Uwierzytelnianie Microsoft Entra

Żądania HTTP można uwierzytelniać przy użyciu schematu Bearer uwierzytelniania z tokenem uzyskanym z identyfikatora Entra firmy Microsoft. Te żądania należy przesyłać za pośrednictwem protokołu Transport Layer Security (TLS).

Wymagania wstępne

Musisz przypisać podmiot zabezpieczeń używany do żądania tokenu firmy Microsoft Entra do jednej z odpowiednich ról usługi Azure App Configuration.

Podaj każde żądanie ze wszystkimi nagłówkami HTTP wymaganymi do uwierzytelniania. Oto minimalne wymaganie:

Nagłówek żądania	Description
Authorization	Informacje o uwierzytelnianiu wymagane przez Bearer schemat.

Example:

Host: {myconfig}.azconfig.io
Authorization: Bearer {{AadToken}}

Pozyskiwanie tokenów firmy Microsoft Entra

Przed uzyskaniem tokenu Firmy Microsoft Entra należy zidentyfikować użytkownika, którego chcesz uwierzytelnić jako, odbiorców, dla których żądasz tokenu, oraz elementy punktu końcowego (urzędu) firmy Microsoft do użycia.

Publiczność

Zażądaj tokenu Firmy Microsoft Entra z odpowiednimi odbiorcami. Odbiorcy mogą być również określani jako zasób , dla którego żądany jest token.

W przypadku usługi Azure App Configuration w globalnej chmurze platformy Azure użyj następujących odbiorców:

https://appconfig.azure.com

W przypadku usługi Azure App Configuration w chmurach krajowych użyj odpowiednich odbiorców określonych w poniższej tabeli:

Chmura narodowa	Audiencja
Azure Government	https://appconfig.azure.us
Platforma Microsoft Azure obsługiwana przez firmę 21Vianet	https://appconfig.azure.cn
Bleu	https://appconfig.sovcloud-api.fr

Urząd Firmy Microsoft Entra

Urząd Firmy Microsoft Entra jest punktem końcowym używanym do uzyskiwania tokenu entra firmy Microsoft. W przypadku globalnej chmury platformy Azure jest ona w postaci https://login.microsoftonline.com/{tenantId}. Segment {tenantId} odnosi się do identyfikatora dzierżawy usługi Microsoft Entra, do którego należy użytkownik lub aplikacja, która próbuje się uwierzytelnić.

Chmury krajowe platformy Azure mają różne punkty końcowe uwierzytelniania entra firmy Microsoft. Zobacz Punkty końcowe uwierzytelniania entra firmy Microsoft , dla których punkty końcowe mają być używane w chmurach krajowych.

Biblioteki uwierzytelniania

Biblioteka Microsoft Authentication Library (MSAL) ułatwia proces uzyskiwania tokenu firmy Microsoft Entra. Platforma Azure tworzy te biblioteki dla wielu języków. Aby uzyskać więcej informacji, zobacz dokumentację.

Errors

Mogą wystąpić następujące błędy.

HTTP/1.1 401 Unauthorized
WWW-Authenticate: HMAC-SHA256, Bearer

Powód: Nie podano nagłówka żądania autoryzacji ze schematem Bearer .

Rozwiązanie: Podaj prawidłowy Authorization nagłówek żądania HTTP.

HTTP/1.1 401 Unauthorized
WWW-Authenticate: HMAC-SHA256, Bearer error="invalid_token", error_description="Authorization token failed validation"

Powód: Token Entra firmy Microsoft jest nieprawidłowy.

Rozwiązanie: Uzyskaj token Firmy Microsoft Entra z urzędu Firmy Microsoft Entra i upewnij się, że używasz odpowiednich odbiorców.

HTTP/1.1 401 Unauthorized
WWW-Authenticate: HMAC-SHA256, Bearer error="invalid_token", error_description="The access token is from the wrong issuer. It must match the AD tenant associated with the subscription to which the configuration store belongs. If you just transferred your subscription and see this error message, please try back later."

Powód: Token Entra firmy Microsoft jest nieprawidłowy.

Rozwiązanie: Uzyskaj token Entra firmy Microsoft z urzędu Entra firmy Microsoft. Upewnij się, że dzierżawa firmy Microsoft Entra jest skojarzona z subskrypcją, do której należy magazyn konfiguracji. Ten błąd może pojawić się, jeśli podmiot zabezpieczeń należy do więcej niż jednej dzierżawy firmy Microsoft Entra.