通过AJAX访问AD安全Azure功能

Question

我有一个带有Web触发器endpoint的Azure函数设置，我想将其用作React应用程序的后端。没有身份验证设置，它工作正常。当我使用AD设置应用服务身份验证时，当我直接通过浏览器访问时（身份验证后），它工作正常，但当我尝试从提供承载令牌的JS访问时，我得到了401。

const response = await axios.get(`${window.apiUrl}api/jobs`, {
    headers: {
      'Content-Type': 'application/json',
      Authorization: 'Bearer ' + token.accessToken,
    },
  });

客户端应用程序正在Azure上运行，并已注册为Azure AD应用程序。我能够成功地验证、查询AD和使用MS Graph API。

我正在使用内置的Azure App Services广告验证。我将客户端ID设置为与前面提到的Azure AD应用程序相同的客户端ID，以及相同的颁发者Url。

尝试获取会话令牌：

const accessToken = await authProvider.getAccessToken();
const idToken = await authProvider.getIdToken();
const login = await axios.post(
  'https://<appname>.azurewebsites.net/.auth/login/aad',
    { access_token: accessToken.accessToken },
    {
      headers: {
        'Content-Type': 'application/json',
      },
    },
  );

更多信息

我的aud声明是00000003-0000-0000-c000-000000000000。在Azure门户中，我的Azure Function配置为使用与我的SPA相同的Azure AD应用程序。我在SPA中使用MSAL. js进行身份验证。我请求用户。阅读和目录。阅读。所有范围。

Answer 1

您不能为Microsoft Graph请求令牌并使用它来调用您自己的API。受众“00000003-0000-0000-c000-000000000000”表示“用于Microsoft Graph”。

在MSAL中，当您请求令牌时，您需要调整范围。删除用户。阅读，删除目录。阅读。全部并添加“应用程序ID URI”，末尾 /.default。您可以在portal.azure.com.应用程序注册的“公开API”边栏选项卡中找到应用程序ID URI示例：https：//SaeedApp/. default

如果需要同时执行这两项操作，则一次只能为一个资源请求访问令牌。但是，您可以为一个资源请求任意数量的范围（用户。读取和目录。读取。所有都是同一资源的两个范围）。

因此，您需要发出两组请求：1）获取具有Microsoft Graph所需所有作用域的访问令牌2）获取具有API所需所有作用域的访问令牌

原因背后的原因：如果我可以获取用于您的API的访问令牌并使用它调用Microsoft Graph，那么这将打开“重播”攻击，其中一个资源API被黑客入侵，控制一个资源的黑客现在可以回复访问令牌它从客户端收到的所有其他资源API。

Answer 2

Microsoft发布了一篇题为Azure应用服务中身份验证和授权的高级使用的操作方法文章。在关于验证来自提供商的令牌的部分中，它说：

在客户端定向登录中，应用程序手动将用户登录到提供商，然后将身份验证令牌提交给应用程序服务进行验证（请参阅身份验证流）。此验证本身实际上并不授予您对所需应用程序资源的访问权限，但成功的验证将为您提供一个会话令牌，您可以使用该令牌访问应用程序资源。

因此，您需要获取会话令牌才能访问应用程序资源。

请求：

POST https://<appname>.azurewebsites.net/.auth/login/aad HTTP/1.1
Content-Type: application/json

{"id_token":"<token>","access_token":"<token>"}

答复：

{
    "authenticationToken": "...",
    "user": {
        "userId": "sid:..."
    }
}

获得此会话令牌（身份验证令牌）后，您可以通过将X-ZUMO-AUTH标头添加到HTTP请求来访问受保护的应用程序资源

GET https://<appname>.azurewebsites.net/api/products/1
X-ZUMO-AUTH: <authenticationToken_value>