OAuth-tokens beheren in Azure App Service

In dit artikel leest u hoe u OAuth-tokens beheert voor ingebouwde verificatie en autorisatie in Azure App Service.

Tokens ophalen in toepassingscode

Azure App Service injecteert uw providerspecifieke tokens in de aanvraagheader, zodat u deze eenvoudig kunt openen. Als u de providerspecifieke tokens wilt ophalen, moet tokenarchief zijn ingeschakeld voor de app.

Vanuit uw clientcode, zoals een mobiele app of JavaScript in de browser, verzendt u een HTTP-aanvraag GET naar /.auth/me. De geretourneerde JSON heeft de providerspecifieke tokens.

De volgende tabel bevat de namen van de OAuth-tokenheaders voor verschillende ingebouwde App Service-providers:

Verificatietokens vernieuwen

De volgende informatie verwijst naar providertokens. Zie Verloopperiode voor sessietoken uitbreiden.

Als het toegangstoken van uw provider verloopt, moet u de gebruiker opnieuw verifiëren voordat u dat token opnieuw kunt gebruiken. U kunt het verlopen van tokens voorkomen door een GET aanroep uit te voeren naar het /.auth/refresh eindpunt van uw toepassing.

Als u uw toegangstoken op elk gewenst moment wilt vernieuwen, roept u /.auth/refresh een willekeurige taal aan. In het volgende codefragment wordt jQuery gebruikt om uw toegangstokens te vernieuwen vanuit een JavaScript-client.

function refreshTokens() {
  let refreshUrl = "/.auth/refresh";
  $.ajax(refreshUrl) .done(function() {
    console.log("Token refresh completed successfully.");
  }) .fail(function() {
    console.log("Token refresh failed. See application logs for details.");
  });
}

Wanneer deze wordt aangeroepen, vernieuwt App Service automatisch de toegangstokens in het tokenarchief voor de geverifieerde gebruiker. Volgende aanvragen voor tokens krijgen de vernieuwde tokens. U kunt de vernieuwingstokens en de verlooptijd voor de tokens zien met behulp van de headers die worden vermeld in Tokens ophalen in app-code.

Providers configureren om vernieuwings-tokens te leveren

Vernieuwen van tokens werkt alleen als het tokenarchief vernieuwingstokens van uw provider bevat. Elk provider documenteert hoe ze hun vernieuwtokens kunnen ophalen. De volgende tabel bevat een kort overzicht:

De Microsoft Entra-provider configureren om refresh tokens te verstrekken.

1. Ga in Azure Portal naar de API Playground (preview) en selecteer indien nodig Nieuwe aanvraag .
2. Voer in het veld ARM-relatief pad hier invoeren, inclusief API-versie de volgende tekenreeks in. Vervang daarbij de tijdelijke aanduidingen door uw abonnements-ID, resourcegroepnaam en appnaam.
   subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Web/sites/<app-name>/config/authsettingsV2?api-version=2024-11-01
3. Selecteer en voeruit.
4. Selecteer PUT linksboven en selecteer het tabblad Hoofdtekst van aanvraag .
5. Kopieer de inhoud van het GET antwoord uit het hoofdtekstveld Antwoord en plak deze in het tabblad Hoofdtekst van aanvraag .
6. Zoek de sectie in de "identityProviders":>>"azureActiveDirectory":"login": code en voeg de volgende regel toe:
   "loginParameters": ["scope=openid profile email offline_access"]
7. Selecteer en voeruit. In het veld Antwoordtekst worden uw wijzigingen weergegeven.

Offline_access is het bereik dat vernieuwingssleutels biedt. App Service vraagt standaard al om de andere scopes. Zie OpenID Connect-bereiken en Web Apps - Verificatie-instellingen bijwerken V2 voor meer informatie.

Respijtperiode voor verlooptijd van sessietoken uitbreiden

De geverifieerde sessie verloopt na 8 uur en een standaard respijtperiode van 72 uur volgt. Binnen deze respijtperiode kunt u het sessietoken vernieuwen met App Service zonder de gebruiker opnieuw te verifiëren. U kunt eenvoudig /.auth/refresh aanroepen wanneer uw sessietoken ongeldig wordt en u hoeft het verstrijken van tokens niet zelf bij te houden.

Wanneer de respijtperiode van 72 uur is verstreken, moet de gebruiker zich opnieuw aanmelden om een geldig sessietoken op te halen. Als u een langer verloopvenster dan 72 uur nodig hebt, kunt u dit uitbreiden, maar het verlengen van de vervaldatum voor een lange periode kan aanzienlijke gevolgen hebben voor de beveiliging als een verificatietoken wordt gelekt of gestolen. U kunt de instelling het beste 72 uur laten staan of de verlengingsperiode instellen op de kleinste mogelijke waarde.

Als u het standaardverloopvenster wilt uitbreiden, voert u de volgende Azure CLI-opdracht uit in Azure Cloud Shell:

az webapp auth update --resource-group <group_name> --name <app_name> --token-refresh-extension-hours <hours>

Verwante inhoud

• Zelfstudie: Gebruikers end-to-end verifiëren en autoriseren