Managed Identity gebruiken met PowerShell voor Microsoft Graph

Naarmate bedrijven steeds meer afhankelijk worden van Microsoft 365, wordt het automatiseren van beheertaken essentieel. Door PowerShell en Graph API te integreren, verhoogt u de efficiëntie en bespaart u waardevolle tijd. Deze krachtige combinatie biedt robuuste beheermogelijkheden die de activiteiten stroomlijnen.

Veel gebruikers lopen echter tegen uitdagingen aan. Sommige essentiële functionaliteiten hebben bijvoorbeeld geen gedocumenteerde endpoints, wat automatisering bemoeilijkt. Daarnaast kunnen verouderde API's leiden tot stille fouten, wat het onderhoud van uw scripts bemoeilijkt. Maak u geen zorgen! Deze post vertaalt deze complexe concepten naar eenvoudige, praktische stappen en begeleidt u met duidelijke oplossingen door het proces.

Belangrijkste punten

• Integreer PowerShell met Graph API om Microsoft 365-taken te automatiseren en de efficiëntie te verhogen.
• Zorg dat uw systeem voldoet aan de vereisten, zoals PowerShell 7 of hoger en de nieuwste Microsoft Graph-module, voor een soepele uitvoering.
• Begrijp rechten en scopes om te bepalen wat uw scripts in Microsoft 365 mogen openen, volgens het principe van minimale rechten.
• Registreer uw app in Azure AD om een veilige identiteit voor uw scripts te creëren, zodat ze veilig toegang tot Microsoft Graph krijgen.
• Kies de juiste authenticatiestroom, zoals Device Code Flow of Managed Identity Flow, om uw toegangstokens effectief te beveiligen.
• Stel correct opgebouwde HTTP-aanvragen op met PowerShell om via de Microsoft Graph API gegevens op te halen.
• Behandel fouten en API-limieten zorgvuldig zodat uw scripts soepel draaien en storingen voorkomen.
• Optimaliseer uw scripts door alleen de benodigde eigenschappen op te halen en aanvragen te bundelen, zodat de prestaties verbeteren en het resourcegebruik afneemt.

Vereisten voor PowerShell + Graph API

Voordat u begint met het automatiseren van Microsoft 365-taken via PowerShell + Graph API, moet u uw systeem en omgeving goed voorbereiden. Deze voorbereiding zorgt voor een soepele uitvoering en veilige toegang tot Microsoft Graph-resources.

PowerShell-modules installeren

U moet de juiste PowerShell-modules installeren om met de Microsoft Graph API te kunnen werken. De Microsoft Graph PowerShell SDK biedt alle benodigde cmdlets voor deze integratie. Controleer om fouten te voorkomen of uw systeem aan deze minimumvereisten voldoet:

Vereiste	Beschrijving
PowerShell-versie	PowerShell versie 7 of hoger is vereist.
.NET Framework	.NET Framework 4.7.2 of later is nodig op macOS.
PowerShellGet	Werk PowerShellGet bij naar de nieuwste versie.
Uitvoeringsbeleid	Stel het uitvoeringsbeleid in op RemoteSigned of minder restrictief.

U kunt PowerShellGet bijwerken door Install-Module PowerShellGet -Force uit te voeren en het uitvoeringsbeleid instellen met Set-ExecutionPolicy RemoteSigned. Installeer daarna de Microsoft Graph-module met:

Install-Module Microsoft.Graph -Scope CurrentUser

Met dit commando downloadt u de nieuwste stabiele versie van de module, zodat u Microsoft Graph-endpoints eenvoudig kunt aanroepen.

Microsoft 365-omgeving instellen

Een correcte configuratie van uw Microsoft 365-omgeving is cruciaal voor automatisering. Volg deze stappen om te beginnen:

1. Controleer of uw systeem voldoet aan de vereisten: PowerShell 7.2 of later, .NET Framework 4.7.2 of nieuwer, en de nieuwste PowerShellGet-module.
2. Installeer de Microsoft Graph PowerShell-module zoals hierboven getoond.
3. Maak verbinding met uw Microsoft 365-tenant door de module te importeren en te authenticeren met de benodigde scopes. Bijvoorbeeld:

Connect-MgGraph -Scopes "User.ReadWrite.All","Directory.ReadWrite.All"

Dit commando vraagt u om in te loggen en geeft uw sessie rechten om gebruikers- en directorygegevens te lezen en te schrijven. U kunt de scopes aanpassen aan uw automatiseringsbehoeften.

Rechten en scopes begrijpen

Rechten en scopes bepalen wat uw scripts in Microsoft 365 kunnen openen of wijzigen. De Microsoft Graph API gebruikt twee hoofdtypen rechten:

• Gedelegeerde rechten: Deze gelden wanneer u scripts uitvoert als ingelogde gebruiker. Ze beperken de toegang tot gegevens die de gebruiker bezit of waartoe hij toegang heeft.
• Applicatierechten: Deze stellen uw app of script in staat om over de hele organisatie gegevens te openen zonder ingelogde gebruiker.

Veelgebruikte rechten zijn *.Read.All voor alleen-lezentoegang en *.ReadWrite.All voor volledige lees- en schrijfrechten. Bijvoorbeeld: SecurityActions.Read.All laat u beveiligingsacties bekijken, terwijl SecurityActions.ReadWrite.All ze ook laat wijzigen.

Applicatierechten vereisen goedkeuring door een beheerder. Een tenantbeheerder moet deze rechten goedkeuren om de veiligheid te waarborgen. Daarnaast hebben gebruikers passende Microsoft Entra-rollen nodig, zoals Security Reader, om toegang te krijgen tot gevoelige gegevens. Deze op rollen gebaseerde toegang vormt een extra beveiligingslaag.

Wanneer u verbinding maakt via de Microsoft Graph PowerShell SDK, geef dan alleen de scopes op die uw script nodig heeft. Dit volgt het principe van minimale rechten en verkleint de beveiligingsrisico's. Houd er rekening mee dat rechten die aan uw app zijn toegekend, gelden voor alle gebruikers van die app. Controleer en beheer ze dus regelmatig.

Door rechten zorgvuldig te begrijpen en te configureren, beschermt u uw omgeving en maakt u tegelijkertijd krachtige automatisering met PowerShell + Graph API mogelijk.

App-identiteit in Azure AD

Een nieuwe app registreren

Om Microsoft 365-taken met PowerShell en Graph API te automatiseren, moet u eerst een applicatie registreren in Azure Active Directory (Azure AD). Deze app fungeert als identiteit die uw scripts gebruiken om veilig toegang te krijgen tot Microsoft Graph. Volg deze stappen om uw app te registreren:

1. Open de Azure-portal en ga naar Azure Active Directory > App-registraties > Nieuwe registratie.
2. Geef uw app een duidelijke naam, zoals "Mijn Graph-app".
3. Kies de ondersteunde accounttypen:
   • Single tenant: Alleen gebruikers in uw Azure AD-tenant kunnen zich aanmelden.
   • Multi-tenant: Gebruikers uit elke Azure AD-tenant kunnen zich aanmelden.
   • Multi-tenant en persoonlijke accounts: Omvat Azure AD-gebruikers en persoonlijke Microsoft-accounts.