从Azure应用程序服务连接到Azure SQL数据库

Question

我已使用WebForms从VS-2019成功发布Azure应用服务。我已成功保护它，以便用户必须使用与应用服务相同域中的Azure AAD帐户登录。我已成功创建AzureSQL数据库。我已成功将AAD域中的用户添加到数据库中，并通过将我创建的Azure AAD帐户用户之一硬编码到连接字符串中，从Azure应用服务中连接到数据库。

现在，我想使用应用程序服务登录名中经过身份验证的AAD用户连接到Azure SQL数据库。到目前为止，我所尝试的一切都失败了。

我对Azure相当陌生。我的大部分经验是在内部公司域上使用SQL服务器/Visual Studio，没有任何云服务。

有人有什么建议吗？

这是我的身份验证码。

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Configuration;
using System.Security.Claims;
using System.Threading.Tasks;

using Microsoft.Owin.Extensions;
using Microsoft.Owin.Security;
using Microsoft.Owin.Security.Cookies;
using Microsoft.Owin.Security.OpenIdConnect;
using Owin;

using System.Net.Http;

namespace Church
{

    public partial class Startup
    {
        public void Configuration(IAppBuilder app)
        {
            ConfigureAuth(app);
        }
        private static string clientId = ConfigurationManager.AppSettings["ida:ClientId"];
        private static string aadInstance = EnsureTrailingSlash(ConfigurationManager.AppSettings["ida:AADInstance"]);
        private static string tenantId = ConfigurationManager.AppSettings["ida:TenantId"];
        private static string postLogoutRedirectUri = ConfigurationManager.AppSettings["ida:PostLogoutRedirectUri"];

        string authority = aadInstance + tenantId;

        public void ConfigureAuth(IAppBuilder app)
        {
            app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);

            app.UseCookieAuthentication(new CookieAuthenticationOptions());

            app.UseOpenIdConnectAuthentication(
            new OpenIdConnectAuthenticationOptions
            {
                ClientId = clientId,
                Authority = authority,
                PostLogoutRedirectUri = postLogoutRedirectUri,

                Notifications = new OpenIdConnectAuthenticationNotifications()
                {
                    AuthenticationFailed = (context) =>
                    {
                        return System.Threading.Tasks.Task.FromResult(0);
                    },
                    SecurityTokenValidated = (context) =>
                    {
                        var claims = context.AuthenticationTicket.Identity.Claims;
                        var groups = from c in claims
                                     where c.Type == "groups"
                                     select c;

                        foreach (var group in groups)
                        {
                            context.AuthenticationTicket.Identity.AddClaim(new Claim(ClaimTypes.Role, group.Value));
                        }
                        return Task.FromResult(0);
                    }
                }

            }
            );
            // This makes any middleware defined above this line run before the Authorization rule is applied in web.config
            app.UseStageMarker(PipelineStage.Authenticate);
        }


        private static string EnsureTrailingSlash(string value)
        {
            if (value == null)
            {
                value = string.Empty;
            }

            if (!value.EndsWith("/", StringComparison.Ordinal))
            {
                return value + "/";
            }

            return value;
        }

    }


}

enter code here

Answer 1

此任务a有点复杂。为了实现您的愿望，您必须配置EasyAuth（应用服务身份验证/授权服务）以同时获取AzureSQLDB的访问令牌。您可以在此处阅读有关使用Azure应用服务身份验证的访问令牌的更多信息。请注意Azure Active Directory配置部分。您将被指示转到https://resources.azure.com/，找到您的应用服务并更新以下属性：

"addtionalLoginParams"：["response_type=代码id_token"，"资源="]

对于资源参数，您应该使用https://database.windows.net/，它是AzureSQLDB的标识符。这将允许应用服务身份验证服务（EasyAuth）代表AzureSQLDB的用户获取访问令牌。然后，您将能够从HTTP HEADERX-MS-TOKEN-AAD-ACCESS-TOKEN（也在同一留档页面上进行了描述）获取此访问令牌。

一旦您成功获取Azure SQL DB的访问令牌，那么您应该对Azure SQL DB使用令牌身份验证，而不是基于用户/密码。文档中的令牌身份验证部分在这里隐藏得很好，本例对此进行了演示：

string ConnectionString =@"Data Source=n9lxnyuzhv.database.windows.net; Initial Catalog=testdb;"
SqlConnection conn = new SqlConnection(ConnectionString);
conn.AccessToken = "Your JWT token that you took from HTTP HEADER X-MS-TOKEN-AAD-ACESS-TOKEN"
conn.Open();