Scenario: beveiligde web-API

  • Artikel

In dit scenario leert u hoe u een web-API beschikbaar maakt en hoe u deze kunt beveiligen, zodat alleen geverifieerde gebruikers er toegang toe hebben.

Als u uw web-API wilt gebruiken, schakelt u geverifieerde gebruikers met zowel werk- als schoolaccounts in of schakelt u persoonlijke Microsoft-accounts in.

Details

De specifieke informatie die u moet weten om web-API's te beveiligen, zijn:

  • Uw app-registratie moet ten minste één bereik of één toepassingsrol beschikbaar maken.
    • Bereiken worden weergegeven door web-API's die namens een gebruiker worden aangeroepen.
    • Toepassingsrollen worden weergegeven door web-API's die worden aangeroepen door daemontoepassingen (apps die uw web-API namens henzelf aanroepen).
  • Als u een nieuwe web-API-app-registratie maakt, kiest u de versie van het toegangstoken die door uw web-API wordt geaccepteerd in de waarde van 2. Voor verouderde web-API's kan de geaccepteerde tokenversie zijn null, maar deze waarde beperkt de aanmeldingsdoelgroep tot alleen organisaties en persoonlijke Microsoft-accounts (MSA) worden niet ondersteund.
  • De codeconfiguratie voor de web-API moet het token valideren dat wordt gebruikt wanneer de web-API wordt aangeroepen.
  • De code in de controlleracties moet de rollen of bereiken in het token valideren.

Als u nog niet bekend bent met identiteits- en toegangsbeheer (IAM) met OAuth 2.0 en OpenID Connect of nog niet met IAM op Microsoft identity platform, is het zeer raadzaam de volgende reeks artikelen te lezen.

Hoewel het niet vereist is deze te lezen voordat u uw eerste quickstart of zelfstudie voltooit, vindt u er onderwerpen die integraal zijn voor het platform en u helpen vertrouwd te raken met het ontwikkelen van complexere scenario's.

Verificatie en autorisatie

Microsoft-identiteitsplatform

Volgende stappen

Ga verder met het volgende artikel in dit scenario: App-registratie.