HTTP com Microsoft Entra ID (pré-autorizado)

Use o conector HTTP para obter recursos de vários serviços Web, autenticados pelo Microsoft Entra ID ou de um serviço web local.

Este conector está disponível nos seguintes produtos e regiões:

Suporte à Virtual Network (Delegação de Sub-rede)

Quando o conector é usado num ambiente Power Platform ligado a um Virtual Network, aplicam-se limitações:

• As seguintes ações NÃO são suportadas:
  • Obter recurso da Web

Problemas conhecidos e limitações

1. O conector codifica o corpo da solicitação na codificação base64, portanto, deve ser usado para chamar serviços de back-end que esperam o corpo da solicitação neste formato. Não é possível usar esse conector para chamar um serviço de back-end que espera o corpo da solicitação em formato binário bruto.

2. Se você receber um erro semelhante a:

• { "error": { "code": "Forbidden", "message": "" } }
• { "error": { "code": "Authorization_RequestDenied", "message": "Insufficient privileges to complete the operation." } } então pode ser porque este conector tem um conjunto limitado de escopos.
• Os usuários também podem enfrentar erros de pré-autorização ao se conectar a alguns recursos que não são suportados.
• Se o seu cenário requer algo mais avançado, use o conector "HTTP" ou crie um conector personalizado.

3. O conector é baseado no registro de aplicativo multilocatário. O aplicativo não pode dizer de qual locatário o usuário é até que o usuário entre nele. Portanto, suportamos apenas a especificação de recursos no locatário padrão dos usuários ('comum').

4. Os recursos baseados no ADFS SSO (Microsoft Entra ID Federation Services for Single Sign-On) não são suportados. Como solução alternativa, use o conector "HTTP".

5. Ao usar esse conector em um ambiente de nuvem nacional, o recurso deve ser equivalente ao ponto final da nuvem nacional. As tentativas de tentar conectar-se à nuvem pública (https://graph.microsoft.com, https://bing.com por exemplo) a partir da maioria dos ambientes de nuvem nacionais falharão com um erro de pré-autorização.

   • Os ambientes GCC e Fairfax podem continuar a usar pontos de extremidade de nuvem pública (https://graph.microsoft.com, por exemplo).
   • GCC-High exemplo de recurso: https://graph.microsoft.us.
   • Exemplo de recurso da China: https://microsoftgraph.chinacloudapi.cn.

6. O uso do cabeçalho de solicitação de autorização de cookie não é suportado no caso de conexão habilitada para gateway de dados local.

7. Não há suporte para o padrão assíncrono baseado no cabeçalho Local da resposta. Por favor, use o conector Azure Resource Manager em vez disso, se aplicável.

8. Para que o conector 'HTTP com Microsoft Entra ID' recupere com sucesso dados de outro serviço, a aplicação usada pelo conector deve ter acesso ao âmbito necessário. Para obter detalhes sobre como conceder o acesso necessário ao aplicativo, consulte Autorizar o aplicativo a agir em nome de um usuário conectado. Se o acesso necessário não for concedido, poderá receber um dos seguintes erros quando tentar criar a ligação:

   Consent Required: To enable the HTTP With Microsoft Entra ID connector to access resources on behalf of a signed-in user, grant consent to this application.
   

   

   Se um escopo (permissão) tiver sido concedido, mas nem todos os escopos necessários forem incluídos, a criação da conexão será bem-sucedida, mas você encontrará um erro Proibido (403) no tempo de execução. Os detalhes do erro podem incluir informações adicionais, tais como:

   "code": "Authorization_RequestDenied"
   "message": "Insufficient privileges to complete the operation."
   
   

9. Se surgirem problemas para criar uma ligação ou for recebido um erro relacionado com um valor de parâmetro em falta, tente criar uma ligação com o Old Designer do Power Automate em vez do New Designer.

10. Remover ou adicionar pré-autorizações pode levar até 1 hora para refletir as conexões existentes antes da atualização. No entanto, as novas conexões devem refletir as autorizações atualizadas instantaneamente.

11. Pedidos que incluem conteúdo binário (por exemplo, ficheiros PDF, imagens ou documentos do Office) não são suportados e podem resultar em ficheiros corrompidos ou ilegíveis. Este comportamento é intencional; apenas são suportados payloads baseados em texto.

12. Ao criar uma ligação para alguns serviços, a informação do inquilino necessária para avaliar o Isolamento do Inquilino pode não estar disponível durante a autenticação devido a uma limitação subjacente da plataforma, e a ligação ainda assim é criada com sucesso.

Autorizar o conector a agir em nome de um usuário conectado

Como um usuário com a função de Administrador Global, você precisa criar oAuth2PermissionGrants para aprovar as permissões (escopos) necessárias para o serviço necessário.

Por exemplo, se estiver a usar Microsoft Graph (https://graph.microsoft.com) e precisar de ler informações do calendário, pode seguir a documentação Graph para identificar as permissões necessárias (Calendar.Read). Ao conceder ao aplicativo (usado pelo conector) o escopo Calendar.Read, ele permitirá que o aplicativo acesse esses dados do serviço em nome do usuário. Uma coisa importante a notar é que os dados que podem ser acessados pelo aplicativo ainda estão limitados aos dados aos quais o usuário tem acesso no serviço. Não é possível usar o Azure Portal para conceder consentimento a esta aplicação. Por esta razão, foi criado pela Microsoft um script PowerShell para simplificar a concessão de consentimento à aplicação usada pelo HTTP com o conector Microsoft Entra ID.

1. Baixe o script PowerShell necessário daqui ou crie um script chamado 'ManagePermissionGrant.ps1' referindo-se às etapas mencionadas aqui. Este script é principalmente para referência, você pode modificar o script de acordo com seu caso de uso.

2. Clique com o botão direito do rato no ficheiro de ManagePermissionGrant.ps1 transferido e, em seguida, clique em Propriedades.

3. Clique na caixa de verificação Desbloquear e, em seguida, clique em OK.

   

   Se você não marcar a caixa de seleção Desbloquear, receberá um erro indicando que o script não pode ser carregado porque não está assinado digitalmente.

4. Abra uma janela de comando do PowerShell.

5. Altere o caminho para o local onde você baixou o script.

6. Digite o seguinte comando e pressione Enter:

   .\ ManagePermissionGrant.ps1
   

   

7. Ser-lhe-á solicitado a escolher se se autentica no Azure Global (recomendado) ou se escolhe a partir de uma lista (avançado). Se você não estiver se conectando a assinaturas no US Gov, US Gov DoD, China ou Alemanha, pressione Enter.

   

8. Se ainda não o fez, poderá ser-lhe pedido para se autenticar na plataforma de identidade da Microsoft numa nova janela do browser. Autentique-se como um usuário com a função de Administrador Global.

9. Para conceder consentimento a alguns dos serviços mais utilizados, como Microsoft Graph ou SharePoint, pressione Enter. Se o serviço para o qual você precisa consentir não estiver na lista de aplicativos comumente usados, use a opção A.

   

10. Será exibida uma caixa de diálogo. Selecione o aplicativo que você deseja consentir para permitir que o conector aja em nome de um usuário. Você pode usar a caixa de texto na parte superior para filtrar os resultados.

    

11. Clique em OK.

12. Selecione um ou mais escopos (permissões) para os quais deseja consentir e clique em OK. Vários escopos podem ser selecionados pressionando e mantendo pressionada a tecla CTRL enquanto seleciona linhas.

13. Na janela do PowerShell, você será solicitado a escolher o tipo de consentimento. Você pode escolher se deseja permitir que o aplicativo aja em nome de qualquer usuário conectado ou se deseja limitar o consentimento a um usuário específico. Se você quiser fornecer consentimento para todos os usuários, pressione Enter. Se você quiser fornecer consentimento apenas para um usuário específico, digite N e pressione Enter. Se optar por consentir um utilizador específico, ser-lhe-á pedido que selecione o utilizador.

14. Se já existir consentimento para quaisquer escopos para o recurso selecionado, você será solicitado a escolher se deseja excluir as concessões existentes primeiro. Se quiser excluir concessões existentes, digite Y e pressione Enter. Se quiser manter as concessões existentes, pressione Enter.

15. Um resumo dos escopos selecionados será exibido na janela do PowerShell. Se quiser continuar concedendo os escopos selecionados, digite Y e pressione Enter.

16. Se o script puder conceder o consentimento com êxito, você verá uma mensagem informando que a execução do script foi concluída.

A criar uma ligação

O conector suporta os seguintes tipos de autenticação:

Faça login usando um gateway básico

ID de autenticação: BasicGateway

Aplicável: Todas as regiões

Use um gateway da Web básico para se conectar aos seus recursos HTTP

Esta é uma conexão compartilhável. Se o aplicativo de energia for compartilhado com outro usuário, a conexão também será compartilhada. Para mais informações, consulte a visão geral Connectors para aplicações canvas - Power Apps | Microsoft Docs

Faça login usando uma autenticação de certificado de cliente

ID de autenticação: CertOauth

Aplicável: Todas as regiões

Forneça credenciais Microsoft Entra ID usando certificado e palavra-passe PFX

Esta é uma conexão compartilhável. Se o aplicativo de energia for compartilhado com outro usuário, a conexão também será compartilhada. Para mais informações, consulte a visão geral Connectors para aplicações canvas - Power Apps | Microsoft Docs

Iniciar sessão usando um Windows Gateway

ID de autenticação: WindowsGateway

Aplicável: Todas as regiões

Use um Windows Gateway local para se ligar aos seus recursos HTTP

Esta é uma conexão compartilhável. Se o aplicativo de energia for compartilhado com outro usuário, a conexão também será compartilhada. Para mais informações, consulte a visão geral Connectors para aplicações canvas - Power Apps | Microsoft Docs

Faça login usando um Gateway anónimo

ID de autenticação: AnonymousGateway

Aplicável: Todas as regiões

Usar um gateway anônimo para se conectar aos seus recursos HTTP

Esta é uma conexão compartilhável. Se o aplicativo de energia for compartilhado com outro usuário, a conexão também será compartilhada. Para mais informações, consulte a visão geral Connectors para aplicações canvas - Power Apps | Microsoft Docs

Iniciar sessão com o Microsoft Entra ID

ID de autenticação: EntraAuth

Aplicável: Todas as regiões

Iniciar sessão com credenciais Microsoft Entra ID

Esta é uma conexão compartilhável. Se o aplicativo de energia for compartilhado com outro usuário, a conexão também será compartilhada. Para mais informações, consulte a visão geral Connectors para aplicações canvas - Power Apps | Microsoft Docs

Padrão [DEPRECATED]

Aplicável: Todas as regiões

Esta opção é apenas para conexões mais antigas sem um tipo de autenticação explícita e é fornecida apenas para compatibilidade com versões anteriores.

Esta conexão não é compartilhável. Se o aplicativo avançado for compartilhado com outro usuário, outro usuário será solicitado a criar uma nova conexão explicitamente.

Limites de Limitação

Ações

Invocar uma solicitação HTTP

Obter recurso da Web

Definições

binário