In diesem Artikel behandeln wir die Änderungen an den standardmäßigen Microsoft Azure Graph-API-Berechtigungsanforderungen ab Version 6.2 von Nerdio Manager. Diese Änderungen reduzieren den erforderlichen Berechtigungsumfang für das Nerdio Manager-Produkt und erhöhen dadurch die Sicherheit. Die unten aufgeführten Berechtigungen sind eine Teilmenge der hier aufgeführten vollständigen Berechtigungsanforderungen: Azure-Berechtigungen und Nerdio Manager
Diese Berechtigungsänderungen werden standardmäßig auf Neuinstallationen der Nerdio Manager 6.2 Allgemeine Verfügbarkeit (GA)-Version angewendet, daher sind für neue Bereitstellungen keine Änderungen erforderlich.
Bei bestehenden Installationen können die unten beschriebenen Änderungen vorgenommen werden, nachdem für die Umgebung ein Upgrade auf Version 6.2 durchgeführt wurde. Diese Änderungen sind optional. Bestehende Kunden können ihre bestehende Berechtigungsstruktur beibehalten, die weiterhin unterstützt wird.
Warnung
Nehmen Sie keine der aufgeführten Berechtigungsänderungen an einer Release-Version vor der Version 6.2 vor, da dies zu Funktionsstörungen innerhalb von Nerdio Manager führt. Wenn an Ihrer Umgebung vor Version 6.2 Änderungen vorgenommen wurden, wenden Sie sich bitte an das Support-Team, um Unterstützung zu erhalten.
Diese Tabelle listet die Microsoft Azure Graph-API-Berechtigung auf, die für alle Installationen vor Version 6.2 erforderlich war. Wenn die im folgenden Artikel beschriebenen Änderungen nach der Installation von 6.2 nicht abgeschlossen wurden, bleibt diese Liste gültig.
|
Dienst |
Berechtigung |
Funktion |
|---|---|---|
|
Microsoft Graph |
Application.ReadWrite.All (delegated) |
Verwalten Sie den App Service-Dienstprinzipal Nerdio Manager. |
|
Microsoft Graph |
AppRoleAssignment.ReadWrite.All |
Weisen Sie der Nerdio Manager-Anwendung User zu, um die Anmeldung zu ermöglichen. |
|
Microsoft Graph |
Directory.Read.All (delegiert) |
Berechtigungen zum Ausführen von Lesevorgängen im Verzeichnis im Kontext des aktiven User. |
|
Microsoft Graph |
User.Read (delegated) User.ReadBasic.All (delegiert) GroupMember.Read.All (application) Organization.Read.All (application) User.Read.All (application) (Optional) Group.Read.All(application) |
Lesen Sie die Entra ID-Gruppen und die Gruppenmitgliedschaft für App-Gruppenzuweisungen. |
|
Microsoft Graph |
Offline_access (delegiert) Openid (delegiert) Profil (delegiert) (Optional) Mail.Send (delegated) |
Useranmeldung und delegierte Aktionen zulassen. |
Diese Tabelle listet die Microsoft Azure Graph-API-Berechtigungen auf, die für alle Nerdio Manager-Versionen nach v6.2 erforderlich sind. Neue Berechtigungen sind fett gedruckt.
Anmerkung
Diese Liste gilt nur, wenn die im folgenden Artikel beschriebenen Änderungen abgeschlossen wurden. Wenn Directory.Read.All nicht entfernt wurde, beziehen Sie sich bitte auf die oben genannte alternative Liste.
|
Dienst |
Berechtigung |
Funktion |
|---|---|---|
|
Microsoft Graph |
Application.Read.All (delegated) AppRoleAssignment.ReadWrite.All Application.ReadWrite.All |
Verwalten Sie den App Service-Dienstprinzipal Nerdio Manager und weisen Sie der Nerdio Manager-Anwendung User zu, um die Anmeldung zu ermöglichen. |
|
Microsoft Graph |
Organization.Read.All (delegiert) Organization.Read.All (application) |
Lesen Sie Informationen auf Organisationsebene, wie z. B. den Tenantnamen. |
|
Microsoft Graph |
User.Read (delegated) User.ReadBasic.All (delegiert) User.Read.All (application) User.Read.All (delegated) Group.Read.All (application) Group.Read.All (delegated) GroupMember.Read.All (delegated) |
Lesen Sie die Entra ID-Gruppen und die Gruppenmitgliedschaft für App-Gruppenzuweisungen. |
|
Microsoft Graph |
Offline_access (delegiert) Openid (delegiert) Profil (delegiert) (Optional) Mail.Send (delegated) |
Useranmeldung und delegierte Aktionen zulassen. |
Anmerkung
Diese Änderung ist nur erforderlich, wenn die Entfernung der Berechtigung Directory.Read.All erforderlich ist. Bestehende Kunden müssen diese Änderung nicht vornehmen, es sei denn, der neue Berechtigungssatz ist vorzuziehen. Die Beibehaltung des alten Berechtigungssatzes wird weiterhin vollständig unterstützt.
Sobald für Ihre Nerdio Manager-Umgebung ein Upgrade auf v6.2 oder höher durchgeführt wurde, können Sie die Berechtigungen ändern, um Directory.Read.All zu entfernen. Bitte befolgen Sie den unten stehenden Prozess, um diese Aufgabe abzuschließen, oder kontaktieren Sie den Nerdio-Support, wenn Sie Unterstützung benötigen.
Voraussetzungen
-
Stellen Sie sicher, dass Ihre Nerdio Manager-Umgebung mindestens Version 6.2 GA ausführt, bevor Sie fortfahren.
-
Ein Konto als globaler Admin ist erforderlich, um die folgenden Vorgänge auszuführen.
So ändern Sie die Berechtigungen für bestehende Installationen:
-
Melden Sie sich im Azure-Portal als globaler Admin an.
-
Navigieren Sie zu Microsoft Entra ID.
-
Wählen Sie im Blatt Verwalten die Option App-Registrierungen aus.
-
Wählen Sie Ihre Nerdio Manager-Anwendung aus.
-
Wählen Sie im Blatt Verwalten die Option API-Berechtigungen aus.
-
Wählen Sie + Berechtigung hinzufügen aus.
-
Fügen Sie die folgenden delegierten Berechtigungen hinzu:
-
User.Read
-
User.ReadBasic.All
-
User.Read.All
-
Group.Read.All
-
Application.Read.All
-
Organization.Read.All
-
-
Entfernen Sie die Berechtigung Directory.Read.All.
-
Wenn ein Berechtigungs-Pop-up generiert wird, wählen Sie Einwilligung erteilen und fortfahren.
-
Navigieren Sie zu Unternehmensanwendungen.
-
Wählen Sie Ihre Nerdio Manager-Anwendung aus.
-
Wählen Sie im Blatt Sicherheit die Option Berechtigungen.
-
Überprüfen Sie, ob alle oben aufgeführten neuen Berechtigungen angezeigt werden und ob die Berechtigung Directory.Read.All entfernt wurde.
-
Navigieren Sie zu App Services.
-
Wählen Sie Ihren Nerdio Manager App Service aus.
-
Wählen Sie im Blatt Einstellungen die Option Umgebungsvariablen.
-
Wählen Sie + Hinzufügen.
-
Fügen Sie die folgende neue Einstellung hinzu:
-
Name: AzureAD:DefaultGraphScopes
-
Wert: User.Read|User.ReadBasic.All|User.Read.All|Group.Read.All|Application.Read.All|Organization.Read.All
-
-
Navigieren Sie zu Übersicht.
-
Wählen Sie Neustarten, um Ihren App Service neu zu starten.
Die Änderung ist nun abgeschlossen. Bitte kontaktieren Sie den Nerdio-Support, wenn Sie weitere Unterstützung benötigen.
Kommentare (0 Kommentare)