Azure

Anwendungsmanifest (App-Manifest)

Allgemeine Infos

Das Anwendungsmanifest zeigt alle Attribute des Anwendungsobjekts einer App-Registrierung als JSON. Du findest es im Microsoft Entra Admin Center unter Entra ID, App-Registrierungen, Deine App, Manifest. Dort kannst Du es direkt bearbeiten oder herunterladen und wieder hochladen.

Das Manifest ist die genaueste Sicht auf die Konfiguration einer App. Einige Einstellungen lassen sich nur hier ändern, etwa die zulässige Tokenversion, bestimmte Gruppenansprüche oder signInAudience bei Apps für Organisations- und persönliche Konten.

Microsoft hat das Manifest auf das Schema der Microsoft-Graph-Entität application ausgerichtet. Ältere Anleitungen beziehen sich auf das Azure-AD-Graph-Format, dort heißen Attribute anders, etwa availableToOtherTenants statt signInAudience, replyUrls statt replyUrlsWithType oder objectId statt id. Weil sich das Schema weiterentwickelt, kann das Hochladen eines alten, heruntergeladenen Manifests fehlschlagen.

Funktionsweise & Details

Wichtige Attribute im Überblick:

  1. requiredResourceAccess: angeforderte API-Berechtigungen, je Ressource (resourceAppId) als delegierte Berechtigung (Scope) oder App-Rolle (Role).
  2. appRoles: App-Rollen, die Benutzern, Gruppen oder Service Principals zugewiesen werden und im Token als roles-Anspruch erscheinen.
  3. signInAudience: zulässige Konten (AzureADMyOrg, AzureADMultipleOrgs, AzureADandPersonalMicrosoftAccount, PersonalMicrosoftAccount).
  4. requestedAccessTokenVersion: Version der Zugriffstoken (1 oder 2), Pflicht 2 bei Apps auch für persönliche Konten.
  5. groupMembershipClaims und optionalClaims: steuern Gruppen- und Zusatzansprüche im Token.
  6. identifierUris: Application ID URI, empfohlen im Format api://<appId>.

Grenzen: App-Rollen und bereitgestellte Scopes zusammen standardmäßig maximal 700 Definitionen, alle Sammlungen im Manifest zusammen maximal 1.200 Einträge. Änderungen sind auch per Microsoft Graph, PowerShell oder Bicep möglich.

Vorteile & Nutzen

  • Volle Kontrolle: Einstellungen ohne eigene Portaloberfläche lassen sich direkt setzen.
  • Fehlersuche: Das Manifest zeigt Konfigurationsfehler bei Tokenversion, Redirect-URIs oder Berechtigungen auf einen Blick.
  • Dokumentation und Vergleich: Als JSON lässt sich der Stand einer App sichern und mit anderen Umgebungen vergleichen.
  • Grundlage für Automatisierung: Die Attribute entsprechen der Graph-Entität und lassen sich per Code setzen.

Praxisbeispiel

Ein Softwarehaus entwickelt für einen Kunden aus der Logistik eine interne API, die Disponenten und Lagerleiter unterschiedlich nutzen dürfen. Der Entwickler definiert im Manifest die App-Rollen Disponent und Lagerleitung, setzt requestedAccessTokenVersion auf 2 und trägt als identifierUris api://<appId> ein. Der Kunden-Admin weist die Rollen Entra-Gruppen zu, und die API prüft den roles-Anspruch im Token. Eine eigene Rechteverwaltung in der Anwendung entfällt.

Worauf sollte man achten?

  • Lade vor Änderungen das aktuelle Manifest herunter, damit Du einen Stand zur Wiederherstellung hast.
  • Ändere einzelne Attribute im Editor, statt ein altes Manifest vollständig hochzuladen, das vermeidet Fehler durch Schemaänderungen.
  • Halte Redirect-URIs eng und entferne Test- und localhost-Adressen aus Produktions-Apps.
  • Setze acceptMappedClaims bei mandantenfähigen Apps nicht auf true, weil Angreifer sonst Claims-Mapping-Richtlinien missbrauchen könnten.
  • Versioniere App-Konfigurationen per Graph oder Bicep, damit Änderungen nachvollziehbar sind.

Lizenz & Verfügbarkeit

Kostenlos, Bestandteil jeder App-Registrierung in Microsoft Entra ID. Stand: Oktober 2026.

Fazit

Das Manifest ist das Feinsteuerungswerkzeug für App-Registrierungen. Ändere es gezielt, gesichert und möglichst automatisiert.

Weiterführende Links

Verwandte Artikel