Tümleşik Windows Kimlik Doğrulaması

Masaüstü veya mobil uygulamanız Windows üzerinde ve Windows etki alanına (Active Directory veya Microsoft Entra katılmış) bağlı bir makinede çalışıyorsa, belirteci sessizce almak için Tümleşik Windows Kimlik Doğrulaması'nı (IWA) kullanmak mümkündür. Uygulamayı kullanırken kullanıcı arabirimi gerekmez.

final String AUTHORITY;
final String APP_ID;
String userName;
List<String> scopes;

PublicClientApplication app = PublicClientApplication.builder(APP_ID)
        .authority(AUTHORITY)
        .build();

IntegratedWindowsAuthenticationParameters parameters =
        IntegratedWindowsAuthenticationParameters.builder(scope, userName).build();

IAuthenticationResult future = app.acquireToken(parameters).get();

Constraints

• Yalnızca federe* kullanıcılar için; yani kimlik doğrulamanın şirket içi bir yetkiliye (örneğin ADFS) devredildiği durumlarda veya Seamless SSO’nun etkinleştirildiği karma senaryolarda. Kullanıcıların, herhangi bir Active Directory desteği olmadan doğrudan Microsoft Entra ID'de bulunduğu salt bulut kiracıları bu akışı kullanamaz.
• IWA MFA'yi atlamaz (çok faktörlü kimlik doğrulaması). MFA yapılandırıldıysa, MFA kullanıcı etkileşimi gerektirdiği için bir MFA sınaması gerekiyorsa IWA başarısız olabilir.

Bu biraz karmaşık. IWA etkileşimli değildir, ancak 2FA kullanıcı etkileşimi gerektirir. Kimlik sağlayıcısının 2FA gerçekleştirilmesini ne zaman isteyeceğini siz kontrol etmezsiniz; bunu kiracı yöneticisi belirler. Gözlemlerimizden, farklı bir ülkeden/bölgeden oturum açtığınızda, VPN aracılığıyla bir kurumsal ağa bağlanmadığınızda ve bazen VPN üzerinden bağlandığınızda bile 2FA gereklidir. Belirleyici bir kural kümesi beklemeyin Microsoft Entra ID 2FA gerekip gerekmediğini sürekli öğrenmek için yapay zekayı kullanır. IWA başarısız olursa kullanıcı istemine geri dönmeniz gerekir

• PublicApplication içine iletilen yetkinin şu şekilde olması gerekir:

  • tenanted (https://login.microsoftonline.com/{tenant}/ biçiminde; burada tenant, kiracı kimliğini temsil eden GUID veya kiracıyla ilişkili bir alan adıdır. )
  • tüm iş ve okul hesapları için (https://login.microsoftonline.com/organizations/)

  Microsoft kişisel hesaplar desteklenmez (/common veya /consumers kiracılarını kullanamazsınız)

• Tümleşik Windows Kimlik Doğrulaması sessiz bir akış olduğundan:

  • uygulamanızın kullanıcısı uygulamayı kullanmayı daha önce onaylamış olmalıdır
  • veya kiracı yöneticisinin daha önce kiracıdaki tüm kullanıcıların uygulamayı kullanmasına izin vermiş olması gerekir.
  • Bu, şu anlama gelir:
    • ya geliştirici olarak Azure portalında kendiniz için Grant düğmesini tıkladınız,
    • veya bir kiracı yöneticisi, uygulama kaydının API izinlerisekmesindeki {tenant domain} için yönetici onayı ver/iptal et düğmesine basmıştır
    • veya kullanıcıların uygulamayı onaylaması için bir yol sağladınız
    • veya kiracı yöneticisinin uygulamayı onaylaması için bir yol sağladınız