Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Een Azure-app instellen voor OneDrive en SharePoint Online

Volg deze stappen om een Microsoft Azure-app te maken in de Azure-portal. Als u de geavanceerde methode voor gegevensimport gebruikt om OneDrive- of SharePoint Online-gegevens (Microsoft 365) te kopiëren naar uw Google Workspace-accounts, heeft u de Azure-app nodig om te zorgen dat de gegevensimport beveiligd is. U kunt kiezen uit 2 methoden:

Een PowerShell-script gebruiken om een automatische verbinding in te stellen
Microsoft Azure gebruiken om een handmatige verbinding in te stellen

Een PowerShell-script gebruiken om een automatische verbinding in te stellen

U moet een beheerder met een algemene of bevoorrechte rol zijn om deze stappen uit te voeren.

Optie 1: Azure Cloud Shell gebruiken

Log als beheerder in bij de Azure-portal.
Klik op Cloud Shell Powershell.
Maak een opslagaccount als hierom wordt gevraagd en accepteer de standaardinstellingen.
Voer de volgende opdracht in en druk op Enter om de app te maken:
Install-Module Microsoft.Graph -Scope CurrentUser
Als u een prompt ziet om te installeren vanuit een niet-vertrouwde repository, voert u Y in druk op Enter.

Kopieer het volgende codeblok, plak het in PowerShell en klik op Enter.

<#    
.SYNOPSIS    
Automates the creation of a Single-Tenant Entra ID App for Workspace Migration.
Strictly forces account selection and verifies specific Admin roles.
#>

# Check if the module is missing
if (-not (Get-Module -ListAvailable -Name Microsoft.Graph.Authentication)) {
    Write-Host "Microsoft Graph module is NOT installed." -ForegroundColor Yellow
    $UserResponse = Read-Host "Would you like to try installing Microsoft Graph? (Y/N)"

    if ($UserResponse -ieq "Y") {
        try {
            # Use only native cmdlets, no .NET property setting
            Install-Module -Name Microsoft.Graph -Scope CurrentUser -Force -AllowClobber
            Write-Host "Installation complete!" -ForegroundColor Green
        }
        catch {
            Write-Error "Policy is blocking installation. Please contact IT to install Microsoft.Graph module."
            Read-Host "Press Enter to exit"; exit
        }
    }
    else {
        exit
    }
} else {
    Write-Host "Microsoft Graph modules detected. Proceeding..." -ForegroundColor Green
}

# --- STEP 0: THE "DEEP" LOGOUT ---
Write-Host "Forcing session cleanup..." -ForegroundColor Gray
Disconnect-MgGraph -ErrorAction SilentlyContinue

# Force clear the local token cache folder if it exists
$CachePath = "$env:USERPROFILE\.mg"
if (Test-Path $CachePath) {
    try { Remove-Item $CachePath -Recurse -Force -ErrorAction SilentlyContinue } catch {}
}

Write-Host "Opening Microsoft Login... (Please select the correct account)" -ForegroundColor Cyan
$RequiredScopes = @(
    "Application.ReadWrite.All",
    "AppRoleAssignment.ReadWrite.All",
    "Directory.Read.All",
    "RoleManagement.Read.Directory")

try {
    # In v2, -ContextScope Process is the most reliable way to force account selection
    # and prevent the session from saving to the machine permanently.
    Connect-MgGraph -Scopes $RequiredScopes -ContextScope Process

    $Context = Get-MgContext
    if ($null -eq $Context) { throw "Login was cancelled or failed." }

    $UserPrincipal = $Context.Account
    Write-Host "Logged in as: $UserPrincipal" -ForegroundColor Green

    # --- ROLE VALIDATION ---
    Write-Host "Verifying Directory Roles..." -ForegroundColor Gray
    $UserRoles = Get-MgUserMemberOf -UserId $Context.Account -All | Where-Object { $_.AdditionalProperties.displayName -ne $null }
    
    $Authorized = $false
    $RequiredRoles = @("Global Administrator", "Privileged Role Administrator")

    foreach ($role in $UserRoles) {
        $roleName = $role.AdditionalProperties.displayName
        if ($roleName -in $RequiredRoles) {
            $Authorized = $true
            Write-Host "Access Granted: $roleName" -ForegroundColor Green
            break
        }
    }

    if (-not $Authorized) {
        Write-Host "`nCRITICAL ERROR: Insufficient Privileges." -ForegroundColor Red
        Write-Host "Account must be 'Global Administrator' or 'Privileged Role Administrator'." -ForegroundColor Yellow
        Disconnect-MgGraph
        Read-Host "`nPress Enter to exit"; exit
    }
} catch {
    Write-Error "Login failed: $_"
    Read-Host "Press Enter to exit"; exit
}

# --- USER INPUT ---
Write-Host "`n--- APPLICATION SETUP ---" -ForegroundColor Cyan
$InputName = Read-Host "Enter the name for your new Entra ID Application (Default: Workspace Data Import App)"
$AppName = if ([string]::IsNullOrWhiteSpace($InputName)) { "Workspace Data Import App" } else { $InputName }

# --- CONFIGURATION ---
# Updated Map containing only the requested Graph permissions
$PermissionMap = @{
    "licenseassignment.read.all"  = "LicenseAssignment.Read.All"     
    "application.read.all"        = "Application.Read.All"
}

$TenantId = $Context.TenantId
$GraphAppId = "00000003-0000-0000-c000-000000000000"
$SpoAppId   = "00000003-0000-0ff1-ce00-000000000000"

try {
    # --- STEP 1: REGISTER APPLICATION ---
    Write-Host "Creating Application: $AppName..." -ForegroundColor Cyan
    $Application = New-MgApplication -BodyParameter @{
        displayName = $AppName
        signInAudience = "AzureADMyOrg"
    }
    
    # --- STEP 2: PREPARE SERVICE PRINCIPAL ---
    $NewServicePrincipal = New-MgServicePrincipal -BodyParameter @{ appId = $Application.AppId }

    Write-Host "Waiting 10 seconds for replication..." -ForegroundColor DarkGray
    Start-Sleep -Seconds 10

    # --- STEP 3: CONFIGURE & GRANT PERMISSIONS ---
    Write-Host "Configuring API Permissions & Granting Admin Consent..." -ForegroundColor Cyan
    
    # 1. Process Microsoft Graph Permissions
    $GraphSP = Get-MgServicePrincipal -Filter "AppId eq '$GraphAppId'" | Select-Object -First 1
    $GraphResourceAccessList = @()

    foreach ($key in $PermissionMap.Keys) {
        $RealRoleName = $PermissionMap[$key]
        $Role = $GraphSP.AppRoles | Where-Object { $_.Value -eq $RealRoleName }

        if ($Role) {
            $GraphResourceAccessList += @{ id = $Role.Id; type = "Role" }

            New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $NewServicePrincipal.Id -BodyParameter @{
                principalId = $NewServicePrincipal.Id
                resourceId  = $GraphSP.Id
                appRoleId   = $Role.Id
            } | Out-Null
            Write-Host " - Granted (Graph): $RealRoleName" -ForegroundColor Gray
        }
    }

    # 2. Process SharePoint Online Permissions
    $SpoSP = Get-MgServicePrincipal -Filter "AppId eq '$SpoAppId'" | Select-Object -First 1
    $SpoResourceAccessList = @()
    $SpoRole = $SpoSP.AppRoles | Where-Object { $_.Value -eq "Sites.FullControl.All" }

    if ($SpoRole) {
        $SpoResourceAccessList += @{ id = $SpoRole.Id; type = "Role" }

        New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $NewServicePrincipal.Id -BodyParameter @{
            principalId = $NewServicePrincipal.Id
            resourceId  = $SpoSP.Id
            appRoleId   = $SpoRole.Id
        } | Out-Null
        Write-Host " - Granted (SharePoint): Sites.FullControl.All" -ForegroundColor Gray
    }

    Update-MgApplication -ApplicationId $Application.Id -RequiredResourceAccess @(
        @{ resourceAppId = $GraphAppId; resourceAccess = $GraphResourceAccessList },
        @{ resourceAppId = $SpoAppId; resourceAccess = $SpoResourceAccessList }
    )

    # --- STEP 4: CREATE CLIENT SECRET ---
    Write-Host "Generating Client Secret..." -ForegroundColor Cyan
    $ExpiryDate = (Get-Date).AddYears(2).ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ssZ")
    $PasswordCred = Add-MgApplicationPassword -ApplicationId $Application.Id -BodyParameter @{
        passwordCredential = @{
            displayName = "MigrationToolSecret"
            endDateTime = $ExpiryDate
        }
    }

    # --- OUTPUT ---
    Write-Host "`n-------------------------------------------------------" -ForegroundColor Yellow
    Write-Host "        SETUP COMPLETE - SAVE THESE DETAILS" -ForegroundColor Yellow
    Write-Host "-------------------------------------------------------" -ForegroundColor Yellow
    Write-Host "Application Name        : $AppName"
    Write-Host "Application (Client) ID : $($Application.AppId)"
    Write-Host "Client Secret Value     : $($PasswordCred.SecretText)"
    Write-Host "Directory (Tenant) ID   : $TenantId"
    Write-Warning "IMPORTANT: Copy the Client Secret Value immediately."

} catch {
    Write-Error "Operation failed: $_"
}

# --- FINAL DISCONNECT ---
Disconnect-MgGraph
Read-Host "`nPress Enter to close this window"

Noteer de volgende inloggegevens en sla ze beveiligd op. Als de inloggegevens uitlekken, hebben hackers misschien toegang tot al uw OneDrive- of SharePoint Online-gegevens.
- Client-geheim
- App-ID (client-ID)
- Directory-ID (tenant-ID)

Optie 2: Windows PowerShell gebruiken

Maak in Windows een nieuw bestand met platte tekst en noem het migration_app_creator.ps1.

Kopieer het volgende codeblok, plak het in het nieuwe bestand en klik op Uitvoeren met Powershell.

 <#
    .SYNOPSIS
    Automates the creation of a Single-Tenant Entra ID App for Workspace Migration.
    Strictly forces account selection and verifies specific Admin roles.
#>

# Check if the module is missing
if (-not (Get-Module -ListAvailable -Name Microsoft.Graph.Authentication)) {
    Write-Host "Microsoft Graph module is NOT installed." -ForegroundColor Yellow
    $UserResponse = Read-Host "Would you like to try installing Microsoft Graph? (Y/N)"

    if ($UserResponse -ieq "Y") {
        try {
            # Use only native cmdlets, no .NET property setting
            Install-Module -Name Microsoft.Graph -Scope CurrentUser -Force -AllowClobber
            Write-Host "Installation complete!" -ForegroundColor Green
        }
        catch {
            Write-Error "Policy is blocking installation. Please contact IT to install Microsoft.Graph module."
            Read-Host "Press Enter to exit"; exit
        }
    }
    else {
        exit
    }
} else {
    Write-Host "Microsoft Graph modules detected. Proceeding..." -ForegroundColor Green
}

# --- STEP 0: THE "DEEP" LOGOUT ---
Write-Host "Forcing session cleanup..." -ForegroundColor Gray
Disconnect-MgGraph -ErrorAction SilentlyContinue

# Force clear the local token cache folder if it exists
$CachePath = "$env:USERPROFILE\.mg"
if (Test-Path $CachePath) {
    try { Remove-Item $CachePath -Recurse -Force -ErrorAction SilentlyContinue } catch {}
}

Write-Host "Opening Microsoft Login... (Please select the correct account)" -ForegroundColor Cyan
$RequiredScopes = @(
    "Application.ReadWrite.All",
    "AppRoleAssignment.ReadWrite.All",
    "Directory.Read.All",
    "RoleManagement.Read.Directory"
)

try {
    # In v2, -ContextScope Process is the most reliable way to force account selection
    # and prevent the session from saving to the machine permanently.
    Connect-MgGraph -Scopes $RequiredScopes -ContextScope Process

    $Context = Get-MgContext
    if ($null -eq $Context) { throw "Login was cancelled or failed." }

    $UserPrincipal = $Context.Account
    Write-Host "Logged in as: $UserPrincipal" -ForegroundColor Green

    # --- ROLE VALIDATION ---
    Write-Host "Verifying Directory Roles..." -ForegroundColor Gray
    $UserRoles = Get-MgUserMemberOf -UserId $Context.Account -All | Where-Object { $_.AdditionalProperties.displayName -ne $null }
    
    $Authorized = $false
    $RequiredRoles = @("Global Administrator", "Privileged Role Administrator")

    foreach ($role in $UserRoles) {
        $roleName = $role.AdditionalProperties.displayName
        if ($roleName -in $RequiredRoles) {
            $Authorized = $true
            Write-Host "Access Granted: $roleName" -ForegroundColor Green
            break
        }
    }

    if (-not $Authorized) {
        Write-Host "`nCRITICAL ERROR: Insufficient Privileges." -ForegroundColor Red
        Write-Host "Account must be 'Global Administrator' or 'Privileged Role Administrator'." -ForegroundColor Yellow
        Disconnect-MgGraph
        Read-Host "`nPress Enter to exit"; exit
    }
} catch {
    Write-Error "Login failed: $_"
    Read-Host "Press Enter to exit"; exit
}

# --- USER INPUT ---
Write-Host "`n--- APPLICATION SETUP ---" -ForegroundColor Cyan
$InputName = Read-Host "Enter the name for your new Entra ID Application (Default: Workspace Data Import App)"
$AppName = if ([string]::IsNullOrWhiteSpace($InputName)) { "Workspace Data Import App" } else { $InputName }

# --- CONFIGURATION ---
# Application Permissions mapped to their respective API App IDs
$ApiConfigurations = @{
    "00000003-0000-0000-c000-000000000000" = @("LicenseAssignment.Read.All", "Application.Read.All") # Microsoft Graph
    "00000003-0000-0ff1-ce00-000000000000" = @("Sites.FullControl.All")                              # SharePoint Online
}

$TenantId = $Context.TenantId

try {
    # --- STEP 1: REGISTER APPLICATION ---
    Write-Host "Creating Application: $AppName..." -ForegroundColor Cyan
    $Application = New-MgApplication -BodyParameter @{
        displayName = $AppName
        signInAudience = "AzureADMyOrg"
    }
    
    # --- STEP 2: PREPARE SERVICE PRINCIPAL ---
    $NewServicePrincipal = New-MgServicePrincipal -BodyParameter @{ appId = $Application.AppId }

    Write-Host "Waiting 10 seconds for replication..." -ForegroundColor DarkGray
    Start-Sleep -Seconds 10

    # --- STEP 3: CONFIGURE & GRANT PERMISSIONS ---
    Write-Host "Configuring API Permissions & Granting Admin Consent..." -ForegroundColor Cyan
    
    $RequiredResourceAccess = @()

    foreach ($ApiAppId in $ApiConfigurations.Keys) {
        $ApiSP = Get-MgServicePrincipal -Filter "AppId eq '$ApiAppId'" | Select-Object -First 1
        $ResourceAccessList = @()
        
        foreach ($RoleName in $ApiConfigurations[$ApiAppId]) {
            $Role = $ApiSP.AppRoles | Where-Object { $_.Value -eq $RoleName }
            
            if ($Role) {
                $ResourceAccessList += @{ id = $Role.Id; type = "Role" }
                
                New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $NewServicePrincipal.Id -BodyParameter @{
                    principalId = $NewServicePrincipal.Id
                    resourceId  = $ApiSP.Id
                    appRoleId   = $Role.Id
                } | Out-Null
                Write-Host " - Granted: $RoleName" -ForegroundColor Gray
            }
        }
        
        if ($ResourceAccessList.Count -gt 0) {
            $RequiredResourceAccess += @{
                resourceAppId  = $ApiAppId
                resourceAccess = $ResourceAccessList
            }
        }
    }

    Update-MgApplication -ApplicationId $Application.Id -RequiredResourceAccess $RequiredResourceAccess

    # --- STEP 4: CREATE CLIENT SECRET ---
    Write-Host "Generating Client Secret..." -ForegroundColor Cyan
    $ExpiryDate = (Get-Date).AddYears(2).ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ssZ")
    $PasswordCred = Add-MgApplicationPassword -ApplicationId $Application.Id -BodyParameter @{
        passwordCredential = @{
            displayName = "MigrationToolSecret"
            endDateTime = $ExpiryDate
        }
    }

    # --- OUTPUT ---
    Write-Host "`n-------------------------------------------------------" -ForegroundColor Yellow
    Write-Host "        SETUP COMPLETE - SAVE THESE DETAILS" -ForegroundColor Yellow
    Write-Host "-------------------------------------------------------" -ForegroundColor Yellow
    Write-Host "Application Name        : $AppName"
    Write-Host "Application (Client) ID : $($Application.AppId)"
    Write-Host "Client Secret Value     : $($PasswordCred.SecretText)"
    Write-Host "Directory (Tenant) ID   : $TenantId"
    Write-Warning "IMPORTANT: Copy the Client Secret Value immediately."

}
catch {
    Write-Error "Operation failed: $_"
}

# --- FINAL DISCONNECT ---
Disconnect-MgGraph
Read-Host "`nPress Enter to close this window"

Noteer de volgende inloggegevens en sla ze beveiligd op. Als de inloggegevens uitlekken, hebben hackers misschien toegang tot al uw OneDrive- of SharePoint Online-gegevens.
- Client-geheim
- App-ID (client-ID)
- Directory-ID (tenant-ID)

Azure gebruiken om een handmatige verbinding in te stellen

De specifieke Microsoft-stappen kunnen variëren, afhankelijk van de versie van uw Azure-portal en updates die door Microsoft zijn aangebracht. Raadpleeg de documentatie van Microsoft voor de nieuwste richtlijnen voor app-registratie en -autorisatie.

Stap 1: Een nieuwe app registreren

Log als beheerder in bij de Azure-portal.
Ga in Azure Services naar App registrations (App-registraties).
Klik op New Registration (Nieuwe registratie) en voer een naam in voor uw app (bijvoorbeeld Geavanceerde import-app).
Klik bij Ondersteunde accounttypen op Alleen accounts in deze organisatiedirectory om een single-tenant-app te maken.
Klik op Registreren.

Stap 2: API-rechten configureren

Kies een van de volgende opties:

Optie 1: Handmatig rechten toevoegen

Klik aan de zijkant bij Beheren op API-rechten.
Klik op Een recht toevoegen en klik op het tabblad Microsoft API's op SharePoint.
Klik op App-rechten Sites en vink het vakje Sites.FullControl.All aan.
Klik op Recht toevoegen.
Ga terug naar Een recht toevoegen en klik op Microsoft Graph.
Klik op App-rechten en selecteer de volgende rechten:
- LicenseAssignment.Read.All
- Application.Read.All
Klik op Recht toevoegen.
Klik op Beheerderstoestemming verlenen voor uw organisatie.

Optie 2: Het app-manifest bewerken

Open het app-manifest.

Ga naar "resourceAccess" : [ ] en kies een optie:

Als "resourceAccess" : [ ] al een waarde heeft, voeg je een komma toe en plak je het volgende codeblok.

Als "resourceAccess" : [ ] geen waarde heeft, kopieer en plak je het volgende codeblok.

   "requiredResourceAccess": [
    {
        "resourceAppId": "00000003-0000-0000-c000-000000000000",
        "resourceAccess": [
            {
                "id": "e2f98668-2877-4f38-a2f4-8202e0717aa1",
                "type": "Role"
            },
            {
                "id": "9a5d68dd-52b0-4cc2-bd40-abcf44ac3a30",
                "type": "Role"
            }
        ]
    },
    {
        "resourceAppId": "00000003-0000-0ff1-ce00-000000000000",
        "resourceAccess": [
            {
                "id": "678536fe-1083-478a-9c59-b99265e6b0d3",
                "type": "Role"
            }
        ]
    }
]

Klik op Beheerderstoestemming verlenen voor uw organisatie.

Stap 3: Het clientgeheim maken

Klik aan de zijkant bij Beheren op Certificaten en geheimen Nieuw clientgeheim.
Voer een beschrijving in, selecteer een vervaldatum en klik op Toevoegen.
Kopieer de waarde van het clientgeheim en sla deze beveiligd op. De waarde wordt maar één keer getoond.

Stap 4: De inloggegevens voor de app verzamelen

Belangrijk: Sla de inloggegevens voor de app veilig op. Als de inloggegevens uitlekken, hebben hackers misschien toegang tot al uw OneDrive- of SharePoint Online-gegevens.

Klik op Overzicht en noteer de volgende inloggegevens op een veilige plaats:

App-ID (client-ID)
Directory-ID (tenant-ID)

Hoofdgebruikersrechten toevoegen voor de import van versleutelde bestanden (bèta)

Als uw gegevensimport versleutelde bestanden bevat, volgt u deze stappen om Microsoft Information Protection-supergebruikersrechten (MIP) toe te passen op de client-ID voor uw Azure-app. De tool voor gegevensimport heeft het recht AipServiceSuperUser nodig om bestanden in Workspace te ontsleutelen.

Voer deze stappen uit op een Windows-apparaat waarop u bent ingelogd als beheerder met een globale of bevoorrechte rol.

Open PowerShell in Windows en selecteer Uitvoeren als beheerder.
Voer de volgende opdrachten in om de AIPService-module te installeren en druk op Enter:

Install-Module -Name AIPService -Scope CurrentUser -Force

Import-Module AIPService
Voer de volgende opdracht in en druk op Enter om verbinding te maken met de Azure Information Protection-service (AIP):

Connect-AipService
Als u AipServiceSuperUser-rechten wilt toevoegen aan uw client-ID, voert u de volgende opdracht in en drukt u op Enter:

Add -AipServiceSuperUser -ServicePrincipalId "*application-client-id*"
(Optioneel) Voer de volgende opdracht in en druk op Enter om te zorgen dat uw hoofdgebruikersstatus aanstaat:

Get-AipServiceSuperUserFeature
(Optioneel) Als je wilt zien welke apps toegang hebben als hoofdgebruiker, voer je de volgende opdracht in en druk je op Enter:

Get-AipServiceSuperUser

Google, Google Workspace en gerelateerde merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waarmee ze in verband worden gebracht.

Een Azure-app instellen voor OneDrive en SharePoint Online Stay organized with collections Save and categorize content based on your preferences.