Skydda Java Tomcat-appar med hjälp av grupper och gruppanspråk

Den här artikeln visar hur du skapar en Java Tomcat-app som loggar in användare med Microsofts autentiseringsbibliotek (MSAL) för Java. Appen begränsar också åtkomsten till sidor baserat på Microsoft Entra ID-medlemskap för säkerhetsgrupper.

Följande diagram visar appens topologi:

Diagram som visar appens topologi.

Klientappen använder MSAL för Java (MSAL4J) för att logga in användare i en Microsoft Entra ID-klientorganisation och hämta en ID token från Microsoft Entra ID. ID-tokenen visar att en användare är autentiserad i den här klientorganisationen. Appen skyddar sina vägar enligt användarens autentiseringsstatus och gruppmedlemskap.

Om du vill se en video som behandlar det här scenariot kan du läsa Implementera auktorisering i dina program med hjälp av approller, säkerhetsgrupper, omfång och katalogroller.

Förutsättningar

JDK version 8 eller senare
Maven 3
En Microsoft Entra-ID-klientorganisation. Mer information finns i Så här skaffar du en Microsoft Entra ID-klientorganisation.
Ett användarkonto i din egen Microsoft Entra-ID-klientorganisation.
Två säkerhetsgrupper, och , med användare som du vill testa med.

Tomcat 9
Visual Studio Code
Azure Tools för Visual Studio Code

Rekommendationer

Viss kännedom om Java / Jakarta Servlets.
Viss kunskap om Linux/OSX-terminalen.
jwt.ms för att granska dina token.
Fiddler för att övervaka nätverksaktivitet och felsöka.
Följ Microsoft Entra-bloggen för att hålla dig up-to-date med den senaste utvecklingen.

Konfigurera exemplet

I följande avsnitt visas hur du konfigurerar exempelprogrammet.

Klona eller ladda ned exempellagringsplatsen

Om du vill klona exemplet öppnar du ett Bash-fönster och använder följande kommando:

git clone https://github.com/Azure-Samples/ms-identity-msal-java-samples.git
cd 3-java-servlet-web-app/3-Authorization-II/groups

Du kan också gå till lagringsplatsen ms-identity-msal-java-samples och sedan ladda ned den som en .zip-fil och extrahera den till hårddisken.

Viktigt!

För att undvika begränsningar för filsökvägslängd i Windows klonar eller extraherar du lagringsplatsen till en katalog nära hårddiskens rot.

Registrera exempelprogrammet med din Microsoft Entra ID-klientorganisation

Det finns ett projekt i det här exemplet. Följande avsnitt visar hur du registrerar appen med hjälp av Azure Portal.

Välj den Microsoft Entra-ID-klientorganisation där du vill skapa dina program

Så här väljer du din klientorganisation:

Logga in i Azure-portalen.
Om ditt konto finns i mer än en Microsoft Entra ID-klientorganisation väljer du din profil i hörnet av Azure-portalen och väljer sedan Switch directory för att byta session till önskad Microsoft Entra ID-klientorganisation.

Registrera appen (java-servlet-webapp-groups)

Registrera först en ny app i Azure portal genom att följa anvisningarna i Snabbstart: Registrera ett program med Microsofts identitetsplattform.

Använd sedan följande steg för att slutföra registreringen:

Gå till sidan för Microsofts identitetsplattform för utvecklare App registrations.
Välj Ny registrering.
På sidan Registrera ett program som visas anger du följande appregistreringsinformation:
- I avsnittet Namn anger du ett beskrivande appnamn som visas för appens användare – till exempel .
- Under Kontotyper som stöds väljer du Endast konton i den här organisationskatalogen.
- I avsnittet Omdirigerings-URI väljer du Web i kombinationsrutan och anger följande omdirigerings-URI: .
Välj Registrera för att skapa programmet.
På appens registreringssida letar du reda på och kopierar värdet för Program-ID (klient) som du ska använda senare. Du använder det här värdet i appens konfigurationsfil eller filer.
Välj Spara för att spara dina ändringar.
På appens registreringssida väljer du Certifikat och hemligheter i navigeringsfönstret för att öppna sidan där du kan generera hemligheter och ladda upp certifikat.
Under avsnittet Klienthemlighet välj Ny klienthemlighet.
Skriv en beskrivning – till exempel apphemlighet.
Välj en förfallotid för hemligheten eller ange en anpassad livslängd. Klienthemligheter är begränsade till en maximal livslängd på 24 månader och Microsoft rekommenderar ett utgångsdatum på mindre än 12 månader. För produktionsappar föredrar du ett certifikat eller federerade identitetsautentiseringsuppgifter framför en klienthemlighet.
Välj Lägg till. Det genererade värdet visas.
Kopiera och spara det genererade värdet för användning i senare steg. Du behöver det här värdet för kodens konfigurationsfiler. Det här värdet visas inte igen och du kan inte hämta det på något annat sätt. Se därför till att spara den från Azure Portal innan du går till någon annan skärm eller ett annat fönster.
På appens registreringssida väljer du API-behörigheter i navigeringsfönstret för att öppna sidan för att lägga till åtkomst till de API:er som ditt program behöver.
Välj Lägg till behörighet.
Kontrollera att fliken Microsoft-API:er är markerad.
I avsnittet Vanliga Microsoft-API:er väljer du Microsoft Graph.
I avsnittet Delegerade behörigheter väljer du User.Read och GroupMember.Read.All i listan. Använd sökrutan om det behövs.
Välj Lägg till behörigheter.
kräver administratörsgodkännande, så välj Bevilja/återkalla administratörsgodkännande för {tenant} och välj sedan Ja när du uppmanas att bevilja godkännande för de begärda behörigheterna för alla konton i klientorganisationen. Du måste vara klientadministratör för Microsoft Entra-ID för att kunna utföra den här åtgärden.

Konfigurera appen (java-servlet-webapp-groups) för att använda din appregistrering

Använd följande steg för att konfigurera appen:

Kommentar

I följande steg är samma som eller .

Öppna projektet i din IDE.
Öppna filen ./src/main/resources/authentication.properties.
Hitta strängen . Ersätt det befintliga värdet med ditt Microsoft Entra-klient-ID om du har registrerat appen med alternativet Endast konton i den här organisationskatalogen.
Leta upp strängen och ersätt det befintliga värdet med program-ID:t eller för programmet som kopierats från Azure-portalen.
Leta reda på strängen och ersätt det befintliga värdet med det värde som du sparade när du skapade appen i Azure-portalen.

Konfigurera säkerhetsgrupper

Du har följande alternativ tillgängliga för hur du ytterligare kan konfigurera dina program för att ta emot gruppanspråket:

Ta emot alla grupper som den inloggade användaren har tilldelats i en Microsoft Entra-ID-klientorganisation, inklusive kapslade grupper. Mer information finns i avsnittet Konfigurera ditt program för att ta emot alla grupper som den inloggade användaren har tilldelats, inklusive kapslade grupper.
Ta emot gruppernas anspråksvärden från en filtrerad uppsättning grupper som programmet är programmerat att arbeta med. Mer information finns i avsnittet Konfigurera applikationen så att den tar emot anspråksvärden för grupper från en filtrerad uppsättning grupper som en användare kan ha tilldelats. Det här alternativet är inte tillgängligt i Microsoft Entra ID Free-versionen.

Kommentar

Om du vill hämta den lokala gruppens eller i stället för grupp-ID:t, se avsnittet Förutsättningar för att använda gruppattribut som synkroniserats från služba Active Directory i Konfigurera gruppanspråk för program med hjälp av Microsoft Entra ID.

Konfigurera ditt program för att ta emot alla grupper som den inloggade användaren har tilldelats, inklusive kapslade grupper

Använd följande steg för att konfigurera ditt program:

På appens registreringssida väljer du Token Configuration i navigeringsfönstret för att öppna sidan där du kan konfigurera anspråken i de token som utfärdas till din app.
Välj Lägg till gruppanspråk för att öppna skärmen Redigera gruppanspråk .
Välj Säkerhetsgrupper ELLER alternativet Alla grupper (innehåller distributionslistor men inte grupper som tilldelats till programmet). Om du väljer båda alternativen inaktiveras effekten av alternativet Säkerhetsgrupper .
Under avsnittet ID väljer du Grupp-ID. Det här valet gör att Microsoft Entra ID skickar objekt-ID:t för de grupper som användaren har tilldelats i gruppanspråket i den ID-token som appen tar emot när en användare loggar in.

Konfigurera ditt program för att ta emot gruppers anspråksvärden från en filtrerad uppsättning grupper som en användare kan tilldelas till

Det här alternativet är användbart när följande fall är sanna:

Ditt program är intresserat av en vald uppsättning grupper som en inloggningsanvändare kan tilldelas till.
Ditt program är inte intresserat av alla säkerhetsgrupper som den här användaren har tilldelats till i klientorganisationen.

Det här alternativet hjälper ditt program att undvika problemet med överförbrukning.

Kommentar

Den här funktionen är inte tillgänglig i Microsoft Entra ID Free-utgåvan.

Kapslade grupptilldelningar är inte tillgängliga när du använder det här alternativet.

Om du vill aktivera det här alternativet i din app använder du följande steg:

På appens registreringssida väljer du Token Configuration i navigeringsfönstret för att öppna sidan där du kan konfigurera anspråken i de token som utfärdas till din app.
Välj Lägg till gruppanspråk för att öppna skärmen Redigera gruppanspråk .
Välj Grupper som tilldelats programmet.

Om du väljer andra alternativ , till exempel Säkerhetsgrupper eller Alla grupper (inklusive distributionslistor men inte grupper som tilldelats till programmet) , negerar du de fördelar som din app får genom att välja att använda det här alternativet.
Under avsnittet ID väljer du Grupp-ID. Det här valet innebär att Microsoft Entra ID skickar objekt-ID för de grupper som användaren har tilldelats till i groups-anspråket i ID-tokenet.
Om du exponerar ett webb-API med alternativet Exponera ett API kan du också välja alternativet Grupp-ID under avsnittet Åtkomst . Det här alternativet innebär att Microsoft Entra ID skickar objekt-ID:t för de grupper som användaren har tilldelats i groups-anspråket för åtkomsttokenet.
På appens registreringssida väljer du Översikt i navigeringsfönstret för att öppna programöversiktsskärmen.
Välj hyperlänken med namnet på ditt program i Hanterat program i den lokala katalogen. Den här fältrubriken kan avkortas – till exempel . När du väljer den här länken kommer du till sidan Företagsprogram – översikt som är associerad med tjänstens huvudobjekt för din applikation i klientorganisationen där du skapade den. Du kan gå tillbaka till appregistreringssidan med hjälp av bakåtknappen i webbläsaren.
Välj Användare och grupper i navigeringsfönstret för att öppna sidan där du kan tilldela användare och grupper till ditt program.
Välj Lägg till användare.
Välj Användare och grupper på den resulterande skärmen.
Välj de grupper som du vill tilldela den här applikationen.
Välj Välj för att slutföra valet av grupper.
Välj Tilldela för att slutföra grupptilldelningsprocessen.

Ditt program tar nu emot dessa valda grupper i gruppanspråket när en användare som loggar in på din app är medlem i en eller flera av dessa tilldelade grupper.
Välj Egenskaper i navigeringsfönstret för att öppna sidan som visar de grundläggande egenskaperna för ditt program. Ange flaggan Användartilldelning krävs? till Ja.

Viktigt!

När du anger Användartilldelning krävs? till Ja, Kontrollerar Microsoft Entra-ID att endast användare som tilldelats ditt program i fönstret Användare och grupper kan logga in på din app. Du kan tilldela användare direkt eller genom att tilldela säkerhetsgrupper som de tillhör.

Konfigurera appen (java-servlet-webapp-groups) för att identifiera grupp-ID:t

Använd följande steg för att konfigurera appen:

Viktigt!

På sidan Token Configuration, om du valde något annat alternativ än groupID – till exempel DNSDomain\sAMAccountName – bör du ange gruppnamnet i följande steg – till exempel – i stället för objekt-ID.

Öppna filen ./src/main/resources/authentication.properties.
Leta reda på strängen och ersätt det befintliga värdet med objekt-ID:t för gruppen , som du kopierade från Azure-portalen. Ta även bort klammerparenteserna från platshållarvärdet.
Leta reda på strängen och ersätt det befintliga värdet med objekt-ID:t för gruppen , som du kopierade från Azure-portalen. Ta även bort klammerparenteserna från platshållarvärdet.

Skapa exemplet

Om du vill skapa exemplet med Maven går du till katalogen som innehåller pom.xml-filen för exemplet och kör sedan följande kommando:

mvn clean package

Det här kommandot genererar en .war-fil som du kan köra på olika programservrar.

Kör exemplet

Distribuera till Azure App Service
Kör lokalt

Följande avsnitt visar hur du distribuerar exemplet till Azure App Service.

Förutsättningar

Maven-plugin för Azure App Service-appar

Om Maven inte är det utvecklingsverktyg du föredrar kan du läsa följande liknande självstudier som använder andra verktyg:
- IntelliJ IDEA
- Eclipse
- Visual Studio Code

Konfigurera Maven-plugin-programmet

När du distribuerar till Azure App Service använder distributionen automatiskt dina Azure-autentiseringsuppgifter från Azure CLI. Om Azure CLI inte installeras lokalt autentiseras Maven-plugin-programmet med OAuth eller enhetsinloggning. Mer information finns i autentisering med Maven-pluginer.

Använd följande steg för att konfigurera plugin-programmet:

Kör följande kommando för att konfigurera distributionen. Det här kommandot hjälper dig att konfigurera Azure App Service-operativsystemet, Java-versionen och Tomcat-versionen.
```
mvn com.microsoft.azure:azure-webapp-maven-plugin:2.13.0:config
```
För Skapa ny körningskonfiguration, tryck på Y och tryck sedan på Retur.
För Definiera värde för operativsystem trycker du på 1 för Windows eller 2 för Linux och trycker sedan på Retur.
För Ange värde för javaVersion, tryck på 2 för Java 11 och sedan på Enter.
För Definiera värde för webContainer trycker du på 4 för Tomcat 9.0 och trycker sedan på Retur.
För Definiera värde för pricingTier, tryck på Retur för att välja standardnivån P1v2.
För att bekräfta, tryck på Y och sedan på Enter.

I följande exempel visas utdata från distributionsprocessen:

Please confirm webapp properties
AppName : msal4j-servlet-auth-1707209552268
ResourceGroup : msal4j-servlet-auth-1707209552268-rg
Region : centralus
PricingTier : P1v2
OS : Linux
Java Version: Java 11
Web server stack: Tomcat 9.0
Deploy to slot : false
Confirm (Y/N) [Y]: [INFO] Saving configuration to pom.
[INFO] ------------------------------------------------------------------------
[INFO] BUILD SUCCESS
[INFO] ------------------------------------------------------------------------
[INFO] Total time:  37.112 s
[INFO] Finished at: 2024-02-06T08:53:02Z
[INFO] ------------------------------------------------------------------------

När du har bekräftat dina val lägger plugin-programmet till det nödvändiga plugin-elementet och inställningarna i projektets pom.xml-fil för att konfigurera appen så att den körs i Azure App Service.

Den relevanta delen av pom.xml-filen bör se ut ungefär som i följande exempel:

<build>
    <plugins>
        <plugin>
            <groupId>com.microsoft.azure</groupId>
            <artifactId>>azure-webapp-maven-plugin</artifactId>
            <version>x.xx.x</version>
            <configuration>
                <schemaVersion>v2</schemaVersion>
                <resourceGroup>your-resourcegroup-name</resourceGroup>
                <appName>your-app-name</appName>
            ...
            </configuration>
        </plugin>
    </plugins>
</build>

Du kan ändra konfigurationerna för App Service direkt i pom.xml. Några vanliga konfigurationer visas i följande tabell:

Egenskap	Obligatoriskt	Beskrivning
`subscriptionId`	falskt	Prenumerations-ID.
`resourceGroup`	true	Azure-resursgruppen för din app.
`appName`	true	Namnet på din app.
`region`	falskt	Den region där appen ska vara värd. Standardvärdet är . För giltiga regioner, se Regioner som stöds.
`pricingTier`	falskt	Prisnivån för din app. Standardvärdet är för en produktionsarbetslast. Det rekommenderade minimivärdet för Java-utveckling och -testning är . Mer information finns i Prissättning för App Service.
`runtime`	falskt	Konfiguration av körningsmiljön. Mer information finns i Konfigurationsdetaljer.
`deployment`	falskt	Konfigurationen för driftsättning. Mer information finns i Konfigurationsdetaljer.

En fullständig lista över konfigurationer finns i referensdokumentationen för plugin-programmet. Alla Azure Maven-plugin-program delar en gemensam uppsättning konfigurationer. Mer information om de här konfigurationerna finns i Vanliga konfigurationer. För konfigurationer som är specifika för Azure App Service, se Azure-app: Konfigurationsdetaljer.

Se till att spara värdena och för senare användning.

Förbereda appen för distribution

När du distribuerar programmet till App Service ändras omdirigerings-URL:en till omdirigerings-URL:en för din distribuerade appinstans. Använd följande steg för att ändra de här inställningarna i egenskapsfilen:

Navigera till appens authentication.properties-fil och ändra värdet för till den driftsatta appens domännamn, som i följande exempel. Om du till exempel valde som appens namn i föregående steg, måste du nu använda som värde för . Se till att du också har ändrat protokollet från till .
```
# app.homePage is by default set to dev server address and app context path on the server
# for apps deployed to azure, use https://your-sub-domain.azurewebsites.net
app.homePage=https://<your-app-name>.azurewebsites.net
```
När du har sparat den här filen använder du följande kommando för att återskapa din app:
```
mvn clean package
```

Viktigt!

I samma authentication.properties-fil har du en inställning för din . Det är inte bra att distribuera det här värdet till App Service. Det är inte heller en bra idé att lämna det här värdet i koden och eventuellt push-överföra det till git-lagringsplatsen. Om du vill ta bort det här hemliga värdet från koden, hittar du mer detaljerad vägledning i avsnittet Distribuera till App Service – Ta bort hemlighet. Den här vägledningen lägger till extra steg för att skicka det hemliga värdet till Key Vault och för att använda Key Vault-referenser.

Uppdatera din Microsoft Entra ID-appregistrering

Eftersom omdirigerings-URI:n ändras till din distribuerade app till Azure App Service måste du också ändra omdirigerings-URI:n i din Microsoft Entra ID-appregistrering. Gör den här ändringen med hjälp av följande steg:

Gå till sidan för Microsofts identitetsplattform för utvecklare App registrations.
Använd sökrutan för att hitta din appregistrering - till exempel .
Öppna appregistreringen genom att välja dess namn.
Markera Autentisering på kommandomenyn.
I avsnittet WebbOmdirigerings-URI:er väljer du Lägg till URI.
Fyll i URI:n för din app genom att lägga till – till exempel .
Välj Spara.

Distribuera appen

Nu är du redo att distribuera din app till Azure App Service. Använd följande kommando för att se till att du är inloggad i Azure-miljön för att köra distributionen:

az login

Med all konfiguration klar i din pom.xml-fil kan du nu använda följande kommando för att distribuera din Java-app till Azure:

mvn package azure-webapp:deploy

När distributionen har slutförts är din applikation tillgänglig på . Öppna URL:en i den lokala webbläsaren, där du bör se startsidan för -programmet.

Utforska exemplet

Använd följande steg för att utforska exemplet:

Observera den inloggade eller utloggade statusen som visas i mitten av skärmen.
Välj den sammanhangskänsliga knappen i hörnet. Den här knappen läser Logga in när du först kör appen.
På nästa sida följer du anvisningarna och loggar in med ett konto i Microsoft Entra ID-klientorganisationen.
På samtyckesskärmen, observera vilka behörigheter som begärs.
Observera att den sammanhangskänsliga knappen nu säger Logga ut och visar ditt användarnamn.
Välj Information om ID-token om du vill se några av ID-tokenens avkodade anspråk.
Välj Grupper för att se information om medlemskap i säkerhetsgrupper för den inloggade användaren.
Välj Endast administratör eller Vanlig användare för att få åtkomst till gruppernas anspråksskyddade slutpunkter.
- Om den inloggade användaren tillhör gruppen , kan användaren gå till båda sidorna.
- Om den inloggade användaren är i -gruppen kan användaren bara gå till sidan Regular User.
- Om den inloggade användaren inte finns i någon av grupperna kan användaren inte komma åt någon av de två sidorna.
Använd knappen i hörnet för att logga ut.
När du har loggat ut väljer du ID-tokeninformation för att se att appen visar ett -fel i stället för ID-tokenanspråken när användaren inte är behörig.

Om koden

Det här exemplet använder MSAL för Java (MSAL4J) för att logga in en användare och hämta en ID-token som kan innehålla gruppanspråket. Om det finns för många grupper för att tas med i ID-token använder exemplet Microsoft Graph SDK för Java för att hämta data om gruppmedlemskap från Microsoft Graph. Beroende på vilka grupper användaren tillhör kan den användare som är inloggad komma åt ingen, en eller båda de skyddade sidorna, och .

Om du vill replikera det här exemplets beteende måste du lägga till MSAL4J och Microsoft Graph SDK i dina projekt med maven. Du kan kopiera pom.xml-filen och innehållet i hjälpmapparna och authservlets-mapparnai mappen src/main/java/com/microsoft/azuresamples/msal4j. Du behöver också filen authentication.properties. Dessa klasser och filer innehåller allmän kod som du kan använda i en mängd olika program. Du kan också kopiera resten av exemplet, men de andra klasserna och filerna skapas specifikt för att hantera det här exemplets mål.

Innehåll

I följande tabell visas innehållet i exempelprojektmappen:

Fil/mapp	Beskrivning
src/main/java/com/microsoft/azuresamples/msal4j/groupswebapp/	Den här katalogen innehåller de klasser som definierar appens affärslogik för serverdelen.
src/main/java/com/microsoft/azuresamples/msal4j/authservlets/	Den här katalogen innehåller de klasser som används för inloggning och utloggningsslutpunkter.
*Servlet.java	Alla tillgängliga slutpunkter definieras i Java-klasser med namn som slutar `Servlet`.
src/main/java/com/microsoft/azuresamples/msal4j/helpers/	Hjälpklasser för autentisering.
AuthenticationFilter.java	Omdirigerar oautentiserade begäranden till skyddade slutpunkter till en 401-sida.
src/main/resources/authentication.properties	Microsoft Entra-ID och programkonfiguration.
src/main/webapp/	Den här katalogen innehåller användargränssnittet – JSP-mallar
CHANGELOG.md	Lista över ändringar i exemplet.
CONTRIBUTING.md	Riktlinjer för att bidra till exemplet.
LICENS	Licens för exemplet.

Bearbeta ett gruppanspråk i token, inklusive hantering av överförbrukning

I följande avsnitt beskrivs hur appen bearbetar ett gruppanspråk.

Gruppernas påstående

Objekt-ID:t för de säkerhetsgrupper som den inloggade användaren är medlem i returneras i gruppanspråket för token, vilket visas i följande exempel:

{
  ...
  "groups": [
    "0bbe91cc-b69e-414d-85a6-a043d6752215",
    "48931dac-3736-45e7-83e8-015e6dfd6f7c",]
  ...
}

Gruppers överförbrukningsanspråk

För att säkerställa att tokenstorleken inte överskrider storleksgränserna för HTTP-huvuden begränsar Microsofts identitetsplattform antalet objekt-ID:t som den innehåller i gruppanspråket.

Överförbrukningsgränsen är 150 för SAML-token, 200 för JWT-token och 6 för ensidesprogram. Om en användare är medlem i fler grupper än överförbrukningsgränsen genererar Microsofts identitetsplattform inte grupp-ID:t i gruppanspråket i token. I stället innehåller det en overage-claim i tokenet som anger att programmet ska fråga Microsoft Graph API för att hämta användarens gruppmedlemskap, som visas i följande exempel:

{
  ...
  "_claim_names": {
    "groups": "src1"
    },
    {
   "_claim_sources": {
    "src1": {
        "endpoint":"[Graph Url to get this user's group membership from]"
        }
    }
  ...
}

Skapa överförbrukningsscenariot i det här exemplet för testning

Om du vill skapa överförbrukningsscenariot kan du använda följande steg:

Du kan använda filen BulkCreateGroups.ps1 i mappen AppCreationScripts för att skapa ett stort antal grupper och tilldela användare till dem. Den här filen hjälper till att testa överförbrukningsscenarier under utvecklingen. Kom ihåg att ändra användarens som anges i skriptet BulkCreateGroups.ps1.
När du kör det här exemplet och en överförbrukning inträffar visas _claim_names på startsidan efter att användaren har loggat in.
Vi rekommenderar starkt att du använder funktionen för gruppfiltrering, om möjligt, för att undvika att stöta på gruppöverförbrukning. Mer information finns i avsnittet Konfigurera applikationen så att den tar emot anspråksvärden för grupper från en filtrerad uppsättning grupper som en användare kan ha tilldelats.
Om du inte kan undvika att stöta på gruppöverförbrukning rekommenderar vi att du använder följande steg för att bearbeta gruppanspråket i din token:
1. Sök efter kravet _claim_names där ett av värdena är grupper. Det här anspråket anger överförbrukning.
2. Om det hittas gör du ett anrop till slutpunkten som anges i _claim_sources för att hämta användarens grupper.
3. Om ingen hittas kan du titta på gruppanspråket för användarens grupper.

Kommentar

Hantering av överskridande kräver ett anrop till Microsoft Graph för att läsa gruppmedlemskapen för den inloggade användaren, så din app måste ha behörigheten GroupMember.Read.All för att funktionen getMemberObjects ska kunna köras.

Mer information om programmering för Microsoft Graph finns i videon En introduktion till Microsoft Graph för utvecklare.

ConfidentialClientApplication

En -instans skapas i filen AuthHelper.java, som visas i följande exempel. Det här objektet hjälper dig att skapa Microsoft Entra-auktoriserings-URL:en och hjälper även till att byta ut autentiseringstoken mot en åtkomsttoken.

// getConfidentialClientInstance method
IClientSecret secret = ClientCredentialFactory.createFromSecret(SECRET);
confClientInstance = ConfidentialClientApplication
                      .builder(CLIENT_ID, secret)
                      .authority(AUTHORITY)
                      .build();

Följande parametrar används för instansiering:

Appens klient-ID.
Klienthemligheten, som är ett krav för konfidentiella klientprogram.
Microsoft Entra ID-utfärdare, som innehåller ditt Klient-ID för Microsoft Entra.

I det här exemplet läss dessa värden från filen authentication.properties med hjälp av en egenskapsläsare i filen Config.java .

Stegvis genomgång

Följande steg innehåller en genomgång av appens funktioner:

Det första steget i inloggningsprocessen är att skicka en begäran till slutpunkten för din Microsoft Entra ID-klientorganisation. MSAL4J-instansen används för att konstruera en URL för en auktoriseringsbegäran. Appen omdirigerar webbläsaren till den här URL:en, där användaren loggar in.
```
final ConfidentialClientApplication client = getConfidentialClientInstance();
AuthorizationRequestUrlParameters parameters = AuthorizationRequestUrlParameters.builder(Config.REDIRECT_URI, Collections.singleton(Config.SCOPES))
        .responseMode(ResponseMode.QUERY).prompt(Prompt.SELECT_ACCOUNT).state(state).nonce(nonce).build();

final String authorizeUrl = client.getAuthorizationRequestUrl(parameters).toString();
contextAdapter.redirectUser(authorizeUrl);
```
I följande lista beskrivs funktionerna i den här koden:
- : Parametrar som måste ställas in för att bygga en AuthorizationRequestUrl.
- : Dit Microsoft Entra omdirigerar webbläsaren – tillsammans med auktoriseringskoden – efter att ha samlat in användarens inloggningsuppgifter. Den här måste matcha den omdirigerings-URI som anges i appregistreringen för Microsoft Entra ID i Azure portal.
- : Scopes är behörigheter som begärs av applikationen.
  - Normalt räcker de tre omfattningarna för att få ett ID-token som svar.
  - En fullständig lista över omfång som begärs av appen finns i filen authentication.properties . Du kan lägga till fler scope, till exempel .
Användaren får en inloggningsprompt av Microsoft Entra-ID. Om inloggningsförsöket lyckas omdirigeras användarens webbläsare till appens omdirigeringsslutpunkt. En giltig begäran till den här slutpunkten innehåller en auktoriseringskod.

-instansen byter sedan ut den här auktoriseringskoden mot en ID-token och åtkomsttoken från Microsoft Entra ID.

// First, validate the state, then parse any error codes in response, then extract the authCode. Then:
// build the auth code params:
final AuthorizationCodeParameters authParams = AuthorizationCodeParameters
        .builder(authCode, new URI(Config.REDIRECT_URI)).scopes(Collections.singleton(Config.SCOPES)).build();

// Get a client instance and leverage it to acquire the token:
final ConfidentialClientApplication client = AuthHelper.getConfidentialClientInstance();
final IAuthenticationResult result = client.acquireToken(authParams).get();

I följande lista beskrivs funktionerna i den här koden:

: Parametrar som måste anges för att kunna byta ut auktoriseringskoden mot ett ID-token och/eller en åtkomsttoken.
: Auktoriseringskoden som togs emot vid omdirigeringsslutpunkten.
: omdirigerings-URI:n som användes i föregående steg måste anges igen.
: De scope som användes i föregående steg måste skickas med igen.

Om lyckas extraheras anspråken i tokenen. Om nonce-kontrollen klaras placeras resultatet i – en instans av – och sparas i sessionen. Applikationen kan sedan instansiera från sessionen med hjälp av en instans av när den behöver komma åt det, såsom visas i följande kod:

// parse IdToken claims from the IAuthenticationResult:
// (the next step - validateNonce - requires parsed claims)
context.setIdTokenClaims(result.idToken());

// if nonce is invalid, stop immediately! this could be a token replay!
// if validation fails, throws exception and cancels auth:
validateNonce(context);

// set user to authenticated:
context.setAuthResult(result, client.tokenCache().serialize());

// handle groups overage if it has occurred.
handleGroupsOverage(contextAdapter);

Efter det föregående steget kan du extrahera gruppmedlemskap genom att anropa med en instans av .
Om användaren är medlem i för många grupper – mer än 200 – skulle ett anrop till kunna vara tomt om det inte vore för anropet till . Under tiden returnerar , vilket signalerar att en gräns har överskridits och att det krävs ett anrop till Microsoft Graph för att få den fullständiga listan över grupper. Se metoden i AuthHelper.java för att se hur det här programmet använder vid överskott.

Skydda vägarna

Se AuthenticationFilter.java för att se hur exempelappen filtrerar åtkomst till vägar. I filen authentication.properties innehåller egenskapen de kommaavgränsade sökvägar som endast autentiserade användare kan komma åt, vilket visas i följande exempel:

# for example, /token_details requires any user to be signed in and does not require special groups claim
app.protect.authenticated=/token_details

Alla rutter som anges i de kommaavgränsade regeluppsättningarna under är inte heller tillgängliga för icke-autentiserade autentiserade användare, som visas i följande exempel. Dessa sökvägar innehåller dock också en blankstegsseparerad lista över gruppmedlemskap. Endast användare som tillhör minst en av motsvarande grupper kan komma åt dessa vägar när de har autentiserats.

# define short names for group IDs here for the app. This is useful in the next property (app.protect.groups).
# EXCLUDE the curly braces, they are in this file only as delimiters.
# example:
# app.groups=groupA abcdef-qrstuvw-xyz groupB abcdef-qrstuv-wxyz
app.groups=admin {enter-your-admins-group-id-here}, user {enter-your-users-group-id-here}

# A route and its corresponding group(s) that can view it, <space-separated>; the start of the next route & its group(s) is delimited by a <comma-and-space-separator>
# this says: /admins_only can be accessed by admin group, /regular_user can be accessed by admin group and user group
app.protect.groups=/admin_only admin, /regular_user admin user

Omfång

Behörighetsomfång anger för Microsoft Entra ID vilken åtkomstnivå som programmet begär.

Baserat på de begärda omfången presenterar Microsoft Entra-ID en medgivandedialog för användaren vid inloggning. Om användaren samtycker till en eller flera omfattningar och erhåller en token kodas de omfattningar som användaren har samtyckt till in i den resulterande .

För de omfattningar som begärs av applikationen, se authentication.properties. Som standard ställer programmet in värdet för scopes till . Det här specifika Microsoft Graph API-omfånget krävs om programmet behöver anropa Graph för att hämta användarens gruppmedlemskap.

Mer information

Microsofts autentiseringsbibliotek (MSAL) för Java
Microsoft Identity Platform (Microsoft Entra ID för utvecklare)
Snabbstart: Registrera en applikation med Microsofts identitetsplattform
Förstå samtyckesupplevelser för Microsoft Entra ID-applikationer
Förstå användar- och administratörsmedgivande
MSAL-kodexempel

Feedback

Var den här sidan till hjälp?

Last updated on 2026-09-17

Skydda Java Tomcat-appar med hjälp av grupper och gruppanspråk

Förutsättningar

Rekommendationer

Konfigurera exemplet

Klona eller ladda ned exempellagringsplatsen

Registrera exempelprogrammet med din Microsoft Entra ID-klientorganisation

Välj den Microsoft Entra-ID-klientorganisation där du vill skapa dina program

Registrera appen (java-servlet-webapp-groups)

Konfigurera appen (java-servlet-webapp-groups) för att använda din appregistrering

Konfigurera säkerhetsgrupper

Konfigurera ditt program för att ta emot alla grupper som den inloggade användaren har tilldelats, inklusive kapslade grupper

Konfigurera ditt program för att ta emot gruppers anspråksvärden från en filtrerad uppsättning grupper som en användare kan tilldelas till

Konfigurera appen (java-servlet-webapp-groups) för att identifiera grupp-ID:t

Skapa exemplet

Kör exemplet

Förutsättningar

Konfigurera Maven-plugin-programmet

Förbereda appen för distribution

Uppdatera din Microsoft Entra ID-appregistrering

Distribuera appen

Utforska exemplet

Om koden

Innehåll

Bearbeta ett gruppanspråk i token, inklusive hantering av överförbrukning

Gruppernas påstående

Gruppers överförbrukningsanspråk

Skapa överförbrukningsscenariot i det här exemplet för testning

ConfidentialClientApplication

Stegvis genomgång

Skydda vägarna

Omfång

Mer information

Feedback

Ytterligare resurser