Use o SSO (logon único) ou o CORS (compartilhamento de recursos de origem cruzada) no suplemento do Outlook baseado em eventos ou spam

  • Artigo

Quando um suplemento do Outlook implementa a ativação baseada em eventos ou relatórios de spam integrados, os eventos são executados em um runtime separado. Para configurar o SSO (logon único) ou solicitar dados externos por meio do CORS (compartilhamento de recursos de origem cruzada) nesses suplementos, você deve configurar um URI bem conhecido. Por meio desse recurso, o Office poderá identificar os suplementos, incluindo seus arquivos JavaScript, que dão suporte a solicitações SSO ou CORS.

Observação

As etapas deste artigo só se aplicam aos suplementos do Outlook que são executados no Outlook clássico no Windows. Isso ocorre porque o Outlook clássico no Windows usa um arquivo JavaScript, enquanto o Outlook no Mac, na Web e o novo Outlook no Windows (versão prévia) usam um arquivo HTML que faz referência ao mesmo arquivo JavaScript. Para saber mais, confira Configurar seu suplemento do Outlook para ativação baseada em eventos e Implementar um suplemento integrado de relatório de spam (versão prévia).

Listar suplementos permitidos em um URI bem conhecido

Para listar quais suplementos podem funcionar com SSO ou CORS, crie um arquivo JSON que identifica cada arquivo JavaScript para cada suplemento. Em seguida, hospede esse arquivo JSON em um URI bem conhecido. Um URI bem conhecido permite a especificação de todos os arquivos JS hospedados autorizados a obter tokens para a origem da Web atual. Isso garante que o proprietário da origem tenha controle total sobre quais arquivos JavaScript hospedados devem ser usados em um suplemento e quais não são, impedindo quaisquer vulnerabilidades de segurança em torno da representação, por exemplo.

O exemplo a seguir mostra como configurar o SSO ou o CORS para dois suplementos (uma versão main e versão beta). Você pode listar quantos suplementos forem necessários, dependendo de quantos você fornecer do servidor Web.

{
    "allowed":
    [
        "https://addin.contoso.com:8000/main/js/autorun.js",
        "https://addin.contoso.com:8000/beta/js/autorun.js"
    ]
}

Hospede o arquivo JSON em um local chamado .well-known no URI na raiz da origem. Por exemplo, se a origem for https://addin.contoso.com:8000/, o conhecido URI será https://addin.contoso.com:8000/.well-known/microsoft-officeaddins-allowed.json.

A origem refere-se a um padrão de esquema + subdomínio + domínio + porta. O nome do local deve ser .well-known, e o nome do arquivo de recurso deve ser microsoft-officeaddins-allowed.json. Esse arquivo deve conter um objeto JSON com um atributo chamado allowed cujo valor é uma matriz de todos os arquivos JavaScript autorizados para SSO para seus respectivos suplementos.

Depois de configurar o URI conhecido, se o suplemento implementar o SSO, você poderá chamar a API getAccessToken() para obter um token de acesso com a identidade do usuário.

Importante

Enquanto OfficeRuntime.auth.getAccessToken e Office.auth.getAccessToken executamos a mesma funcionalidade de recuperação de um token de acesso, recomendamos chamar OfficeRuntime.auth.getAccessToken seu suplemento baseado em eventos ou spam (versão prévia). Essa API tem suporte em todas as versões do cliente do Outlook que dão suporte a ativação baseada em eventos, relatórios de spam integrados e SSO. Por outro lado, Office.auth.getAccessToken só há suporte no Outlook no Windows a partir da versão 2111 (Build 14701.20000).

Confira também