Authentifizierung und Autorisierung in Microsoft Entra ID
Microsoft Entra ID unterstützt moderne Identitätsprotokolle, einschließlich OAuth 2.0 und OpenID Connect. Bibliotheken wie MSAL4J helfen Anwendungen dabei, diese Protokolle zu verwenden, ohne jede Protokollinteraktion selbst zu implementieren.
Im Unternehmensportalszenario ist Microsoft Entra ID der Identitätsanbieter. Das Portal basiert darauf, Konten zu authentifizieren und Token auszugeben, aber das Portal hat weiterhin Zuständigkeiten für eigene Sitzungen und Autorisierungsentscheidungen.
Authentifizierung
Die Authentifizierung richtet eine Identität ein und überprüft sie. Bei einer benutzerorientierten Anwendung beantwortet sie die Frage "Wer ist dieser Benutzer?"
OpenID Connect fügt OAuth 2.0 eine Identitätsebene hinzu. Eine Anwendung kann ein ID-Token empfangen, das Ansprüche über einen authentifizierten Benutzer und das Authentifizierungsereignis enthält. Das ID-Token ist für die Clientanwendung vorgesehen; es ist nicht das Token, das die Anwendung an Microsoft Graph sendet.
Autorisierung
Die Autorisierung bestimmt, ob eine Identität über die Berechtigung zum Ausführen eines Vorgangs oder des Zugriffs auf Daten verfügt. Sie beantwortet die Frage: „Was darf dieser Benutzer oder diese Anwendung tun?“
OAuth 2.0 stellt Flüsse zum Abrufen von Zugriffstoken für geschützte APIs bereit. Im Portalszenario ermöglicht ein Microsoft Graph Zugriffstoken dem Portal das Anfordern bestimmter Daten im Namen des angemeldeten Benutzers, vorbehaltlich der erteilten Berechtigungen.
In der folgenden Tabelle werden die Authentifizierungs- und Autorisierungsaufgaben des Portals unterschieden.
| Sorge | Beispiel im Portal |
|---|---|
| Authentifizierung | Microsoft Entra ID authentifiziert ein Konto, und das Portal empfängt über den Anmeldeablauf ein ID-Token. |
| API-Autorisierung | Ein Microsoft Graph Zugriffstoken verfügt über delegierte Berechtigung zum Lesen des Profils des angemeldeten Benutzers. |
| Anwendungsautorisierung | Das Portal wendet alle zusätzlichen Regeln an, die den Zugriff auf eigene Seiten oder Geschäftsvorgänge steuern. |
Die erfolgreiche Authentifizierung gewährt nicht automatisch Zugriff auf jede Seite oder API. Die Mandantenmitgliedschaft allein stellt beispielsweise nicht fest, dass eine Person ein Mitarbeiter ist.
Anwendungsregistrierung
Eine Anwendungsregistrierung beschreibt eine Anwendung in Microsoft Entra ID. Sie richtet die Identitäts- und Datensatzeinstellungen der Anwendung ein, z. B. ihre Anmeldegruppe und Umleitungs-URIs. Registrierungen können über das Azure Portal, Azure CLI oder Microsoft Graph APIs verwaltet werden. In diesem Modul wird keine Registrierung erstellt.
Die unterstützten Kontotypen definieren die Anmeldegruppe:
- Konten in diesem Organisationsverzeichnis identifizieren nur eine Benutzergruppe mit nur einem Mandanten, einschließlich Benutzer- und Gastkonten im ausgewählten Mandanten.
- Konten in einem beliebigen Organisationsverzeichnis ermöglicht Konten aus Microsoft-Entra-Mandanten in einem Multimandanten-Design.
- Konten in allen Organisationsverzeichnissen und persönlichen Microsoft-Konten ermöglichen auch persönliche Microsoft Konten.
- Persönliche Microsoft-Konten beschränken die Benutzergruppe auf persönliche Microsoft Konten, z. B. Outlook.com Konten.
Die Registrierung verfügt über eine Anwendungs-ID (Client-ID ), die die Anwendung in Protokollanforderungen identifiziert. Eine vertrauliche Webanwendung verwendet auch eine Anwendungsanmeldeinformationen, um sich während des Tokenerwerbs selbst zu authentifizieren. Die Client-ID und die Anmeldeinformationen haben unterschiedliche Zwecke: Ein Bezeichner ist kein geheimer Schlüssel.
Die nächste Einheit interpretiert eine Beispielregistrierung und verbindet ihre Einstellungen mit den Codebeispielen.