使用 Graph API 创建自定义 B2B 访客用户邀请

Azure AD 企业对企业 (B2B) 来宾用户帐户是安全地向外部用户和合作伙伴组织授予应用程序和服务访问权限的绝佳方式。来宾用户帐户是在 Azure AD 中创建的，方法是首先向外部用户发出邀请，然后通过他们自己的（支持的）IDP（例如，通过使用外部 Azure AD 实例或消费者 Microsoft 帐户）进行兑换和身份验证。

邀请通常使用标准电子邮件模板发送，并且可以包含少量自定义文本以帮助收件人了解下一步该做什么：

对于发送少量邀请，此过程完全没问题，但是，有一些更复杂的用例，需要额外的灵活性。可能需要附加功能的一些示例是：

• 当需要批量邀请许多访客用户加入租户才能使用新的业务应用程序时
• 当外部用户需要更详细的入职说明时
• 当内部应用程序需要能够自动配置访客帐户时
• 在多租户环境中自动邀请来宾用户以允许协作时

为了帮助解决此问题，我使用 PowerShell 和 Graph API 创建了一个脚本来自动创建来宾用户邀请。该脚本还包含阻止电子邮件邀请发送和返回兑换 URL 的选项，以便可以将其作为自定义入职通信的一部分发送。

正在寻找有关 Azure AD 的更多文章？查看 Dominik Hoefling 的博客，了解如何在 Azure AD 中实现无密码身份验证。

准备环境

由于脚本使用 Graph API 创建邀请，因此需要一个新的 Azure AD 注册应用程序。有关如何创建应用程序的基础知识，您需要按照本文中概述的说明进行操作。分配权限时，唯一需要的条目是 User.Invite.All 应用程序权限：

现在应用程序已创建，请确保记下客户端 ID、租户 ID 和客户端密钥。需要这些值才能允许脚本通过 Azure AD 进行身份验证。

运行脚本

要运行该脚本，需要以下参数：

• UserDisplayName - 访客帐户的显示名称
• UserEmail - 外部用户的电子邮件地址
• ClientSecret - 应用程序注册中的客户端密钥
• ClientID - 应用程序注册中的应用程序（客户端）ID
• TenantID - Azure AD 租户的目录（租户）ID
• SendInvite - 将此值设置为 $true 将发送自动电子邮件，$false 将在屏幕上返回兑换 URL

以下参数是可选的：

• （可选）RedirectURL - 用户兑换邀请后重定向到的 URL。默认为“https://myapps.microsoft.com”
• （可选）UserMessage - 要添加到自动电子邮件中的消息

参数到位后，从 GitHub 下载脚本并运行它，如下例所示：

##Declare Parameters##
$UserDisplayName = “(Guest) Sean McAvinue”
$UserEmail = “[email protected]”
$clientSecret = <Client Secret Value>
$clientID = <Application (Client) ID Value>
$tenantID = <Directory (Tenant) ID Value>
$SendInvite = $True
$RedirectURL = “https://seanmcavinue.net”
$UserMessage = “You have been invited to collaborate with Contoso. Redeem this invitation to get started and you’ll be redirected to our corporate website!”

##Run Script’’
.\graph-CreateGuestUserInvitation.ps1 -UserDisplayName $UserDisplayName -UserEmail $UserEmail -ClientSecret $clientSecret -TenantID $tenantID -ClientID $clientID -SendInvite $SendInvite -UserMessage $UserMessage

这将创建邀请并使用标准模板发送。该脚本会将邀请的详细信息输出到屏幕以供审核，如下图 3 所示：

该脚本还可以在 Sendinvite 标志设置为 $false 的情况下运行。这将阻止自动发送电子邮件，并将邀请的兑换 URL 返回到屏幕：

然后，兑换 URL 可以与所需的任何说明或政策文档一起单独发送。可以扩展该脚本以满足前面提到的一些要求。例如，可以使用 CSV 轻松地批量配置来宾帐户：

##Import a CSV with the following headers “Displayname”,”Email”,”Message”
$CSV = Import-Csv ExternalUsers.csv
##Loop through CSV and send invites##
Foreach($user in $csv){
.\graph-CreateGuestUserInvitation.ps1 -UserDisplayName $User.DisplayName -UserEmail $User.Email -ClientSecret $clientSecret -TenantID $tenantID -ClientID $clientID -SendInvite $true -UserMessage $User.Message
}

跨多个租户创建来宾用户时，需要在每个租户中注册应用程序，然后可以循环运行脚本以在每个租户中进行配置：

##Declare Parameters##
$UserDisplayName = “(Guest) Sean McAvinue”
$UserEmail = [email protected]

##Create Tenant Details Object Array##
$TenantDetails = @([PSCustomObject]@{
    clientSecret = <Tenant 1 Client Secret>
    clientid = <Tenant 1 Client ID>
    tenantid = <Tenant 1 Tenant ID>
},
[pscustomobject]@{
    clientSecret = <Tenant 2 Client Secret>
    clientid = <Tenant 2 Client ID>
    tenantid = <Tenant 2 Tenant ID>
})
$SendInvite = $True
$RedirectURL = “https://seanmcavinue.net”
$UserMessage = “You have been invited to collaborate with Contoso. Redeem this invitation to get started and you’ll be redirected to our corporate website!”

##Loop through tenants##
Foreach($tenant in $TenantDetails){
##Run Script’’
.\graph-CreateGuestUserInvitation.ps1 -UserDisplayName $UserDisplayName -UserEmail $UserEmail -ClientSecret $$tenant.clientSecret -TenantID $tenant.tenantID -ClientID $tenant.clientID -SendInvite $SendInvite -UserMessage $UserMessage
}

概括

该脚本可用于自动化访客用户邀请过程，并将其与任何自定义应用程序更无缝地集成。它还可用于快速、轻松地配置大量访客帐户。

该脚本可以从 GitHub 下载。

注意：一如既往，请确保在生产环境中运行任何代码之前对其进行检查和测试。