Аутентификация протекает, когда веб-приложение аутентифицирует посетителей и себя в отношении Microsoft Graph.

Question

Я пытаюсь создать небольшое веб-приложение, которое будет аутентифицировать посещающего пользователя с помощью Azure AD, а затем добавить пользователя в указанную группу в Azure AD.Используются следующие компоненты: ядро ​​C # / dotnet, MSAL и библиотека Microsoft Graph для .NET.

Шаги достаточно просты:

1. пользователь посещает веб-сайт.
2. пользователь получаетпроверка подлинности для Azure AD с OpenID Connect.
3. при успешной проверке подлинности веб-сайт добавляет пользователя в качестве члена в определенную группу Azure AD с помощью Microsoft Graph API.
4. пользователю предоставляется статусоперация.

Приложение зарегистрировано в Azure AD с неявным предоставлением (для токенов ID) и со следующими разрешениями Azure AD:

• Microsoft Graph: Group.ReadWrite.Все
• График Microsoft: User.Read.All

Контроллер выглядит следующим образом:

    public async Task<string> Test()
    {
        //get authenticated user
        var identity = User.Identity as ClaimsIdentity;
        string preferred_username = identity.Claims.FirstOrDefault(c => c.Type == "preferred_username")?.Value;

        //get appsettings.json
        var azureAdOptions = new AzureADOptions();
        _configuration.Bind("AzureAd", azureAdOptions);

        //do Microsoft Graph stuff
        GraphServiceClient graphClient = new GraphServiceClient(new DelegateAuthenticationProvider(
            async requestMessage =>
            {
                string authority = $"{azureAdOptions.Instance}{azureAdOptions.TenantId}";

                ClientCredential clientCredentials = new ClientCredential(azureAdOptions.ClientSecret);

                var app = new ConfidentialClientApplication(azureAdOptions.ClientId, authority, "https://daemon",
                                                            clientCredentials, null, new TokenCache());

                string[] scopes = new string[] { "https://graph.microsoft.com/.default" };

                // Passing tenant ID to the sample auth provider to use as a cache key
                AuthenticationResult authResult = null;
                authResult = await app.AcquireTokenForClientAsync(scopes);

                // Append the access token to the request
                requestMessage.Headers.Authorization = new AuthenticationHeaderValue("Bearer", authResult.AccessToken);
            }));

        User userToAdd = await graphClient.Users[preferred_username].Request().GetAsync();
        await graphClient.Groups["c388b7a4-2a22-4e3f-ac11-900cef9f74c6"].Members.References.Request().AddAsync(userToAdd);

        return $"added {userToAdd.DisplayName} to group";
    }

Startup.cs выглядит следующим образом:

    public void ConfigureServices(IServiceCollection services)
    {
        services.AddAuthentication(AzureADDefaults.AuthenticationScheme)
            .AddAzureAD(options => Configuration.Bind("AzureAd", options));

        services.Configure<OpenIdConnectOptions>(AzureADDefaults.OpenIdScheme, options =>
        {
            options.Authority = options.Authority + "/v2.0/";
            options.TokenValidationParameters.ValidateIssuer = true;
        });

        services.AddMvc(options =>
        {
            var policy = new AuthorizationPolicyBuilder()
                .RequireAuthenticatedUser()
                .Build();
            options.Filters.Add(new AuthorizeFilter(policy));
        })
        .SetCompatibilityVersion(CompatibilityVersion.Version_2_1);
    }
    public void Configure(IApplicationBuilder app, IHostingEnvironment env)
    {
        if (env.IsDevelopment())
        {
            app.UseDeveloperExceptionPage();
        }
        else
        {
            app.UseExceptionHandler("/Home/Error");
        }

        app.UseHttpsRedirection();
        app.UseStaticFiles();
        app.UseAuthentication();

        app.UseMvc(routes =>
        {
            routes.MapRoute(
                name: "default",
                template: "{controller=Home}/{action=Index}/{id?}");
        });
    }

С этим кодом у меня есть два потока аутентификации.Один для аутентификации посетителя и один для аутентификации приложения в Microsoft Graph.Это объясняется тем, что у пользователя недостаточно прав для добавления участника в группу.Код работает и работает точно так, как ожидалось.

Является ли двойной способ аутентификации для регистрации одного приложения Azure AD лучшим способом для достижения этой цели, или существует более изящный дизайн, в котором требуется только один поток аутентификации?

Answer 1

Насколько я знаю, вам нужно поддерживать эти два потока.Вашему пользователю нужен один токен для общения с вашим веб-приложением, а вашему веб-приложению нужен другой токен для общения с Graph.

Надеюсь, вам не понадобится весь этот код в DelegateAuthenticationProvider, как только мы скоро выполним предварительный просмотр группы сценариев AuthenticationProviders. ClientCredentialProvider должен выполнить всю эту работу за вас.