[Einführung]
Wir freuen uns, bekannt zu geben, dass die SharePoint Online Management Shell nun App-Only Zertifikatbasierte Authentifizierung unterstützt. Dieses Update erfüllt den geschäftlichen Bedarf an sicherer, unbeaufsichtigter Automatisierung in Umgebungen, in denen beispielsweise Multi-Faktor-Authentifizierung (MFA) erzwungen wird. Mit dieser Erweiterung können Kunden Automatisierungsskripte unter Verwendung von App-Identitäten ausführen und somit die Einhaltung von Sicherheitsrichtlinien sicherstellen und gleichzeitig die Betriebseffizienz erhalten.
[Wann wird dies geschehen:]
Diese Funktion ist jetzt allgemein verfügbar.
[Wie dies Ihre Organisation betrifft:]
Wer ist betroffen: SharePoint-Administratoren und Automatisierungstechniker, die die SharePoint Online Management Shell für Skripting und Automatisierung verwenden.
Was wird geschehen:
- Kunden können Skripte nun mit App-Identitäten authentifizieren, die in Microsoft Entra ID (ehemals Azure AD) registriert sind, statt mit Benutzeranmeldedaten.
- Dies ermöglicht die nahtlose Ausführung unbeaufsichtigter Skripte, selbst wenn MFA durchgesetzt wird.
- Wir erwarten, dass die meisten Szenarien mit App-Only-Authentifizierung funktionieren. Es kann jedoch seltene Fälle geben, in denen eine API aus Sicherheitsgründen ein explizites Benutzertoken benötigt. In solchen Fällen sollten Mandanten-Admins interaktive Flows mit Admin-/Benutzeranmeldedaten verwenden. Kontaktieren Sie uns gerne bei Bedarf.
[Was Sie zur Vorbereitung tun können:]
Befolgen Sie diese einmaligen Schritte, um Ihre App zu registrieren und zertifikatbasierte Authentifizierung zu aktivieren:
- Schritt 1: Registrieren Sie die Anwendung in Microsoft Entra ID.
- Schritt 2: Weisen Sie der Anwendung API-Berechtigungen zu:
- Tenant Admin APIs unterstützen derzeit App-Only-Zugriff nur, wenn sie den Scope
Sites.FullControlhaben. - Wir arbeiten an der Unterstützung granularerer Scopes für Tenant APIs. Für aktuelle Informationen siehe SharePoint Admin APIs Authentication and Authorization.
- Sie können Berechtigungen zuweisen, indem Sie:
- API-Berechtigungen im Portal auswählen und zuweisen.
- Das App-Manifest zur Zuweisung von API-Berechtigungen ändern (erforderlich für Microsoft 365 GCC High und DoD Organisationen).
- Weitere Informationen: Schritt 2: API-Berechtigungen der Anwendung zuweisen
- Tenant Admin APIs unterstützen derzeit App-Only-Zugriff nur, wenn sie den Scope
- Schritt 3: Erstellen Sie ein selbstsigniertes Zertifikat oder besorgen Sie eines von einer Zertifizierungsstelle.
- Schritt 4: Binden Sie das Zertifikat an die Microsoft Entra-Anwendung.
Sobald diese Schritte abgeschlossen sind, aktualisieren Sie die Connect-SPOService-Zeile am Anfang Ihrer Skripte, um die App-Identität anstelle von Benutzeranmeldedaten zu verwenden. Beispiele finden Sie in den Beispielen 7, 8 und 9 in diesem Artikel: Connect-SPOService (Microsoft.Online.SharePoint.PowerShell).
[Compliance-Überlegungen:]
Keine Compliance-relevanten Aspekte identifiziert, bitte entsprechend Ihrer Organisation prüfen.