési jogkivonat lekérése ezzel az alkalmazással
• A jogkivonat használata Defender for Cloud Apps API eléréséhez

Ez az oldal ismerteti, hogyan hozhat létre Microsoft Entra alkalmazást, hogyan kérhet le hozzáférési jogkivonatot a Microsoft Defender for Cloud Apps és érvényesítheti a jogkivonatot.

Alkalmazás létrehozása

1. A Microsoft Entra felügyeleti központ regisztráljon egy új alkalmazást. További információ: Rövid útmutató: Alkalmazás regisztrálása a Microsoft Entra felügyeleti központ.

2. Amikor megjelenik az Alkalmazás regisztrálása lap, adja meg az alkalmazás regisztrációs adatait:

   • Név – Adjon meg egy kifejező alkalmazásnevet, amely megjelenik az alkalmazás felhasználói számára.

   • Támogatott fióktípusok – Válassza ki, hogy mely fiókokat szeretné támogatni az alkalmazás számára.

     Támogatott fióktípusok	Leírás
     Csak ebben a szervezeti címtárban lévő fiókok	Akkor válassza ezt a lehetőséget, ha üzletági (LOB) alkalmazást készít. Ez a lehetőség nem érhető el, ha nem regisztrálja az alkalmazást egy címtárban. Ez a beállítás Microsoft Entra csak egybérlősre van leképzve. Ez az alapértelmezett beállítás, hacsak nem címtáron kívül regisztrálja az alkalmazást. Azokban az esetekben, amikor az alkalmazás címtáron kívül van regisztrálva, az alapértelmezett érték Microsoft Entra több-bérlős és személyes Microsoft-fiók.
     Bármely szervezeti címtárban lévő fiókok	Válassza ezt a lehetőséget, ha az összes üzleti és oktatási ügyfelet meg szeretné célozni. Ez a beállítás Microsoft Entra több-bérlősre van leképezve. Ha az alkalmazást csak Microsoft Entra egybérlősként regisztrálta, a Hitelesítés panelen frissítheti Microsoft Entra több-bérlősre, majd vissza az egybérlősre.
     Fiókok bármely szervezeti címtárban és személyes Microsoft-fiókban	Válassza ezt a lehetőséget az ügyfelek legszélesebb halmazának megcélzásához. Ez a beállítás Microsoft Entra több-bérlős és személyes Microsoft-fiókokra van leképezve. Ha Microsoft Entra több-bérlős és személyes Microsoft-fiókként regisztrálta az alkalmazást, ezt a felhasználói felületen nem módosíthatja. Ehelyett az alkalmazásjegyzék-szerkesztőt kell használnia a támogatott fióktípusok módosításához.

   • Átirányítási URI (nem kötelező) – Válassza ki az éppen létrehozott alkalmazás típusát, **Web vagy Nyilvános ügyfél (mobil & asztali) lehetőséget, majd adja meg az alkalmazás átirányítási URI-ját (vagy válasz URL-címét).

     • Webalkalmazások esetén adja meg az alkalmazás alap URL-címét. Ez lehet például http://localhost:31544 a helyi gépen futó webalkalmazás URL-címe. A felhasználók ezzel az URL-címmel jelentkezhetnek be egy webes ügyfélalkalmazásba.
     • Nyilvános ügyfélalkalmazások esetén adja meg az Microsoft Entra ID által a jogkivonat-válaszok visszaadásához használt URI-t. Adjon meg egy, az alkalmazásra jellemző értéket, például myapp://auth: .

     Ha konkrét példákat szeretne látni webalkalmazásokra vagy natív alkalmazásokra, tekintse meg rövid útmutatóinkat.

     Ha végzett, válassza a Regisztráció lehetőséget.

3. Engedélyezze az alkalmazás számára, hogy hozzáférjen Microsoft Defender for Cloud Apps, és rendelje hozzá a "Riasztások olvasása" engedélyt:

   • Az alkalmazás oldalán válassza az API-engedélyek>Engedély hozzáadásaAPI-k a > szervezet által a Microsoft Felhőappbiztonság típust,> majd válassza a Microsoft Felhőappbiztonság lehetőséget.

   • Megjegyzés: A Microsoft Felhőappbiztonság nem jelenik meg az eredeti listában. Kezdje el beírni a nevét a szövegmezőbe, hogy megjelenjen. Mindenképpen írja be ezt a nevet, annak ellenére, hogy a termék neve Defender for Cloud Apps.

     

   • Válassza a Delegált engedélyek>Vizsgálat lehetőséget.Olvasás>: Válassza az Engedélyek hozzáadása lehetőséget

     

   • Fontos megjegyzés: Válassza ki a megfelelő engedélyeket. A Investigation.Read csak egy példa. Egyéb engedélyhatókörökért lásd: Támogatott engedélyhatókörök

     • Annak megállapításához, hogy melyik engedélyre van szüksége, tekintse meg a meghívni kívánt API Engedélyek szakaszát.

   • Válassza a Rendszergazdai hozzájárulás megadása lehetőséget

     Megjegyzés: Minden engedély hozzáadásakor a Rendszergazdai hozzájárulás megadása az új engedély érvénybe lépéséhez lehetőséget kell választania.

     

4. Jegyezze fel az alkalmazásazonosítót és a bérlőazonosítót:

   • Az alkalmazás oldalán lépjen az Áttekintés lapra, és másolja ki a következő információkat:

     

Támogatott engedélyhatókörök

Hozzáférési jogkivonat lekérése

További információ Microsoft Entra tokenekről: Microsoft Entra oktatóanyag

A C használata#

• Másolja/illessze be az alábbi osztályt az alkalmazásban.
• Használja az AcquireUserTokenAsync metódust az alkalmazásazonosítóval, a bérlőazonosítóval és a hitelesítéssel egy jogkivonat beszerzéséhez.

namespace MDA
{
    using System.Net.Http;
    using System.Text;
    using System.Threading.Tasks;
    using Newtonsoft.Json.Linq;

    public static class MDAUtils
    {
        private const string Authority = "https://login.microsoftonline.com";

        private const string MDAId = "05a65629-4c1b-48c1-a78b-804c4abdd4af";
        private const string Scope = "Investigation.read";

        public static async Task<string> AcquireUserTokenAsync(string username, string password, string appId, string tenantId)
        {
            using (var httpClient = new HttpClient())
            {
                var urlEncodedBody = $"scope={MDAId}/{Scope}&client_id={appId}&grant_type=password&username={username}&password={password}";

                var stringContent = new StringContent(urlEncodedBody, Encoding.UTF8, "application/x-www-form-urlencoded");

                using (var response = await httpClient.PostAsync($"{Authority}/{tenantId}/oauth2/token", stringContent).ConfigureAwait(false))
                {
                    response.EnsureSuccessStatusCode();

                    var json = await response.Content.ReadAsStringAsync().ConfigureAwait(false);

                    var jObject = JObject.Parse(json);

                    return jObject["access_token"].Value<string>();
                }
            }
        }
    }
} 

A jogkivonat ellenőrzése

Ellenőrizze, hogy helyes jogkivonatot kapott-e:

• Másolja/illessze be a JWT-be az előző lépésben kapott jogkivonatot a dekódolásához

• Ellenőrizze, hogy a kívánt alkalmazásengedélyekkel rendelkező "scp" jogcímet kap-e

• Az alábbi képernyőképen egy, az alkalmazásból beszerzett dekódolt jogkivonat látható az oktatóanyagban:

  

A jogkivonat használata a Microsoft Defender for Cloud Apps API eléréséhez

• Válassza ki a használni kívánt API-t. További információ: Defender for Cloud Apps API.

• Állítsa be az Engedélyezés fejlécet a "Tulajdonos {token}" címre küldött HTTP-kérelemben (a tulajdonos az engedélyezési séma)

• A jogkivonat lejárati ideje 1 óra (több kérést is küldhet ugyanazzal a jogkivonattal)

• Példa a riasztások listájának C# használatával történő lekérésére irányuló kérés küldésére

  var httpClient = new HttpClient();
  
  var request = new HttpRequestMessage(HttpMethod.Get, "https://portal.cloudappsecurity.com/cas/api/v1/alerts/");
  
  request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", token);
  
  var response = httpClient.SendAsync(request).GetAwaiter().GetResult();
  
  // Do something useful with the response
  

Lásd még

• API-jogkivonatok kezelése
• Microsoft Identitásplatform és OAuth 2.0 engedélyezési kódfolyamat