Utiliser MSAL dans un environnement de cloud national

Article
10/30/2023

Les clouds nationaux, également appelés clouds souverains, sont des instances d’Azure physiquement isolées. Ces régions d’Azure aident à garantir que les conditions de résidence, de souveraineté et de conformité des données sont respectées au sein de limites géographiques.

En plus du cloud Microsoft global, Microsoft Authentication Library (MSAL) permet aux développeurs d’applications dans des clouds nationaux d’acquérir des jetons pour authentifier et appeler des API web sécurisées. Ces API web peuvent être Microsoft Graph ou d’autres API Microsoft.

Y compris le cloud Azure mondial, Microsoft Entra ID est déployé dans les clouds nationaux suivants :

Azure Government
Microsoft Azure géré par 21Vianet
Azure Allemagne (clôture le 29 octobre 2021)

Ce guide montre comment se connecter à des comptes professionnels et scolaires, obtenir un jeton accès et appeler l’API Microsoft Graph dans l’environnement cloud Azure Government.

Azure Allemagne (Microsoft Cloud Deutschland)

Avertissement

Azure Allemagne (Microsoft Cloud Deutschland) sera clôturé le 29 octobre 2021. Les services et applications que vous choisissez de ne pas migrer vers une région dans Azure global avant cette date deviendront inaccessibles.

Si vous n'avez pas migré votre application depuis Azure Allemagne, suivez les informations Microsoft Entra pour la migration depuis Azure Allemagne pour commencer.

Prérequis

Avant de commencer, vérifiez que vous répondez aux exigences suivantes.

Choisir les identités appropriées

Les applications Azure Government peuvent utiliser les identités Microsoft Entra Government et les identités Microsoft Entra Public pour authentifier les utilisateurs. Étant donné que vous pouvez utiliser l’une de ces identités, vous devez déterminer quel point de terminaison d’autorité à choisir pour votre scénario :

Microsoft Entra Public : Couramment utilisé si votre organisation dispose déjà d'un locataire Microsoft Entra Public pour prendre en charge Microsoft 365 (Public ou Cloud de la communauté du secteur public) ou une autre application.
Microsoft Entra Government : Couramment utilisé si votre organisation dispose déjà d'un locataire Microsoft Entra Government pour prendre en charge Office 365 (GCC High ou DoD) ou si elle crée un nouveau locataire dans Microsoft Entra Government.

Après avoir choisi, une attention particulière est portée là où vous effectuez votre inscription d’application. Si vous choisissez les identités Microsoft Entra Public pour votre application Azure Government, vous devez enregistrer l’application dans votre locataire Microsoft Entra Public.

Obtenir un abonnement Azure Government

Pour obtenir un abonnement Azure Government, consultez Gestion et connexion à votre abonnement dans Azure Government.

Si vous n’avez pas d’abonnement Azure, créez un compte gratuit avant de commencer.

Pour plus d’informations sur l’utilisation d’un cloud national avec un langage de programmation particulier, choisissez l’onglet correspondant à votre langage :

Vous pouvez utiliser MSAL.NET pour connecter des utilisateurs, acquérir des jetons et appeler l’API Microsoft Graph dans des clouds nationaux.

Les didacticiels suivants montrent comment créer une application web ASP.NET Core. L’application utilise OpenID Connect pour connecter des utilisateurs avec un compte professionnel et scolaire dans une organisation appartenant à un cloud national.

Pour connecter des utilisateurs et obtenir des jetons, suivez ce tutoriel : Créer une application web ASP.NET Core en connectant les utilisateurs dans des clouds souverains avec la plateforme d’identités Microsoft.
Pour appeler l’API Microsoft Graph, suivez ce tutoriel : Utilisation de la plateforme d’identités Microsoft pour appeler l’API Microsoft Graph à partir d’une application web ASP.NET Core, pour le compte d’un utilisateur qui se connecte à l’aide de son compte professionnel et scolaire dans le cloud national Microsoft.

Pour activer votre application MSAL.js pour les clouds souverains :

Inscrivez votre application dans un portail spécifique en fonction du cloud. Pour plus d’informations sur la façon de choisir le portail, reportez-vous à Points de terminaison d’inscription d’application
Utilisez n’importe lequel des exemple du référentiel en apportant quelques modifications à la configuration, en fonction du cloud, comme mentionné ci-dessous.
Utilisez une autorité spécifique, en fonction du cloud dans lequel vous avez inscrit l’application. Pour plus d'informations sur les autorités pour différents cloud, reportez-vous à Points de terminaison d'authentification Microsoft Entra.
L’appel de l’API Microsoft Graph nécessite une URL de point de terminaison spécifique au cloud que vous utilisez. Pour rechercher des points de terminaison Microsoft Graph pour tous les clouds nationaux, consultez Points de terminaison racine de service de jetons et d’inscription de l’application.

Voici un exemple d’autorité :

"authority": "https://login.microsoftonline.us/Enter_the_Tenant_Info_Here"

Voici un exemple de point de terminaison Microsoft Graph, avec l’étendue :

"endpoint" : "https://graph.microsoft.us/v1.0/me"
"scope": "User.Read"

Voici le code minimal pour l’authentification d’un utilisateur avec cloud souverain et appelant Microsoft Graph :

const msalConfig = {
    auth: {
        clientId: "Enter_the_Application_Id_Here",
        authority: "https://login.microsoftonline.us/Enter_the_Tenant_Info_Here",
        redirectUri: "/",
    }
};

// Initialize MSAL
const msalObj = new PublicClientApplication(msalConfig);

// Get token using popup experience
try {
    const graphToken = await msalObj.acquireTokenPopup({
        scopes: ["User.Read"]
    });
} catch(error) {
    console.log(error)
}

// Call the Graph API
const headers = new Headers();
const bearer = `Bearer ${graphToken}`;

headers.append("Authorization", bearer);

fetch("https://graph.microsoft.us/v1.0/me", {
    method: "GET",
    headers: headers
})

Pour activer votre application MSAL Python pour les clouds souverains :

Inscrivez votre application dans un portail spécifique en fonction du cloud. Pour plus d’informations sur la façon de choisir le portail, reportez-vous à Points de terminaison d’inscription d’application
Utilisez n’importe lequel des exemple du référentiel en apportant quelques modifications à la configuration, en fonction du cloud, comme mentionné ci-dessous.
Utilisez une autorité spécifique, en fonction du cloud dans lequel vous avez inscrit l’application. Pour plus d’informations sur les autorités pour différents cloud, consultez Points de terminaison d’authentification Microsoft Entra.

Voici un exemple d’autorité :
```
"authority": "https://login.microsoftonline.us/Enter_the_Tenant_Info_Here"
```
L’appel de l’API Microsoft Graph nécessite une URL de point de terminaison spécifique au cloud que vous utilisez. Pour rechercher des points de terminaison Microsoft Graph pour tous les clouds nationaux, consultez Points de terminaison racine de service de jetons et d’inscription de l’application.

Voici un exemple de point de terminaison Microsoft Graph, avec l’étendue :
```
"endpoint" : "https://graph.microsoft.us/v1.0/me"
"scope": "User.Read"
```

Pour activer votre application MSAL pour Java pour les clouds souverains :

Inscrivez votre application dans un portail spécifique en fonction du cloud. Pour plus d’informations sur la façon de choisir le portail, reportez-vous à Points de terminaison d’inscription d’application
Utilisez n’importe lequel des exemples du référentiel en apportant quelques modifications à la configuration, en fonction du cloud, comme mentionné ci-dessous.
Utilisez une autorité spécifique, en fonction du cloud dans lequel vous avez inscrit l’application. Pour plus d’informations sur les autorités pour différents cloud, consultez Points de terminaison d’authentification Microsoft Entra.

Voici un exemple d’autorité :

"authority": "https://login.microsoftonline.us/Enter_the_Tenant_Info_Here"

L’appel de l’API Microsoft Graph nécessite une URL de point de terminaison spécifique au cloud que vous utilisez. Pour rechercher des points de terminaison Microsoft Graph pour tous les clouds nationaux, consultez Points de terminaison racine de service de jetons et d’inscription de l’application.

Voici un exemple de point de terminaison Graph, avec l’étendue :

"endpoint" : "https://graph.microsoft.us/v1.0/me"
"scope": "User.Read"

MSAL pour iOS et macOS peut être utilisé pour acquérir des jetons dans les clouds nationaux, mais une configuration supplémentaire est nécessaire lors de la création de MSALPublicClientApplication.

Par exemple, si vous souhaitez que votre application soit mutualisée dans un cloud national (US Government, en l’occurrence), vous pouvez écrire :

MSALAADAuthority *aadAuthority =
                [[MSALAADAuthority alloc] initWithCloudInstance:MSALAzureUsGovernmentCloudInstance
                                                   audienceType:MSALAzureADMultipleOrgsAudience
                                                      rawTenant:nil
                                                          error:nil];

MSALPublicClientApplicationConfig *config =
                [[MSALPublicClientApplicationConfig alloc] initWithClientId:@"<your-client-id-here>"
                                                                redirectUri:@"<your-redirect-uri-here>"
                                                                  authority:aadAuthority];

NSError *applicationError = nil;
MSALPublicClientApplication *application =
                [[MSALPublicClientApplication alloc] initWithConfiguration:config error:&applicationError];

Par exemple, si vous souhaitez que votre application soit mutualisée dans un cloud national (US Government, en l’occurrence), vous pouvez écrire :

let authority = try? MSALAADAuthority(cloudInstance: .usGovernmentCloudInstance, audienceType: .azureADMultipleOrgsAudience, rawTenant: nil)

let config = MSALPublicClientApplicationConfig(clientId: "<your-client-id-here>", redirectUri: "<your-redirect-uri-here>", authority: authority)
if let application = try? MSALPublicClientApplication(configuration: config) { /* Use application */}

Étapes suivantes

Consultez Points de terminaison d’authentificaiton cloud pour obtenir une liste des URL du portail Azure et des points de terminaison de jeton de chaque cloud.

Documentation sur le cloud national :