SharePoint Embedded-Authentifizierung und -Autorisierung

Um SharePoint Embedded verwenden zu können, muss Ihre Anwendung Microsoft Graph verwenden. Erfahren Sie mehr über die Microsoft Graph-Authentifizierung und -Autorisierung. Erfahren Sie mehr über die SharePoint Embedded-Architektur.

Übersicht

Hier sind einige wichtige Prinzipien der SharePoint Embedded-Authentifizierung und -Autorisierung:

• Anwendungen interagieren mit SharePoint Embedded über Microsoft Graph.
• Anwendungen benötigen Anwendungsberechtigungen vom Typ Container, um auf Container dieses Containertyps zuzugreifen.
• Anwendungen können nur auf Container zugreifen, bei denen der Benutzer Mitglied ist, wenn der Zugriff im Namen eines Benutzers verwendet wird.
• Anwendungen können auf alle Container zugreifen, die durch ihre Containertyp-Anwendungsberechtigungen aktiviert werden, wenn sie Zugriff ohne Benutzer verwenden.
• Anwendungen verwenden den Zugriff nach Möglichkeit im Namen von Benutzern, um die Sicherheit und Verantwortlichkeit zu verbessern.

Voraussetzungen

• Eine Microsoft Entra-ID-Anwendungsregistrierung. Weitere Informationen finden Sie unter Registrieren einer Anwendung.
• Ihr Microsoft Entra ID-Mandant verfügt über ein Microsoft 365-Abonnement

Authorization

SharePoint Embedded-Vorgänge werden über Microsoft Graph verfügbar gemacht. SharePoint Embedded unterstützt den Zugriff im Namen eines Benutzers und auch den Zugriff ohne Benutzer.

Zugriff im Namen eines Benutzers

SharePoint Embedded-Vorgänge im Namen eines Benutzers erfordern, dass Anwendungen die Zustimmung für die delegierte Microsoft Graph-Berechtigung FileStorageContainer.Selected erhalten. Diese Berechtigung erfordert die Administratoreinwilligung für den nutzenden Mandanten, bevor ein Benutzer aus dem Mandanten ihr zustimmen kann.

Zusätzlich dazu, dass Ihre Anwendung die Zustimmung für FileStorageContainer.Selected einen nutzenden Mandanten erhält, muss der Benutzer, für den sie handelt, über Containerberechtigungen verfügen. Die effektiven Berechtigungen, über die die Anwendung verfügt, sind die Schnittmenge zwischen den Anwendungsberechtigungen und den Benutzerberechtigungen, wenn sie im Namen eines Benutzers handeln.

Zugriff ohne Benutzer

SharePoint Embedded-Vorgänge ohne Benutzer erfordern, dass Anwendungen die Zustimmung zur Microsoft Graph-Anwendungsberechtigung FileStorageContainer.Selected erhalten. Diese Berechtigung erfordert die Administratoreinwilligung für den Nutzen des Mandanten.

Außergewöhnliche Zugriffsmuster

Derzeit gibt es zwei Arten von Vorgängen mit außergewöhnlichen Zugriffsmustern:

• Vorgänge, die nicht über Microsoft Graph verfügbar gemacht werden
• Vorgänge beim Durchsuchen von SharePoint Embedded-Inhalten
• Vorgänge, die eine Benutzerlizenz erfordern

Vorgänge, die nicht über Microsoft Graph verfügbar gemacht werden

Es gibt zwei Arten von Vorgängen, auf die derzeit nicht über Microsoft Graph zugegriffen werden kann:

• Containertypverwaltung auf mandanteneigenen Mandanten, die über PowerShell-Cmdlets ausgeführt werden.
• Containertypregistrierung auf genutzten Mandanten, verfügbar gemacht über die SharePoint-REST-API v2.
• SharePoint Embedded-Agent , der über Berechtigungen der SharePoint-REST-API v2 verfügbar gemacht wird.

Zum Ausführen von Containertypverwaltungsvorgängen müssen Sie ein SharePoint Embedded-Administrator oder globaler Administrator sein.

Um einen Containertyp zu registrieren, müssen Sie die Container.Selected Berechtigung für die Office 365 SharePoint Online Ressource anfordern.

Um die SharePoint Embedded-Agent-Oberfläche (in der Vorschauphase) in Ihrer Anwendung verwenden zu können, benötigen Sie auch die Container.Selected Berechtigung für die Office 365 SharePoint Online Ressource.

Vorgänge beim Durchsuchen von SharePoint Embedded-Inhalten

Dieser Abschnitt bezieht sich nur auf die Suchszenarien in Search Content und nicht auf die Enumerationsszenarien.

Um Microsoft Search für SharePoint Embedded-Inhalte zu verwenden, müssen Sie die delegierte Files.Read.All Microsoft Graph-Berechtigung zusätzlich zu anfordern, die FileStorageContainer.Selectednormalerweise für den SharePoint Embedded-Zugriff verwendet wird. Während der Vorschauphase dieses Features gewährt die Files.Read.All Anwendungsberechtigung Anwendungen Zugriff auf Suchfunktionen für alle SharePoint Embedded-Inhalte.

Vorgänge, die eine Benutzerlizenz erfordern

SharePoint Embedded ist so konzipiert, dass es funktioniert, ohne dass Endbenutzern eine Art von Microsoft 365-Produktlizenzen zugewiesen werden müssen. Es gibt jedoch bestimmte Vorgänge, die sich noch nicht an dieses Prinzip halten.

Auflisten von Containern

Der Vorgang Container auflisten gibt einen 403 Forbidden Antwortcode zurück, wenn er im Namen eines Benutzers ohne OneDrive aufgerufen wird. Es ist geplant, diese Abhängigkeit in Kürze zu entfernen. Diese Abhängigkeit gilt nicht für den Vorgang Container auflisten, wenn ohne Benutzerkontext aufgerufen wird (nur App-Modus).

Erwähnen von Benutzern in Office-Dokumenten

Die allgemeine Office-Benutzeroberfläche umfasst das Überprüfen von Dokumenten und das Hinzufügen von Kommentaren zu diesen Dokumenten. Damit Benutzer in der @mentions Personenauswahl angezeigt werden können, muss ihnen eine Microsoft 365-Lizenz zugewiesen sein.

Anwendungsberechtigungen für Containertypen

SharePoint Embedded-Anwendungen müssen von der Besitzeranwendung Containertyp-Anwendungsberechtigungen erteilt werden, bevor sie auf Container des angegebenen Containertyps zugreifen können. Containertyp-Anwendungsberechtigungen werden Anwendungen über die Containertypregistrierung gewährt.

Containerberechtigungen

Jeder Benutzer, der auf einen Container zugreift, muss Mitglied des Containers sein. Die Mitgliedschaft in einem Container gewährt Benutzern Containerberechtigungen. Diese Berechtigungen definieren die Zugriffsebene, über die Benutzer für einen bestimmten Container verfügen. Containerberechtigungen gelten nur für den Zugriff im Namen eines Benutzers und nicht für den Zugriff ohne einen Benutzer. Eine SharePoint Embedded-Anwendung, die auf Container ohne Benutzer zugreift, erhält stattdessen den vollzugriff, der in den Anwendungsberechtigungen des Containertyps definiert ist.

Was kommt als nächstes

Hier sind einige Aktionen, die Sie als Nächstes ausführen können:

1. Konfigurieren Sie Ihr SharePoint Embedded-Anwendungsmanifest (Sie können Microsoft Entra PowerShell oder die Azure CLI verwenden), um die erforderlichen Berechtigungen anzufordern:

   • Microsoft Graph (resourceAppId: 00000003-0000-0000-c000-000000000000)
     • FileStorageContainer.Selected (Typ: Scope, ID: 085ca537-6565-41c2-aca7-db852babc212) für den Zugriff auf Container auf nutzenden Mandanten
   • Office 365 SharePoint Online (resourceAppId: 00000003-0000-0ff1-ce00-000000000000)
     • Container.Selected (Typ: Role, ID: 19766c1b-905b-43af-8756-06526ab42875) zum Registrieren eines Containers auf nutzenden Mandanten

2. Erteilen Sie Ihrer Anwendung die Administratoreinwilligung sowohl für eigene als auch für die Nutzung von Mandanten (die derselbe Mandant sein kann).

   Hinweis

   Die Container.Selected Anwendungsberechtigung ist ausgeblendet, was probleme beim Erteilen der Administratoreinwilligung über den Bereich Unternehmens-Apps im Azure-Portal verursachen kann. Erstellen Sie stattdessen die URL für die Administratoreinwilligung, und stellen Sie sie ihrem Microsoft Entra Verzeichnisadministrator zur Verfügung. Zum Beispiel:

   https://login.microsoftonline.com/{tenant}/v2.0/adminconsent?client_id={client_id}&redirect_uri={redirect_uri}

   Stellen Sie sicher, dass der Microsoft Entra Verzeichnisadministrator eine erfolgreiche Antwort bestätigt.

3. Erstellen Sie einen neuen Containertyp auf dem besitzenden Mandanten.

4. Registrieren Sie einen Containertyp auf dem Nutzen-Mandanten.

5. Erstellen eines Containers