การใช้ Microsoft Graph API กับ Powershell

Microsoft Graph API ช่วยให้คุณสามารถโต้ตอบกับบริการ Azure ที่พัฒนาอย่างต่อเนื่องผ่านจุดสิ้นสุดเดียว: https://graph.microsoft.com เราจะเชื่อมต่อกับกราฟด้วย Powershell, OAuth 2.0 และ REST

การลงทะเบียนแอปของคุณ

หากต้องการโต้ตอบกับ Graph เราจำเป็นต้องลงทะเบียนแอปของเรา ไปที่ https://portal.azure.com/#blade/Microsoft_AAD_RegisteredApps/ApplicationsListBlade เพื่อเริ่มต้น เข้าสู่ระบบด้วยบัญชีของคุณที่เชื่อมโยงกับผู้เช่าของคุณ เพิ่มแอปใหม่และป้อนรายละเอียดต่อไปนี้:

• ชื่อ > เพียงแค่ตั้งชื่อ

• ประเภทแอปพลิเคชัน > เว็บแอป/-API

• ลงชื่อเข้าใช้ Url > ไม่สำคัญดังนั้นเราจึงไปที่: http://localhost:8000

จากนั้นเลือกแอปที่คุณสร้างขึ้นใหม่และไปที่ สิทธิ์ที่จำเป็น ที่นี่เราจะเพิ่มสิทธิ์ Graph API คุณจะต้องเลือกการอนุญาตที่แตกต่างกันขึ้นอยู่กับสิ่งที่คุณต้องการเข้าถึง คุณสามารถเปลี่ยนแปลงได้ในภายหลัง ดังนั้นตอนนี้เราคลิกเพิ่มที่ด้านบน เลือก Microsoft Graph และในขั้นตอนที่ 2 เราเพียงเลือก สิทธิ์การอ่านและเขียนโปรไฟล์ผู้ใช้

ขั้นตอนสุดท้ายคือการสร้างคีย์ ไปที่ คีย์ และป้อน คำอธิบายคีย์ และกำหนดระยะเวลาเป็น ไม่มีวันหมดอายุ เมื่อคุณคลิกที่บันทึกค่า (ClientSecret) จะ แสดงเพียงครั้งเดียว ดังนั้นให้เขียนให้เสร็จเมื่อแสดง

มาเป็นแฮ็กเกอร์ที่มีจริยธรรมที่สามารถแฮ็กระบบคอมพิวเตอร์เช่นแฮกเกอร์หมวกดำและรักษาความปลอดภัยให้เหมือนผู้เชี่ยวชาญด้านความปลอดภัย

การรับรองความถูกต้องและการอนุญาต

ในการเข้าถึง Graph API เราจำเป็นต้องได้รับรหัสการเข้าถึง หากคุณยังใหม่กับการทำงานกับ Rest and Graph API มีบางสิ่งที่ควรคำนึงถึง:

1. ในการรับโทเค็นการเข้าถึง คุณต้องมีรหัสอนุญาต รหัสนี้ใช้ได้เพียง 1 ชั่วโมง แต่ตราบใดที่โทเค็นการรีเฟรชของคุณยังใช้งานได้ คุณจะต้องต่ออายุรหัสนี้ทุกๆ 90 วันเท่านั้น

2. โทเค็นการเข้าถึงซึ่งใช้ในทุกคำขอนั้นใช้ได้เพียง 1 ชั่วโมงเท่านั้น คุณสามารถต่ออายุได้ด้วย Refresh Token

3. โทเค็นการรีเฟรชมีอายุ 14 วัน

ขั้นตอนแรกคือการรับรหัสยืนยันตัวตน เราใช้สคริปต์ด้านล่างสำหรับสิ่งนี้ รันสคริปต์ด้วย:

GraphAPIGetAuthCode.ps1 -ClientId <clientId> -ClientSecret <clientSecret> -RedirectUrl <redirectUrl>

มันจะจัดเก็บรหัสการรับรองความถูกต้องในไฟล์ข้อความที่ตำแหน่งรูทของสคริปต์ วิธีนี้ทำให้เราสามารถเข้าถึงได้ง่ายในภายหลัง

[CmdletBinding()]
PARAM(
	[parameter(ValueFromPipeline=$true,
				ValueFromPipelineByPropertyName=$true,
				Mandatory=$true)]
	[string]$ClientId,

	[parameter(ValueFromPipeline=$true,
				ValueFromPipelineByPropertyName=$true,
				Mandatory=$true)]
	[string]$ClientSecret,

	[parameter(ValueFromPipeline=$true,
				ValueFromPipelineByPropertyName=$true,
				Mandatory=$true)]
	[string]$RedirectUrl
)
BEGIN
{
	$ResourceUrl = "https://graph.microsoft.com"
}
PROCESS
{
	Function Get-AuthCode {
		Add-Type -AssemblyName System.Windows.Forms

		$form = New-Object -TypeName System.Windows.Forms.Form -Property @{Width=440;Height=640}
		$web  = New-Object -TypeName System.Windows.Forms.WebBrowser -Property @{Width=420;Height=600;Url=($url -f ($Scope -join "%20")) }

		$DocComp  = {
			$Global:uri = $web.Url.AbsoluteUri        
			if ($Global:uri -match "error=[^&]*|code=[^&]*") {$form.Close() }
		}
		$web.ScriptErrorsSuppressed = $true
		$web.Add_DocumentCompleted($DocComp)
		$form.Controls.Add($web)
		$form.Add_Shown({$form.Activate()})
		$form.ShowDialog() | Out-Null

		$queryOutput = [System.Web.HttpUtility]::ParseQueryString($web.Url.Query)
		$output = @{}
		foreach($key in $queryOutput.Keys){
			$output["$key"] = $queryOutput[$key]
		}

		$output
	}

	# UrlEncode the ClientID and ClientSecret and URL's for special characters 
	$clientIDEncoded = [System.Web.HttpUtility]::UrlEncode($ClientId)
	$clientSecretEncoded = [System.Web.HttpUtility]::UrlEncode($ClientSecret)
	$redirectUrlEncoded =  [System.Web.HttpUtility]::UrlEncode($RedirectUrl)
	$resourceUrlEncoded = [System.Web.HttpUtility]::UrlEncode($ResourceUrl)
	$scopeEncoded = [System.Web.HttpUtility]::UrlEncode("https://outlook.office.com/user.readwrite.all")

	# Get AuthCode
	$url = "https://login.microsoftonline.com/common/oauth2/authorize?response_type=code&redirect_uri=$redirectUrlEncoded&client_id=$clientID&resource=$resourceUrlEncoded&prompt=admin_consent&scope=$scopeEncoded"

	Get-AuthCode
	
	# Extract Access token from the returned URI
	$regex = '(?<=code=)(.*)(?=&)'
	$authCode = ($uri | Select-string -pattern $regex).Matches[0].Value

	# Store AuthCode
	Set-Content "$PSScriptRoot\AuthCode.txt" $authCode
}

ขอขอบคุณดาร์เรน โรบินสัน: https://gist.github.com/darrenjrobinson/b74211f98c507c4acb3cdd81ce205b4f#file-ps2graphapi-ps1

รับโทเค็นการเข้าถึงและรีเฟรช

ด้วยรหัสการรับรองความถูกต้อง เราจะได้รับโทเค็นการเข้าถึงที่สำคัญทั้งหมดและโทเค็นการรีเฟรชที่จำเป็นมาก เนื่องจากโทเค็นการเข้าถึงใช้งานได้เพียง 1 ชั่วโมง เราจึงต้องตรวจสอบอายุและขอโทเค็นการรีเฟรชใหม่หากหมดอายุ

สคริปต์ด้านล่างจะจัดเก็บโทเค็นการเข้าถึงและรีเฟรชในไฟล์ข้อความในตำแหน่งรากของสคริปต์ คุณสามารถเปลี่ยนเพื่อจัดเก็บเฉพาะในตัวแปรได้ตลอดเวลา แต่โปรดจำไว้ว่าเมื่อคุณปิดเชลล์ เชลล์จะหายไปทั้งหมด และคุณต้องเริ่มต้นใหม่อีกครั้งด้วยรหัสการอนุญาต

สคริปต์จะตรวจสอบเวลาที่แก้ไขล่าสุดของ accesstoken.txt หากเก่ากว่า 1 ชั่วโมง สคริปต์จะขอโทเค็นการเข้าถึงใหม่ด้วยโทเค็นการรีเฟรช หากล้มเหลว ระบบจะขอรหัสอนุญาตใหม่และเริ่มต้นใหม่อีกครั้ง

ฉันใช้ไฟล์ config.json เพื่อจัดเก็บ ClientId, ClientSecret และ RedirectUrl ของฉัน ด้วยวิธีนี้ คุณสามารถเปลี่ยนได้อย่างง่ายดาย

กำหนดค่า json

{
  "AppId": {
    "ClientId": "fa9d9d34-7a2a-****-****-************",
    "ClientSecret": "J/WDSKLjE+XC9G0+ASDHUen31/***********=",
    "RedirectUrl": "https://localhost:8000",
    "ResourceUrl": "https://graph.microsoft.com"
  }
}

ConnectTo-กราฟ

#----------------------------------------------------------[Declarations]----------------------------------------------------------

#Get the config file
$config = Get-Content $PSScriptRoot"\config.json" -Raw | ConvertFrom-Json

# Add System Web Assembly to encode ClientSecret
Add-Type -AssemblyName System.Web

# Encode ClientSecret
$clientSecretEncoded = [System.Web.HttpUtility]::UrlEncode($config.AppId.ClientSecret) 

# Get the accessToken
If ((Test-Path -Path $PSScriptRoot"\accessToken.txt") -ne $false) {
	$accessToken = Get-Content $PSScriptRoot"\accessToken.txt"
}

#---------------------------------------------------------[Initialisations]--------------------------------------------------------

# Check if the AccessToken is not older then 1 hour
If (($accessToken -eq $null) -or ((get-date) - (get-item $PSScriptRoot"\accessToken.txt").LastWriteTime).TotalHours -gt 1) {

	# Get the refreshToken
	$refreshToken = Get-Content $PSScriptRoot"\refreshToken.txt"

	$clientId = $config.AppId.ClientId
	$clientSecret = $config.AppId.clientSecret
	$redirectUrl = $config.AppId.RedirectUrl
	$resourceUrl = $config.AppId.ResourceUrl
	
	Try {
		$refreshBody = "grant_type=refresh_token&redirect_uri=$redirectUrl&client_id=$clientId&client_secret=$clientSecretEncoded&refresh_token=$refreshToken&resource=$resourceUrl"

		$Authorization = Invoke-RestMethod https://login.microsoftonline.com/common/oauth2/token `
			-Method Post -ContentType "application/x-www-form-urlencoded" `
			-Body $refreshBody `
			-UseBasicParsing
	}
	Catch {
		$webResponse = $_.Exception.Response
	}

	If ($webResponse -ne $null) {
		# Get Authorization code
		GraphAPIGetAuthCode.ps1 -ClientId $clientId -ClientSecret $clientSecret -RedirectUrl $redirectUrl   

		$authCode = get-content $PSScriptRoot"\authCode.txt"
		$body = "grant_type=authorization_code&redirect_uri=$redirectUrl&client_id=$clientId&client_secret=$clientSecretEncoded&code=$authCode&resource=$resourceUrl"

		$Authorization = Invoke-RestMethod https://login.microsoftonline.com/common/oauth2/token `
			-Method Post -ContentType "application/x-www-form-urlencoded" `
			-Body $body `
			-UseBasicParsing
	}

	# Store refreshToken
	Set-Content $PSScriptRoot"\refreshToken.txt" $Authorization.refresh_token

	# Store accessToken
	$accessToken = $Authorization.access_token
	Set-Content $PSScriptRoot"\accessToken.txt" $accessToken
} 

รับวันที่จริงด้วย Involve-RestMethod จากกราฟ

เมื่อเสร็จแล้วเราสามารถโต้ตอบกับกราฟได้ดังนี้:

Invoke-RestMethod -Headers @{Authorization = "Bearer $accessToken"} `
                  -Uri  https://graph.microsoft.com/v1.0/me `
                  -Method Get

คุณสามารถดาวน์โหลดสคริปต์ได้ที่นี่: https://github.com/ruudmens/SysAdminScripts/tree/master/Graph