Microsoft Entra ID 3-beiniger OAuth 2.0 API-Sicherheitsprofil im Jitterbit API-Manager

Einführung

Diese Seite erklärt, wie man Microsoft Entra ID 3-beinigen OAuth 2.0 mit einer Jitterbit benutzerdefinierten API, OData API oder Proxy-API verwendet. Für 2-beinigen OAuth siehe Microsoft Entra ID 2-beiniger OAuth 2.0 API-Sicherheitsprofil.

Innerhalb eines Sicherheitsprofils können Sie Microsoft Entra ID (Azure AD) als OAuth 2.0 Identitätsanbieter konfigurieren, um API-Nutzern den Zugriff auf eine API mit Microsoft Entra ID-Authentifizierung zu ermöglichen.

Für weitere Informationen siehe die Microsoft-Dokumentation Konfigurieren einer OpenID Connect OAuth-Anwendung aus der Microsoft Entra-App-Galerie.

Azure AD Graph-Abkündigung

Die Azure AD Graph API ist abgekündigt. Microsoft wird sie am 30. Juni 2025 vollständig einstellen.

Wenn Sie Ihre App-Registrierung zuvor mit Azure AD Graph konfiguriert haben, müssen Sie die App-Registrierung vor dem 1. Februar 2025 zu Microsoft Graph migrieren. App-Registrierungen, die bis zum 1. Februar 2025 nicht migriert wurden, erhalten einen Fehler bei Anfragen.

Voraussetzungen

Sie benötigen die Microsoft Entra ID P1-Edition, um Azure AD als Identitätsanbieter einzurichten und zu verwenden.

1. Konfigurieren Sie Microsoft Entra ID als Identitätsanbieter

Befolgen Sie diese Schritte, um eine OAuth 2.0-Anwendung im Microsoft Azure-Portal zu konfigurieren. Sie müssen die Client-ID, das Client-Geheimnis und die Verzeichnis-ID abrufen, um Microsoft Entra ID als Identitätsanbieter in einem Sicherheitsprofil zu konfigurieren.

1. Melden Sie sich beim Microsoft Azure-Portal an.

2. Gehen Sie zu App-Registrierungen und klicken Sie auf Neue Registrierung.

   

3. Geben Sie auf dem Bildschirm Eine Anwendung registrieren diese Details ein:

   • Name: Zum Beispiel Jitterbit API Manager APIs.
   • Unterstützte Kontotypen: Wählen Sie die passende Option für Ihre Situation aus.

   • Umleitungs-URI (optional): Verwenden Sie das Dropdown-Menü, um Web auszuwählen, und geben Sie den swagger-ui URI-Wert ein, der für Ihre Region geeignet ist (siehe Meine Region finden):

     • NA: https://apps.na-east.jitterbit.com/api-manager/swagger-ui/oauthredirect
     • EMEA: https://apps.emea-west.jitterbit.com/api-manager/swagger-ui/oauthredirect
     • APAC: https://apps.apac-southeast.jitterbit.com/api-manager/swagger-ui/oauthredirect

4. Nachdem Sie auf Registrieren geklickt haben, zeigt der Bildschirm Übersicht die Anwendungs- (Client-) ID und die Verzeichnis- (Mandanten-) ID an. Speichern Sie diese Werte, da Sie sie später benötigen:

   

5. Klicken Sie auf dem Bildschirm Übersicht auf den Link unter Umleitungs-URIs:

   

6. Der Bildschirm Authentifizierung für die Anwendung erscheint. Befolgen Sie diese Schritte, um zwei weitere Umleitungs-URI-Werte für Ihre Harmony-Organisation und Region hinzuzufügen.

   1. Um die zusätzlichen URI-Werte zu erhalten, öffnen Sie den Sicherheitsprofil-Konfigurationsbildschirm im API Manager. Kopieren Sie diese Werte. Das Bild unten ist zugeschnitten, um die relevanten Bereiche zu zeigen.

      

   2. Suchen Sie auf dem Bildschirm Authentifizierung für die Anwendung im Microsoft Azure-Portal den Abschnitt Web. Klicken Sie auf URI hinzufügen und geben Sie jeden zusätzlichen URI-Wert aus dem vorherigen Schritt ein. Klicken Sie dann auf Speichern.

      

7. Wählen Sie im Bereich Verwalten auf der linken Seite Zertifikate und Geheimnisse aus. Klicken Sie unter Clientgeheimnisse auf Neues Clientgeheimnis:

   

8. Geben Sie eine Beschreibung ein und setzen Sie das Geheimnis auf Nie ablaufen. Klicken Sie dann auf Hinzufügen:

   

9. Verwenden Sie das Symbol In die Zwischenablage kopieren, um das neue Clientgeheimnis zu kopieren. Speichern Sie diesen Wert. Sie benötigen ihn, wenn Sie das Sicherheitsprofil im API-Manager konfigurieren:

   

2. Gewähren Sie API-Berechtigungen für Harmony

Befolgen Sie diese Schritte, um Harmony Berechtigungen zu gewähren, um die Microsoft Entra ID APIs mit der OAuth 2.0-Anwendung zu verwenden, die Sie in Microsoft Entra ID als Identitätsanbieter konfigurieren erstellt haben. Wenn Sie aus dem vorherigen Abschnitt fortfahren, beginnen Sie bei Schritt 3.

1. Melden Sie sich im Microsoft Azure-Portal an.

2. Gehen Sie im Microsoft Azure-Portal zu App-Registrierungen. Wählen Sie die OAuth 2.0-Anwendung aus, die Sie in Microsoft Entra ID als Identitätsanbieter konfigurieren erstellt haben.

3. Wählen Sie im Bereich Verwalten auf der linken Seite API-Berechtigungen aus. Klicken Sie unter Konfigurierte Berechtigungen auf Berechtigung hinzufügen:

   

4. Wählen Sie auf dem Bildschirm API-Berechtigungen anfordern im Tab Microsoft APIs die Microsoft Graph API aus:

   

5. Wählen Sie auf dem Bildschirm API-Berechtigungen anfordern die Delegierten Berechtigungen aus:

   

6. Der Abschnitt Berechtigungen auswählen wird angezeigt. Wählen Sie diese Berechtigungen aus:

   • Unter OpenId-Berechtigungen wählen Sie offline_access, openid und profile:

     

   • Unter Benutzer wählen Sie User.Read.

7. Nachdem Sie diese Berechtigungen ausgewählt haben, klicken Sie auf Berechtigungen hinzufügen am unteren Ende des Bildschirms API-Berechtigungen anfordern.

8. Sie kehren zum Bildschirm API-Berechtigungen für die Anwendung zurück. Unter Konfigurierte Berechtigungen klicken Sie auf Admin-Zustimmung für \<Verzeichnis>:

   

9. Bestätigen Sie den Dialog zur Gewährung der Zustimmung für das Verzeichnis:

   

10. Unter Konfigurierte Berechtigungen zeigt die Spalte Status, dass die Zustimmung für jede hinzugefügte Berechtigung erteilt wurde:

    

3. Konfigurieren Sie ein Sicherheitsprofil im API-Manager

Konfigurieren Sie ein Sicherheitsprofil wie folgt:

1. Setzen Sie Auth-Typ auf OAuth 2.0.

2. Setzen Sie OAuth-Anbieter auf Azure AD.

3. Fügen Sie eine Client-Anmeldeinformation mit der Client-ID und dem Client-Geheimnis aus Schritt 1 hinzu. Für Anweisungen zum Hinzufügen von Client-Anmeldeinformationen siehe die Seite Sicherheitsprofile.

Konfigurieren Sie die verbleibenden Felder:

• Autorisierte Domains: Lassen Sie dieses Feld leer.

• OAuth-Authorisierungs-URL: Ersetzen Sie {{ SUBDOMAIN }} durch die Verzeichnis-ID aus Schritt 1.

• OAuth-Token-URL: Ersetzen Sie {{ SUBDOMAIN }} durch die Verzeichnis-ID aus Schritt 1.

• Benutzerinformations-URL: Ersetzen Sie {{ SUBDOMAIN }} durch die Verzeichnis-ID aus Schritt 1.

• Verbindung testen: Klicken Sie, um das Authentifizierungstoken zu validieren.

4. Weisen Sie ein Sicherheitsprofil im API-Manager zu

Um das Sicherheitsprofil mit einer API zu verwenden, folgen Sie den Anweisungen zur Konfiguration einer benutzerdefinierten API, OData-API oder Proxy-API und wählen Sie das Sicherheitsprofil aus, das mit der Microsoft Entra ID OAuth 2.0-Authentifizierung konfiguriert ist.

5. Greifen Sie mit Microsoft Entra ID-Authentifizierung auf eine API zu

Sobald Sie eine benutzerdefinierte API, OData-API oder Proxy-API gespeichert und veröffentlicht haben, ist deren API über die URL in der Anwendung, die die API mit der konfigurierten Authentifizierungsmethode aufruft, zugänglich.

Um die API zu konsumieren, kopieren Sie die Dienst-URL von der APIs Seite und verwenden Sie sie innerhalb der aufrufenden Anwendung. Sie können die URL entweder aus der Listenansicht oder der Kartenansicht kopieren.

Wenn die API GET unterstützt, können Sie die URL auch in einen Webbrowser einfügen, um die API manuell zu konsumieren.

Wenn 3-beinige OAuth 2.0 verwendet wird, wird der Browser zur nativen Anmeldeschnittstelle für Microsoft Entra ID umgeleitet. Geben Sie Ihre Anmeldeinformationen ein, um sich bei Microsoft Entra ID zu authentifizieren.

Wenn die Authentifizierung erfolgreich ist, wird die erwartete Nutzlast im Webbrowser angezeigt.