アプリ マニフェスト (Microsoft Graph 形式)を理解する

アプリケーション マニフェストには、Microsoft ID プラットフォームにおけるアプリ登録のすべての属性とその値が含まれます。

Microsoft Graph アプリ マニフェストは、アプリの登録を表す JSON オブジェクトです。 これは、 Microsoft Graph アプリケーション リソースの種類または Microsoft Graph アプリ オブジェクト (アプリケーション オブジェクト) とも呼ばれます。 これには、アプリ登録のすべての属性とその値が含まれます。

Microsoft Graph Get Application メソッドを使用して受け取るアプリケーション オブジェクトは、Microsoft Entra 管理センターのアプリ登録マニフェスト ページに表示されるのと同じ JSON オブジェクトです。

Microsoft Graph アプリ マニフェストを構成する

Microsoft Graph アプリ マニフェストをプログラムで構成する場合は、 Microsoft Graph API または Microsoft Graph PowerShell SDK を使用できます。

Microsoft Entra 管理センターを使用してアプリ マニフェストを構成することもできます。 ほとんどの属性は、 アプリ登録の UI 要素を使用して構成できます。 ただし、一部の属性は、[ マニフェスト ] ページでアプリ マニフェストを直接編集して構成する必要があります。

Microsoft Entra 管理センターでアプリマニフェストを構成する

Microsoft Graph アプリ マニフェストを構成するには:

1. Microsoft Entra 管理センターに、少なくともアプリケーション開発者としてサインインします。

2. Entra ID>App 登録に移動します。

3. 構成するアプリを選択します。

4. アプリの [概要 ] ページで、[ マニフェスト ] セクションを選択します。 Web ベースのマニフェスト エディターが開き、マニフェストを編集できます。 必要に応じて、[ ダウンロード ] を選択してマニフェストをローカルで編集し、[ アップロード] を使用してアプリケーションに再適用できます。

マニフェスト リファレンス

ここでは、アプリケーション マニフェストで見られる属性について説明します。

id 属性

このプロパティは、Microsoft Entra 管理センターではオブジェクト ID と呼ばれます。 これはディレクトリ内のアプリケーション オブジェクトの一意の識別子です。

この ID は、いずれかのプロトコル トランザクション内のアプリを識別するために使用される識別子ではありません。 これは、ディレクトリ クエリ内のオブジェクトを参照するために使用されます。

これは null 許容および読み取り専用の属性ではありません。

例:

"id": "f7f9acfc-ae0c-4d6c-b489-0a81dc1652dd"

appId 属性

このプロパティは、Microsoft Entra 管理センターのアプリケーション (クライアント) ID と呼ばれます。 これはディレクトリ内のアプリケーション オブジェクトの一意の識別子です。

この ID は、いずれかのプロトコル トランザクション内のアプリを識別するために使用される識別子です。

これは null 許容および読み取り専用の属性ではありません。

例:

"appId": "00001111-aaaa-2222-bbbb-3333cccc4444"

addIns 属性

使用するサービスが特定のコンテキストでアプリの呼び出しに使用できるカスタム動作を定義します。 たとえば、ファイル ストリームをレンダリングできるアプリケーションでは、その "FileHandler" 機能の addIns プロパティを設定できます。 このパラメーターを使うと、Microsoft 365 などのサービスで、ユーザーが作業中のドキュメントのコンテキストでアプリケーションを呼び出すことができます。

例:

"addIns": [
    {
        "id": "968A844F-7A47-430C-9163-07AE7C31D407",
        "type": " FileHandler",
        "properties": [
            {
                "key": "version",
                "value": "2"
            }
        ]
    }
]

appRoles

アプリが宣言する可能性のあるロールのコレクションを指定します。 これらのロールは、ユーザー、グループ、またはサービス プリンシパルに割り当てることができます。 詳細な例と情報については、「 アプリケーションにアプリ ロールを追加し、トークンで受け取る」を参照してください。

例:

"appRoles": [
    {
        "allowedMemberTypes": [
            "User"
        ],
        "description": "Read-only access to device information",
        "displayName": "Read Only",
        "id": "00001111-aaaa-2222-bbbb-3333cccc4444",
        "isEnabled": true,
        "value": "ReadOnly"
    }
]

groupMembershipClaims

アプリが期待する、ユーザーまたは OAuth 2.0 アクセス トークンで発行される groups 要求を構成します。 この属性を設定するには、次のいずれかの有効な文字列値を使用します。

• None
• SecurityGroup(セキュリティ グループと Microsoft Entra ロールの場合)
• ApplicationGroup (このオプションには、アプリケーションに割り当てられているグループのみが含まれます)
• DirectoryRole (ユーザーがメンバーになっている Microsoft Entra ディレクトリ ロールを取得します)
• All (これは、サインイン ユーザーがメンバーになっているすべてのセキュリティ グループ、配布グループ、Microsoft Entra ディレクトリ ロールを取得します)。

例:

"groupMembershipClaims": "SecurityGroup"

optionalClaims 属性

この特定のアプリのセキュリティ トークン サービスによってトークンで返される省略可能な要求。

個人アカウントと Microsoft Entra ID の両方をサポートするアプリでは、省略可能な要求を使用できません。 ただし、v2.0 エンドポイントを使用して Microsoft Entra ID のみに登録されたアプリは、マニフェストで要求した省略可能な要求を取得することができます。 詳細については、「 省略可能な要求」を参照してください。

例:

"optionalClaims": {
    "idToken": [
        {
            "@odata.type": "microsoft.graph.optionalClaim"
        }
    ],
    "accessToken": [
        {
            "@odata.type": "microsoft.graph.optionalClaim"
        }
    ],
    "saml2Token": [
        {
            "@odata.type": "microsoft.graph.optionalClaim"
        }
    ]
}

identifierUris 属性

Microsoft Entra テナントまたは検証済みの顧客所有ドメイン内で Web アプリを一意に識別するユーザー定義 URI。 アプリケーションをリソース アプリとして使用する場合、リソースを一意に識別してアクセスするために、identifierUri 値が使用されます。

次の API および HTTP スキームベースのアプリケーション ID URI 形式がサポートされます。 表の後の一覧の説明に従って、プレースホルダーの値を置き換えてください。

• <appId> - アプリケーション オブジェクトのアプリケーション識別子 (appId) プロパティ。
• <string> - ホストまたは API パス セグメントの文字列値。
• <tenantId> - Azure 内のテナントを表すために Azure によって生成された GUID。
• <tenantInitialDomain> - <tenantInitialDomain>.onmicrosoft.com。ここで、<tenantInitialDomain> はテナントの作成時にテナント作成者が指定した初期ドメイン名です。
• <verifiedCustomDomain> - Microsoft Entra テナント用に構成 された検証済みのカスタム ドメイン 。

例:

"identifierUris": "https://contoso.onmicrosoft.com/fc4d2d73-d05a-4a9b-85a8-4f2b3a5f38ed"

keyCredentials 属性

アプリで割り当てられた資格情報、文字列ベースの共有シークレット、および X.509 証明書への参照を保持します。 これらの資格情報は、アクセス トークンを要求するときに使用されます (そのアプリがリソースとしてではなく、クライアントとして機能している場合)。

例:

"keyCredentials": [
    {
        "customKeyIdentifier": null,
        "endDateTime": "2018-09-13T00:00:00Z",
        "keyId": "<guid>",
        "startDateTime": "2017-09-12T00:00:00Z",
        "type": "AsymmetricX509Cert",
        "usage": "Verify",
        "value": null
    }
]

displayName 属性

アプリの表示名。

例:

"displayName": "MyRegisteredApp"

oauth2RequiredPostResponse 属性

OAuth 2.0 トークン要求の一部として、Microsoft Entra ID が GET 要求ではなく、POST 要求を許可するかどうかを指定します。 既定値は false です。これは、GET 要求のみが許可されることを指定します。

例:

"oauth2RequirePostResponse": false

parentalControlSettings 属性

• countriesBlockedForMinors は、未成年者に関してアプリがブロックされる国/地域を指定します。
• legalAgeGroupRule は、アプリのユーザーに適用される法的年齢グループ ルールを指定します。 Allow、RequireConsentForPrivacyServices、RequireConsentForMinors、RequireConsentForKids、BlockMinors のいずれかに設定できます。

例:

"parentalControlSettings": {
    "countriesBlockedForMinors": [],
    "legalAgeGroupRule": "Allow"
}

passwordCredentials 属性

keyCredentials プロパティの説明を参照してください。

例:

"passwordCredentials": [
    {
        "customKeyIdentifier": null,
        "displayName": "Generated by App Service",
        "endDateTime": "2022-10-19T17:59:59.6521653Z",
        "hint": "Nsn",
        "keyId": "<guid>",
        "secretText": null,
        "startDateTime": "2022-10-19T17:59:59.6521653Z"
    }
]

publisherDomain 属性

アプリケーションの確認された発行元のドメイン。 読み取り専用です。 アプリ登録の発行元ドメインを編集するには、「アプリの 発行元ドメインを構成する」に記載されている手順に従ってください。

例:

"publisherDomain": "{tenant}.onmicrosoft.com"

requiredResourceAccess 属性

動的な同意では、静的な同意を使用しているユーザーに対する管理者の同意エクスペリエンスおよびユーザーの同意エクスペリエンスが requiredResourceAccess によって作動します。 ただし、このパラメーターを使用しても、一般的な場合のユーザーの同意エクスペリエンスは促進されません。

• resourceAppId は、アプリがアクセスする必要があるリソースの一意識別子です。 この値は、ターゲット リソース アプリで宣言された appId に等しくなるようにしてください。
• resourceAccess は、指定されたリソースに対してアプリが必要とする OAuth2.0 アクセス許可スコープとアプリ ロールを格納する配列です。 指定されたリソースの id と type の値が格納されます。

例:

"requiredResourceAccess": [
    {
        "resourceAppId": "00000002-0000-0000-c000-000000000000",
        "resourceAccess": [
            {
                "id": "311a71cc-e848-46a1-bdf8-97ff7156d8e6",
                "type": "Scope"
            }
        ]
    }
]

samlMetadataUrl 属性

アプリの SAML メタデータへの URL。

例:

"samlMetadataUrl": "https://MyRegisteredAppSAMLMetadata"

signInAudience 属性

現在のアプリケーションでサポートされる Microsoft アカウントを指定します。 サポートされる値は次のとおりです。

• AzureADMyOrg - 自分の組織の Microsoft Entra テナント (たとえば、シングル テナント) に、Microsoft の職場アカウントまたは学校アカウントを持つユーザー
• AzureADMultipleOrgs - 任意の組織の Microsoft Entra テナント (たとえば、マルチテナント) に、Microsoft の職場アカウントまたは学校アカウントを持つユーザー
• AzureADandPersonalMicrosoftAccount - 個人用の Microsoft アカウント、または任意の組織の Microsoft Entra テナントに職場アカウントまたは学校アカウントを持つユーザー
• PersonalMicrosoftAccount - Xbox や Skype などのサービスのサインインに使用する個人用アカウント。

例:

"signInAudience": "AzureADandPersonalMicrosoftAccount"

tags 属性

アプリケーションの分類と特定に使用できるカスタム文字列。

個々のタグは、1 ~ 256 文字 (両端を含む) である必要があります。 空白や重複するタグは使用できません。 一般的なマニフェスト サイズの制限に従って、追加できるタグの数に特定の制限はありません。

例:

"tags": [
    "ProductionApp"
]

isFallbackPublicClient 属性

モバイル デバイスで実行されているインストール済みアプリケーションなど、フォールバック アプリケーション タイプをパブリック クライアントとして指定します。 デフォルト値は false で、フォールバック アプリケーション タイプが Web アプリなどの機密クライアントであることを示します Microsoft Entra ID がクライアント アプリケーションの種類を判断できない特定のシナリオがあります。 たとえば、ROPC フローでは、リダイレクト URI を指定せずに構成されます。 そのような場合、Microsoft Entra ID では、このプロパティの値に基づいて、アプリケーションの種類を解釈します。

例:

"isFallbackPublicClient": "false"

info 属性

アプリのマーケティング、サポート、サービス条件、プライバシーに関する声明、ロゴ URL など、アプリケーションの基本的なプロファイル情報を指定します。

以下の点に注意してください。

• "logoUrl" は読み取り専用プロパティです。 アプリ マニフェストでは編集できません。 目的のアプリ登録の [ブランドとプロパティ] ページに移動し、[新しいロゴのアップロード] を使用して新しいロゴをアップロードします。

• サービス利用規約とプライバシーに関する声明は、ユーザーの同意エクスペリエンスからユーザーに提示されます。 詳細については、「方法: 登録済みの Microsoft Entra アプリのサービス利用規約とプライバシーに関する声明を追加する」を参照してください。

例:

"info": {
    "termsOfService": "https://MyRegisteredApp/termsofservice",
    "support": "https://MyRegisteredApp/support",
    "privacy": "https://MyRegisteredApp/privacystatement",
    "marketing": "https://MyRegisteredApp/marketing",
    "logoUrl": "https://MyRegisteredApp/logoUrl",
}

api の属性

Web API を実装するアプリケーションの設定を指定します。 これには、次の 5 つのプロパティが含まれます。

例:

"api": {
    "acceptMappedClaims": true,
    "knownClientApplications": [
        "f7f9acfc-ae0c-4d6c-b489-0a81dc1652dd"
    ],
    "oauth2PermissionScopes": [
        {
            "adminConsentDescription": "Allow the app to access resources on behalf of the signed-in user.",
            "adminConsentDisplayName": "Access resource1",
            "id": "<guid>",
            "isEnabled": true,
            "type": "User",
            "userConsentDescription": "Allow the app to access resource1 on your behalf.",
            "userConsentDisplayName": "Access resources",
            "value": "user_impersonation"
        }
    ],
    "preAuthorizedApplications": [
        {
            "appId": "abcdefg2-000a-1111-a0e5-812ed8dd72e8",
            "permissionIds": [
                "8748f7db-21fe-4c83-8ab5-53033933c8f1"
            ]
        }
    ],

    "requestedAccessTokenVersion": 2
}

web 属性

Web アプリケーションの設定を指定します。 これには 4 つのプロパティが含まれます。

例:

"web": {
    "homePageUrl": "String",
    "implicitGrantSettings": {
        "enableIdTokenIssuance": "Boolean",
        "enableAccessTokenIssuance": "Boolean"
    },
    "logoutUrl": "String",
    "redirectUris": [
        "String"
    ]
}

spa 属性

承認コードとアクセス トークンのサインアウト URL やリダイレクト URI など、シングルページ アプリケーションの設定を指定します。

例:

"spa": {
    "redirectUris": [
        "String"
    ]
}

publicClient 属性

web 以外のアプリまたは非 Web API の設定を指定します (たとえば、iOS、Android、モバイル、またはデスクトップ デバイスで実行されているインストール済みアプリケーションなどの他のパブリック クライアント)。

例:

"publicClient": {
    "redirectUris": [
        "String"
    ]
}

一般的な問題

マニフェストの制限

アプリケーション マニフェストには、appRoles、keyCredentials、knownClientApplications、identifierUris、redirectUris、requiredResourceAccess、oauth2PermissionScopes など複数の属性があり、コレクションと呼ばれています。 任意のアプリケーションの完全なアプリケーション マニフェスト内では、すべてのコレクションを組み合わせたときのエントリの合計数は 1200 個に制限されています。 アプリケーション マニフェストで 100 個のappRoles を以前に指定した場合、マニフェストを構成する他の組み合わされたコレクション全体で使用できるエントリ数は残りの 1,100 個です。

Azure AD Graph 形式から Microsoft Graph 形式へのマニフェスト移行のトラブルシューティング

以前にダウンロードしたアプリ マニフェストを Azure AD Graph 形式でアップロードすると、次のエラーが発生することがあります。

{app name} アプリケーションを更新できませんでした。 エラーの詳細: 無効なプロパティ '{property name}'。**

これは、Azure AD Graph から Microsoft Graph アプリ マニフェストへの移行が原因である可能性があります。 まず、アプリ マニフェストが Azure AD Graph 形式であるかどうかを確認する必要があります。 その場合は、 アプリ マニフェストを Microsoft Graph 形式に変換する必要があります。

trustedCertificateSubjects 属性が見つからない

これは Microsoft 内部プロパティです。 ポータルには、v1.0 バージョンの MS Graph アプリ マニフェストが表示されますが、このプロパティは MS Graph アプリ マニフェストのベータ 版にのみ存在します。 Entra ポータルで Azure AD Graph アプリ マニフェストを使用して、このプロパティの編集を続けてください。 Azure AD Graph アプリ マニフェストを非推奨にする前に、Entra ポータルで MS Graph アプリ マニフェストのベータ版を公開します。

次のステップ

アプリのアプリケーション オブジェクトとサービス プリンシパル オブジェクトの関係の詳細については、「 Microsoft Entra ID のアプリケーション オブジェクトとサービス プリンシパル オブジェクト」を参照してください。

Microsoft ID プラットフォーム開発者の主要な概念の定義については、Microsoft ID プラットフォーム開発者用語集を参照してください。

次のコメント セクションを使用して、Microsoft のコンテンツの改善に役立つフィードバックを提供してください。