企业应用身份注册

解决什么问题

手动在 Entra ID 控制台注册企业应用时，运维人员常面临三个痛点：一是多层导航（应用注册→新注册→API权限→证书和密码）易导致配置遗漏；二是 API 权限范围（scopes）与角色的手动绑定容易出错；三是凭证管理分散，证书上传、密码添加、托管标识绑定需切换不同页面操作。

核心能力与工作步骤

该技能聚焦企业应用在 Entra ID 的标准化注册，核心步骤包括：

• 生成符合微软规范的应用清单：自动构建 api:// 主体 ID，定义所需的权限范围（如 access_as_user、user_impersonation）
• 执行注册操作：通过 Entra ID Graph API 完成应用注册，返回 appId、objectId 等关键标识
• 配置 API 权限：将声明的 scopes 绑定到目标资源应用（如 Microsoft Graph），支持委托与应用程序权限类型
• 管理凭证：根据需求选择三种认证方式——上传 X.509 证书（自动生成密钥对）、创建客户端密码（clientSecret）、或启用系统分配托管标识（userAssignedIdentities）

适用边界与注意点

该技能仅处理应用注册阶段的配置，不涉及后续的应用集成开发（如 API 代理、自定义逻辑）。调用前需确保执行账户具备 Entra ID 的 Application Administrator 角色，且目标租户已启用 Entra ID P1/P2 许可。注意：注册完成后仍需手动配置条件访问策略、用户分配等运营环节，凭证信息需通过 Azure Key Vault 等安全存储管理，避免硬编码风险。