Verificatie en autorisatie in Microsoft Entra-id
Microsoft Entra ID ondersteunt moderne identiteitsprotocollen, waaronder OAuth 2.0 en OpenID Connect. Bibliotheken zoals MSAL4J helpen toepassingen bij het gebruik van deze protocollen zonder dat elke protocolinteractie zelf hoeft te worden geïmplementeerd.
In het bedrijfsportalscenario is Microsoft Entra ID de id-provider. Het portaal vertrouwt erop om accounts te verifiëren en tokens uit te geven, maar het portaal blijft nog steeds verantwoordelijk voor zijn eigen sessies en autorisatiebeslissingen.
Verificatie
Met verificatie wordt een identiteit vastgesteld en geverifieerd. Voor een gebruikersgerichte toepassing beantwoordt deze de vraag 'Wie is deze gebruiker?'
OpenID Connect voegt een identiteitslaag toe aan OAuth 2.0. Een toepassing kan een id-token met claims ontvangen over een geverifieerde gebruiker en de verificatiegebeurtenis. Het id-token is bedoeld voor de clienttoepassing; het is niet het token dat de toepassing naar Microsoft Graph verzendt.
Autorisatie
Autorisatie bepaalt of een identiteit gemachtigd is om een bewerking uit te voeren of toegang te krijgen tot gegevens. Het beantwoordt de vraag: 'Wat mag deze gebruiker of applicatie doen?'
OAuth 2.0 biedt stromen voor het verkrijgen van toegangstokens voor beveiligde API's. In het portalscenario kan de portal met een Microsoft Graph toegangstoken specifieke gegevens aanvragen namens de aangemelde gebruiker, afhankelijk van de verleende machtigingen.
In de volgende tabel worden de verificatie- en autorisatieverantwoordelijkheden van de portal onderscheiden.
| Zorg | Voorbeeld in de portal |
|---|---|
| Verificatie | Microsoft Entra ID authenticeert een account en het portaal ontvangt een ID-token via het aanmeldingsproces. |
| API-autorisatie | Een Microsoft Graph toegangstoken heeft gedelegeerde machtigingen om het profiel van de aangemelde gebruiker te lezen. |
| Toepassingsautorisatie | In de portal worden eventuele aanvullende regels toegepast waarmee de toegang tot eigen pagina's of bedrijfsactiviteiten wordt bepaald. |
Geslaagde verificatie verleent niet automatisch toegang tot elke pagina of API. Zo stelt tenantlidmaatschap alleen niet vast dat een persoon een werknemer is.
App-registratie
Een toepassingsregistratie beschrijft een toepassing voor Microsoft Entra ID. Hiermee worden de instellingen voor identiteit en records van de toepassing vastgelegd, zoals de aanmeldingsdoelgroep en omleidings-URI's. Registraties kunnen worden beheerd via de Azure-portal, Azure CLI of Microsoft Graph API's. Er wordt geen registratie gemaakt in deze module.
De ondersteunde accounttypen definiëren de aanmeldingsdoelgroep:
- Accounts in deze organisatiemap identificeren alleen een doelgroep met één tenant, inclusief gebruikers- en gastaccounts in de geselecteerde tenant.
- Accounts in een willekeurige organisatiedirectory staat accounts van Microsoft Entra-tenants toe in een multitenantontwerp.
- Accounts in een organisatiedirectory en persoonlijke Microsoft-accounts biedt ook ondersteuning voor persoonlijke Microsoft-accounts.
- Persoonlijke Microsoft accounts beperkt de doelgroep tot persoonlijke Microsoft accounts, zoals Outlook.com accounts.
De registratie heeft een toepassings-id (client) die de toepassing identificeert in protocolaanvragen. Een vertrouwelijke webtoepassing gebruikt ook een toepassingsreferentie om zichzelf te verifiëren tijdens het verkrijgen van tokens. De client-id en de referentie hebben verschillende doeleinden: een id is geen geheim.
In de volgende les wordt een voorbeeldregistratie geïnterpreteerd en worden de instellingen gekoppeld aan de codevoorbeelden.