在 Microsoft Entra ID 中注册应用并配置…

指导完成 Entra ID（原 Azure AD）应用注册、OAuth 2.0 认证配置与 MSAL 集成。

适用场景

解决思路

1. 在 Azure 门户中进入 Microsoft Entra ID → App registrations，点击 New registration，填写名称、支持的账户类型和重定向 URI，然后点击 Register 完成应用注册。
2. 使用 Azure CLI 命令管理应用注册：`az ad app create` 创建、`az ad app list` 列出、`az ad app show` 查看详情、`az ad app permission add` 添加 API 权限、`az ad app credential reset` 生成新客户端密钥、`az ad sp create` 创建服务主体。
3. 如果项目已使用 IaC、需要可扩展地管理大量应用注册，或需要细粒度的配置变更审计历史，优先使用 IaC（如 Bicep）管理 Entra 应用注册。
4. 根据应用类型配置认证：Web 应用添加重定向 URI 并按需启用 ID tokens；SPA 添加重定向 URI 并在必要时启用隐式授权流；移动/桌面应用使用 `http://localhost` 或自定义 URI scheme；服务使用客户端凭据流时无需重定向 URI。
5. 在 API permissions 中为应用授予访问 Microsoft API 或自有 API 的权限，常用 Microsoft Graph 权限包括 `User.Read`、`User.ReadWrite.All`、`Directory.Read.All`、`Mail.Send`。
6. 对机密客户端应用（Web 应用、服务）创建客户端凭据：在 Certificates & secrets 中新建客户端密钥并立即复制其值（仅显示一次），安全存储（推荐 Key Vault）；生产环境优先使用证书而非密钥，通过 Certificates & secrets 上传证书；也可使用联合身份凭据（Federated Identity Credential）动态认证机密客户端到 Entra 平台。
7. 在应用代码中集成 OAuth 流，参考 OAuth 2.0 流细节与控制台应用实现示例。
8. 首次应用注册时按步骤收集所需信息：应用名称、应用类型（web、SPA、mobile、service）、重定向 URI（如适用）、所需权限。
9. 创建带用户认证的控制台应用时，确定编程语言（C#、Python、JavaScript 等）、认证库（推荐 MSAL）和所需权限。
10. 配置服务到服务认证时，确定服务/应用名称、目标 API/资源，以及使用密钥还是证书，并采用客户端凭据流实现无用户交互的守护进程/服务认证。
11. 使用 MSAL 集成 Microsoft 身份平台，支持 .NET/C# 的 `Microsoft.Identity.Client`、JavaScript/TypeScript 的 `@azure/msal-browser` 与 `@azure/msal-node`、Python 的 `msal`。
12. 遵循安全最佳实践：绝不硬编码密钥，改用环境变量、Azure Key Vault 或托管身份；定期轮换密钥并设置过期与自动轮换；生产环境用证书替代密钥；遵循最小权限只请求必需的 API 权限；为用户启用 MFA；Azure 托管应用使用托管身份以避免密钥；始终验证令牌的签发者、受众和过期时间；所有重定向 URI 必须使用 HTTPS（localhost 除外）；使用 Entra ID 登录日志监控登录以检测异常。

适用边界 · 注意事项

• 不要用于 Key Vault 密钥管理（应使用 azure-keyvault-expiration-audit）。
• 不要用于通用 Azure 资源安全指导。