配置spring-boot-starter-oauth2-client以使用Azure AD进行身份验证

Question

我想在Spring Boot 2.4中添加Azure AD作为OAuth2提供程序。我遵循了Spring Boot的OAuth2文档，并提出了以下配置：

spring.security.oauth2.client.provider.azuread.issuer-uri=https://login.microsoftonline.com/<tenant uuid>/v2.0
spring.security.oauth2.client.registration.azuread.authorization-grant-type=authorization_code
spring.security.oauth2.client.registration.azuread.client-id=<client uuid>
spring.security.oauth2.client.registration.azuread.client-name=Azure AD
spring.security.oauth2.client.registration.azuread.client-secret=<client secret>
spring.security.oauth2.client.registration.azuread.provider=azuread
spring.security.oauth2.client.registration.azuread.scope=openid

为了完整起见，这是我的网络安全配置：

@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // @formatter:off
        http
            .authorizeRequests(a -> a
                .antMatchers("/", "/login", "/error", "/webjars/**").permitAll()
                .anyRequest().authenticated()
            )
            .oauth2Login();
        // @formatter:on
    }
}

在上输入凭据返回时https://login.microsoftonline.com，我得到以下错误：

[invalid_id_token] An error occurred while attempting to decode the Jwt: Signed JWT rejected: Another algorithm expected, or no matching key(s) found.

问题源于DefaultJWTProcessor。Nimus JOSE JWT提供的java。

通过查看Firefox网络检查器中的请求，Spring Boot从颁发者URI中选择正确的URL。我不知道出了什么问题，很欣赏任何指点。

Answer 1

根据您的描述，您似乎想在Spring Boot中使用azure ad作为OAuth2提供程序，我发现一个文档说“Azure Active Directory（AD）的Spring Starter现在已与Spring Security 5.0集成”。它还提供了一个springbooweb应用程序示例。我也试了一下，它确实有效。

我认为需要注意的是，教程说azure ad中设置的重定向url是'http://localhost:8080/login/oauth2/code/'但当我测试时，它被证明是'http://localhost:8080/login/oauth2/code/azure'。

在您的错误，我不确定，但也许你可以更改您的配置范围到openid，配置文件，offline_access。

Answer 2

我有一个类似的问题，如果我没记错的话，范围也有问题。不知道这是否也是您的问题，但在任何情况下，以下配置都适用于我（注意，我使用的是客户端凭据，而不是身份验证代码）：

spring:
  security:
    oauth2:
      client:
        provider:
          azure:
            token-uri: https://login.microsoftonline.com/${custom.azure.account.tenant-id}/oauth2/token
        registration:
          azure:
            client-id: ${custom.azure.service-principal.client-id}
            client-secret: ${custom.azure.service-principal.client-secret}
            authorization-grant-type: client_credentials
            scope:
              - https://graph.microsoft.com/.default

Answer 3

Azure AD有一些非常不直观（在我看来）的默认行为-我认为这就是你正在经历的：

你的问题原因（我想）

• 您正在使用标准的OpenID连接作用域
• 这会导致Azure AD发出用于Graph API的访问令牌
• 此令牌无法通过自定义API中基于标准的验证，因为它仅设计用于图形API-它可以通过JWT头中的nonce字段识别

你需要做什么

• 公开API作用域，如“default”

更多信息

• 请参阅我几年前的博客文章的第3步到第8步
• 查看我的Web代码示例的OpenID Connect设置