透過Azure AD實踐網站單一登入機制

無論是實踐單一登入(SSO)所需要的身分驗證,或是採用OAuth機制,讓用戶授權第三方應用程式來存取受管理的資源,都會從『建立一個應用程式』開始。

Google, 微軟, Twitter, LINE…都有自己的OAuth機制。Google 位於API Console, 微軟位於Azure AD,而LINE 則是使用LINE Login…這也是你常常會看到現在許多網站都有支援各種SSO身分驗證機制的原因:
圖片

在Azure AD註冊應用程式

底下我們以微軟的身分驗證機制,拿Web類型的第三方應用程式來做例子,這段影片,示範了如何在Azure AD上建立一個應用程式:

從上面的展示,你會看到我們在Azure Portal上建立好一個 App, 並設定Redirect URL,並取得App ID。建立時,身分驗證類型有四種:
圖片

分別是:
A. 企業用,只支援該AAD所屬企業
B. 企業用,支援所有具有AAD的企業
C. 企業(to B)+個人(to C),上述B加上個人帳號(例如hotmail.com, outlook.com, msn.com…等)
D. 僅限個人帳號登入,例如 hotmail.com, outlook.com, msn.com…等

接著,我們要建立並取得待會Web應用程式需要進行身分驗證時,所需要的 App Secret:

另外別忘了,再次檢查設定好的redirect URL,測試階段我們先用 localhost:
圖片

完成之後,我們就可以來測試一下,如何使用OAuth的身分驗證機制來取得access token。

OAuth Authorization Code Flow

依照OAuth的Authorization code flow流程,我們的作業流程分成兩個階段,
A> 第一個階段我們做身分驗證,並取得代碼(code),
B> 第二階段再拿code去跟伺服器端要access token。

第一階段,我們需要提供底下這些資訊(剛才都已經蒐集到):

  1. App Clinet ID
  2. redirect URL

微軟AAD使用的 endpoint 為:

https://login.microsoftonline.com/common/oauth2/v2.0/authorize?response_type=code&client_id=[your_app_id]
&redirect_uri=http://localhost&scope=openid https://graph.microsoft.com/user.read

我們可以直接把上面的endpoint中的your_app_id換掉即可,因為這段endpoint是可以透過瀏覽器運行的,所以我們先以瀏覽器來測試:

請看上面影片中的展示,我們組出一個身分驗證與授權的URL,由於是 http redirect的URL,因此直接貼上瀏覽器運行,接著,用戶會被導入登入頁面,由用戶輸入帳號密碼,應用程式即可從網址列取得code。

取得code之後,我們要拿這個code換取token,這部分為了安全起見,OAuth Authorization Code Flow的定義是採用後端以http post方式來呼叫,因此我們採用 postman 來模擬。

這個階段,也需要底下這些資訊(一開始也蒐集到了):

  1. App Clinet ID
  2. redirect URL
  3. App Secret

整個操作影片如下:

從上面的影片中你會看到,取得 token 之後,就可以使用 token 來取得用戶資訊了。

小結

上面這幾段影片,展示了從建立App,但透過app以flow取得code,接著再用code換取token,並且拿token取得用戶個人資料(name & email),這意味著,透過這樣的流程,你不僅僅可以在安全的前提下驗證用戶身分,且第三方應用程式,可以透過取得的token取得用戶被管理的資源。

上面的流程是採用瀏覽器與postman模擬呼叫的方式來進行,若你真的要應用在自己開發的第三方應用程式,只需要把上面的流程改為透過程式碼來運行即可。 可參考 https://github.com/isdaviddong/HOL-DotNetCore/blob/master/Auth/使用 .net core 搭配 AAD 進行MS SSO身分驗證.md

留言

這個網誌中的熱門文章

使用 Airtable 在小型需求上取代傳統資料庫

精彩(且驚人)的Semantic Kernel入門範例

使用Semantic Kernel 建立自然語言請假系統

在 LINE Bot 開發中使用Semantic Kernel建立自然語言請假系統

專業的價值...