Skydda Java Spring Boot-appar med Azure Active Directory B2C

Den här artikeln visar en Java Spring Boot-webbapp som loggar in användare på din Azure Active Directory B2C-klientorganisation med hjälp av Azure AD B2C Spring Boot Starter-klientbiblioteket för Java. Det använder OpenID Connect-protokollet.

Följande diagram visar appens topologi:

Diagram som visar appens topologi.

Klientappen använder Azure AD B2C Spring Boot Starter-klientbiblioteket för Java för att logga in en användare och hämta en ID-token från Azure AD B2C. ID-token bevisar att användaren autentiseras med Azure AD B2C och gör det möjligt för användaren att komma åt skyddade vägar.

Förutsättningar

• JDK version 15. Det här exemplet har utvecklats på ett system med Java 15, men det kan vara kompatibelt med andra versioner.
• Maven 3
• Java-tilläggspaketet för Visual Studio Code rekommenderas för att köra det här exemplet i Visual Studio Code.
• En Azure AD B2C-klientorganisation. Mer information finns i Självstudie: Skapa en Azure Active Directory B2C-klientorganisation
• Visual Studio Code
• Azure Tools för Visual Studio Code

Rekommendationer

• Viss kunskap om Spring Framework.
• Viss kunskap om Linux/OSX-terminalen.
• jwt.ms för att inspektera dina token.
• Fiddler för övervakning av nätverksaktivitet och felsökning.
• Följ Microsoft Entra-bloggen för att hålla dig up-to-date med den senaste utvecklingen.

Konfigurera exemplet

I följande avsnitt visas hur du konfigurerar exempelprogrammet.

Klona eller ladda ned exempellagringsplatsen

Om du vill klona exemplet öppnar du ett Bash-fönster och använder följande kommando:

git clone https://github.com/Azure-Samples/ms-identity-msal-java-samples.git
cd 4-spring-web-app/1-Authentication/sign-in-b2c

Du kan också gå till lagringsplatsen ms-identity-msal-java-samples och sedan ladda ned den som en .zip fil och extrahera den till hårddisken.

Det här exemplet levereras med ett förregistrerat program i demosyfte. Om du vill använda en egen Azure AD B2C-klientorganisation och ett program registrerar du och konfigurerar programmet i Azure Portal. Mer information finns i avsnittet Registrera appen . Annars fortsätter du med stegen i avsnittet Kör exemplet .

Välj den Azure AD B2C-klientorganisation där du vill skapa dina program

Använd följande steg för att välja klientorganisation:

1. Logga in på Azure-portalen.

2. Om ditt konto finns i mer än en Azure AD B2C-klientorganisation väljer du din profil i hörnet av Azure Portal och väljer sedan Växla katalog för att ändra sessionen till önskad Azure AD B2C-klientorganisation.

Skapa användarflöden och anpassade principer

Information om hur du skapar vanliga användarflöden som registrering, inloggning, profilredigering och lösenordsåterställning finns i Självstudie: Skapa användarflöden i Azure Active Directory B2C.

Du bör även överväga att skapa anpassade principer i Azure Active Directory B2C. Den här uppgiften ligger dock utanför omfånget för den här självstudien. Mer information finns i Översikt över anpassad princip i Azure AD B2C.

Lägga till externa identitetsprovidrar

Se Självstudie: Lägga till identitetsprovidrar i dina program i Azure Active Directory B2C.

Registrera appen (java-spring-webapp-auth-b2c)

Använd följande steg för att registrera appen:

1. Gå till Azure Portal och välj Azure AD B2C.

2. Välj Appregistreringar i navigeringsfönstret och välj sedan Ny registrering.

3. På sidan Registrera ett program som visas anger du följande programregistreringsinformation:

   • I avsnittet Namn anger du ett beskrivande programnamn för visning för användare av appen , till exempel java-spring-webapp-auth-b2c.
   • Under Kontotyper som stöds, välj Konton i valfri identitetsleverantör eller organisationskatalog (för autentisering av användare med användarflöden).
   • I avsnittet Omdirigerings-URI (valfritt) väljer du Webb i kombinationsrutan och anger följande omdirigerings-URI: http://localhost:8080/login/oauth2/code/.

4. Välj Registrera för att skapa programmet.

5. På appens registreringssida letar du upp och kopierar värdet program-ID (klient) för senare användning. Du använder det här värdet i appens konfigurationsfil eller filer.

6. Välj Spara för att spara dina ändringar.

7. På appens registreringssida väljer du fönstret Certifikat och hemligheter i navigeringsfönstret för att öppna sidan för att generera hemligheter och ladda upp certifikat.

8. Under avsnittet Klienthemlighet välj Ny klienthemlighet.

9. Skriv en beskrivning – till exempel apphemlighet.

10. Välj en av de tillgängliga varaktigheterna enligt dina säkerhetsproblem , till exempel Om två år.

11. Markera Lägga till. Det genererade värdet visas.

12. Kopiera och spara det genererade värdet för användning i senare steg. Du behöver det här värdet för kodens konfigurationsfiler. Det här värdet visas inte igen och du kan inte hämta det på något annat sätt. Se därför till att spara den från Azure Portal innan du går till någon annan skärm eller ett annat fönster.

Konfigurera appen (java-spring-webapp-auth-b2c) för att använda din appregistrering

Använd följande steg för att konfigurera appen:

1. Öppna projektet i din IDE.

2. Öppna filen src/main/resources/application.yml.

3. Leta upp client-id egenskapen och ersätt det befintliga värdet med program-ID:t eller java-spring-webapp-auth-b2cclientId programmet från Azure Portal.

4. Leta upp client-secret egenskapen och ersätt det befintliga värdet med det värde som du sparade när programmet skapades java-spring-webapp-auth-b2c från Azure Portal.

5. Leta upp base-uri egenskapen och ersätt de två instanserna av värdet fabrikamb2c med namnet på Azure AD B2C-klientorganisationen där du skapade java-spring-webapp-auth-b2c programmet i Azure Portal.

6. sign-up-or-sign-in Leta upp egenskapen och ersätt den med namnet på registrerings-/inloggningsprincipen för användarflöde som du skapade i Azure AD B2C-klientorganisationen där du skapade java-spring-webapp-auth-b2c programmet i Azure Portal.

7. Leta upp profile-edit egenskapen och ersätt den med namnet på principen för lösenordsåterställning av användarflöde som du skapade i Azure AD B2C-klientorganisationen där du skapade java-spring-webapp-auth-b2c programmet i Azure Portal.

8. Leta upp password-reset egenskapen och ersätt den med namnet på användarflödesprincipen för redigeringsprofilen som du skapade i Azure AD B2C-klientorganisationen där du skapade java-spring-webapp-auth-b2c programmet i Azure Portal.

9. Öppna filen src/main/resources/templates/navbar.html .

10. Hitta referenserna b2c_1_susi till och b2c_1_edit_profile -flödena och ersätt dem med dina sign-up-sign-in och profile-edit användarflödena.

Kör exemplet

az login

az upgrade

az extension add --name containerapp --upgrade

az extension add --name containerapp --upgrade --allow-preview true

az provider register --namespace Microsoft.App
az provider register --namespace Microsoft.OperationalInsights

export RESOURCE_GROUP="ms-identity-containerapps"
export LOCATION="canadacentral"
export ENVIRONMENT="env-ms-identity-containerapps"
export API_NAME="ms-identity-api"
export JAR_FILE_PATH_AND_NAME="./target/ms-identity-spring-boot-webapp-0.0.1-SNAPSHOT.jar"

az group create  \
    --name $RESOURCE_GROUP \
    --location $LOCATION \

az containerapp env create \
    --name $ENVIRONMENT \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION

az containerapp env show \
    --name $ENVIRONMENT \
    --resource-group $RESOURCE_GROUP \
    --query properties.defaultDomain

az containerapp up \
    --name $API_NAME \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION \
    --environment $ENVIRONMENT \
    --artifact <JAR_FILE_PATH_AND_NAME> \
    --ingress external \
    --target-port 8080 \
    --query properties.configuration.ingress.fqdn

Utforska exemplet

Använd följande steg för att utforska exemplet:

1. Observera den inloggade eller utloggade statusen som visas i mitten av skärmen.
2. Välj den sammanhangskänsliga knappen i hörnet. Den här knappen läser Logga in när du först kör appen. Du kan också välja länken till tokeninformation. Eftersom den här sidan är skyddad och kräver autentisering omdirigeras du automatiskt till inloggningssidan.
3. På nästa sida följer du anvisningarna och loggar in med ett konto för din valda identitetsprovider. Du kan också välja att registrera dig eller logga in på ett lokalt konto i B2C-klienten med hjälp av en e-postadress.
4. När inloggningsflödet har slutförts bör du omdirigeras till startsidan – som visar inloggningsstatusen – eller sidan med tokeninformation, beroende på vilken knapp som utlöste inloggningsflödet.
5. Observera att den sammanhangskänsliga knappen nu säger Logga ut och visar ditt användarnamn.
6. Om du är på startsidan väljer du ID-tokeninformation för att se några av ID-tokens avkodade anspråk.
7. Redigera din profil. Välj redigera profil för att ändra information som visningsnamn, bostadsort och yrke.
8. Använd knappen i hörnet för att logga ut. Statussidan visar det nya tillståndet.

Om koden

Det här exemplet visar hur du använder Azure AD B2C Spring Boot Starter-klientbiblioteket för Java för att logga in användare i din Azure AD B2C-klientorganisation. Exemplet använder även Spring Oauth2-klienten och Spring Web-startstartarna. Exemplet använder anspråk från den ID-token som hämtats från Azure AD B2C för att visa information om den inloggade användaren.

Innehåll

I följande tabell visas innehållet i exempelprojektmappen:

ID-tokenanspråk

För att extrahera tokeninformation använder appen Spring Securitys AuthenticationPrincipal och OidcUser objektet i en begärandemappning, som du ser i följande exempel, som du ser i följande exempel. Se Exempelkontrollanten för fullständig information om hur den här appen använder ID-tokenanspråk.

import org.springframework.security.oauth2.core.oidc.user.OidcUser;
import org.springframework.security.core.annotation.AuthenticationPrincipal;
//...
@GetMapping(path = "/some_path")
public String tokenDetails(@AuthenticationPrincipal OidcUser principal) {
    Map<String, Object> claims = principal.getIdToken().getClaims();
}

Inloggnings- och utloggningslänkar

För inloggning skickar appen en begäran till Azure AD B2C-inloggningsslutpunkten automatiskt konfigurerad av Azure AD B2C Spring Boot Starter-klientbiblioteket för Java, som du ser i följande exempel:

<a class="btn btn-success" href="/oauth2/authorization/{your-sign-up-sign-in-user-flow}">Sign In</a>

För utloggning gör appen en POST-begäran till logout slutpunkten, som du ser i följande exempel:

<form action="#" th:action="@{/logout}" method="post">
  <input class="btn btn-warning" type="submit" value="Sign Out" />
</form>

Autentiseringsberoende gränssnittselement

Appen har lite enkel logik på mallsidorna för användargränssnittet för att bestämma innehåll som ska visas baserat på om användaren autentiseras, som du ser i följande exempel med Hjälp av Spring Security Thymeleaf-taggar:

<div sec:authorize="isAuthenticated()">
  this content only shows to authenticated users
</div>
<div sec:authorize="isAnonymous()">
  this content only shows to not-authenticated users
</div>

Skydda vägar med WebSecurityConfigurerAdapter

Som standard skyddar appen sidan Information om ID-token så att endast inloggade användare kan komma åt den. Appen konfigurerar dessa vägar från app.protect.authenticated egenskapen från filen application.yml . Om du vill konfigurera appens specifika krav kan du utöka WebSecurityConfigurerAdapter i någon av dina klasser. Ett exempel finns i den här appens SecurityConfig-klass , som visas i följande kod:

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Value("${app.protect.authenticated}")
    private String[] protectedRoutes;

    private final AADB2COidcLoginConfigurer configurer;

    public SecurityConfig(AADB2COidcLoginConfigurer configurer) {
        this.configurer = configurer;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // @formatter:off
        http.authorizeRequests()
            .antMatchers(protectedRoutes).authenticated()     // limit these pages to authenticated users (default: /token_details)
            .antMatchers("/**").permitAll()                  // allow all other routes.
            .and()
            .apply(configurer)
            ;
        // @formatter:off
    }
}

Mer information

• Microsofts identitetsplattform (Microsoft Entra-ID för utvecklare)
• Översikt över Microsoft Authentication Library (MSAL)
• Snabbstart: Registrera ett program med Microsofts identitetsplattform
• Snabbstart: Konfigurera ett klientprogram för åtkomst till webb-API:er
• Förstå funktioner för medgivande för Microsoft Entra-ID-program
• Förstå användar- och administratörsmedgivande
• Översikt över program- och tjänstobjekt i Microsoft Entra ID
• Nationella moln
• MSAL-kodexempel
• Microsoft Entra ID Spring Boot Starter-klientbibliotek för Java
• Azure Active Directory B2C Spring Boot Starter-klientbibliotek för Java
• Microsoft Authentication Library for Java (MSAL4J)
• MSAL4J Wiki
• ID-token
• Åtkomsttoken i Microsofts identitetsplattform

Mer information om hur OAuth 2.0-protokoll fungerar i det här scenariot och andra scenarier finns i Autentiseringsscenarier för Microsoft Entra-ID.