Skyddat webb-API: Kodkonfiguration

Microsoft rekommenderar att du använder NuGet-paketet Microsoft.Identity.Web när du utvecklar ett webb-API med ASP.NET Core.

Microsoft.Identity.Web tillhandahåller limmet mellan ASP.NET Core, mellanprogrammet för autentisering och Microsoft Authentication Library (MSAL) för .NET. Det ger en tydligare och mer robust utvecklarupplevelse och utnyttjar kraften i Microsofts identitetsplattform och Azure AD B2C.

ASP.NET för .NET 6.0

Om du vill skapa ett nytt webb-API-projekt som använder Microsoft.Identity.Web använder du en projektmall i .NET 6.0 CLI eller Visual Studio.

Dotnet core CLI

# Create new web API that uses Microsoft.Identity.Web
dotnet new webapi --auth SingleOrg

Visual Studio – Om du vill skapa ett webb-API-projekt i Visual Studio väljer du >

Både .NET CLI- och Visual Studio-projektmallarna skapar en Program.cs fil som liknar det här kodfragmentet. Observera Microsoft.Identity.Web att du använder direktivet och raderna som innehåller autentisering och auktorisering.

using Microsoft.AspNetCore.Authentication;
using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.Identity.Web;

var builder = WebApplication.CreateBuilder(args);

// Add services to the container.
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(builder.Configuration.GetSection("AzureAd"));

builder.Services.AddControllers();
// Learn more about configuring Swagger/OpenAPI at https://aka.ms/aspnetcore/swashbuckle
builder.Services.AddEndpointsApiExplorer();
builder.Services.AddSwaggerGen();

var app = builder.Build();

// Configure the HTTP request pipeline.
if (app.Environment.IsDevelopment())
{
    app.UseSwagger();
    app.UseSwaggerUI();
}

app.UseHttpsRedirection();

app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();

app.Run();

Microsoft rekommenderar att du använder NuGet-paketet Microsoft.Identity.Web.OWIN när du utvecklar ett webb-API med ASP.NET.

Microsoft.Identity.Web.OWIN tillhandahåller limmet mellan ASP.NET, mellanprogrammet för ASP.NET autentisering och Microsoft Authentication Library (MSAL) för .NET. Det ger en tydligare och mer robust utvecklarupplevelse och utnyttjar kraften i Microsofts identitetsplattform och Azure AD B2C.

Den använder samma konfigurationsfil som ASP.NET Core (appsettings.json) och du måste se till att den här filen kopieras med utdata från projektet (egenskapskopiering alltid i filegenskaperna i Visual Studio eller i .csproj)

Microsoft.Identity.Web.OWIN lägger till en tilläggsmetod i IAppBuilder med namnet AddMicrosoftIdentityWebApi. Den här metoden tar som parameter en instans av OwinTokenAcquirerFactory som du får anrop OwinTokenAcquirerFactory.GetDefaultInstance<OwinTokenAcquirerFactory>() till och som visar en instans där IServiceCollection du kan lägga till många tjänster för att anropa underordnade API:er eller konfigurera tokencachen.

Här är exempelkod för Startup.Auth.cs. Den fullständiga koden är tillgänglig från tester/DevApps/aspnet-mvc/OwinWebApp

using Microsoft.Owin.Security;
using Microsoft.Owin.Security.Cookies;
using Owin;
using Microsoft.Identity.Web;
using Microsoft.Identity.Web.TokenCacheProviders.InMemory;
using Microsoft.Extensions.DependencyInjection;
using Microsoft.Identity.Client;
using Microsoft.Identity.Abstractions;
using Microsoft.Identity.Web.OWIN;
using System.Web.Services.Description;

namespace OwinWebApp
{
    public partial class Startup
    {
        public void ConfigureAuth(IAppBuilder app)
        {
            app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);
            app.UseCookieAuthentication(new CookieAuthenticationOptions());

            OwinTokenAcquirerFactory factory = TokenAcquirerFactory.GetDefaultInstance<OwinTokenAcquirerFactory>();

            app.AddMicrosoftIdentityWebApp(factory);
            factory.Services
                .Configure<ConfidentialClientApplicationOptions>(options => { options.RedirectUri = "https://localhost:44386/"; })
                .AddMicrosoftGraph()
                .AddDownstreamApi("DownstreamAPI1", factory.Configuration.GetSection("DownstreamAPI"))
                .AddInMemoryTokenCaches();
            factory.Build();
        }
    }
}

--

Tokenverifiering

I föregående kodfragment validerar JwtBearer-mellanprogrammet, som OpenID Connect-mellanprogrammet i webbappar, token baserat på värdet TokenValidationParametersför . Token dekrypteras efter behov, anspråken extraheras och signaturen verifieras. Mellanprogrammet verifierar sedan token genom att söka efter dessa data:

• Målgrupp: Token är mål för webb-API:et.
• Under: Den utfärdades för en app som kan anropa webb-API:et.
• Utfärdare: Den utfärdades av en betrodd säkerhetstokentjänst (STS).
• Förfallodatum: Dess livslängd är inom intervallet.
• Signatur: Det manipulerades inte.

Det kan också finnas särskilda valideringar. Det går till exempel att verifiera att signeringsnycklar, när de bäddas in i en token, är betrodda och att token inte spelas upp igen. Slutligen kräver vissa protokoll specifika valideringar.

Validerare

Valideringsstegen samlas in i validatorer, som tillhandahålls av Microsoft IdentityModel-tillägg för .NET-biblioteket med öppen källkod. Validatorerna definieras i bibliotekskällfilen Microsoft.IdentityModel.Tokens/Validators.cs.

I den här tabellen beskrivs validatorerna:

Anpassa tokenverifiering

Validatorerna är associerade med egenskaperna för klassen TokenValidationParameters . Egenskaperna initieras från konfigurationen ASP.NET och ASP.NET Core.

I de flesta fall behöver du inte ändra parametrarna. Appar som inte är enstaka klientorganisationer är undantag. Dessa webbappar accepterar användare från valfri organisation eller från personliga Microsoft-konton. Utfärdare i det här fallet måste verifieras. Microsoft.Identity.Web tar även hand om utfärdarvalidering.

Om du vill anpassa tokenverifieringsparametrarna i ASP.NET Core använder du följande kodfragment i Startup.cs:

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddMicrosoftIdentityWebApi(Configuration);
services.Configure<JwtBearerOptions>(JwtBearerDefaults.AuthenticationScheme, options =>
{
  options.TokenValidationParameters.ValidAudiences = new[] { /* list of valid audiences */};
});

För ASP.NET MVC visar följande kodexempel hur du utför validering av anpassad token:

https://github.com/azure-samples/active-directory-dotnet-webapi-manual-jwt-validation

Tokenverifiering i Azure Functions

Du kan också verifiera inkommande åtkomsttoken i Azure Functions. Du hittar exempel på sådan validering i följande kodexempel på GitHub:

• .NET: Azure-Samples/ms-identity-dotnet-webapi-azurefunctions
• Node.js: Azure-Samples/ms-identity-nodejs-webapi-azurefunctions
• Python: Azure-Samples/ms-identity-python-webapi-azurefunctions)

Nästa steg

Gå vidare till nästa artikel i det här scenariot, Verifiera omfång och approller i koden.