Azure ADアプリケーションを使用した認証のあれやこれ ASP.NET Core編
Download as PPTX, PDF1 like613 views
2021年5月の.NETラボの発表で使用した資料です。 デモで使用したソースコードは👇です https://github.com/Takas0522/dotnetlab-2021-may
Azure ADアプリケーションを使用した認証のあれやこれ ASP.NET Core編
- 2. 誰？ Takas(@DevTakas) Angular / Azure / .NET Core / Azure DevOps / Microsoft Graph Microsoft MVP Office Development
- 4. おしながき 1. Azure ADアプリケーションを使用した認証について 2. 認証の種類と使い分け 3. 認証フローを助けてくれるライブラリ 4. Demo & Tips 5. まとめ
- 5. 1. Azure ADアプリケーションを使用した認証について - Azure ADアプリケーションとは • Azure ADアプリケーションを介してID認証を行うことが可能 • M365ログイン時のユーザーID/パスワード/2FAで認証可能 • ユーザー管理や認証設計の多くが不要になるのが個人的には嬉しい • 認証にはApplicationID/TenantID/Scopeを使用して認証を行う • Secretも使用することはある • 現在v1/v2エンドポイントが提供されている • v1は非推奨となっている • jsで認証を行う話はM365VMで話したので今回はASP.NETCore
- 6. 1. Azure ADアプリケーションを使用した認証について - バージョンの違い • v1はAzure Active Directoryベース • 組織アカウントのみのサポート • 認証に使用するライブラリはADALと呼ばれる • v2はMicrosoft IDプラットフォームベース • 組織/個人/B2Cアカウントをサポートしている • 認証に使用するライブラリはMSALと呼ばれる
- 7. 保護されたアプリケーション 保護されたアプリケーション 1. Azure ADアプリケーションを使用した認証について - API Permission Azure AD アプリケーション Graphリソース 他Azure AD アプリケーション アクセス許可 ①
- 8. 保護されたアプリケーション 保護されたアプリケーション 1. Azure ADアプリケーションを使用した認証について - API Permission Azure AD アプリケーション Graphリソース 他Azure AD アプリケーション トークン要求 ②
- 9. 保護されたアプリケーション 保護されたアプリケーション 1. Azure ADアプリケーションを使用した認証について - API Permission Azure AD アプリケーション Graphリソース 他Azure AD アプリケーション 保護アプリにアクセス可能に ③
- 10. 2.認証の種類と使い分け -OAuth/Open ID Connectのフロー • M365のユーザーID/PASSを使用し保護リソースにアクセスする際に • アプリ使用ユーザーがM365のログインをする必要がある • 逆にいうとシークレットなどは不要。基本Client Idのみで良い。 • ユーザーに紐づく情報の取得を行いたい場合はこれを使う • Graphの強力な権限をこれで取得するのはおすすめできない
- 12. 2.認証の種類と使い分け -資格情報のフロー • ユーザーID/パスワード入力を介さない認証 • Azure AD で発行したシークレットを使用する • どちらかというとWebAPI(バックエンド)で認証が必要な際に使用 • 「アプリケーションのアクセス許可」扱い • 比較的強力な権限が必要な場合にこれを使うことが多い • AD内のメールやイベント情報の全閲覧権限など…
- 14. 2.認証の種類と使い分け -On-Behalf-Of • WebAPIから別のWebAPIを呼び出すような時に使用する • WebAPIアクセス時のアクセストークン情報を引き回したい時に使用 • 例えば保護されたWebAPIでアクセスユーザーのGraphにアクセスしたいときなど • アクセス元のAzureADで再認証が行われるためシークレットが必要となる https://docs.microsoft.com/ja-jp/azure/active-directory/develop/v2-oauth2-on-behalf-of-flow
- 15. 3.認証フローを助けてくれるライブラリ -なぜライブラリが必要なのか • 先の説明の通り認証のフローはややこしい • これに加えてセキュリティ標準を満たすための様々なルールが存在 • stateとかPKCEのchalengeとか… • リダイレクトなど含むので素でやろうとすると処理が複雑になる • ライブラリはそれらの要件を満たす処理をよしなにしてくれる
- 16. 3. ASP.NETの保護を助けてくれるライブラリ -Microsoft.AspNetCore.Authentication.AzureAD.UI • 一昔まえのWebAPIのAzureAD保護ライブラリ • V1エンドポイントで保護する場合はこれ？ • 昨今あまり使わない。 • ただVisualStudioのテンプレートはいまだにこっちみたい…
- 17. 3. ASP.NETの保護を助けてくれるライブラリ -Microsoft.Identity.Web • Microsoftから提供されるASP.NET Coreライブラリ • MicrosoftIDプラットフォームと統合されるWebアプリ/WebAPIの 認証/承認サポートを簡略化してくれる • 「MicrosoftIDプラットフォーム」からわかる通りv2エンドポイント想定 • WebAPIの保護をこれを使用して行う事が可能 • dotnetコマンドでプロジェクトテンプレートを使用することが可能
- 18. 3. ASP.NETの保護を助けてくれるライブラリ -Microsoft.Identity.Web • サポートされるアプリケーションの種類 • WebAPI • MVC WebApp • Razor WebApp • Blazor Server • Blazor WebAssembly
- 19. 3.認証フローを助けてくれるライブラリ -Microsoft.Identity.Client • MSALにあたる。 • ユーザー認証やシークレットを使用した認証を利用してアクセストークンを取得したい場合に使用 • ユーザー認証を伴うもの：PublicClientApplicationBuilder • シークレット認証を伴うもの：ConfidentialClientApplicationBuilder
- 20. 4.Demo&Tips -アプリケーションからGraph/WebAPIデータにアクセスする Front Console Application MS Graph Original Web API AD App1 AD App2 User.read データ取得 ユーザー認証
- 21. 4.Demo&Tips -AzureFunctionsからGraph/WebAPIデータにアクセスする Functions MS Graph Original Web API AD App1 AD App2 User.read データ取得 Secret認証
- 22. 4.Demo&Tips -OBHFでGraph/WebAPIデータにアクセスする Original Web API1 MS Graph Original Web API2 AD App1 AD App2 User.read データ取得 ユーザー認証 Front Console Application
- 23. まとめ • ASP.NET CoreのアプリケーションはMicrosoft ID プラット フォームで保護できる • Microsoft IDプラットフォームでASP.NETアプリを 保護したい場合はMicrosoft.Identity.Webが鉄板 • .NETでMicrosoft IDプラットフォームを利用した 認証を行いたい場合はMicrosoft.Identity.Client • .NETでも気軽に認証と承認、保護が行えるので活用しよう
- 24. 参考ページ • Microsoft Identity Web 認証ライブラリ • https://docs.microsoft.com/ja-jp/azure/active-directory/develop/microsoft-identity-web • AzureAD/microsoft-identity-web • https://github.com/AzureAD/microsoft-identity-web/wiki • Microsoft ID プラットフォームと OAuth 2.0 認証コード フロー • https://docs.microsoft.com/ja-jp/azure/active-directory/develop/v2-oauth2-auth-code-flow • Microsoft ID プラットフォームと OAuth 2.0 クライアント資格情報フロー • https://docs.microsoft.com/ja-jp/azure/active-directory/develop/v2-oauth2-client-creds-grant-flow • Microsoft ID プラットフォームと OAuth2.0 On-Behalf-Of フロー • https://docs.microsoft.com/ja-jp/azure/active-directory/develop/v2-oauth2-on-behalf-of-flow