Microsoft Entra 应用注册指南：Azure AD 应用配置、API权限与OAuth流程详解

核心工作流程

步骤 1：注册应用程序

在 Azure 门户或使用 Azure CLI 创建应用注册。

门户方法：

1. 导航到 Azure 门户 → Microsoft Entra ID → 应用注册
2. 点击"新注册"
3. 提供名称、支持的帐户类型和重定向 URI
4. 点击"注册"

CLI 方法： 参见 references/cli-commands.md IaC 方法： 参见 references/BICEP-EXAMPLE.bicep

如果您已在项目中使用 IaC、需要可扩展的解决方案来管理大量应用注册，或者需要配置更改的细粒度审计历史，强烈建议使用 IaC 来管理 Entra 应用注册。

步骤 2：配置身份验证

根据您的应用程序类型设置身份验证。

• Web 应用：添加重定向 URI，如果需要则启用 ID 令牌
• 单页应用：添加重定向 URI，必要时启用隐式授权流
• 移动/桌面应用：使用 http://localhost 或自定义 URI 方案
• 服务：客户端凭据流不需要重定向 URI

步骤 3：配置 API 权限

授予您的应用程序访问 Microsoft API 或您自己的 API 的权限。

常见的 Microsoft Graph 权限：

• User.Read - 读取用户个人资料
• User.ReadWrite.All - 读取和写入所有用户
• Directory.Read.All - 读取目录数据
• Mail.Send - 以用户身份发送邮件

详细信息： 参见 references/api-permissions.md

步骤 4：创建客户端凭据（如果需要）

对于机密客户端应用程序（Web 应用、服务），创建客户端密码、证书或联合身份凭据。

客户端密码：

• 导航到"证书和密码"
• 创建新的客户端密码
• 立即复制值（仅显示一次）
• 安全存储（推荐使用 Key Vault）

证书： 对于生产环境，使用证书而非密码以增强安全性。通过"证书和密码"部分上传证书。

联合身份凭据： 用于将机密客户端动态验证到 Entra 平台。

步骤 5：实现 OAuth 流程

将 OAuth 流程集成到您的应用程序代码中。

参见：

• references/oauth-flows.md - OAuth 2.0 流程详情
• references/console-app-example.md - 控制台应用实现

常见模式

模式 1：首次应用注册

引导用户逐步完成首次应用注册。

所需信息：

• 应用程序名称
• 应用程序类型（Web、单页应用、移动、服务）
• 重定向 URI（如适用）
• 所需权限

脚本： 参见 references/first-app-registration.md

模式 2：具有用户身份验证的控制台应用程序

创建一个对用户进行身份验证的 .NET/Python/Node.js 控制台应用。

所需信息：

• 编程语言（C#、Python、JavaScript 等）
• 身份验证库（推荐 MSAL）
• 所需权限

示例： 参见 references/console-app-example.md

模式 3：服务到服务身份验证

设置无需用户交互的守护程序/服务身份验证。

所需信息：

• 服务/应用名称
• 目标 API/资源
• 使用密码还是证书

实现： 使用客户端凭据流（参见 references/oauth-flows.md#client-credentials-flow）

MCP 工具和 CLI

Azure CLI 命令

完整参考： 参见 references/cli-commands.md

Microsoft 身份验证库

MSAL 是集成 Microsoft 身份平台的推荐库。

支持的语言：

• .NET/C# - Microsoft.Identity.Client
• JavaScript/TypeScript - @azure/msal-browser, @azure/msal-node
• Python - msal

示例： 参见 references/console-app-example.md

安全最佳实践

SDK 快速参考

• Azure Identity : Python | .NET | TypeScript | Java | Rust
• Key Vault : Python | TypeScript
• Auth Events : .NET

参考资料

• OAuth 流程 - 详细的 OAuth 2.0 流程说明
• CLI 命令 - 应用注册的 Azure CLI 参考
• 控制台应用示例 - 完整的工作示例
• 首次应用注册 - 面向初学者的分步指南
• API 权限 - 理解和配置权限
• 故障排除 - 常见问题及解决方案

外部资源

• Microsoft 身份平台文档
• OAuth 2.0 和 OpenID Connect 协议
• MSAL 文档
• Microsoft Graph API

每周安装量

12.8K

代码仓库

microsoft/azure-skills

GitHub 星标数

2

首次出现

5 天前

安全审计

Gen Agent Trust HubPassSocketPassSnykPass

安装于

github-copilot12.8K

opencode17

gemini-cli17

codex17

amp16

cline16

Core Workflow

Step 1: Register the Application

Create an app registration in the Azure portal or using Azure CLI.

Portal Method:

1. Navigate to Azure Portal → Microsoft Entra ID → App registrations
2. Click "New registration"
3. Provide name, supported account types, and redirect URI
4. Click "Register"

CLI Method: See references/cli-commands.md IaC Method: See references/BICEP-EXAMPLE.bicep

It's highly recommended to use the IaC to manage Entra app registration if you already use IaC in your project, need a scalable solution for managing lots of app registrations or need fine-grained audit history of the configuration changes.

Step 2: Configure Authentication

Set up authentication settings based on your application type.

• Web Apps : Add redirect URIs, enable ID tokens if needed
• SPAs : Add redirect URIs, enable implicit grant flow if necessary
• Mobile/Desktop : Use http://localhost or custom URI scheme
• Services : No redirect URI needed for client credentials flow

Step 3: Configure API Permissions

Grant your application permission to access Microsoft APIs or your own APIs.

Common Microsoft Graph Permissions:

• User.Read - Read user profile
• User.ReadWrite.All - Read and write all users
• Directory.Read.All - Read directory data
• Mail.Send - Send mail as a user

Details: See references/api-permissions.md

Step 4: Create Client Credentials (if needed)

For confidential client applications (web apps, services), create a client secret, certificate or federated identity credential.

Client Secret:

• Navigate to "Certificates & secrets"
• Create new client secret
• Copy the value immediately (only shown once)
• Store securely (Key Vault recommended)

Certificate: For production environments, use certificates instead of secrets for enhanced security. Upload certificate via "Certificates & secrets" section.

Federated Identity Credential: For dynamically authenticating the confidential client to Entra platform.

Step 5: Implement OAuth Flow

Integrate the OAuth flow into your application code.

See:

• references/oauth-flows.md - OAuth 2.0 flow details
• references/console-app-example.md - Console app implementation

Common Patterns

Pattern 1: First-Time App Registration

Walk user through their first app registration step-by-step.

Required Information:

• Application name
• Application type (web, SPA, mobile, service)
• Redirect URIs (if applicable)
• Required permissions

Script: See references/first-app-registration.md

Pattern 2: Console Application with User Authentication

Create a .NET/Python/Node.js console app that authenticates users.

Required Information:

• Programming language (C#, Python, JavaScript, etc.)
• Authentication library (MSAL recommended)
• Required permissions

Example: See references/console-app-example.md

Pattern 3: Service-to-Service Authentication

Set up daemon/service authentication without user interaction.

Required Information:

• Service/app name
• Target API/resource
• Whether to use secret or certificate

Implementation: Use Client Credentials flow (see references/oauth-flows.md#client-credentials-flow)

MCP Tools and CLI

Azure CLI Commands

Complete reference: See references/cli-commands.md

Microsoft Authentication Library (MSAL)

MSAL is the recommended library for integrating Microsoft identity platform.

Supported Languages:

• .NET/C# - Microsoft.Identity.Client
• JavaScript/TypeScript - @azure/msal-browser, @azure/msal-node
• Python - msal

Examples: See references/console-app-example.md

Security Best Practices

SDK Quick References

• Azure Identity : Python | .NET | TypeScript | Java | Rust
• Key Vault (secrets) : Python | TypeScript
• Auth Events : .NET

References

• OAuth Flows - Detailed OAuth 2.0 flow explanations
• CLI Commands - Azure CLI reference for app registrations
• Console App Example - Complete working examples
• First App Registration - Step-by-step guide for beginners
• API Permissions - Understanding and configuring permissions
• Troubleshooting - Common issues and solutions

External Resources

• Microsoft Identity Platform Documentation
• OAuth 2.0 and OpenID Connect protocols
• MSAL Documentation
• Microsoft Graph API

Weekly Installs

12.8K

Repository

microsoft/azure-skills

GitHub Stars

2

First Seen

5 days ago

Security Audits

Gen Agent Trust HubPassSocketPassSnykPass

Installed on

github-copilot12.8K

opencode17

gemini-cli17

codex17

amp16

cline16