Autentikasi dan otorisasi di ID Microsoft Entra

  • 5 menit

Microsoft Entra ID mendukung protokol identitas modern, termasuk OAuth 2.0 dan OpenID Connect. Pustaka seperti MSAL4J membantu aplikasi menggunakan protokol tersebut tanpa menerapkan setiap interaksi protokol itu sendiri.

Dalam skenario portal perusahaan, Microsoft Entra ID adalah Penyedia Identitas. Portal bergantung padanya untuk mengautentikasi akun dan menerbitkan token, tetapi portal masih memiliki tanggung jawab untuk sesi dan keputusan otorisasinya sendiri.

Autentikasi

Autentikasi menetapkan dan memverifikasi identitas. Untuk aplikasi yang menghadap pengguna, aplikasi menjawab pertanyaan, "Siapa pengguna ini?"

OpenID Connect menambahkan lapisan identitas ke OAuth 2.0. Aplikasi dapat menerima token ID yang berisi klaim tentang pengguna terautentikasi dan peristiwa autentikasi. Token ID ditujukan untuk aplikasi klien; bukan token yang dikirim aplikasi ke Microsoft Graph.

Otorisasi

Otorisasi menentukan apakah identitas memiliki izin untuk melakukan operasi atau mengakses data. Ini menjawab pertanyaan, "Apa yang diizinkan untuk dilakukan pengguna atau aplikasi ini?"

OAuth 2.0 menyediakan alur untuk mendapatkan token akses untuk API yang dilindungi. Dalam skenario portal, token akses Microsoft Graph memungkinkan portal untuk meminta data tertentu atas nama pengguna yang masuk, tunduk pada izin yang diberikan.

Tabel berikut membedakan tanggung jawab autentikasi dan otorisasi portal.

Perhatian Contoh di portal
Autentikasi Microsoft Entra ID mengautentikasi akun dan portal menerima token ID melalui alur masuk.
Otorisasi API Token akses Microsoft Graph membawa izin yang didelegasikan untuk membaca profil pengguna yang masuk.
Otorisasi aplikasi Portal menerapkan aturan tambahan apa pun yang mengontrol akses ke halaman atau operasi bisnisnya sendiri.

Autentikasi yang berhasil tidak secara otomatis memberikan akses ke setiap halaman atau API. Misalnya, keanggotaan penyewa saja tidak menetapkan bahwa seseorang adalah karyawan.

Pendaftaran aplikasi

Pendaftaran aplikasi merepresentasikan sebuah aplikasi di Microsoft Entra ID. Ini menetapkan identitas aplikasi dan mencatat pengaturan seperti audiens masuk aplikasi serta URI pengalihan. Pendaftaran dapat dikelola melalui portal Azure, Azure CLI, atau API Microsoft Graph; tidak ada pendaftaran yang dibuat dalam modul ini.

Jenis akun yang didukung menentukan audiens masuk:

  • Hanya akun dalam direktori organisasi ini mengidentifikasi audiens tenant tunggal, termasuk akun pengguna dan tamu dalam tenant yang dipilih.
  • Akun di direktori organisasi apa pun memungkinkan akun dari tenant Microsoft Entra dalam desain multitenant.
  • Akun di direktori organisasi dan akun Microsoft pribadi apa pun juga memungkinkan akun Microsoft pribadi.
  • Akun Microsoft pribadi membatasi audiens ke akun Microsoft pribadi, seperti akun Outlook.com.

Pendaftaran memiliki ID Aplikasi (klien) yang mengidentifikasi aplikasi dalam permintaan protokol. Aplikasi web rahasia juga menggunakan kredensial aplikasi untuk mengautentikasi dirinya sendiri selama akuisisi token. ID klien dan kredensial memiliki tujuan yang berbeda: pengidentifikasi bukanlah rahasia.

Unit berikutnya menginterpretasikan contoh pendaftaran dan menghubungkan pengaturannya ke sampel kode.