Microsoft GraphAPI

Diese Anleitung erklärt Schritt für Schritt, wie du über das Azure-Portal ein Access Token für die Microsoft Graph API erhältst. Das Token ermöglicht dir, automatisierte API-Aufrufe ohne Benutzeranmeldung durchzuführen – ideal für Server-zu-Server-Kommunikation oder Integrationen.

🔧 Voraussetzungen

Bevor du beginnst, benötigst du:

• Ein Microsoft Azure Konto

• Einen Microsoft Entra ID (Azure AD) Tenant

• Eine registrierte App im Azure-Portal

Microsoft Entra ID war früher als „Azure Active Directory“ bekannt. Alle Schritte sind im Azure-Portal unter diesem neuen Namen zu finden.

---

🧩 Schritt 1: App im Azure-Portal registrieren

1. Melde dich unter https://portal.azure.com an.

2. Navigiere zu Microsoft Entra ID → App-Registrierungen.

3. Klicke auf „Neue Registrierung“.

4. Vergib einen App-Namen (z. B. MyGraphApp).

5. Wähle „Konten in diesem Organisationsverzeichnis“ (Standardoption).

6. Unter Redirect URI (optional):

   • Wenn du eine Web-App hast: gib z. B. http://localhost:3000 ein.

   • Für einfache Tests kannst du das Feld leer lassen.

7. Klicke auf „Registrieren“.

8. Notiere die Anwendungs-ID (Client ID) – sie wird später benötigt!

Die Client-ID ist der eindeutige Bezeichner deiner App. Du findest sie jederzeit im Azure-Portal unter Übersicht → Anwendungs-ID.

---

🔑 Schritt 2: App-Berechtigungen vergeben

1. Öffne deine registrierte App → „API-Berechtigungen“.

2. Klicke auf „Berechtigung hinzufügen“.

3. Wähle Microsoft Graph.

4. Klicke auf „Delegierte Berechtigungen“.

5. Suche und füge gewünschte Berechtigungen hinzu, z. B.:

   • User.Read

   • User.ReadBasic.All

6. Optional: Erteile Admin-Zustimmung, falls du die Rechte hast.

Ohne Admin-Zustimmung können einige Berechtigungen für andere Nutzer nicht genutzt werden.

---

🔐 Schritt 3: Geheimen Clientschlüssel erstellen

1. In deiner App → gehe zu „Zertifikate & Geheimnisse“.

2. Klicke auf „Neuer geheimer Clientschlüssel“.

3. Wähle eine Ablaufzeit (z. B. 6 Monate oder 1 Jahr).

4. Klicke auf „Hinzufügen“.

5. Kopiere den Wert des Schlüssels – er wird nur einmal angezeigt!

Der Client Secret ist dein App-Passwort. Bewahre ihn sicher auf – er ist für die Authentifizierung notwendig.

---

📁 Schritt 4: Tenant-ID abrufen

1. Navigiere in Azure zu Microsoft Entra ID → Übersicht.

2. Kopiere die Verzeichnis-ID (Tenant-ID). Diese benötigst du später für den Token-Request.

---

🚀 Schritt 5: Token mit Client-Credentials abrufen

Jetzt hast du alle Werte:

• Client ID (aus Schritt 1)

• Client Secret (aus Schritt 3)

• Tenant ID (aus Schritt 4)

---

💻 Token via cURL abrufen

curl -X POST https://login.microsoftonline.com/<TENANT_ID>/oauth2/v2.0/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "client_id=<CLIENT_ID>" \
  -d "scope=https://graph.microsoft.com/.default" \
  -d "client_secret=<CLIENT_SECRET>" \
  -d "grant_type=client_credentials"

Antwortbeispiel:

{
  "token_type": "Bearer",
  "expires_in": 3599,
  "access_token": "eyJ0eXAiOiJKV1QiLC..."
}

---

⚙️ Token via PowerShell abrufen

$tenantId = "<TENANT_ID>"
$clientId = "<CLIENT_ID>"
$clientSecret = "<CLIENT_SECRET>"

$body = @{
  grant_type    = "client_credentials"
  client_id     = $clientId
  client_secret = $clientSecret
  scope         = "https://graph.microsoft.com/.default"
}

$response = Invoke-RestMethod -Uri "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token" `
  -Method Post -Body $body -ContentType "application/x-www-form-urlencoded"

$token = $response.access_token
Write-Output $token

Das Token ist in der Variable $token gespeichert und kann direkt in weiteren API-Aufrufen verwendet werden.

---

🌐 Beispiel: Testaufruf mit Access Token

Mit dem generierten Token kannst du die Microsoft Graph API direkt testen:

curl -X GET https://graph.microsoft.com/v1.0/me \
  -H "Authorization: Bearer <ACCESS_TOKEN>"

Wenn alles funktioniert, erhältst du ein JSON mit deinen Benutzerinformationen.

---

✅ Ergebnis

Du hast nun erfolgreich ein Access Token über die Client-Credentials-Methode erhalten und kannst die Microsoft Graph API verwenden.

Ab jetzt kannst du automatisierte API-Aufrufe durchführen – z. B. um SharePoint-Dateien zu lesen, Teams zu verwalten oder Outlook-Daten zu verarbeiten!