Fournisseurs d’identité

S'APPLIQUE À : SDK v4

Un fournisseur d’identité authentifie les identités utilisateur ou client et émet des jetons de sécurité consommables. Il fournit l’authentification utilisateur en tant que service.

Les applications clientes, telles que les applications web, délèguent l’authentification à un fournisseur d’identité approuvé. Ces applications clientes sont considérées comme fédérées, c’est-à-dire qu’elles utilisent l’identité fédérée. Pour plus d’informations, consultez le modèle d’identité fédérée.

Utilisation d’un fournisseur d’identité approuvé :

• Active les fonctionnalités d’authentification unique (SSO), ce qui permet à une application d’accéder à plusieurs ressources sécurisées.
• Facilite les connexions entre les ressources de cloud computing et les utilisateurs, ce qui réduit la nécessité pour les utilisateurs de se réauthentifier.

Authentification unique

L’authentification unique fait référence à un processus d’authentification qui permet à un utilisateur de se connecter à un système une fois avec un seul ensemble d’informations d’identification pour accéder à plusieurs applications ou services.

Un utilisateur se connecte avec un id unique et un mot de passe pour accéder à l’un des systèmes logiciels associés. Pour plus d’informations, consultez Authentification unique.

De nombreux fournisseurs d’identité prennent en charge une opération de déconnexion qui révoque le jeton utilisateur et met fin à l’accès aux applications et services associés.

Important

L’authentification unique améliore l’utilisation en réduisant le nombre de fois où un utilisateur doit entrer des informations d’identification. Il offre également une meilleure sécurité en réduisant la surface d’attaque potentielle.

Fournisseur d’identité Microsoft Entra ID

Microsoft Entra ID est le service d’identité dans Microsoft Azure qui fournit des fonctionnalités de gestion des identités et de contrôle d’accès. Il vous permet de connecter en toute sécurité des utilisateurs à l’aide de protocoles standard du secteur comme OAuth2.0.

Vous pouvez choisir parmi deux implémentations de fournisseur d’identité Active Directory, qui ont des paramètres différents, comme indiqué ci-dessous.

Remarque

Utilisez ces paramètres lors de la configuration des paramètres de connexion OAuth dans l’application d’inscription de bot Azure. Pour plus d’informations, consultez Ajouter l’authentification à un bot.

Microsoft Entra ID

La plateforme d’identités Microsoft (v2.0) ( également appelée point de terminaison Microsoft Entra ID) permet à un bot d’obtenir des jetons pour appeler des API Microsoft, telles que Microsoft Graph ou d’autres API. La plateforme d’identités est une évolution de la plateforme Azure AD (v1.0). Pour plus d'informations, consultez Vue d'ensemble de la plateforme d'identités Microsoft (v2.0).

Utilisez les paramètres AD v2 ci-dessous pour permettre à un bot d’accéder aux données Office 365 via l’API Microsoft Graph.

Propriété	Description ou valeur
Nom	Nom de cette connexion de fournisseur d’identité.
Fournisseur de services	Fournisseur d’identité à utiliser. Sélectionnez Microsoft Entra ID.
ID client	ID d’application (client) pour votre application de fournisseur d’identité Azure.
Clé secrète client	Secret de votre application de fournisseur d’identité Azure.
ID de locataire	VOTRE ID d’annuaire (locataire) ou common. Pour plus d’informations, consultez la note sur les ID de locataire.
Étendues	Liste séparée par l’espace des autorisations d’API que vous avez accordées à l’application fournisseur d’identité Microsoft Entra ID, telle que openid, , profile, Mail.Read, , Mail.Send, , User.Read, et User.ReadBasic.All.
URL d’échange de jetons	Pour un bot de compétence prenant en charge l’authentification unique, utilisez l’URL d’échange de jetons associée à la connexion OAuth ; sinon, laissez cette valeur vide. Pour plus d’informations sur l’URL d’échange de jetons d’authentification unique, consultez Créer des paramètres de connexion OAuth.

Azure AD v1

Azure AD v1

Utilisez les paramètres ci-dessous pour configurer la plateforme de développement Microsoft Entra ID (v1.0), également appelée point de terminaison Azure AD v1 . Cela vous permet de créer des applications qui connectent en toute sécurité les utilisateurs avec un compte professionnel ou scolaire Microsoft. Pour plus d’informations, consultez la vue d’ensemble de Microsoft Entra ID pour les développeurs (v1.0).

Propriété	Description ou valeur
Nom	Nom de cette connexion de fournisseur d’identité.
Fournisseur de services	Fournisseur d’identité à utiliser. Sélectionnez Microsoft Entra ID.
ID client	ID d’application (client) pour votre application de fournisseur d’identité Azure.
Clé secrète client	Secret de votre application de fournisseur d’identité Azure.
Type d’octroi	authorization_code
URL de connexion	https://login.microsoftonline.com
ID de locataire	VOTRE ID d’annuaire (locataire) ou common. Pour plus d’informations, consultez la note ci-dessous sur les ID de locataire.
URL de la ressource	https://graph.microsoft.com/
Étendues	Laissez ceci vide.
URL d’échange de jetons	Laissez ceci vide.

Remarque

Si vous avez sélectionné l’un des éléments suivants, entrez l’ID de locataire que vous avez enregistré pour l’application fournisseur d’identité Microsoft Entra ID :

• Comptes dans cet annuaire organisationnel uniquement (Microsoft uniquement - Locataire unique)
• Comptes dans n'importe quel annuaire organisationnel (annuaire Microsoft AAD - multi-entités)

Si vous avez sélectionné Des comptes dans un annuaire de l'organisation (n'importe quel annuaire Microsoft Entra ID - comptes Microsoft multi-entités et personnels, par exemple, Skype, Xbox, Outlook.com), entrez common.

Autrement, l'application du fournisseur d'identité Microsoft Entra ID utilisera le locataire afin de vérifier l’identifiant sélectionné et exclure les comptes Microsoft personnels.

Pour plus d’informations, consultez :

• Pourquoi mettre à jour la plateforme d’identités Microsoft (v2.0) ?
• Plateforme d’identités Microsoft (ID Microsoft Entra pour les développeurs).

Autres fournisseurs d’identité

Azure prend en charge plusieurs fournisseurs d’identité. Vous pouvez obtenir une liste complète, ainsi que les détails associés, en exécutant les commandes de console Azure suivantes :

az login
az bot authsetting list-providers

Vous pouvez également voir la liste de ces fournisseurs dans le portail Azure lorsque vous définissez les paramètres de connexion OAuth pour une application d’inscription de bot.

Fournisseurs génériques OAuth

Azure prend en charge oAuth2 générique, qui vous permet d’utiliser votre propre fournisseur d’identité.

Vous pouvez choisir parmi deux implémentations de fournisseur d’identité générique, qui ont des paramètres différents, comme indiqué ci-dessous.

Remarque

Utilisez les paramètres décrits ici lors de la configuration des paramètres de connexion OAuth dans l’application d’inscription de bot Azure.

Utilisez ce fournisseur pour configurer n’importe quel fournisseur d’identité OAuth2 générique qui a des attentes similaires à celles du fournisseur Microsoft Entra ID, en particulier AD v2. Pour ce type de connexion, les chaînes de requête et les charges utiles des requêtes sont fixes.

Propriété	Description ou valeur
Nom	Nom de cette connexion de fournisseur d’identité.
Fournisseur de services	Fournisseur d’identité à utiliser. Sélectionnez OAuth 2 générique.
ID client	Votre ID client obtenu auprès du fournisseur d’identité.
Clé secrète client	Votre clé secrète client obtenue à partir de l'enregistrement auprès du fournisseur d’identité.
URL d’autorisation	https://login.microsoftonline.com/common/oauth2/v2.0/authorize
URL du jeton	https://login.microsoftonline.com/common/oauth2/v2.0/token
URL d’actualisation	https://login.microsoftonline.com/common/oauth2/v2.0/token
URL d’échange de jetons	Laissez ceci vide.
Étendues	Liste séparée par des virgules des autorisations d’API que vous avez accordées à l’application fournisseur d’identité.

Fournisseur générique OAuth 2

Ce fournisseur nécessite davantage de paramètres de configuration. Utilisez donc cette version pour configurer n’importe quel fournisseur de services OAuth 2 générique lorsque vous avez besoin d’une plus grande flexibilité. Avec cette configuration, vous spécifiez les modèles d’URL, les modèles de chaîne de requête et les modèles de corps pour l’autorisation, l’actualisation et la conversion de jetons.

Propriété	Description ou valeur
Nom	Nom de cette connexion de fournisseur d’identité.
Fournisseur de services	Fournisseur d’identité à utiliser. Sélectionnez fournisseur générique Oauth 2.
ID client	Votre ID client obtenu auprès du fournisseur d’identité.
Clé secrète client	Votre clé secrète client obtenue à partir de l'enregistrement auprès du fournisseur d’identité.
Délimiteur de liste de portées	Le caractère séparateur de la liste des étendues. Les espaces vides () ne sont pas pris en charge dans ce champ, mais peuvent être utilisés dans le champ Étendues si nécessaire par le fournisseur d’identité. Dans ce cas, utilisez une virgule (,) pour ce champ et des espaces () dans le champ Champs.
Modèle d’URL d’autorisation	Modèle d’URL pour l’autorisation, défini par votre fournisseur d’identité. Par exemple : https://login.microsoftonline.com/common/oauth2/v2.0/authorize.
Modèle de chaîne de requête d’URL d’autorisation	Modèle de requête pour l’autorisation fournie par votre fournisseur d’identité. Les clés du modèle de chaîne de requête varient en fonction du fournisseur d’identité. Par exemple : ?client_id={ClientId}&response_type=code&redirect_uri={RedirectUrl}&scope={Scopes}&state={State}.
Modèle d’URL de jeton	https://login.microsoftonline.com/common/oauth2/v2.0/token
Modèle de chaîne de requête pour URL de jeton	Séparateur de chaîne de requête pour l’URL du jeton. Généralement un point d’interrogation ( ?).
Modèle de corps de jeton	Modèle du corps du jeton. Par exemple : code={Code}&grant_type=authorization_code&redirect_uri={RedirectUrl}&client_id={ClientId}&client_secret={ClientSecret}.
Actualiser le modèle d’URL	https://login.microsoftonline.com/common/oauth2/v2.0/token
Actualiser le modèle de chaîne de requête d’URL	Séparateur de chaîne de requête pour l'URL d'actualisation du jeton. Généralement un point d’interrogation ( ?).
Actualiser le modèle de corps	Modèle pour le contenu de rafraîchissement. Par exemple : refresh_token={RefreshToken}&redirect_uri={RedirectUrl}&grant_type=refresh_token&client_id={ClientId}&client_secret={ClientSecret}.
URL d’échange de jetons	Laissez ceci vide.
Étendues	Liste des étendues que vous souhaitez que les utilisateurs authentifiés aient une fois connectés. Vérifiez que vous définissez uniquement les étendues nécessaires et suivez le principe de contrôle d’accès des privilèges minimum. Par exemple : User.Read. Si vous utilisez une étendue personnalisée, utilisez l’URI complet, y compris l’URI d’ID d’application exposé.

Étapes suivantes

Proxy des fournisseurs d’identité