Comment ajouter une application à Azure AD par programmation?

Je suis un peu en retard à la fête, mais j'ai récemment fait face à ce défi trop. Voici les extraits pertinents de ma solution...

Vous devez d'abord obtenir le jeton d'authentification. Pour cela, vous pouvez utiliser cette fonction très pratique.

function GetAuthToken
{
       param
       (
              [Parameter(Mandatory=$true)]
              $TenantName
       )

       $adal = "${env:ProgramFiles(x86)}\Microsoft SDKs\Azure\PowerShell\ServiceManagement\Azure\Services\Microsoft.IdentityModel.Clients.ActiveDirectory.dll"

       $adalforms = "${env:ProgramFiles(x86)}\Microsoft SDKs\Azure\PowerShell\ServiceManagement\Azure\Services\Microsoft.IdentityModel.Clients.ActiveDirectory.WindowsForms.dll"

       [System.Reflection.Assembly]::LoadFrom($adal) | Out-Null

       [System.Reflection.Assembly]::LoadFrom($adalforms) | Out-Null

       $clientId = "1950a258-227b-4e31-a9cf-717495945fc2" 

       $redirectUri = "urn:ietf:wg:oauth:2.0:oob"

       $resourceAppIdURI = "https://graph.windows.net"

       $authority = "https://login.windows.net/$TenantName"

       $authContext = New-Object "Microsoft.IdentityModel.Clients.ActiveDirectory.AuthenticationContext" -ArgumentList $authority

       $authResult = $authContext.AcquireToken($resourceAppIdURI, $clientId,$redirectUri, "Auto")

       return $authResult
}

(emprunté à Paulo Marques https://blogs.technet.microsoft.com/paulomarques/2016/03/21/working-with-azure-active-directory-graph-api-from-powershell/)

Vous pouvez ensuite soumettre une requête POST à l'Azure Active Directory API Graphique pour la création de votre application. Cependant, il ya un peu de configuration requis.

# The name of this AAD instance
$global:tenant = "mycompany.onmicorosft.com"
$global:aadSecretGuid = New-Guid
$global:aadDisplayName = "azure-ad-displayname"
$global:aadIdentifierUris = @("https://contoso.com")
$guidBytes = [System.Text.Encoding]::UTF8.GetBytes($global:aadSecretGuid)

$global:aadSecret = @{
    'type'='Symmetric';
    'usage'='Verify';
    'endDate'=[DateTime]::UtcNow.AddDays(365).ToString('u').Replace(' ', 'T');
    'keyId'=$global:aadSecretGuid;
    'startDate'=[DateTime]::UtcNow.AddDays(-1).ToString('u').Replace(' ', 'T');  
    'value'=[System.Convert]::ToBase64String($guidBytes);
}

# ADAL JSON token - necessary for making requests to Graph API
$global:token = GetAuthToken -TenantName $global:tenant
# REST API header with auth token
$global:authHeader = @{
    'Content-Type'='application/json';
    'Authorization'=$global:token.CreateAuthorizationHeader()
}

Maintenant, vous pouvez frapper l'API Graphique.

$resource = "applications"
$payload = @{
    'displayName'=$global:aadDisplayName;
    'homepage'='https://www.contoso.com';
    'identifierUris'= $global:aadIdentifierUris;
    'keyCredentials'=@($global:aadSecret)
}
$payload = ConvertTo-Json -InputObject $payload
$uri = "https://graph.windows.net/$($global:tenant)/$($resource)?api-version=1.6"
$result = (Invoke-RestMethod -Uri $uri -Headers $global:authHeader -Body $payload -Method POST -Verbose).value

Une fois que la réponse est de retour, vous pouvez extraire les valeurs de configuration dont vous avez besoin.

# Extract configuration values
$keyObject = foreach($i in $result.keyCredentials) { $i }

# Tenant ID
$global:aadTenantId = Get-AzureRmSubscription | Select-Object -ExpandProperty TenantId
# Application object ID
$global:aadApplicationObjectId = $result | Select-Object -ExpandProperty objectId
# App ID /Client ID
$global:aadClientId = $result | Select-Object -ExpandProperty appId
# Application Secret/Key
$global:aadAppSecret = $keyObject | Select-Object -ExpandProperty keyId

J'espère que cela aide quelqu'un!

J'ai écrit certains powershell les scripts qui

• Créer AAD applications (principalement grâce à Matt réponse)
• Créer une Clé de Voûte dans Azure
• Créer une clé dans la Clé de Voûte
• Attribuer des autorisations à la clé de voûte pour l'AAD applications

Je sais que c'est plus que ce que vous demandez, mais si, comme moi, vous êtes intéressés à obtenir le dos de la secret (aka clé) de l'application (le même que celui que vous ajoutez dans le portail qui vous avez à copier avant de ne jamais la voir à nouveau), puis le deuxième script va vous permettre d'envoyer explicitement que, en tant que partie de la charge utile dans un appel à l'API Graphique. Le script va enregistrer dans un fichier pour que vous vous y référer ultérieurement.

Les autres scripts ne sont pas vraiment ce que vous demandez, mais vous pouvez encore les trouver utile si jamais vous avez besoin de configurer SQL Server pour fonctionner avec Azure Key Vault pour le chiffrement transparent des données ou au niveau de la colonne de chiffrement.