# 디렉터리 및 앱 역할 할당 권한에 필요한 범위로 Microsoft Graph에 연결합니다.
Connect-MgGraph -Scopes 'Directory.ReadWrite.All', 'AppRoleAssignment.ReadWrite.All'

# 고유한 principal ID(UUID)를 사용하여 관리형 아이덴티티의 서비스 프린시펄 객체를 검색합니다.
$managedIdentity = Get-MgServicePrincipal -ServicePrincipalId 'Principal ID'

# Microsoft Graph 엔터프라이즈 애플리케이션 객체를 설정합니다.
# 이는 특정 앱 ID를 가진 Entra ID 내 Microsoft Graph를 나타내는 서비스 프린시펄 객체입니다.
$graphSPN = Get-MgServicePrincipal -Filter "AppId eq '00000003-0000-0000-c000-000000000000'"

# 관리형 아이덴티티에 할당할 권한 범위를 정의합니다.
# 이는 관리형 아이덴티티에 필요한 Microsoft Graph API 권한입니다.
$permissions = @(
  "Application.Read.All"   # 디렉터리 내 애플리케이션을 읽을 수 있는 권한
  "Directory.Read.All"     # 디렉터리 데이터를 읽을 수 있는 권한
  "Policy.Read.All"        # 디렉터리 내 정책을 읽을 수 있는 권한
)

# 정의된 권한과 일치하는 Microsoft Graph 서비스 프린시펄의 앱 역할을 필터링하고 찾습니다.
# "AllowedMemberTypes"에 "Application"이 포함된 역할만 포함합니다(관리형 아이덴티티에 적합).
$appRoles = $graphSPN.AppRoles |
    Where-Object Value -in $permissions |
    Where-Object AllowedMemberTypes -contains "Application"

# 각 앱 역할을 순회하며 관리형 아이덴티티에 할당합니다.
foreach ($appRole in $appRoles) {
    # 관리형 아이덴티티의 principal ID, Microsoft Graph 서비스 프린시펄의 리소스 ID,
    # 특정 앱 역할 ID를 포함하여 역할 할당 매개변수를 정의합니다.
    $bodyParam = @{
        PrincipalId = $managedIdentity.Id  # 관리형 아이덴티티(서비스 프린시펄)의 ID
        ResourceId  = $graphSPN.Id         # Microsoft Graph 서비스 프린시펄의 ID
        AppRoleId   = $appRole.Id          # 할당되는 앱 역할의 ID
    }

    # 관리형 아이덴티티에 대해 지정된 권한을 부여하는 새 앱 역할 할당을 생성합니다.
    New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $managedIdentity.Id -BodyParameter $bodyParam
}

# 디렉터리 및 앱 역할 할당 권한에 필요한 범위로 Microsoft Graph에 연결합니다.
Connect-MgGraph -Scopes 'Directory.ReadWrite.All', 'AppRoleAssignment.ReadWrite.All'

# 고유한 principal ID(UUID)를 사용하여 관리형 아이덴티티의 서비스 프린시펄 객체를 검색합니다.
$managedIdentity = Get-MgServicePrincipal -ServicePrincipalId 'Principal ID'

# Microsoft Graph 엔터프라이즈 애플리케이션 객체를 설정합니다.
# 이는 특정 앱 ID를 가진 Entra ID 내 Microsoft Graph를 나타내는 서비스 프린시펄 객체입니다.
$graphSPN = Get-MgServicePrincipal -Filter "AppId eq '00000003-0000-0000-c000-000000000000'"

# 관리형 아이덴티티에 할당할 권한 범위를 정의합니다.
# 이는 관리형 아이덴티티에 필요한 Microsoft Graph API 권한입니다.
$permissions = @(
  "Application.Read.All"   # 디렉터리 내 애플리케이션을 읽을 수 있는 권한
  "Directory.Read.All"     # 디렉터리 데이터를 읽을 수 있는 권한
  "Policy.Read.All"        # 디렉터리 내 정책을 읽을 수 있는 권한
)

# 정의된 권한과 일치하는 Microsoft Graph 서비스 프린시펄의 앱 역할을 필터링하고 찾습니다.
# "AllowedMemberTypes"에 "Application"이 포함된 역할만 포함합니다(관리형 아이덴티티에 적합).
$appRoles = $graphSPN.AppRoles |
    Where-Object Value -in $permissions |
    Where-Object AllowedMemberTypes -contains "Application"

# 각 앱 역할을 순회하며 관리형 아이덴티티에 할당합니다.
foreach ($appRole in $appRoles) {
    # 관리형 아이덴티티의 principal ID, Microsoft Graph 서비스 프린시펄의 리소스 ID,
    # 특정 앱 역할 ID를 포함하여 역할 할당 매개변수를 정의합니다.
    $bodyParam = @{
        PrincipalId = $managedIdentity.Id  # 관리형 아이덴티티(서비스 프린시펄)의 ID
        ResourceId  = $graphSPN.Id         # Microsoft Graph 서비스 프린시펄의 ID
        AppRoleId   = $appRole.Id          # 할당되는 앱 역할의 ID
    }

    # 관리형 아이덴티티에 대해 지정된 권한을 부여하는 새 앱 역할 할당을 생성합니다.
    New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $managedIdentity.Id -BodyParameter $bodyParam
}

# 애플리케이션 생성 및 앱 역할 할당 권한에 필요한 범위로 Microsoft Graph에 연결합니다.
Connect-MgGraph -Scopes "Application.ReadWrite.All", "AppRoleAssignment.ReadWrite.All"

# 애플리케이션을 관리하기 위한 Microsoft Graph 모듈을 가져옵니다.
Import-Module Microsoft.Graph.Applications

# 표시 이름을 포함한 애플리케이션 매개변수를 정의합니다.
$params = @{
	displayName = 'Application name'  # 새 애플리케이션의 표시 이름을 설정합니다.
}

# SAML 애플리케이션 템플릿 ID를 설정합니다.
# 이 ID는 갤러리에 없는 SAML 애플리케이션 템플릿에 해당합니다.
$applicationTemplateId = "8adf8e6e-67b2-4cf2-a259-e3dc5476c621"

# 애플리케이션 템플릿을 인스턴스화하여 새 애플리케이션과 그 서비스 프린시펄을 생성합니다.
$app = Invoke-MgInstantiateApplicationTemplate -ApplicationTemplateId $applicationTemplateId -BodyParameter $params

# 새로 생성된 애플리케이션의 애플리케이션 ID, 객체 ID, 서비스 프린시펄 ID를 추출합니다.
$appId = $app.Application.AppId       # 애플리케이션의 고유 식별자(클라이언트 ID).
$objectId = $app.Application.Id       # Entra ID 내 애플리케이션의 고유 객체 ID.
$servicePrincipal = $app.ServicePrincipal.Id  # 서비스 프린시펄의 고유 객체 ID.

# SAML에 사용되는 토큰 서명 인증서에 대한 매개변수를 정의합니다.
$principalTokenSigningCertificateParams = @{
	displayName = "CN=azure-sso"  # SAML 토큰 서명 인증서의 일반 이름(CN).
}

# SAML 인증에 필요한 토큰 서명 인증서를 서비스 프린시펄에 추가합니다.
$cert = Add-MgServicePrincipalTokenSigningCertificate -ServicePrincipalId $servicePrincipal -BodyParameter $principalTokenSigningCertificateParams

# SAML을 구성하는 데 사용될 인증서의 지문(thumbprint)을 추출합니다.
$thumbprint = $cert.Thumbprint

# 서비스 프린시펄에 대한 추가 SAML 관련 속성을 설정합니다.
$updateServicePrincipalParams = @{
	preferredSingleSignOnMode = "saml"                    # SAML을 싱글 사인온 모드로 설정합니다.
	preferredTokenSigningKeyThumbprint = $thumbprint      # 추가된 인증서의 지문을 토큰 서명에 사용합니다.
	appRoleAssignmentRequired = $false                    # 명시적인 앱 역할 할당 없이도 앱 접근을 허용합니다.
}

# SAML 구성으로 서비스 프린시펄을 업데이트합니다.
Update-MgServicePrincipal -ServicePrincipalId $servicePrincipal -BodyParameter $updateServicePrincipalParams

# 프록시(Teleport Auth 서비스 주소)의 URL을 정의합니다.
# 이 URL은 리디렉션 URI 및 식별자 URI로 사용됩니다.
$proxyURL = 'https://example.teleport.sh:443'.TrimEnd("/").TrimEnd(":443")  # 표준 형식을 위해 기본 443 포트를 제거합니다.
$acsURL = $proxyURL+'/v1/webapi/saml/acs/Auth Connector Name'

# SAML 인증을 위한 리디렉션 URI를 포함하여 웹 속성을 정의합니다.
$web = @{
	redirectUris = @($acsURL)  # 애플리케이션의 리디렉션 URI를 설정합니다.
}

# 웹 속성과 식별자 URI로 애플리케이션을 업데이트합니다.
# 이는 SAML 기반 인증을 활성화하고 보안 그룹 클레임을 포함합니다.
Update-MgApplication -ApplicationId $objectId -Web $web -IdentifierUris @($acsURL)
# 그룹 멤버십 클레임을 포함하도록 애플리케이션의 선택적 클레임을 정의합니다.
$optionalClaims = [Microsoft.Graph.PowerShell.Models.MicrosoftGraphOptionalClaims]::DeserializeFromDictionary(@{
	AccessToken = @(
      @{ Name = 'groups' }
   )
   IdToken = @(
	  @{ Name = 'groups' }
   )
   Saml2Token = @(
      @{ Name = 'groups' }
   )
})

Update-MgApplication -ApplicationId $objectId -GroupMembershipClaims "SecurityGroup" -OptionalClaims $optionalClaims

# 표시용으로 테넌트 ID를 검색합니다.
$tenant = Get-AzTenant

# 참조용으로 애플리케이션 ID, 테넌트 ID 및 추가 정보를 출력합니다.
Write-Output "-------------------------------------------------------" "Copy and paste the following details:" "Application ID (Client ID): $appId" "Tenant ID: $tenant" "-------------------------------------------------------"

# 페더레이션 아이덴티티 자격 증명의 subject를 정의합니다. 이는 Teleport에서 정의된 상수입니다.
$subject = "teleport-azure"

# 자격 증명에 대해 허용되는 대상(audience)을 정의합니다. 이는 상수 값입니다.
$audiences = @("api://AzureADTokenExchange")

# 발급자(issuer)를 Teleport 클러스터 프록시 URL로 설정합니다.
$issuer = $proxyURL

# 페더레이션 아이덴티티 자격 증명에 대한 고유한 이름을 정의합니다. 이 이름은 애플리케이션 내에서 식별에 사용됩니다.
$name = "teleport-oidc"

# Microsoft Graph에서 애플리케이션에 대한 새 페더레이션 아이덴티티 자격 증명을 생성합니다.
$credential = New-MgApplicationFederatedIdentityCredential -ApplicationId $objectId -Subject $subject -Audiences $audiences -Issuer $issuer -Name $name

# 애플리케이션에 필요한 권한을 구성합니다.

# 고유한 principal ID(UUID)를 사용하여 관리형 아이덴티티의 서비스 프린시펄 객체를 검색합니다.
$managedIdentity = Get-MgServicePrincipal -ServicePrincipalId $servicePrincipal

# Microsoft Graph 엔터프라이즈 애플리케이션 객체를 설정합니다.
# 이는 특정 앱 ID를 가진 Entra ID 내 Microsoft Graph를 나타내는 서비스 프린시펄 객체입니다.
$graphSPN = Get-MgServicePrincipal -Filter "AppId eq '00000003-0000-0000-c000-000000000000'"

# 관리형 아이덴티티에 할당할 권한 범위를 정의합니다.
# 이는 관리형 아이덴티티에 필요한 Microsoft Graph API 권한입니다.
$permissions = @(
  "Application.Read.All"   # 디렉터리 내 애플리케이션을 읽을 수 있는 권한
  "Directory.Read.All"     # 디렉터리 데이터를 읽을 수 있는 권한
  "Policy.Read.All"        # 디렉터리 내 정책을 읽을 수 있는 권한
)

# 정의된 권한과 일치하는 Microsoft Graph 서비스 프린시펄의 앱 역할을 필터링하고 찾습니다.
# "AllowedMemberTypes"에 "Application"이 포함된 역할만 포함합니다(관리형 아이덴티티에 적합).
$appRoles = $graphSPN.AppRoles |
    Where-Object Value -in $permissions |
    Where-Object AllowedMemberTypes -contains "Application"

# 각 앱 역할을 순회하며 관리형 아이덴티티에 할당합니다.
foreach ($appRole in $appRoles) {
    # 관리형 아이덴티티의 principal ID, Microsoft Graph 서비스 프린시펄의 리소스 ID,
    # 특정 앱 역할 ID를 포함하여 역할 할당 매개변수를 정의합니다.
    $bodyParam = @{
        PrincipalId = $managedIdentity.Id  # 관리형 아이덴티티(서비스 프린시펄)의 ID
        ResourceId  = $graphSPN.Id         # Microsoft Graph 서비스 프린시펄의 ID
        AppRoleId   = $appRole.Id          # 할당되는 앱 역할의 ID
    }

    # 관리형 아이덴티티에 대해 지정된 권한을 부여하는 새 앱 역할 할당을 생성합니다.
    New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $managedIdentity.Id -BodyParameter $bodyParam
}