Credentials สำหรับ Microsoft Entra ID

การเอกสารสำหรับการรับรอง Microsoft Entra ID ใช้รับรองเหล่านี้เพื่อรับรอง Microsoft Entra ID ใน n8n ซึ่งเป็นแพลตฟอร์มอัตโนมัติการทำงาน

คุณสามารถใช้ credentials เหล่านี้เพื่อตรวจสอบสิทธิ์ node ต่อไปนี้:

• Microsoft Entra ID

ข้อกำหนดเบื้องต้น

• สร้างบัญชี Microsoft Entra ID หรือสมัครสมาชิก
• หากบัญชีผู้ใช้ถูกจัดการโดยบัญชี Microsoft Entra ขององค์กรบัญชีผู้ดูแลระบบได้เปิดใช้งานตัวเลือก "ผู้ใช้สามารถยอมรับแอปที่เข้าถึงข้อมูล บริษัท ในนามของพวกเขา" สำหรับผู้ใช้นี้ (ดูที่: เอกสารประกอบของ Microsoft Entra ).

Microsoft มีแผนฟรี Entra ID เมื่อคุณสร้างแผน ซอฟต์แวร์ Azure บัญชี

วิธีการรับรองความถูกต้องที่รองรับ

• OAuth2

ทรัพยากรที่เกี่ยวข้อง

อ้างถึง เอกสารประกอบของ Microsoft Entra ID สำหรับข้อมูลเพิ่มเติมเกี่ยวกับบริการ

การใช้ OAuth2

หมายเหตุสำหรับผู้ใช้ n8n Cloud (Note for n8n Cloud users)

ผู้ใช้ระบบคลาวด์ไม่จำเป็นต้องระบุรายละเอียดการเชื่อมต่อ เลือก Connect my account เพื่อเชื่อมต่อผ่านเบราว์เซอร์ของคุณ

สำหรับผู้ใช้ที่โฮสต์เอง มีสองขั้นตอนหลักในการกำหนดค่า OAuth2 ตั้งแต่เริ่มต้น:

1. ลงทะเบียนใบสมัคร ด้วยแพลตฟอร์มข้อมูลประจำตัวของ Microsoft
2. สร้าง Client Secret สำหรับแอปพลิเคชันนั้น

ทำตามคำแนะนำโดยละเอียดสำหรับแต่ละขั้นตอนด้านล่าง สำหรับรายละเอียดเพิ่มเติมเกี่ยวกับโฟลว์เว็บ Microsoft OAuth2 โปรดดูที่ การรับรองความถูกต้องและการอนุญาตเบื้องต้นของ Microsoft .

ลงทะเบียนใบสมัคร (Register an application)

ลงทะเบียนแอปพลิเคชันด้วย Microsoft Identity Platform:

1. เปิด พอร์ทัลการลงทะเบียนแอปพลิเคชัน Microsoft .
2. เลือก ลงทะเบียนใบสมัคร (Register an application).
3. ป้อนก Name สำหรับแอปของคุณ
4. ใน ประเภทบัญชีที่รองรับ (Supported account types) ให้เลือก บัญชีในไดเรกทอรีขององค์กรใดๆ (ไดเรกทอรี Azure AD ใดๆ - ผู้เช่าหลายราย) และบัญชี Microsoft ส่วนบุคคล (เช่น Skype, Xbox) .
5. ใน ลงทะเบียนใบสมัคร (Register an application):
   1. คัดลอก OAuth Callback URL จาก credentials n8n ของคุณ
   2. วางลงใน Redirect URI (optional) สนาม
   3. เลือก เลือกแพลตฟอร์ม (Select a platform) > Web.
6. เลือก Register เพื่อเสร็จสิ้นการสร้างแอปพลิเคชันของคุณ
7. คัดลอก Application (client) ID และวางลงใน n8n เป็น Client ID.

อ้างถึง ลงทะเบียนแอปพลิเคชันด้วย Microsoft Identity Platform สำหรับข้อมูลเพิ่มเติม

สร้าง Client Secret (Generate a client secret)

เมื่อสร้างแอปพลิเคชันของคุณแล้ว ให้สร้างความลับไคลเอ็นต์สำหรับมัน:

1. บนหน้าแอปพลิเคชัน Microsoft ของคุณ ให้เลือก ใบรับรองและความลับ (Certificates & secrets) ในการนำทางด้านซ้าย
2. ใน Client Secret (Client secrets) ให้เลือก + Client Secret ใหม่ (+ New client secret).
3. ป้อนก Description สำหรับ Client Secret ของคุณ เช่น n8n credential.
4. เลือก Add.
5. คัดลอก Secret ใน Value คอลัมน์
6. วางลงใน n8n เป็น Client Secret.
7. เลือก Connect my account ใน n8n เพื่อสิ้นสุดการตั้งค่าการเชื่อมต่อ
8. ลงชื่อเข้าใช้บัญชี Microsoft ของคุณและอนุญาตให้แอปเข้าถึงข้อมูลของคุณ

อ้างอิงถึง Microsoft เพิ่มข้อมูลประจำตัว สำหรับข้อมูลเพิ่มเติมเกี่ยวกับการเพิ่มรหัสลับไคลเอ็นต์

คุณยังสามารถตรวจสอบ credentials นี้ด้วยใบรับรอง ( private_key_jwt ) แทนที่จะเป็นรหัสลับไคลเอ็นต์ ชุด Authentication ถึง Certificate และจัดเตรียมคีย์ส่วนตัวและใบรับรอง อ้างถึง ตรวจสอบความถูกต้องด้วยใบรับรอง เพื่อขั้นตอนที่ครบถ้วน

Microsoft Graph API Base URL

การรับรอง Microsoft Entra ID จะขยายการรับรอง Microsoft OAuth2 API และรองรับสภาพแวดล้อมคลาวด์ของ Microsoft ที่แตกต่างกัน เลือกจุดสิ้นสุดที่เหมาะสมขึ้นอยู่กับสภาพแวดล้อมคลาวด์ของผู้เช่าของคุณ:

• Global : ใช้สำหรับผู้เช่า Microsoft 365 มาตรฐาน (เริ่มต้น)
• US Government : ใช้สำหรับผู้เช่า Azure อเมริกัน (GCC)
• US Government DOD : ใช้สำหรับ Azure อเมริกันรัฐบาลฝ่ายคุ้มครองผู้เช่า
• China : ใช้สำหรับ Microsoft 365 ที่ดำเนินการโดย 21Vianet ในประเทศจีน

Government Cloud Authorization URLs

หากคุณใช้ผู้เช่าระบบคลาวด์ของรัฐบาลคุณอาจจำเป็นต้องปรับปรุง Authorization URL และ Access Token URL fields in your credential to use the government cloud endpoints ตัวอย่างเช่น:

• อเมริกัน: ใช้ https://login.microsoftonline.us/{tenant}/oauth2/v2.0/authorize และ https://login.microsoftonline.us/{tenant}/oauth2/v2.0/token
• แทนที่ {tenant} ด้วย ID ของคุณเช่าหรือใช้ common สำหรับแอปพลิเคชัน Multi-tenant

การตั้งค่าขอบเขตที่กำหนดเอง

การรับรองของ Microsoft Entra ID ใช้ข้อกำหนดต่อไปนี้โดยเริ่มต้น:

• openid
• offline_access
• AccessReview.ReadWrite.All
• Directory.ReadWrite.All
• NetworkAccessPolicy.ReadWrite.All
• DelegatedAdminRelationship.ReadWrite.All
• EntitlementManagement.ReadWrite.All
• User.ReadWrite.All
• Directory.AccessAsUser.All
• Sites.FullControl.All
• GroupMember.ReadWrite.All

หากต้องการเลือกขอบเขตที่แตกต่างกันสำหรับข้อมูลประจำตัวของคุณ ให้เปิดใช้งาน Custom Scopes เลื่อนและแก้ไข Enabled Scopes รายการ โปรดทราบว่าคุณลักษณะบางอย่างอาจไม่ทำงานตามที่คาดไว้หากมีขอบเขตที่เข้มงวดมากขึ้น

การเข้าถึงที่ได้รับอนุญาตสำหรับการบูรณาการของ Microsoft ในองค์กร

ส่วนนี้อธิบายวิธีที่ผู้ดูแลระบบ n8n สามารถลงทะเบียนแอป Entra ID ด้วยอนุญาตที่ได้รับอนุญาตให้ได้รับอนุญาตจากผู้ดูแลระบบครั้งเดียวแล้วกำหนดค่า n8n เพื่อให้ผู้ใช้อื่น ๆ ในองค์กรสามารถเชื่อมต่อบริการ Microsoft (Outlook, Teams, OneDrive และอื่น ๆ) โดยไม่ต้องเสร็จสิ้นการลงทะเบียนแอป OAuth ของพวกเขาเอง

ลงทะเบียนแอป (Register the app)

1. ใน ไมโครซอฟต์แวร์เข้าสู่ศูนย์ admin ไปยัง การลงทะเบียน App (App registrations) และเลือก + การลงทะเบียนใหม่ (+ New registration).
   

   ลงทะเบียน การลงทะเบียน App (App registrations) ไม่ การประยุกต์ใช้องค์กร (Enterprise applications).

2. เข้าร่วมหมายถึง Name สำหรับแอปพลิเคชันเช่น n8n Outlook.

3. ภายใต้ ประเภทบัญชีที่รองรับ (Supported account types) ให้เลือก การเข้าสู่ระบบ ID จำนวนมาก (Multiple Entra ID tenants).

4. ภายใต้ อนุญาตให้เฉพาะผู้เช่าบางคน (การตรวจสอบ) (Allow only certain tenants (Preview)) ให้เลือก การจัดการที่อนุญาตให้เช่า (Manage allowed tenants) และเพิ่มผู้เช่าของคุณ ป้ายสีแดงจะหายไปเมื่อผู้เช่าของคุณจะเพิ่ม

5. ปล่อยให้ Redirect URI บล็อกสำหรับตอนนี้และเลือก Register.

6. บนหน้าการตรวจสอบแอพลิเคชันคัดลอก Application (client) ID คุณจะต้องการสิ่งนี้ในภายหลัง

สร้าง Client Secret (Generate a client secret)

1. ในหน้าการดูแอปพลิเคชันเลือก เพิ่มใบรับรองหรือความลับ (Add a certificate or secret) ภายใต้ การรับรองลูกค้า (Client credentials).

2. เลือก + Client Secret ใหม่ (+ New client secret).

3. ป้อนก Description (ตัวอย่างเช่น n8n token ) และเลือกระยะเวลาสิ้นสุดที่ตรงกับนโยบายการรับรองขององค์กรของคุณ

4. เลือก Add.

5. คัดลอก Value ทันที
   

   หมายเลขที่ซ่อนอยู่จะแสดงเพียงครั้งเดียว อย่าลบโดยไม่ต้องคัดลอกมัน: คุณจะไม่สามารถรับได้ในภายหลัง

การกำหนดค่าอนุญาต API (Configure API permissions)

1. ในทางเดินทางด้านซ้ายคลิก ใบอนุญาต API (API permissions).
2. คลิก + เพิ่มใบอนุญาต (+ Add a permission) > Microsoft Graph > อนุญาตที่ได้รับอนุญาต (Delegated permissions).
3. ใน เลือกใบอนุญาต (Select permissions) กล่องค้นหาแต่ละช่วงที่ต้องการและตรวจสอบกล่องด้านข้างของมัน ค่าใช้จ่ายสำหรับทุกช่วงที่ต้องการโดยการบูรณาการที่คุณต้องการเปิดใช้งาน ข้อกำหนดที่จำเป็นโดยการรวมกัน ด้านล่างสำหรับรายการเต็ม
4. เลือก เพิ่มอนุญาต (Add permissions).

เพิ่ม URI ใหม่ (Add the redirect URI)

1. ใน n8n สร้าง workflow ที่มีช่องสำหรับหนึ่งในการรวมของ Microsoft ที่คุณต้องการตั้งค่า (เช่น Microsoft Outlook)
2. เปิดช่องและเลือก การตั้งค่าการรับรอง (Set up credential) > Create new credential.
3. ให้ใบรับรองชื่อที่มีความหมาย (เช่น admin@yourorg.com).
4. คัดลอก OAuth Redirect URL แสดงในแผงการรับรอง n8n
5. กลับไปที่ Entra ไปที่หน้าการตรวจสอบแอปและเลือก เพิ่ม URI ใหม่ (Add a redirect URI) ภายใต้ Redirect URIs.
6. เลือก + เพิ่ม URI ใหม่ (+ Add redirect URI) , เลือก Web , คลิกที่ URL ที่คัดลอกจาก n8n และเลือก Configure.

ใบอนุญาต admin ใน n8n (Grant admin consent in n8n)

1. ใน n8n, paste the Client ID และ Client Secret คุณคัดลอกก่อนหน้านี้ไปยังแผงการรับรอง

2. เลือก เชื่อมต่อกับ [บริการ] (Connect to [service]) (ตัวอย่างเช่น Connect to Microsoft Outlook).

3. ใน sign-in popup, ตรวจสอบ อนุมัติในนามขององค์กรของคุณ (Consent on behalf of your organization) จากนั้นเลือก Accept.
   

   คุณต้องลงทะเบียนเป็นผู้ดูแลระบบเพื่อให้การอนุมัติทั่วองค์กรบัญชีที่ไม่เป็นผู้ดูแลระบบจะเห็นข้อความที่ระบุว่าการอนุมัติผู้ดูแลระบบจำเป็น

4. แปลงความสำเร็จใน n8n แสดงให้เห็นว่าการเชื่อมต่อทำงานและความยินยอมที่ได้รับการให้ถูกต้อง

การรับรองการตั้งค่าก่อนสำหรับผู้ใช้ (Pre-configure credentials for users)

หลังจากได้รับความยินยอมของ admin ใช้ การรับรองการเขียนเกินไป เพื่อกำหนดค่า ID Client และ Client Secret เพื่อให้ผู้ใช้ในองค์กรของคุณสามารถเชื่อมต่อได้โดยไม่ต้องลงทะเบียนแอปของพวกเขาเอง Microsoft OAuth คู่มือการกำหนดค่าการเขียนข้อมูล สำหรับคำแนะนำการตั้งค่าของ Docker และ Kubernetes

ข้อกำหนดที่จำเป็นโดยการรวมกัน (Required scopes by integration)

ข้อกำหนดต่อไปนี้จะจำเป็นสำหรับแต่ละการรวมของ Microsoft ตั้งแต่เดือนมีนาคม 2026 เมื่อกำหนดค่าอนุญาต API ใน Entra เพิ่มข้อกำหนดสำหรับแต่ละการรวมที่คุณวางแผนที่จะเปิดใช้งาน

ที่ Microsoft SharePoint สป็อตใช้สำหรับเวอร์ชัน 2 ของปุ่ม สำหรับ workflow ที่อ่านเท่านั้น Sites.Read.All เป็นเพียงพอ เพื่อ จำกัด แอปไปยังเว็บไซต์ที่เลือกใช้ที่ได้รับอนุญาต Sites.Selected พื้นที่: การลงทะเบียนแอปต้องการการโอนเงินตามเว็บไซต์ที่อธิบายไว้ ให้สิทธิ์การเข้าถึงต่อไซต์ และผู้ใช้ที่ลงชื่อเข้าใช้ยังต้องเข้าถึงแต่ละเว็บไซต์ รุ่น 1 ของคิวส์ใช้คิวส์เฉพาะ Microsoft SharePoint การรับรอง แชร์พอร์ต ใน Microsoft การรับรองเอกสารสำหรับอนุญาตของมัน

ปัญหาทั่วไป

นี่คือข้อผิดพลาดที่รู้จักกันดีและปัญหาที่มีการรับรอง Microsoft Entra

ต้องได้รับการอนุมัติจากผู้ดูแลระบบ (Need admin approval)

เมื่อพยายามเพิ่มข้อมูลประจำตัวสำหรับบัญชี Microsoft360 หรือ Microsoft Entra ผู้ใช้อาจเห็นข้อความเมื่อทำตามขั้นตอนว่าการดำเนินการนี้ต้องได้รับอนุมัติจากผู้ดูแลระบบ

ข้อความนี้จะปรากฏขึ้นเมื่อบัญชีที่พยายามให้สิทธิ์สำหรับ credentials ได้รับการจัดการโดย Microsoft Entra ในการออก credentials บัญชีผู้ดูแลระบบจำเป็นต้องให้สิทธิ์แก่ผู้ใช้ (หรือ "ผู้เช่า") สำหรับแอปพลิเคชันนั้น

ขั้นตอนนี้จะครอบคลุมอยู่ใน เอกสารประกอบของ Microsoft Entra .

การอนุมัติผู้ดูแลระบบที่จำเป็นในระหว่างการตั้งค่าการเข้าถึงที่ได้รับอนุญาต (Admin approval required during delegated access setup)

หากผู้ใช้เห็นหน้าจอแสดงให้เห็นว่าการอนุมัติผู้ดูแลระบบเป็นสิ่งจำเป็นก็หมายความว่าการอนุมัติทั่วองค์กรยังไม่ได้ได้รับสำหรับการลงทะเบียนแอป

เพื่อแก้ปัญหานี้เสร็จสมบูรณ์ ใบอนุญาต admin ใน n8n ขั้นตอนข้างต้นโดยใช้บัญชี Entra ID admin

Alternatively, an administrator can grant consent directly in Entra without going through n8n by navigating to:

การประยุกต์ใช้องค์กร (Enterprise applications) > [แอปของคุณ ] Security > Permissions > ให้ความยินยอมของ admin สำหรับ [องค์กรของคุณ] (Grant admin consent for [your organisation])

เมื่อความยินยอมได้รับผู้ใช้มาตรฐานสามารถรับรองได้โดยไม่ต้องพบกับผู้ดูแลระบบการอนุมัติทันที