Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Azure-Anwendung für OneDrive einrichten

So erstellen Sie eine Microsoft Azure-Anwendung im Azure-Portal: Wenn Sie die erweiterte Methode zum Datenimport verwenden, um OneDrive-Daten in Ihre Google Workspace-Konten zu kopieren, benötigen Sie die Azure-Anwendung, um einen sicheren Datenimport zu gewährleisten. Sie haben zwei Möglichkeiten:

Automatische Verbindung mit einem PowerShell-Script einrichten
Manuelle Verbindung mit Microsoft Azure einrichten

Automatisierte Verbindung mit einem PowerShell-Script einrichten

Sie müssen globaler Administrator oder Administrator mit privilegierten Rollen sein, um diese Schritte auszuführen.

Option 1: Azure Cloud Shell verwenden

Melden Sie sich als Administrator im Azure-Portal an.
Klicken Sie auf „Cloud Shell“ Powershell.
Erstellen Sie bei entsprechender Aufforderung ein Speicherkonto und übernehmen Sie die Standardeinstellungen.
Geben Sie den folgenden Befehl ein und klicken Sie dann auf Eingabe, um die Anwendung zu erstellen:
Install-Module Microsoft.Graph -Scope CurrentUser
Wenn Sie aufgefordert werden, aus einem nicht vertrauenswürdigen Repository zu installieren, geben Sie Y ein und klicken Sie dann auf die Eingabetaste.

Kopieren Sie den folgenden Codeblock, fügen Sie ihn in PowerShell ein und drücken Sie die Eingabetaste.

<#    
.SYNOPSIS    
Automates the creation of a Single-Tenant Entra ID App for Workspace Migration.    
Strictly forces account selection and verifies specific Admin roles.    
#>

# Check if the module is missing
if (-not (Get-Module -ListAvailable -Name Microsoft.Graph.Authentication)) {
    Write-Host "Microsoft Graph module is NOT installed." -ForegroundColor Yellow
    $UserResponse = Read-Host "Would you like to try installing Microsoft Graph? (Y/N)"

    if ($UserResponse -ieq "Y") {
        try {
            # Use only native cmdlets, no .NET property setting
            Install-Module -Name Microsoft.Graph -Scope CurrentUser -Force -AllowClobber
            Write-Host "Installation complete!" -ForegroundColor Green
        }
        catch {
            Write-Error "Policy is blocking installation. Please contact IT to install Microsoft.Graph module."
            Read-Host "Press Enter to exit"; exit
        }
    }
    else {
        exit
    }
} else {
    Write-Host "Microsoft Graph modules detected. Proceeding..." -ForegroundColor Green
}

# --- STEP 0: THE "DEEP" LOGOUT ---
Write-Host "Forcing session cleanup..." -ForegroundColor Gray
Disconnect-MgGraph -ErrorAction SilentlyContinue

# Force clear the local token cache folder if it exists
$CachePath = "$env:USERPROFILE\.mg"
if (Test-Path $CachePath) {
    try { Remove-Item $CachePath -Recurse -Force -ErrorAction SilentlyContinue } catch {}
}

Write-Host "Opening Microsoft Login... (Please select the correct account)" -ForegroundColor Cyan
$RequiredScopes = @(
    "Application.ReadWrite.All", 
    "AppRoleAssignment.ReadWrite.All", 
    "Directory.Read.All", 
    "RoleManagement.Read.Directory")

try {
    # In v2, -ContextScope Process is the most reliable way to force account selection
    # and prevent the session from saving to the machine permanently.
    Connect-MgGraph -Scopes $RequiredScopes -ContextScope Process

    $Context = Get-MgContext
    if ($null -eq $Context) { throw "Login was cancelled or failed." }

    $UserPrincipal = $Context.Account
    Write-Host "Logged in as: $UserPrincipal" -ForegroundColor Green

    # --- ROLE VALIDATION ---
    Write-Host "Verifying Directory Roles..." -ForegroundColor Gray
    $UserRoles = Get-MgUserMemberOf -UserId $Context.Account -All | Where-Object { $_.AdditionalProperties.displayName -ne $null }
    
    $Authorized = $false
    $RequiredRoles = @("Global Administrator", "Privileged Role Administrator")

    foreach ($role in $UserRoles) {
        $roleName = $role.AdditionalProperties.displayName
        if ($roleName -in $RequiredRoles) {
            $Authorized = $true
            Write-Host "Access Granted: $roleName" -ForegroundColor Green
            break
        }
    }

    if (-not $Authorized) {
        Write-Host "`nCRITICAL ERROR: Insufficient Privileges." -ForegroundColor Red
        Write-Host "Account must be 'Global Administrator' or 'Privileged Role Administrator'." -ForegroundColor Yellow
        Disconnect-MgGraph
        Read-Host "`nPress Enter to exit"; exit
    }
} catch {
    Write-Error "Login failed: $_"
    Read-Host "Press Enter to exit"; exit
}

# --- USER INPUT ---
Write-Host "`n--- APPLICATION SETUP ---" -ForegroundColor Cyan
$InputName = Read-Host "Enter the name for your new Entra ID Application (Default: Workspace Migration App)"
$AppName = if ([string]::IsNullOrWhiteSpace($InputName)) { "Workspace Migration App" } else { $InputName }

# --- CONFIGURATION ---
# Updated Map containing only the requested Graph permissions
$PermissionMap = @{
    "licenseassignment.read.all"  = "LicenseAssignment.Read.All"     
    "application.read.all"        = "Application.Read.All"
}

$TenantId = $Context.TenantId
$GraphAppId = "00000003-0000-0000-c000-000000000000"
$SpoAppId   = "00000003-0000-0ff1-ce00-000000000000"

try {
    # --- STEP 1: REGISTER APPLICATION ---
    Write-Host "Creating Application: $AppName..." -ForegroundColor Cyan
    $Application = New-MgApplication -BodyParameter @{
        displayName = $AppName
        signInAudience = "AzureADMyOrg"
    }
    
    # --- STEP 2: PREPARE SERVICE PRINCIPAL ---
    $NewServicePrincipal = New-MgServicePrincipal -BodyParameter @{ appId = $Application.AppId }

    Write-Host "Waiting 10 seconds for replication..." -ForegroundColor DarkGray
    Start-Sleep -Seconds 10

    # --- STEP 3: CONFIGURE & GRANT PERMISSIONS ---
    Write-Host "Configuring API Permissions & Granting Admin Consent..." -ForegroundColor Cyan
    
    # 1. Process Microsoft Graph Permissions
    $GraphSP = Get-MgServicePrincipal -Filter "AppId eq '$GraphAppId'" | Select-Object -First 1
    $GraphResourceAccessList = @()

    foreach ($key in $PermissionMap.Keys) {
        $RealRoleName = $PermissionMap[$key]
        $Role = $GraphSP.AppRoles | Where-Object { $_.Value -eq $RealRoleName }

        if ($Role) {
            $GraphResourceAccessList += @{ id = $Role.Id; type = "Role" }

            New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $NewServicePrincipal.Id -BodyParameter @{
                principalId = $NewServicePrincipal.Id
                resourceId  = $GraphSP.Id
                appRoleId   = $Role.Id
            } | Out-Null
            Write-Host " - Granted (Graph): $RealRoleName" -ForegroundColor Gray
        }
    }

    # 2. Process SharePoint Online Permissions
    $SpoSP = Get-MgServicePrincipal -Filter "AppId eq '$SpoAppId'" | Select-Object -First 1
    $SpoResourceAccessList = @()
    $SpoRole = $SpoSP.AppRoles | Where-Object { $_.Value -eq "Sites.FullControl.All" }

    if ($SpoRole) {
        $SpoResourceAccessList += @{ id = $SpoRole.Id; type = "Role" }

        New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $NewServicePrincipal.Id -BodyParameter @{
            principalId = $NewServicePrincipal.Id
            resourceId  = $SpoSP.Id
            appRoleId   = $SpoRole.Id
        } | Out-Null
        Write-Host " - Granted (SharePoint): Sites.FullControl.All" -ForegroundColor Gray
    }

    Update-MgApplication -ApplicationId $Application.Id -RequiredResourceAccess @(
        @{ resourceAppId = $GraphAppId; resourceAccess = $GraphResourceAccessList },
        @{ resourceAppId = $SpoAppId; resourceAccess = $SpoResourceAccessList }
    )

    # --- STEP 4: CREATE CLIENT SECRET ---
    Write-Host "Generating Client Secret..." -ForegroundColor Cyan
    $ExpiryDate = (Get-Date).AddYears(2).ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ssZ")
    $PasswordCred = Add-MgApplicationPassword -ApplicationId $Application.Id -BodyParameter @{
        passwordCredential = @{
            displayName = "MigrationToolSecret"
            endDateTime = $ExpiryDate
        }
    }

    # --- OUTPUT ---
    Write-Host "`n-------------------------------------------------------" -ForegroundColor Yellow
    Write-Host "        SETUP COMPLETE - SAVE THESE DETAILS" -ForegroundColor Yellow
    Write-Host "-------------------------------------------------------" -ForegroundColor Yellow
    Write-Host "Application Name        : $AppName"
    Write-Host "Application (Client) ID : $($Application.AppId)"
    Write-Host "Client Secret Value     : $($PasswordCred.SecretText)"
    Write-Host "Directory (Tenant) ID   : $TenantId"
    Write-Warning "IMPORTANT: Copy the Client Secret Value immediately."

} catch {
    Write-Error "Operation failed: $_"
}

# --- FINAL DISCONNECT ---
Disconnect-MgGraph
Read-Host "`nPress Enter to close this window"

Notieren Sie sich die folgenden Anmeldedaten und bewahren Sie sie sicher auf. Wenn die Anmeldedaten durchsickern, könnten Hacker auf alle Ihre OneDrive-Daten zugreifen.
- Clientschlüssel
- Anwendungs- oder Client-ID
- Verzeichnis-ID (Mandanten-ID)

Option 2: Windows PowerShell verwenden

Erstellen Sie in Windows eine neue Nur-Text-Datei und nennen Sie sie migration_app_creator.ps1.

Kopieren Sie den folgenden Codeblock, fügen Sie ihn in die neue Datei ein und klicken Sie auf Mit PowerShell ausführen.

 <#
    .SYNOPSIS
    Automates the creation of a Single-Tenant Entra ID App for Workspace Migration.
    Strictly forces account selection and verifies specific Admin roles.
#>

# Check if the module is missing
if (-not (Get-Module -ListAvailable -Name Microsoft.Graph.Authentication)) {
    Write-Host "Microsoft Graph module is NOT installed." -ForegroundColor Yellow
    $UserResponse = Read-Host "Would you like to try installing Microsoft Graph? (Y/N)"

    if ($UserResponse -ieq "Y") {
        try {
            # Use only native cmdlets, no .NET property setting
            Install-Module -Name Microsoft.Graph -Scope CurrentUser -Force -AllowClobber
            Write-Host "Installation complete!" -ForegroundColor Green
        }
        catch {
            Write-Error "Policy is blocking installation. Please contact IT to install Microsoft.Graph module."
            Read-Host "Press Enter to exit"; exit
        }
    }
    else {
        exit
    }
} else {
    Write-Host "Microsoft Graph modules detected. Proceeding..." -ForegroundColor Green
}

# --- STEP 0: THE "DEEP" LOGOUT ---
Write-Host "Forcing session cleanup..." -ForegroundColor Gray
Disconnect-MgGraph -ErrorAction SilentlyContinue

# Force clear the local token cache folder if it exists
$CachePath = "$env:USERPROFILE\.mg"
if (Test-Path $CachePath) {
    try { Remove-Item $CachePath -Recurse -Force -ErrorAction SilentlyContinue } catch {}
}

Write-Host "Opening Microsoft Login... (Please select the correct account)" -ForegroundColor Cyan
$RequiredScopes = @(
    "Application.ReadWrite.All", 
    "AppRoleAssignment.ReadWrite.All", 
    "Directory.Read.All", 
    "RoleManagement.Read.Directory"
)

try {
    # In v2, -ContextScope Process is the most reliable way to force account selection
    # and prevent the session from saving to the machine permanently.
    Connect-MgGraph -Scopes $RequiredScopes -ContextScope Process

    $Context = Get-MgContext
    if ($null -eq $Context) { throw "Login was cancelled or failed." }

    $UserPrincipal = $Context.Account
    Write-Host "Logged in as: $UserPrincipal" -ForegroundColor Green

    # --- ROLE VALIDATION ---
    Write-Host "Verifying Directory Roles..." -ForegroundColor Gray
    $UserRoles = Get-MgUserMemberOf -UserId $Context.Account -All | Where-Object { $_.AdditionalProperties.displayName -ne $null }
    
    $Authorized = $false
    $RequiredRoles = @("Global Administrator", "Privileged Role Administrator")

    foreach ($role in $UserRoles) {
        $roleName = $role.AdditionalProperties.displayName
        if ($roleName -in $RequiredRoles) {
            $Authorized = $true
            Write-Host "Access Granted: $roleName" -ForegroundColor Green
            break
        }
    }

    if (-not $Authorized) {
        Write-Host "`nCRITICAL ERROR: Insufficient Privileges." -ForegroundColor Red
        Write-Host "Account must be 'Global Administrator' or 'Privileged Role Administrator'." -ForegroundColor Yellow
        Disconnect-MgGraph
        Read-Host "`nPress Enter to exit"; exit
    }
} catch {
    Write-Error "Login failed: $_"
    Read-Host "Press Enter to exit"; exit
}

# --- USER INPUT ---
Write-Host "`n--- APPLICATION SETUP ---" -ForegroundColor Cyan
$InputName = Read-Host "Enter the name for your new Entra ID Application (Default: Workspace Migration App)"
$AppName = if ([string]::IsNullOrWhiteSpace($InputName)) { "Workspace Migration App" } else { $InputName }

# --- CONFIGURATION ---
# Application Permissions mapped to their respective API App IDs
$ApiConfigurations = @{
    "00000003-0000-0000-c000-000000000000" = @("LicenseAssignment.Read.All", "Application.Read.All") # Microsoft Graph
    "00000003-0000-0ff1-ce00-000000000000" = @("Sites.FullControl.All")                              # SharePoint Online
}

$TenantId = $Context.TenantId

try {
    # --- STEP 1: REGISTER APPLICATION ---
    Write-Host "Creating Application: $AppName..." -ForegroundColor Cyan
    $Application = New-MgApplication -BodyParameter @{
        displayName = $AppName
        signInAudience = "AzureADMyOrg"
    }
    
    # --- STEP 2: PREPARE SERVICE PRINCIPAL ---
    $NewServicePrincipal = New-MgServicePrincipal -BodyParameter @{ appId = $Application.AppId }

    Write-Host "Waiting 10 seconds for replication..." -ForegroundColor DarkGray
    Start-Sleep -Seconds 10

    # --- STEP 3: CONFIGURE & GRANT PERMISSIONS ---
    Write-Host "Configuring API Permissions & Granting Admin Consent..." -ForegroundColor Cyan
    
    $RequiredResourceAccess = @()

    foreach ($ApiAppId in $ApiConfigurations.Keys) {
        $ApiSP = Get-MgServicePrincipal -Filter "AppId eq '$ApiAppId'" | Select-Object -First 1
        $ResourceAccessList = @()
        
        foreach ($RoleName in $ApiConfigurations[$ApiAppId]) {
            $Role = $ApiSP.AppRoles | Where-Object { $_.Value -eq $RoleName }
            
            if ($Role) {
                $ResourceAccessList += @{ id = $Role.Id; type = "Role" }
                
                New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $NewServicePrincipal.Id -BodyParameter @{
                    principalId = $NewServicePrincipal.Id
                    resourceId  = $ApiSP.Id
                    appRoleId   = $Role.Id
                } | Out-Null
                Write-Host " - Granted: $RoleName" -ForegroundColor Gray
            }
        }
        
        if ($ResourceAccessList.Count -gt 0) {
            $RequiredResourceAccess += @{
                resourceAppId  = $ApiAppId
                resourceAccess = $ResourceAccessList
            }
        }
    }

    Update-MgApplication -ApplicationId $Application.Id -RequiredResourceAccess $RequiredResourceAccess

    # --- STEP 4: CREATE CLIENT SECRET ---
    Write-Host "Generating Client Secret..." -ForegroundColor Cyan
    $ExpiryDate = (Get-Date).AddYears(2).ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ssZ")
    $PasswordCred = Add-MgApplicationPassword -ApplicationId $Application.Id -BodyParameter @{
        passwordCredential = @{
            displayName = "MigrationToolSecret"
            endDateTime = $ExpiryDate
        }
    }

    # --- OUTPUT ---
    Write-Host "`n-------------------------------------------------------" -ForegroundColor Yellow
    Write-Host "        SETUP COMPLETE - SAVE THESE DETAILS" -ForegroundColor Yellow
    Write-Host "-------------------------------------------------------" -ForegroundColor Yellow
    Write-Host "Application Name        : $AppName"
    Write-Host "Application (Client) ID : $($Application.AppId)"
    Write-Host "Client Secret Value     : $($PasswordCred.SecretText)"
    Write-Host "Directory (Tenant) ID   : $TenantId"
    Write-Warning "IMPORTANT: Copy the Client Secret Value immediately."

}
catch {
    Write-Error "Operation failed: $_"
}

# --- FINAL DISCONNECT ---
Disconnect-MgGraph
Read-Host "`nPress Enter to close this window"

Notieren Sie sich die folgenden Anmeldedaten und bewahren Sie sie sicher auf. Wenn die Anmeldedaten durchsickern, könnten Hacker auf alle Ihre OneDrive-Daten zugreifen.
- Clientschlüssel
- Anwendungs- oder Client-ID
- Verzeichnis-ID (Mandanten-ID)

Manuelle Verbindung mit Microsoft Azure einrichten

Die spezifischen Schritte von Microsoft können je nach der Version des Azure-Portals und den von Microsoft vorgenommenen Aktualisierungen variieren. Die aktuelle Anleitung zur App-Registrierung und ‑Autorisierung finden Sie in der Dokumentation von Microsoft.

Schritt 1: Neue Anwendung registrieren

Melden Sie sich als Administrator im Azure-Portal an.
Rufen Sie in Azure-Diensten App-Registrierungen auf.
Klicken Sie auf Neue Registrierung und geben Sie einen Namen für Ihre Anwendung ein, z. B. „App für erweiterten Import“.
Klicken Sie für Unterstützte Kontotypen auf Nur Konten in diesem Organisationsverzeichnis, um eine Single-Tenant-Anwendung zu erstellen.
Klicken Sie auf Registrieren.

Schritt 2: API-Berechtigungen konfigurieren

Wählen Sie eine der folgenden Optionen aus:

Option 1: Berechtigungen manuell hinzufügen

Klicken Sie auf der Seite im Bereich Verwalten auf API-Berechtigungen.
Klicken Sie auf Berechtigung hinzufügen und dann auf dem Tab Microsoft-APIs auf SharePoint.
Klicken Sie auf Anwendungsberechtigungen und aktivieren Sie im Drop-down-Menü „Sites“ das Kästchen Sites.FullControl.All.
Klicken Sie auf Berechtigung hinzufügen.
Kehren Sie zu Berechtigung hinzufügen zurück und wählen Sie Microsoft Graph aus.
Klicken Sie auf „Anwendungsberechtigungen“ und gewähren Sie die folgenden Berechtigungen:
- LicenseAssignment.Read.All
- Application.Read.All
Klicken Sie auf Berechtigung hinzufügen.
Klicken Sie auf Administratoreinwilligung für Ihre Organisation erteilen, damit die Anwendung auf die Daten zugreifen kann.

Option 2: Anwendungsmanifest bearbeiten

Öffnen Sie das Anwendungsmanifest.

Gehen Sie zu “resourceAccess” : [ ] und wählen Sie eine Option aus:

Wenn “resourceAccess” : [ ] bereits einen Wert hat, fügen Sie ein Komma ein und fügen Sie dann den folgenden Codeblock ein.

Wenn “resourceAccess” : [ ] keinen Wert hat, kopieren Sie den folgenden Codeblock und fügen Sie ihn ein.

   "requiredResourceAccess": [
    {
        "resourceAppId": "00000003-0000-0000-c000-000000000000",
        "resourceAccess": [
            {
                "id": "e2f98668-2877-4f38-a2f4-8202e0717aa1",
                "type": "Role"
            },
            {
                "id": "9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30",
                "type": "Role"
            }
        ]
    },
    {
        "resourceAppId": "00000003-0000-0ff1-ce00-000000000000",
        "resourceAccess": [
            {
                "id": "678536fe-1083-478a-9c59-b99265e6b0d3",
                "type": "Role"
            }
        ]
    }
]

Klicken Sie auf Einwilligung des Administrators für Ihre Organisation erteilen.

Schritt 3: Clientschlüssel generieren

Klicken Sie auf der Seite unter Verwalten auf Zertifikate und Secrets Neuer Clientschlüssel.
Geben Sie eine Beschreibung ein, wählen Sie einen Ablaufzeitraum aus und klicken Sie auf Hinzufügen.
Kopieren Sie den Clientschlüsselwert und speichern Sie ihn sicher. Der Wert wird nur einmal angezeigt.

Schritt 4: Anmeldedaten der Anwendung erfassen

Wichtig: Speichern Sie die Anmeldedaten der Anwendung an einem sicheren Ort. Wenn die Anmeldedaten durchsickern, könnten Hacker auf alle Ihre OneDrive-Daten zugreifen.

Klicken Sie auf Übersicht und notieren Sie sich die folgenden Anmeldedaten:

Anwendungs- oder Client-ID
Verzeichnis-ID (Mandanten-ID)

Google, Google Workspace und zugehörige Warenzeichen und Logos sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen sind Marken der jeweiligen Unternehmen.

Azure-Anwendung für OneDrive einrichten Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.