# 디렉터리 및 앱 역할 할당 권한에 필요한 범위를 사용하여 Microsoft Graph에 연결합니다.
Connect-MgGraph -Scopes 'Directory.ReadWrite.All', 'AppRoleAssignment.ReadWrite.All'

# 고유한 주요 ID(UUID)를 사용하여 관리 ID의 서비스 주체 객체를 검색합니다.
$managedIdentity = Get-MgServicePrincipal -ServicePrincipalId 'Principal ID'

# Microsoft Graph의 엔터프라이즈 애플리케이션 개체를 설정합니다.
# 이는 Azure AD에서 특정 앱 ID를 가진 Microsoft Graph의 서비스 주체 객체입니다.
$graphSPN = Get-MgServicePrincipal -Filter "AppId eq '00000003-0000-0000-c000-000000000000'"

# 관리 ID에 할당할 권한 범위를 정의합니다.
# 이는 관리 ID에 필요한 Microsoft Graph API 권한입니다.
$permissions = @(
  "Application.Read.All"   # 디렉터리의 애플리케이션을 읽을 수 있는 권한
  "Directory.Read.All"     # 디렉터리 데이터를 읽을 수 있는 권한
  "Policy.Read.All"        # 디렉터리 내 정책을 읽을 수 있는 권한
)

# 정의된 권한과 일치하는 Microsoft Graph 서비스 주체의 앱 역할을 필터링하여 찾습니다.
# "AllowedMemberTypes"에 "Application"이 포함된 역할만 포함합니다(관리 ID에 적합).
$appRoles = $graphSPN.AppRoles |
    Where-Object Value -in $permissions |
    Where-Object AllowedMemberTypes -contains "Application"

# 각 앱 역할을 반복하여 관리 ID에 할당합니다.
foreach ($appRole in $appRoles) {
    # 역할 할당을 위한 매개변수를 정의합니다. 여기에는 관리 ID의 주요 ID,
    # Microsoft Graph 서비스 주체의 리소스 ID, 할당되는 특정 앱 역할 ID가 포함됩니다.
    $bodyParam = @{
        PrincipalId = $managedIdentity.Id  # 관리 ID의 ID(서비스 주체)
        ResourceId  = $graphSPN.Id         # Microsoft Graph 서비스 주체의 ID
        AppRoleId   = $appRole.Id          # 할당되는 앱 역할의 ID
    }

    # 관리 ID에 대한 새 앱 역할 할당을 생성하여 지정된 권한을 부여합니다.
    New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $managedIdentity.Id -BodyParameter $bodyParam
}

# 디렉터리 및 앱 역할 할당 권한에 대한 필요한 범위로 Microsoft Graph에 연결합니다.
Connect-MgGraph -Scopes 'Directory.ReadWrite.All', 'AppRoleAssignment.ReadWrite.All'

# 고유한 주체 ID(UUID)를 사용하여 관리형 ID의 서비스 주체 개체를 검색합니다.
$managedIdentity = Get-MgServicePrincipal -ServicePrincipalId 'Principal ID'

# Microsoft Graph의 엔터프라이즈 애플리케이션 개체를 설정합니다.
# 이는 특정 앱 ID를 가진 Azure AD에서 Microsoft Graph를 나타내는 서비스 주체 개체입니다.
$graphSPN = Get-MgServicePrincipal -Filter "AppId eq '00000003-0000-0000-c000-000000000000'"

# 관리형 ID에 할당할 권한 범위를 정의합니다.
# 여기에는 관리형 ID에서 요구하는 Microsoft Graph API 권한이 포함됩니다.
$permissions = @(
  "Application.Read.All"   # 디렉터리의 애플리케이션을 읽을 수 있는 권한
  "Directory.Read.All"     # 디렉터리 데이터를 읽을 수 있는 권한
  "Policy.Read.All"        # 디렉터리 내 정책을 읽을 수 있는 권한
)

# 정의된 권한에 맞는 Microsoft Graph 서비스 주체의 앱 역할을 필터링하고 찾습니다.
# "AllowedMemberTypes"에 "Application"이 포함된 역할만 포함합니다(관리형 ID에 적합).
$appRoles = $graphSPN.AppRoles |
    Where-Object Value -in $permissions |
    Where-Object AllowedMemberTypes -contains "Application"

# 각 앱 역할을 반복하여 관리형 ID에 할당합니다.
foreach ($appRole in $appRoles) {
    # 관리형 ID의 주체 ID, Microsoft Graph 서비스 주체의 리소스 ID 및 특정 앱 역할 ID를 포함한 역할 할당 매개변수를 정의합니다.
    $bodyParam = @{
        PrincipalId = $managedIdentity.Id  # 관리형 ID의 ID(서비스 주체)
        ResourceId  = $graphSPN.Id         # Microsoft Graph 서비스 주체의 ID
        AppRoleId   = $appRole.Id          # 할당되는 앱 역할의 ID
    }

    # 관리형 ID에 대한 새로운 앱 역할 할당을 생성하여 지정된 권한을 부여합니다.
    New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $managedIdentity.Id -BodyParameter $bodyParam
}

# 애플리케이션 생성 및 앱 역할 할당 권한에 필요한 범위로 Microsoft Graph에 연결합니다.
Connect-MgGraph -Scopes "Application.ReadWrite.All", "AppRoleAssignment.ReadWrite.All"

# 애플리케이션 관리를 위한 Microsoft Graph 모듈을 가져옵니다.
Import-Module Microsoft.Graph.Applications

# 표시 이름을 포함한 애플리케이션 매개변수를 정의합니다.
$params = @{
	displayName = 'Application name'  # 새 애플리케이션의 표시 이름을 설정합니다.
}

# SAML 애플리케이션 템플릿 ID를 설정합니다.
# 이 ID는 갤러리에 없는 SAML 애플리케이션 템플릿에 해당합니다.
$applicationTemplateId = "8adf8e6e-67b2-4cf2-a259-e3dc5476c621"

# 새 애플리케이션 및 해당 서비스 주체를 생성하기 위해 애플리케이션 템플릿을 인스턴스화합니다.
$app = Invoke-MgInstantiateApplicationTemplate -ApplicationTemplateId $applicationTemplateId -BodyParameter $params

# 새로 생성된 애플리케이션의 Application ID, Object ID 및 Service Principal ID를 추출합니다.
$appId = $app.Application.AppId       # 애플리케이션의 고유 식별자 (클라이언트 ID).
$objectId = $app.Application.Id       # Azure AD 내 애플리케이션의 고유 객체 ID.
$servicePrincipal = $app.ServicePrincipal.Id  # 서비스 주체의 고유 객체 ID.

# SAML에 사용되는 토큰 서명 인증서 매개변수를 정의합니다.
$principalTokenSigningCertificateParams = @{
	displayName = "CN=azure-sso"  # SAML 토큰 서명 인증서의 공통 이름(CN).
}

# SAML 인증에 필요한 서비스 주체에 토큰 서명 인증서를 추가합니다.
$cert = Add-MgServicePrincipalTokenSigningCertificate -ServicePrincipalId $servicePrincipal -BodyParameter $principalTokenSigningCertificateParams

# SAML을 구성하는 데 사용될 인증서의 지문을 추출합니다.
$thumbprint = $cert.Thumbprint

# 서비스 주체에 대한 추가 SAML 전용 속성을 설정합니다.
$updateServicePrincipalParams = @{
	preferredSingleSignOnMode = "saml"                    # SAML을 단일 로그온 모드로 설정합니다.
	preferredTokenSigningKeyThumbprint = $thumbprint      # 토큰 서명을 위한 추가 인증서의 지문을 사용합니다.
	appRoleAssignmentRequired = $false                    # 명시적인 앱 역할 할당 없이 앱 액세스를 허용합니다.
}

# SAML 구성으로 서비스 주체를 업데이트합니다.
Update-MgServicePrincipal -ServicePrincipalId $servicePrincipal -BodyParameter $updateServicePrincipalParams

# 프록시(URL) (Teleport Auth 서비스 주소)를 정의합니다.
# 이 URL은 리디렉션 URI 및 식별자 URI로 사용됩니다.
$proxyURL = 'https://example.teleport.sh:443'.TrimEnd("/").TrimEnd(":443")  # 표준 형식을 위해 기본 443 포트를 제거합니다.
$acsURL = $proxyURL+'/v1/webapi/saml/acs/Auth Connector Name'

# SAML 인증을 위한 리디렉션 URI를 포함한 웹 속성을 정의합니다.
$web = @{
	redirectUris = @($acsURL)  # 애플리케이션의 리디렉션 URI를 설정합니다.
}

# 웹 속성과 식별자 URI로 애플리케이션을 업데이트합니다.
# 이는 SAML 기반 인증을 활성화하고 보안 그룹 주장을 포함합니다.
Update-MgApplication -ApplicationId $objectId -Web $web -IdentifierUris @($acsURL)

# 애플리케이션이 포함할 그룹 멤버십 주장을 위한 선택적 주장을 정의합니다.
$optionalClaims = [Microsoft.Graph.PowerShell.Models.MicrosoftGraphOptionalClaims]::DeserializeFromDictionary(@{
	AccessToken = @(
      @{ Name = 'groups' }
   )
   IdToken = @(
	  @{ Name = 'groups' }
   )
   Saml2Token = @(
      @{ Name = 'groups' }
   )
})

Update-MgApplication -ApplicationId $objectId -GroupMembershipClaims "SecurityGroup" -OptionalClaims $optionalClaims


# 표시 목적으로 테넌트 ID를 가져옵니다.
$tenant = Get-AzTenant

# 참조를 위해 애플리케이션 ID, 테넌트 ID 및 추가 정보를 출력합니다.
Write-Output "-------------------------------------------------------" "다음 세부 정보를 복사하고 붙여넣기:" "애플리케이션 ID (클라이언트 ID): $appId" "테넌트 ID: $tenant" "-------------------------------------------------------"

# 연합 정체성 자격 증명을 위한 주체를 정의합니다. 이는 Teleport에서 정의된 상수입니다.
$subject = "teleport-azure"

# 자격 증명에 대해 허용되는 청중을 정의합니다. 상수 값입니다.
$audiences = @("api://AzureADTokenExchange")

# 발행자를 Teleport 클러스터 프록시 URL로 설정합니다.
$issuer = $proxyURL

# 애플리케이션 내 식별을 위한 연합 정체성 자격 증명의 고유한 이름을 정의합니다.
$name = "teleport-oidc"

# Microsoft Graph에서 애플리케이션을 위한 새로운 연합 정체성 자격 증명을 생성합니다.
$credential = New-MgApplicationFederatedIdentityCredential -ApplicationId $objectId -Subject $subject -Audiences $audiences -Issuer $issuer -Name $name


# 애플리케이션에 필요한 권한을 구성합니다.

# 고유한 주체 ID(UUID)를 사용하여 관리되는 정체성의 서비스 주체 객체를 가져옵니다.
$managedIdentity = Get-MgServicePrincipal -ServicePrincipalId $servicePrincipal


# Microsoft Graph 엔터프라이즈 애플리케이션 객체를 설정합니다.
# 이는 특정 앱 ID를 가진 Azure AD에서 Microsoft Graph를 나타내는 서비스 주체 객체입니다.
$graphSPN = Get-MgServicePrincipal -Filter "AppId eq '00000003-0000-0000-c000-000000000000'"

# 관리되는 정체성에 할당할 권한 범위를 정의합니다.
# 이는 관리되는 정체성에 필요한 Microsoft Graph API 권한입니다.
$permissions = @(
  "Application.Read.All"   # 디렉토리의 애플리케이션을 읽을 수 있는 권한
  "Directory.Read.All"     # 디렉토리 데이터를 읽을 수 있는 권한
  "Policy.Read.All"        # 디렉토리 내 정책을 읽을 수 있는 권한
)

# 정의된 권한과 일치하는 Microsoft Graph 서비스 주체의 앱 역할을 필터링하고 찾습니다.
# "AllowedMemberTypes"에 "Application"이 포함된 역할만 포함합니다(관리된 정체성에 적합).
$appRoles = $graphSPN.AppRoles |
    Where-Object Value -in $permissions |
    Where-Object AllowedMemberTypes -contains "Application"

# 각 앱 역할을 반복하며 관리되는 정체성에 할당합니다.
foreach ($appRole in $appRoles) {
    # 역할 할당을 위한 매개변수를 정의합니다. 여기에는 관리되는 정체성의 주체 ID,
    # Microsoft Graph 서비스 주체의 리소스 ID, 할당할 특정 앱 역할 ID가 포함됩니다.
    $bodyParam = @{
        PrincipalId = $managedIdentity.Id  # 관리되는 정체성의 ID (서비스 주체)
        ResourceId  = $graphSPN.Id         # Microsoft Graph 서비스 주체의 ID
        AppRoleId   = $appRole.Id          # 할당되는 앱 역할의 ID
    }

    # 지정된 권한을 부여하는 관리되는 정체성에 대해 새로운 앱 역할 할당을 생성합니다.
    New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $managedIdentity.Id -BodyParameter $bodyParam
}