Získání tokenů pro volání webového rozhraní API pomocí aplikace démona

Po vytvoření důvěrné klientské aplikace můžete získat token pro aplikaci voláním AcquireTokenForClient, předáním oboru a případně vynucením aktualizace tokenu.

Obory, které se mají vyžádat

Obor, který se má vyžádat pro tok přihlašovacích údajů klienta, je název prostředku následovaný /.default. Tato notace říká Microsoftu Entra ID, aby během registrace aplikace používalo staticky deklarovaná oprávnění na úrovni aplikace. Tato oprávnění rozhraní API musí také udělit správce tenanta.

.NET

Tady je příklad definování rozsahů webového rozhraní API v rámci konfigurace v souboru appsettings.json. Tento příklad pochází z ukázky kódu démona konzoly .NET na GitHubu.

{
    "AzureAd": {
        // Same AzureAd section as before.
    },

    "MyWebApi": {
        "BaseUrl": "https://localhost:44372/",
        "RelativePath": "api/TodoList",
        "RequestAppToken": true,
        "Scopes": [ "[Enter here the scopes for your web API]" ]
    }
}

Java

final static String GRAPH_DEFAULT_SCOPE = "https://graph.microsoft.com/.default";

Node.js

const tokenRequest = {
    scopes: [process.env.GRAPH_ENDPOINT + '.default'], // e.g. 'https://graph.microsoft.com/.default'
};

Python

V MSAL Pythonu vypadá konfigurační soubor jako tento fragment kódu:

{
    "scope": ["https://graph.microsoft.com/.default"],
}

.NET (nízká úroveň)

ResourceId = "someAppIDURI";
var scopes = new [] {  ResourceId+"/.default"};

Prostředky Azure AD (v1.0)

Obor použitý pro přihlašovací údaje klienta by měl vždy být ID prostředku následované /.default.

Důležité

Když MSAL požádá o přístupový token pro prostředek, který přijímá přístupový token verze 1.0, Microsoft Entra ID parsuje požadovanou cílovou skupinu z požadovaného oboru tím, že převezme vše před posledním lomítkem a použije ho jako identifikátor prostředku. Pokud tedy jako Azure SQL Database (https://database.windows.net), prostředek očekává cílovou skupinu, která končí lomítkem (pro Azure SQL Database, https://database.windows.net/), budete muset požádat o rozsah https://database.windows.net//.default. (Všimněte si dvojitého lomítka.) Viz také MSAL.NET problém č. 747: Resource url's trailing slash is omitted, which caused sql auth failure.

AcquireTokenForClient API

Pokud chcete získat token pro aplikaci, použijte AcquireTokenForClient nebo jeho ekvivalent v závislosti na platformě.

.NET

S Microsoft.Identity.Web nepotřebujete získat token. Rozhraní API vyšší úrovně můžete použít, jak vidíte při volání webového rozhraní API z aplikace démona. Pokud ale používáte sadu SDK, která vyžaduje token, následující fragment kódu ukazuje, jak tento token získat.

using Microsoft.Extensions.DependencyInjection;
using Microsoft.Identity.Abstractions;
using Microsoft.Identity.Web;

// In the Program.cs, acquire a token for your downstream API

var tokenAcquirerFactory = TokenAcquirerFactory.GetDefaultInstance();
ITokenAcquirer acquirer = tokenAcquirerFactory.GetTokenAcquirer();
AcquireTokenResult tokenResult = await acquirer.GetTokenForUserAsync(new[] { "https://graph.microsoft.com/.default" });
string accessToken = tokenResult.AccessToken;

Java

Tento kód se extrahuje z ukázek vývoje jazyka Java pro MSAL.

private static IAuthenticationResult acquireToken() throws Exception {

     // Load token cache from file and initialize token cache aspect. The token cache will have
     // dummy data, so the acquireTokenSilently call will fail.
     TokenCacheAspect tokenCacheAspect = new TokenCacheAspect("sample_cache.json");

     IClientCredential credential = ClientCredentialFactory.createFromSecret(CLIENT_SECRET);
     ConfidentialClientApplication cca =
             ConfidentialClientApplication
                     .builder(CLIENT_ID, credential)
                     .authority(AUTHORITY)
                     .setTokenCacheAccessAspect(tokenCacheAspect)
                     .build();

     IAuthenticationResult result;
     try {
         SilentParameters silentParameters =
                 SilentParameters
                         .builder(SCOPE)
                         .build();

         // try to acquire token silently. This call will fail since the token cache does not
         // have a token for the application you are requesting an access token for
         result = cca.acquireTokenSilently(silentParameters).join();
     } catch (Exception ex) {
         if (ex.getCause() instanceof MsalException) {

             ClientCredentialParameters parameters =
                     ClientCredentialParameters
                             .builder(SCOPE)
                             .build();

             // Try to acquire a token. If successful, you should see
             // the token information printed out to console
             result = cca.acquireToken(parameters).join();
         } else {
             // Handle other exceptions accordingly
             throw ex;
         }
     }
     return result;
 }

Node.js

Následující fragment kódu znázorňuje získání tokenu v důvěrné klientské aplikaci MSAL Node:

try {
    const authResponse = await cca.acquireTokenByClientCredential(tokenRequest);
    console.log(authResponse.accessToken) // display access token
} catch (error) {
    console.log(error);
}

Python

# The pattern to acquire a token looks like this.
result = None

# First, the code looks up a token from the cache.
# Because we're looking for a token for the current app, not for a user,
# use None for the account parameter.
result = app.acquire_token_silent(config["scope"], account=None)

if not result:
    logging.info("No suitable token exists in cache. Let's get a new one from Azure AD.")
    result = app.acquire_token_for_client(scopes=config["scope"])

if "access_token" in result:
    # Call a protected API with the access token.
    print(result["token_type"])
else:
    print(result.get("error"))
    print(result.get("error_description"))
    print(result.get("correlation_id"))  # You might need this when reporting a bug.

.NET (nízká úroveň)

using Microsoft.Identity.Client;

// With client credentials flows, the scope is always of the shape "resource/.default" because the
// application permissions need to be set statically (in the portal or by PowerShell), and then granted by
// a tenant administrator.
string[] scopes = new string[] { "https://graph.microsoft.com/.default" };

AuthenticationResult result = null;
try
{
 result = await app.AcquireTokenForClient(scopes)
                  .ExecuteAsync();
}
catch (MsalUiRequiredException ex)
{
    // The application doesn't have sufficient permissions.
    // - Did you declare enough app permissions during app creation?
    // - Did the tenant admin grant permissions to the application?
}
catch (MsalServiceException ex) when (ex.Message.Contains("AADSTS70011"))
{
    // Invalid scope. The scope has to be in the form "https://resourceurl/.default"
    // Mitigation: Change the scope to be as expected.
}

AcquireTokenForClient používá mezipaměť tokenů aplikace.

V MSAL.NET AcquireTokenForClient používá mezipaměť tokenů aplikace. (Všechny ostatní AcquireTokenMetody XX používají mezipaměť tokenů uživatele.) Před voláním nezavolejte AcquireTokenSilentAcquireTokenForClient, protože AcquireTokenSilent používá mezipaměť tokenů uživatele . AcquireTokenForClient zkontroluje samotnou mezipaměť tokenu aplikace a aktualizuje ji.

Protokol

Pokud ještě nemáte knihovnu pro zvolený jazyk, můžete protokol použít přímo:

První případ: Přístup k žádosti o token pomocí sdíleného tajného kódu

POST /{tenant}/oauth2/v2.0/token HTTP/1.1           //Line breaks for clarity.
Host: login.microsoftonline.com
Content-Type: application/x-www-form-urlencoded

client_id=00001111-aaaa-2222-bbbb-3333cccc4444
&scope=https%3A%2F%2Fgraph.microsoft.com%2F.default
&client_secret=A1b-C2d_E3f.H4i,J5k?L6m!N7o-P8q_R9s.T0u
&grant_type=client_credentials

Druhý případ: Přístup k žádosti o token pomocí certifikátu

POST /{tenant}/oauth2/v2.0/token HTTP/1.1               // Line breaks for clarity.
Host: login.microsoftonline.com
Content-Type: application/x-www-form-urlencoded

scope=https%3A%2F%2Fgraph.microsoft.com%2F.default
&client_id=11112222-bbbb-3333-cccc-4444dddd5555
&client_assertion_type=urn%3Aietf%3Aparams%3Aoauth%3Aclient-assertion-type%3Ajwt-bearer
&client_assertion=aaaaaaaa-0b0b-...
&grant_type=client_credentials

Další informace najdete v dokumentaci k protokolu: Microsoft Identity Platform a tok přihlašovacích údajů klienta OAuth 2.0.

Řešení problému

Použili jste obor resource/.default?

Pokud se zobrazí chybová zpráva s informací, že jste použili neplatný obor, pravděpodobně jste obor nepoužili resource/.default .

Zapomněli jste poskytnout souhlas správce? Aplikace démona ji potřebují!

Pokud se při volání rozhraní API zobrazí nedostatečná oprávnění k dokončení operace , musí správce tenanta aplikaci udělit oprávnění.

Pokud neudělíte souhlas správce s vaší aplikací, dojde k následující chybě:

Failed to call the web API: Forbidden
Content: {
  "error": {
    "code": "Authorization_RequestDenied",
    "message": "Insufficient privileges to complete the operation.",
    "innerError": {
      "request-id": "<guid>",
      "date": "<date>"
    }
  }
}

V závislosti na roli vyberte jednu z následujících možností.

Globální správce tenanta

Pokud chcete globálního správce tenanta, přejděte do podnikových aplikací v Centru pro správu Microsoft Entra. Vyberte registraci aplikace a v části Zabezpečení v levém podokně vyberte Oprávnění. Pak vyberte velké tlačítko s popiskem Udělení souhlasu správce pro {Název tenanta} (kde {Název tenanta} je název adresáře).

Standardní uživatel

Pro standardního uživatele vašeho tenanta požádejte globálního Správa istratora o udělení souhlasu správce s aplikací. Uděláte to tak, že správci poskytnete následující adresu URL:

https://login.microsoftonline.com/Enter_the_Tenant_Id_Here/adminconsent?client_id=Enter_the_Application_Id_Here

V adrese URL:

• Nahraďte Enter_the_Tenant_Id_Here ID tenanta nebo názvem tenanta (například contoso.microsoft.com).
• Enter_the_Application_Id_Here je ID aplikace (klienta) registrované aplikace.

Tato chyba AADSTS50011: No reply address is registered for the application se může zobrazit po udělení souhlasu s aplikací pomocí předchozí adresy URL. K této chybě dochází, protože aplikace a adresa URL nemají identifikátor URI přesměrování. To můžete ignorovat.

Voláte vlastní rozhraní API?

Pokud vaše aplikace démona volá vlastní webové rozhraní API a nemohli jste přidat oprávnění aplikace k registraci aplikace démona, musíte do registrace aplikace webového rozhraní API přidat role aplikace.

Další kroky

.NET

Přejděte k dalšímu článku v tomto scénáři volání webového rozhraní API.

Java

Přejděte k dalšímu článku v tomto scénáři volání webového rozhraní API.

Node.js

Přejděte k dalšímu článku v tomto scénáři volání webového rozhraní API.

Python

Přejděte k dalšímu článku v tomto scénáři volání webového rozhraní API.

Nízká úroveň .NET

Přejděte k dalšímu článku v tomto scénáři volání webového rozhraní API.