Compartir a través de

Prueba de una API web de ASP.NET Core protegida

Se aplica a: Círculo verde con un símbolo de marca de verificación blanca. Inquilinos del personal Círculo verde con un símbolo de marca de verificación blanca. Inquilinos externos (más información)

Este tutorial es la parte final de una serie que muestra cómo compilar y probar una API web protegida registrada en un inquilino de Microsoft Entra. En la parte 1 de esta serie, creó una API web de ASP.NET Core y protegió sus puntos de conexión. Ahora creará una aplicación daemon liviana, la registrará en su tenant y usará la aplicación daemon para probar la API web que ha construido.

En este tutorial, harás lo siguiente:

  • Registro de una aplicación demonio
  • Asignar un rol de aplicación a una aplicación demonio
  • Crea tu aplicación daemon
  • Ejecuta tu aplicación daemon para llamar a la API web protegida

Prerrequisitos

Registrar la aplicación de demonio

En los siguientes pasos se muestra cómo registrar una aplicación demonio en el centro de administración de Microsoft Entra:

  1. Inicie sesión en el Centro de administración de Microsoft Entra como al menos un desarrollador de aplicaciones.

  2. Si tiene acceso a varios clientes, utilice el icono de Configuración en el menú superior para cambiar al cliente externo desde el menú Directorios y suscripciones .

  3. Vaya a Entra ID>Registros de aplicaciones.

  4. Seleccione + Nuevo registro.

  5. En la página Registrar una aplicación que aparece, escriba la información de registro de la aplicación:

    1. En la sección Nombre , escriba un nombre de aplicación significativo que se mostrará a los usuarios de la aplicación, por ejemplo ciam-client-app.

    2. En Tipos de cuenta admitidos, seleccione Solo cuentas en este directorio organizativo.

  6. Seleccione Registrar.

  7. El panel Información general de la aplicación se muestra cuando se completa el registro. Registre el identificador de directorio (inquilino) y el identificador de aplicación (cliente) que se usará en el código fuente de la aplicación.

Cree un secreto de cliente para la aplicación registrada. La aplicación usa el secreto de cliente para demostrar su identidad cuando solicita tokens:

  1. En la página Registros de aplicaciones, seleccione la aplicación que creó (por ejemplo, el secreto de cliente de la aplicación web) para abrir su página Información general .
  2. En Administrar, seleccione Certificados y secretos>Secretos de cliente>Nuevo secreto de cliente.
  3. En el cuadro Descripción , escriba una descripción para el secreto de cliente (por ejemplo, secreto de cliente de la aplicación web).
  4. En Expirar, seleccione una duración para la que el secreto sea válido (según las reglas de seguridad de las organizaciones) y, a continuación, seleccione Agregar.
  5. Registre el valor del secreto. Este valor se usa para la configuración en un paso posterior. El valor del secreto no se volverá a mostrar y no se podrá recuperar por ningún medio, después de salir de la sección Certificados y Secretos. Asegúrese de grabarlo.

Asignar un rol de aplicación a una aplicación demonio

Las aplicaciones que se autentican por sí mismas sin un usuario requieren permisos de aplicación (también conocidos como roles). Estos permisos permiten que la propia aplicación acceda directamente a los recursos. Por otro lado, si probamos la API con un usuario que ha iniciado sesión, asignaríamos permisos delegados (ámbitos). Los permisos delegados permiten que la aplicación actúe en nombre del usuario, limitado a los derechos de acceso del usuario. Siga estos pasos para asignar permisos de aplicación a la aplicación daemon:

  1. En la página Registros de aplicaciones, seleccione la aplicación que creó, como ciam-client-app.

  2. En Administrar, seleccione Permisos de API.

  3. En Permisos configurados, seleccione Agregar un permiso.

  4. Seleccione la pestaña API que usa mi organización .

  5. En la lista de API, seleccione la API como ciam-ToDoList-api.

  6. Seleccione la opción Permisos de aplicación . Seleccionamos esta opción cuando la aplicación inicia sesión con su propio nombre, no en nombre de un usuario.

  7. En la lista de permisos, seleccione TodoList.Read.All, ToDoList.ReadWrite.All (use el cuadro de búsqueda si es necesario).

  8. Seleccione el botón Agregar permisos .

  9. En este momento, ha asignado los permisos correctamente. Sin embargo, dado que la aplicación de demonio no permite que los usuarios interactúen con ella, los propios usuarios no pueden dar su consentimiento a estos permisos. Para solucionar este problema, como administrador debe consentir estos permisos en nombre de todos los usuarios del inquilino:

    1. Seleccione Conceder consentimiento del administrador para <el nombre> del inquilino y, a continuación, seleccione Sí.
    2. Seleccione Actualizar y compruebe que Concedido para <tu nombre de inquilino> aparece en Estado para ambos permisos.

Crear una aplicación de servicio en segundo plano

  1. Inicialice una aplicación de consola de .NET y vaya a su carpeta raíz:

    dotnet new console -o MyTestApp
cd MyTestApp

  2. Instale MSAL.NET para ayudar a controlar la autenticación mediante la ejecución del siguiente comando:

    dotnet add package Microsoft.Identity.Client

  3. Ejecute el proyecto de API y anote el puerto en el que se ejecuta.

  4. Abra el archivo Program.cs y reemplace el código "Hola mundo" por el código siguiente.

    using System;
using System.Net.Http;
using System.Net.Http.Headers;

HttpClient client = new HttpClient();

var response = await client.GetAsync("http://localhost:<your-api-port>/api/todolist);
Console.WriteLine("Your response is: " + response.StatusCode);

    Vaya al directorio raíz de la aplicación demonio y ejecute la aplicación con el comando dotnet run. Este código envía una solicitud sin un token de acceso. Usted debería ver la cadena: Su respuesta es: No autorizado impresa en la consola.

  5. Quite el código del paso 4 y reemplácelo por lo siguiente para probar la API mediante el envío de una solicitud con un token de acceso válido. Esta aplicación de demonio usa el flujo de credenciales del cliente para adquirir un token de acceso cuando se autentica sin interacción del usuario.

    using Microsoft.Identity.Client;
using System;
using System.Net.Http;
using System.Net.Http.Headers;

HttpClient client = new HttpClient();

var clientId = "<your-daemon-app-client-id>";
var clientSecret = "<your-daemon-app-secret>";
var scopes = new[] {"api://<your-web-api-application-id>/.default"};
var tenantId = "<your-tenant-id>";     //Use in workforce tenant configuration
var tenantName = "<your-tenant-name>"; //Use in external tenant configuration
var authority = $"https://login.microsoftonline.com/{tenantId}"; // Use "https://{tenantName}.ciamlogin.com" for external tenant configuration 

var app = ConfidentialClientApplicationBuilder
    .Create(clientId)
    .WithAuthority(authority)
    .WithClientSecret(clientSecret)
    .Build();

var result = await app.AcquireTokenForClient(new string[] { scopes }).ExecuteAsync();
Console.WriteLine($"Access Token: {result.AccessToken}");

client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", result.AccessToken);
var response = await client.GetAsync("http://localhost:/<your-api-port>/api/todolist");
var content = await response.Content.ReadAsStringAsync();

Console.WriteLine("Your response is: " + response.StatusCode);
Console.WriteLine(content);

  6. Reemplace los marcadores de posición del código por el identificador de cliente de la aplicación demonio, el secreto, el identificador de la aplicación de API web y el nombre del inquilino.

    • En el caso de los inquilinos externos, use autoridad con el formato : "https://{tenantName}.ciamlogin.com/"
    • En el caso de los inquilinos del personal, use autoridad con el formato: "https://login.microsoftonline.com/{tenantId}"

  7. Vaya al directorio raíz de la aplicación demonio y ejecute la aplicación con el comando dotnet run. Este código envía una solicitud con un token de acceso válido. Debería ver la cadena: La respuesta es: Aceptar impreso en la consola.

Contenido relacionado