Entra App Registration Skill

Entra App Registration Skill 是什么

Entra App Registration Skill 指导 Microsoft Entra ID 应用注册与 OAuth 2.0 集成，解释 Application ID、Tenant ID、重定向 URI、API 权限、客户端凭据和 Service Principal，并为 Web、SPA、移动端和后台服务选择合适流程。

适用场景与选择边界

适合新建应用身份、配置登录、调用 Microsoft Graph 或自有 API、实现交互式或服务到服务认证，以及生成 MSAL 示例。Key Vault 秘密生命周期和通用 Azure 安全审计不属于这里；AI Agent 的每实例身份应使用 Entra Agent ID。只需应用自身本地会话时也不必创建不必要的 Graph 权限。

核心能力与工作机制

它按注册、认证平台、API 权限、凭据和 OAuth 流五步组织工作，提供 Portal、CLI 与 Bicep 路线，并区分授权码、PKCE、设备代码和客户端凭据等模式。

实际工作流

先确定租户、账户类型、应用类型和回调地址，创建注册并记录 ID；再配置平台和最小权限，需要机密客户端时才创建证书或 Secret，完成管理员同意后用 MSAL 实现并验证 token 的受众与 scope。

输入、输出与交付物

需要应用类型、租户策略、登录用户范围、重定向 URI、目标 API 与所需权限，以及凭据保存方式。输出是应用注册、对应服务主体、认证平台配置、API 权限清单和 MSAL 集成代码；若创建 Secret，只能在创建时安全交付一次，不能写入仓库或普通日志。

依赖、账号与权限

需要 Entra 租户和创建应用注册的角色，CLI 或 IaC 路线还需 Azure CLI 或 Bicep。管理员同意高权限 Graph scope 时需要相应目录管理员参与。

限制与安全风险

错误的重定向 URI、过宽权限、长寿命 Secret 和把 token 写入日志会扩大攻击面。客户端凭据只适合机密应用，SPA 不得保存 Secret；生产优先证书或工作负载身份。创建注册、服务主体、凭据和管理员同意都会修改目录状态。新增高权限 API scope、跨租户设置或删除凭据前必须展示对象、权限与影响并获得确认。

适合谁使用

适合身份工程师、应用开发者和集成 Microsoft Graph 的团队；不了解 OAuth 的用户应先明确应用类型和授权主体再生成配置。

上手与验收建议

优先在测试租户创建最小权限注册，用本地安全存储保存凭据并完成端到端登录。验收应在目标租户完成一次真实登录或客户端凭据换 token，解码并核对 issuer、audience、tenant、scope 或 roles，再以最小 API 请求确认权限既足够又不过宽。

来源、版本与许可

本条目依据 Microsoft 官方 azure-skills 仓库固定提交中的完整 Entra App Registration Skill Skill、skills.sh 市场详情和仓库 MIT 许可证整理，核验日期为 2026 年 9 月 20 日。来源未提供官方中文展示名，因此导航保留官方英文名称。

常见问题

1. Entra App Registration Skill 主要解决什么问题？

Entra App Registration Skill 指导 Microsoft Entra ID 应用注册与 OAuth 2.0 集成，解释 Application ID、Tenant ID、重定向 URI、API 权限、客户端凭据和 Service Principal，并为 Web、SPA、移动端和后台服务选择合适流程。适合新建应用身份、配置登录、调用 Microsoft Graph 或自有 API、实现交互式或服务到服务认证，以及生成 MSAL 示例。

2. 开始前需要准备哪些输入和上下文？

需要应用类型、租户策略、登录用户范围、重定向 URI、目标 API 与所需权限，以及凭据保存方式。需要 Entra 租户和创建应用注册的角色，CLI 或 IaC 路线还需 Azure CLI 或 Bicep。管理员同意高权限 Graph scope 时需要相应目录管理员参与。

3. 执行后会得到什么结果或文件？

输出是应用注册、对应服务主体、认证平台配置、API 权限清单和 MSAL 集成代码；若创建 Secret，只能在创建时安全交付一次，不能写入仓库或普通日志。

4. 需要哪些账号、工具和最小权限？

需要 Entra 租户和创建应用注册的角色，CLI 或 IaC 路线还需 Azure CLI 或 Bicep。管理员同意高权限 Graph scope 时需要相应目录管理员参与。错误的重定向 URI、过宽权限、长寿命 Secret 和把 token 写入日志会扩大攻击面。客户端凭据只适合机密应用，SPA 不得保存 Secret；生产优先证书或工作负载身份。

5. 它会修改本地文件或云端资源吗？

创建注册、服务主体、凭据和管理员同意都会修改目录状态。新增高权限 API scope、跨租户设置或删除凭据前必须展示对象、权限与影响并获得确认。

6. 哪些需求不应该交给这个 Skill？

Key Vault 秘密生命周期和通用 Azure 安全审计不属于这里；AI Agent 的每实例身份应使用 Entra Agent ID。只需应用自身本地会话时也不必创建不必要的 Graph 权限。

7. 遇到失败或结果异常时怎样处理？

登录循环先核对重定向 URI、应用类型和 tenant；401 或 consent_required 要检查 token 受众、scope、权限同意与凭据。修改配置后应重新获取 token，不能复用旧缓存判断结果。

8. 如何验收结果确实可靠？

验收应在目标租户完成一次真实登录或客户端凭据换 token，解码并核对 issuer、audience、tenant、scope 或 roles，再以最小 API 请求确认权限既足够又不过宽。