Microsoftのツール上ではなく、外部からMicrosoft Graphを利用したいケースがあります。
今回はPythonでMicrosoft Graphを利用する方法を紹介します。
目次 閉じる
認証情報の作成
Microsoft AzureのAzure Active Directoryから「アプリの登録」で新規登録を選択
「名前」欄でアプリの名前を入力します。任意でわかりやすい名前で登録しましょう。
「サポートされているアカウントの種類」で誰がAPIを使用できるか、範囲を指定します。
「リダイレクトURL」の入力は不要です。
ここまで入力したら画面最下部の「登録」をクリックします。
アプリ名を選択し「概要」画面を開き、2つの情報を事前にコピーしておきます。後で実際のコードに利用します。
- アプリケーション（クライアント）ID
- ディレクトリ（テナント）ID
「証明書とシークレット」画面を開き、新しいクライアントシークレットを追加します。
「説明」欄は任意の説明を登録します。
「有効期限」は選択肢の中から選択して、最後に下の「追加」を選択します。
画面上に今登録した内容で「値」と「シークレットID」が表示されるので、コピーしておきます。
「値」はしばらくすると伏せ字に変更されます。後から確認できなくなりますので、必ずコピーして控えて置いてください。
「APIのアクセス許可」画面で、アクセスする権限内容の設定をします。
最初から作成されているUser.Readは使用しないので、削除します。
「アクセス許可の追加」から「Microsoft Graph」を選択します。
設定する内容はMicrosoft learnの記事を参考に設定をしてください。
例えば、SharePointリストにデータを追加する場合は、下記の「Sites.ReadWrite.All、Sites.Manage.All、Sites.FullControl.All」のいずれかを選択します。
| アクセス許可の種類 | アクセス許可 (特権の小さいものから大きいものへ) |
|---|---|
| 委任 (職場または学校のアカウント) | Sites.Read.All、Sites.ReadWrite.All、Sites.Manage.All、Sites.FullControl.All |
| 委任 (個人用 Microsoft アカウント) | サポートされていません。 |
| アプリケーション | Sites.Read.All、Sites.ReadWrite.All、Sites.Manage.All、Sites.FullControl.All |
Pythonのコード
今回利用するライブラリは下記の2つです。インストールしてない場合は下記コードでインストールしておいてください。
pip install msal
pip install requests今回実施したバージョンは下記です。
msal 1.23.0
requests 2.26.0早速ですが、こちらがコード全文です。
import msal
import requests
# MSALの設定
authority = 'https://login.microsoftonline.com/<YOUR_TENANT_ID>'
client_id = '<YOUR_CLIENT_ID>'
scope = ['https://graph.microsoft.com/.default'] # スコープを指定
app = msal.ConfidentialClientApplication( client_id, authority=authority, client_credential="<YOUR_CLIENT_SECRET>" # クライアントシークレットを指定
)
result = app.acquire_token_silent(scope, account=None)
if not result: # キャッシュされたトークンがない場合、新たにトークンを取得する result = app.acquire_token_for_client(scopes=scope)
if "access_token" in result: # アクセストークンを取得 access_token = result["access_token"] # APIのURLを指定 api_url = "https://graph.microsoft.com/v1.0/<resource>" headers = { 'Authorization': 'Bearer ' + access_token, "Content-Type": "application/json" } data={ # APIのクエリ等をここに } response = requests.post(api_url, headers=headers, json=data) if response.status_code == 201: print("成功") else: print(f"◯◯に失敗しました。. Status code: {response.status_code}")
else: print("MSAL での認証に失敗しました。")「<YOUR_TENANT_ID>」や、「<YOUR_CLIENT_ID>」、「<YOUR_CLIENT_SECRET>」は上の手順でメモをした値に置き換えてください。
スコープを指定する場所があります。完全に理解はしていませんがが、少し解説します。
（間違いがあればご指摘ください）
scope = ['https://graph.microsoft.com/.default'] # スコープを指定ユーザーに変わってアクセスする（ユーザー委任のアクセス許可）際に、スコープを設定する必要があり、行うレベルに応じて設定をします。
構文は下記の通り。
ResourceId + <スコープ>スコープとして設定できる値と内容の一部は下記の通り。それ以外の内容は公式の記事などを確認してください。
| 値 | 内容 |
| .default | すべてのスコープ |
| user_impersonation | |
| user.read | ユーザーの基本的なプロファイル情報を読み取る |
| mail.read | ユーザーのメール情報を読み取る |
| calendars.read | ユーザーのカレンダー情報を読み取る |
| files.read | ユーザーのファイル情報を読み取る |
| Directory.Read | Azure ADの読み取り |
| Directory.Write | Azure ADの書き込み |
api_url等はMicrosoft Graphで利用するURLをそのまま入力し、dataにはリクエストbodyを入力します。不要な場合は削除してください。
URlなどは下記の公式記事を確認してください。
取得したアクセストークンは60～90分で期限が切れます。行いたい処理によっては1時間を超える場合は注意が必要です。
