--- sourceDocument: Gestão de segurança do Xanadu sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/pt-BR/xanadu/security-management Release : - xanadu ft:locale : - pt-BR ft:publication_title : - Gestão de segurança do Xanadu ft:clusterId : - security bundleId : - security workflow : - Technology --- # Configurar autenticação baseada em certificados ou autenticação somente de app # Configurar autenticação baseada em certificados ou autenticação somente de app {#ariaid-title1} * Versão de lançamento: Xanadu * * Atualizado 1 de ago. de 2024 * * ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 5 min. de leitura Uma integração inicial é necessária para autenticação usando objetos de aplicação. A aplicação e a entidade de serviço são usadas de forma intercambiável, mas uma aplicação é como um objeto de classe, enquanto uma entidade de serviço é como uma instância da classe. Para obter mais informações sobre objetos principais de serviço e aplicação no Azure Active Directory, consulte [Objetos principais de serviço e aplicativo no Azure Active Directory](https://support.servicenow.com/en-us/azure/active-directory/develop/app-objects-and-service-principals). Para obter um fluxo visual detalhado sobre como criar aplicações no Azure AD, consulte [Criar uma aplicação e entidade de serviço do Azure Active Directory que possa acessar recursos do](https://aka.ms/azuread-app). Para configurar a autenticação baseada em certificados ou a autenticação somente de app, execute as seguintes etapas: 1. [Registre a aplicação no Azure AD](https://servicenow-prod.fluidtopics.net/QET9SJFjOs2HCU6S_AUk9A#setup-certificate-based-authentication__section_gk5_xd2_qyb). 2. [Atribua permissões de API à aplicação](https://servicenow-prod.fluidtopics.net/QET9SJFjOs2HCU6S_AUk9A#setup-certificate-based-authentication__section_ynd_xf2_qyb). Para que o objeto de aplicação acesse recursos, ele precisa ter a permissão de aplicação `Exchange.ManageAsApp` e `Mail.ReadWrite`. 3. [Gere um certificado autoassinado e conceda acesso à chave privada](https://servicenow-prod.fluidtopics.net/QET9SJFjOs2HCU6S_AUk9A#setup-certificate-based-authentication__section_lb1_lvn_ryb). Crie e configure um certificado X.509 autoassinado, que é usado para autenticar sua aplicação em relação ao Azure AD, ao solicitar o token de acesso somente da aplicação. Os certificados de próxima geração (CNG) não são compatíveis com a autenticação somente de aplicativo com o Exchange. Os certificados CNG são criados por padrão nas versões modernas do Windows. Você deve usar um certificado de um provedor de chaves CSP. `(-Provider = 'Provedor de criptografia forte da Microsoft')`. 4. [Anexe o certificado à aplicação do Azure AD](https://servicenow-prod.fluidtopics.net/QET9SJFjOs2HCU6S_AUk9A#setup-certificate-based-authentication__section_j1p_xwn_ryb). 5. [Atribua funções do Azure AD à aplicação](https://servicenow-prod.fluidtopics.net/QET9SJFjOs2HCU6S_AUk9A#setup-certificate-based-authentication__section_jc2_nd4_ryb). A aplicação precisa ter a função `Administrador de conformidade do` Azure AD atribuída. 6. [Crie uma nova entidade de serviço](https://servicenow-prod.fluidtopics.net/QET9SJFjOs2HCU6S_AUk9A#setup-certificate-based-authentication__section_ogn_4d4_ryb). {#setup-certificate-based-authentication__ol_b5p_4d2_qyb} ## Etapa 1: registrar a aplicação no Azure AD {#setup-certificate-based-authentication__section_gk5_xd2_qyb} 1. Abra o [portal do Azure AD](https://portal.azure.com/). 2. Na caixa Pesquisar na parte superior da página, digite Registros de app. 3. Selecione Registros de app nos resultados na seção Serviços. Como alternativa, você pode navegar até a página Registros de aplicações usando . 4. Na página Registros de aplicações, selecione Novo registro. 5. Na páginaRegistrar uma aplicação, defina as seguintes configurações:{#setup-certificate-based-authentication__table_zn5_jf2_qyb__entry__2} | Campo | Descrição | |-|-| | Nome | Insira algo descritivo. Por exemplo, ExO PowerShell CBA. | | Tipos de conta compatíveis | Verifique se Contas somente neste diretório organizacional ( \ somente - locatário único) está selecionado. Para tornar a aplicação multilocatária para cenários delegados do Exchange Online, selecione o valor Contas em qualquer diretório organizacional (Qualquer diretório do Azure AD - Multilocatário). | [ ] {#setup-certificate-based-authentication__table_zn5_jf2_qyb} 6. Depois de concluir o registro do aplicativo, selecione Registrar e feche a página do aplicativo. {#setup-certificate-based-authentication__ol_nyn_zd2_qyb} ## Etapa 2: atribuir permissões de API à aplicação {#setup-certificate-based-authentication__section_ynd_xf2_qyb} Os procedimentos nesta seção substituem todas as permissões padrão que foram configuradas automaticamente para o novo app. O app não precisa das permissões padrão que foram substituídas. 1. Na página do aplicativo, selecione Manifesto em Gestão. 2. Na página Manifesto, localize a entrada `requiredResourceAccess` (na linha 47 ou próximo a ela). 3. Modifique os valores de `resourceAppId`, `resourceAccess id`e `tipo de resourceAccess` conforme mostrado no seguinte snippet de código: "requiredResourceAccess": [ { "resourceAppId": "00000002-0000-0ff1-ce00-000000000000", "resourceAccess": [ { "id": "dc50a0fb-09a3-484d-be87-e023b12c6440", "type": "Role" } ] }, { "resourceAppId": "00000003-0000-0000-c000-000000000000", "resourceAccess": [ { "id": "e2a3a72e-5f79-4c64-b1b1-878b674786c9", "type": "Role" } ] } ], 4. Selecione Salvar. 5. Na página Manifesto, selecione Permissões de API em Gestão. 6. Na página Permissões de API, preencha os campos.{#setup-certificate-based-authentication__table_rkv_mg2_qyb__entry__2} | Campo | Descrição | |-|-| | Nome da API/permissões | Verifique se o valor `Exchange.ManageAsApp` e `Mail.ReadWrite` é mostrado. | | Status | O valor incorreto atual é Não concedido para\ , e este valor precisa ser alterado. Selecione Conceder consentimento ao administrador para\ , leia a caixa de diálogo de confirmação que é aberta e selecione Sim. O valor de Status agora deve ser Concedido para\ . | [ ] {#setup-certificate-based-authentication__table_rkv_mg2_qyb} 7. Feche a página de permissões de API atual (não a guia do navegador) para retornar à página de registros da aplicação. {#setup-certificate-based-authentication__ol_bbd_1g2_qyb} ## Etapa 3: gerar um certificado autoassinado e conceder acesso à chave privada {#setup-certificate-based-authentication__section_lb1_lvn_ryb} Crie um certificado x.509 autoassinado executando o seguinte: * Use os [cmdlets New-SelfSignedCertificate](https://learn.microsoft.com/en-us/powershell/module/pki/new-selfsignedcertificate), [Export-Certificate](https://learn.microsoft.com/en-us/powershell/module/pki/export-certificate)e [Export-PfxCertificate](https://learn.microsoft.com/en-us/powershell/module/pki/export-pfxcertificate) em uma sessão elevada (executar como administrador) do Windows PowerShell para solicitar um certificado autoassinado e exportá-lo para `.cer` e `.pfx` (SHA1 por padrão). Por exemplo: # Create certificate $mycert = New-SelfSignedCertificate -DnsName "snowsecops.onmicrosoft.com" -CertStoreLocation "cert:\LocalMachine\My" -NotAfter (Get-Date).AddYears(2) -KeySpec KeyExchange -Provider "Microsoft Strong Cryptographic Provider" # Generate password fro private key $mypwd = ConvertTo-SecureString -String '' -Force -AsPlainText # Export certificate to .pfx file $mycert | Export-PfxCertificate -FilePath mycert.pfx -Password $mypwd # Export certificate to .cer file $mycert | Export-Certificate -FilePath mycert.cer * Forneça acesso de chave privada ao usuário do serviço MID usando as seguintes etapas: 1. Abra o MMC (Microsoft Management Console). 2. No Console de gestão Microsoft (MMC), navegue até Certificados (computador local)PessoalCertificados. (Se o MMC não tiver nenhum item de menu, adicione-o navegando até ArquivoAdicionar/remover snap-in. 3. Clique com o botão direito do mouse no certificado que você gerou. 4. Expandir Todas as tarefasGerenciar chaves privadas 5. Adicione o usuário do serviço MID à lista de acessadores. {#setup-certificate-based-authentication__ul_mcf_zvn_ryb} {#setup-certificate-based-authentication__ul_nz3_qvn_ryb} ## Etapa 4: anexar o certificado à aplicação do Azure AD {#setup-certificate-based-authentication__section_j1p_xwn_ryb} Depois de registrar o certificado com sua aplicação, você pode usar a impressão digital para autenticação. 1. Na guia Aplicações de propriedade na página Registro de aplicações no final da [Etapa 2,](https://servicenow-prod.fluidtopics.net/QET9SJFjOs2HCU6S_AUk9A#setup-certificate-based-authentication__section_ynd_xf2_qyb) selecione sua aplicação. Se você precisar voltar para a página Registro de aplicações, use [https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/%7E/RegisteredApps](https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/~/RegisteredApps), verifique se a guia Aplicações próprias está selecionada e selecione sua aplicação. 2. Selecione Certificados e segredos em Gerenciar. 3. Na página Certificados e segredos que é aberta, selecione Carregar certificado. 4. Navegue até o certificado autoassinado (arquivo`.cer` ) que você criou na [Etapa 3](https://servicenow-prod.fluidtopics.net/QET9SJFjOs2HCU6S_AUk9A#setup-certificate-based-authentication__section_lb1_lvn_ryb). 5. Depois de concluir, selecione Adicionar. O certificado agora é mostrado na seção Certificados. 6. Anote `CertificateThumbprint` e feche a página atual de certificados e segredos. {#setup-certificate-based-authentication__ol_xbs_1xn_ryb} ## Etapa 5: atribuir funções do Azure AD à aplicação {#setup-certificate-based-authentication__section_jc2_nd4_ryb} 1. Abra o [portal do Azure AD](https://portal.azure.com/). 2. No campo Pesquisar na parte superior da página, procure Funções e Administradores. 3. Selecione Funções e administradores do Azure AD nos resultados na seção Serviços. Como alternativa, você pode navegar até a página de funções e administradores do Azure AD usando . 4. Na página Funções e administradores do Azure AD, localize e selecione uma das funções compatíveis clicando no nome da função (não na caixa de seleção) nos resultados. Encontre e selecione a função de Administrador de Conformidade. 5. Na página Atribuições, selecione Adicionar atribuições. 6. No pop-up Adicionar atribuições, localize e selecione o app que você criou na [Etapa 1](https://servicenow-prod.fluidtopics.net/QET9SJFjOs2HCU6S_AUk9A#setup-certificate-based-authentication__section_gk5_xd2_qyb). 7. Depois de concluir, selecione Adicionar. 8. Volte para a página Atribuições e verifique se a função foi atribuída ao app. {#setup-certificate-based-authentication__ol_dxb_4d4_ryb} ## Etapa 6: criar uma nova entidade de serviço {#setup-certificate-based-authentication__section_ogn_4d4_ryb} Importante: Certifique-se de estar conectado ao PowerShell de Segurança e Conformidade antes de concluir as etapas para criar uma nova entidade de serviço. Criar uma nova entidade de serviço sem se conectar ao PowerShell não funcionará (a ID do app do Azure e a ID do objeto são necessárias para criar a nova entidade de serviço). 1. Execute o seguinte comando para armazenar os detalhes da aplicação do Azure que você registrou na [Etapa 1](https://servicenow-prod.fluidtopics.net/QET9SJFjOs2HCU6S_AUk9A#setup-certificate-based-authentication__section_gk5_xd2_qyb) (\ ) em uma variável: Install-Module -Name AzureAD Import-Module -Name AzureAD Connect-AzureAD $AADApp = Get-AzureADServicePrincipal -SearchString"" Para obter informações detalhadas de sintaxe e parâmetro, consulte [Get-AzureADServicePrincipal](https://learn.microsoft.com/en-us/powershell/module/azuread/get-azureadserviceprincipal). 2. Na mesma janela do PowerShell, conecte-se ao [PowerShell de Segurança e Conformidade](https://learn.microsoft.com/en-us/powershell/exchange/connect-to-scc-powershell?view=exchange-ps): Import-Module ExchangeOnlineManagement Connect-IPPSSession -CertificateThumbPrint "" -AppID $AADApp.AppId -Organization " Execute os seguintes comandos para criar um objeto principal de serviço para a aplicação do Azure: New-ServicePrincipal -AppId $AADApp.AppId -ObjectId $AADApp.ObjectId -DisplayName "" Para obter informações detalhadas de sintaxe e parâmetro, consulte [New-ServicePrincipal](https://learn.microsoft.com/en-us/powershell/module/exchange/new-serviceprincipal). {#setup-certificate-based-authentication__ol_evb_qd4_ryb} **Tópico anterior:** [Configure sua conta do Azure Microsoft para a integração ServiceNow Microsoft Exchange Online](https://servicenow-prod.fluidtopics.net/zNShAW44UWOM4bRO6l9xoA "Conclua as seguintes tarefas de configuração no portal do Azure Microsoft antes de instalar a aplicação ServiceNow para esta integração. Esta conta permite o acesso ao locatário Microsoft Exchange Online para obter detalhes da mensagem de e-mail.") **Próximo tópico:** [Configure sua instância Now Platform para a integração Microsoft Exchange Online](https://servicenow-prod.fluidtopics.net/qlQPkGYtKg0H7YueHy3yqA "A seção a seguir lista as tarefas de configuração que você deve concluir na instância Now Platform antes de instalar a aplicação Microsoft Exchange Online. Revise a check-list e verifique se você concluiu essas tarefas antes de baixar e instalar a aplicação Microsoft Exchange Online para a integração para garantir uma instalação e configuração sem problemas.")