Проверка подлинности и авторизация в идентификаторе Microsoft Entra
Microsoft Entra ID поддерживает современные протоколы удостоверений, включая OAuth 2.0 и OpenID Connect. Библиотеки, такие как MSAL4J, помогают приложениям использовать эти протоколы без реализации каждого взаимодействия с протоколом.
В сценарии корпоративного портала Microsoft Entra ID является поставщиком удостоверений. Портал использует его для аутентификации учетных записей и выдачи токенов, но по-прежнему сам несет ответственность за свои сеансы и решения по авторизации.
Проверка подлинности
Аутентификация устанавливает и подтверждает личность. Для пользовательского приложения это отвечает на вопрос: «Кто этот пользователь?»
OpenID Connect добавляет слой удостоверений в OAuth 2.0. Приложение может получить маркер идентификатора , содержащий утверждения о прошедшем проверку подлинности пользователя и событии проверки подлинности. Маркер идентификатора предназначен для клиентского приложения; Это не маркер, который приложение отправляет в Microsoft Graph.
Авторизация
Авторизация определяет, имеет ли удостоверение разрешение на выполнение операции или доступ к данным. Это отвечает на вопрос: «Что разрешено делать этому пользователю или приложению?»
OAuth 2.0 предоставляет потоки для получения маркеров доступа для защищенных API. В сценарии портала маркер доступа Microsoft Graph позволяет порталу запрашивать определенные данные от имени пользователя, выполнившего вход, при условии предоставленных разрешений.
В следующей таблице описаны обязанности по проверке подлинности и авторизации портала.
| Беспокойство | Пример на портале |
|---|---|
| Проверка подлинности | Microsoft Entra ID проверяет подлинность учетной записи, а портал получает токен идентификации в ходе процесса входа. |
| Авторизация API | Маркер доступа Microsoft Graph имеет делегированное разрешение на чтение профиля вошедшего пользователя. |
| Авторизация приложения | Портал применяет любые дополнительные правила, управляющие доступом к собственным страницам или бизнес-операциям. |
Успешная проверка подлинности не предоставляет автоматически доступ к каждой странице или API. Например, сама по себе принадлежность к арендатору не означает, что человек является сотрудником.
Регистрация приложения
Регистрация приложения описывает приложение для Microsoft Entra ID. Здесь задаются идентификатор приложения и сохраняются такие параметры, как аудитория входа в систему и URI перенаправления. Регистрация может управляться через портал Azure, Azure CLI или Microsoft Graph API; регистрация в этом модуле не создается.
Поддерживаемые типы учетных записей определяют аудиторию входа:
- Учетные записи в этом каталоге организации определяют только аудиторию с одним клиентом, включая учетные записи пользователей и гостевых учетных записей в выбранном клиенте.
- Учетные записи из каталога любой организации позволяют использовать учетные записи арендаторов Microsoft Entra в мультитенантной архитектуре.
- Учетные записи в любом каталоге организации и личных учетных записях Microsoft также позволяют использовать персональные Microsoft учетные записи.
- Личные Microsoft учетные записи ограничивают аудиторию личными Microsoft учетными записями, такими как Outlook.com учетные записи.
Регистрация содержит идентификатор приложения (клиента), который идентифицирует приложение в запросах протокола. Конфиденциальное веб-приложение также использует учетные данные приложения для собственной аутентификации при получении токена. Идентификатор клиента и учетные данные имеют разные цели: идентификатор не является секретом.
Следующий модуль разбирает пример регистрации и связывает его настройки с примерами кода.