[MDP.NetCore] 使用AzureAD+服務主體,快速建立兩個服務之間的Service身分認證

Clark159發表於2023-11-16

MDP.AspNetCore.Authentication.AzureAD.Services for Service Principal

MDP.AspNetCore.Authentication.AzureAD.Services擴充ASP.NET Core既有的身分驗證,加入AzureAD提供的Service身分驗證功能。開發人員可以透過Config設定,掛載在專案裡使用的Service身分驗證,用以驗證Azure裡的服務主體(Service Principal)。

運作流程

MDP.AspNetCore.Authentication.AzureAD.Services使用AzureAD提供的OAuth服務,透過Client Credentials流程來進行Service身分驗證。下列兩個運作流程,說明AzureAD的憑證發放流程、服務驗證流程。(內容為簡化說明,完整細節可參考AzureAD檔案)

憑證發放

Service身分驗證-憑證發放.png

1.開發人員至AzureAD,建立API Client的應用程式註冊。

2.開發人員從AzureAD,取得API Client的身分憑證,內容包含:TenantId、ClientId、ClientSecret。

3.開發人員將API Client的身分憑證,設定在API Client應用程式的Config引數。

4.開發人員至AzureAD,建立API Provider的應用程式註冊。

5.開發人員從AzureAD,取得API Provider的身分憑證,內容包含:TenantId、ClientId。(沒有ClientSecret)

6.開發人員將API Provider的身分憑證,設定在API Provider應用程式的Config引數。

服務驗證

Service身分驗證-服務驗證.png

1.使用者開啟API Client提供的URL。

2.API Client從Config引數,取得API Client的身分憑證傳送給AzureAD,內容包含:TenantId、ClientId、ClientSecret。

3.AzureAD依照API Client的身分憑證,使用內建的公私鑰加密機制,回傳代表API Client的AccessToken。

4.API Client呼叫API,並且將AccessToken放置在API Request封包的Header。

5.API Provider從Config引數,取得API Provider的身分憑證傳送給AzureAD,內容包含:TenantId、ClientId。(沒有ClientSecret)

6.AzureAD依照API Provider的身分憑證,使用內建的公私鑰管理機制,回傳可以驗證AccessToken的公鑰(Public Key)。

7.API Provider使用Public Key驗證AccessToken簽章,確認合法就依照系統邏輯回傳API Response。(不合法回傳401 Unauthorized)

8.API Client依照API Response,回傳Page給使用者。

模組使用-API服務端(API Provider)

申請服務

MDP.AspNetCore.Authentication.AzureAD.Services使用AzureAD提供的OAuth服務,透過Client Credentials流程來進行Service身分驗證。依照下列操作步驟,即可申請AzureAD提供給API服務端(API Provider)的身分憑證。

1.註冊並登入Microsoft Azure Portal。於首頁左上角的選單裡,點選應用程式註冊後,進入應用程式註冊頁面。

01.建立Application01.png

2.於應用程式註冊頁面,點選新增註冊按鈕,依照頁面提示建立一個Application。

02.註冊Application01.png

02.註冊Application02.png

3.於Application頁面,取得「目錄 (租使用者) 識別碼」、「應用程式 (使用者端) 識別碼」。接著點選新增應用程式識別碼 URI按鈕,進入公開API頁面,然後點選新增,依照頁面提示建立並取得一個「應用程式識別碼 URI」。

03.取得引數01.png

03.取得引數02.png

03.取得引數03.png

03.取得引數04.png

4.於Application頁面,點選左側選單的應用程式角色,進入應用程式角色頁面。然後點選建立應用程式角色,依照頁面提示建立並取得一個「應用程式角色」。

04.建立角色01.png

04.建立角色02.png

04.建立角色03.png

04.建立角色04.png

加入專案

申請服務完成之後,就可以開始建立專案並且加入模組。MDP.AspNetCore.Authentication.AzureAD.Services預設獨立在MDP.Net專案範本外,依照下列操作步驟,即可建立加入MDP.AspNetCore.Authentication.AzureAD.Services的專案。

  • 在命令提示字元輸入下列指令,使用MDP.Net專案範本建立專案。
dotnet new install MDP.WebApp
dotnet new MDP.WebApp -n ApiProvider
  • 使用Visual Studio開啟專案。在專案裡使用NuGet套件管理員,新增下列NuGet套件。
MDP.AspNetCore.Authentication.AzureAD.Services

設定引數

建立包含MDP.AspNetCore.Authentication.AzureAD.Services的專案之後,就可以透過Config設定,掛載在專案裡使用的Service身分驗證。

// Config設定
{
  "Authentication": {
    "AzureAD.Services": {
      "TenantId": "xxxxx",
      "ClientId": "xxxxx"
    }
  }
}

- 名稱空間:Authentication
- 掛載的身分驗證模組:AzureAD.Services
- API服務端的租戶編號:TenantId="xxxxx"。(xxxxx填入目錄 (租使用者) 識別碼)
- API服務端的客戶編號:ClientId="xxxxx"。(xxxxx填入應用程式 (使用者端) 識別碼)

模組使用-API客戶端(API Client)

申請服務(API Client)

MDP.AspNetCore.Authentication.AzureAD.Services使用AzureAD提供的OAuth服務,透過Client Credentials流程來進行Service身分驗證。依照下列操作步驟,即可申請AzureAD提供給API客戶端(API Client)的身分憑證。

1.註冊並登入Microsoft Azure Portal。於首頁左上角的選單裡,點選應用程式註冊後,進入應用程式註冊頁面。

11.建立Application01.png

2.於應用程式註冊頁面,點選新增註冊按鈕,依照頁面提示建立一個Application。

12.註冊Application01.png

12.註冊Application02.png

3.於Application頁面,取得「目錄 (租使用者) 識別碼」、「應用程式 (使用者端) 識別碼」。接著點選新增憑證或秘密按鈕,進入憑證及秘密頁面,然後點選新增使用者端密碼,依照頁面提示建立並取得一個「使用者端密碼」。(記得要取「值」的內容)

13.取得引數01.png

13.取得引數02.png

13.取得引數03.png

4.於Application頁面,點選左側選單的API許可權,進入API許可權頁面。然後點選新增許可權,依照頁面提示,新增「應用程式角色」給應用程式。

14.設定角色01.png

14.設定角色02.png

14.設定角色03.png

14.設定角色04.png

5.停留於API許可權頁面,點選代表xxxx授予管理員同意按鈕,依照頁面提示授予API許可權。(xxxx為目錄名稱)

15.同意授權01.png

15.同意授權02.png

15.同意授權03.png

加入專案

申請服務完成之後,就可以開始建立專案並且加入模組。Azure.Identity預設獨立在MDP.Net專案範本外,依照下列操作步驟,即可建立加入Azure.Identity的專案。

  • 在命令提示字元輸入下列指令,使用MDP.Net專案範本建立專案。
dotnet new install MDP.WebApp
dotnet new MDP.WebApp -n ApiClient
  • 使用Visual Studio開啟專案。在專案裡使用NuGet套件管理員,新增下列NuGet套件。
Azure.Identity

使用憑證

建立包含Azure.Identity的專案之後,就可以在程式碼裡使用憑證,建立代表API客戶端身分的AccessToken,用來透過API服務端的Service身分驗證。

// 引數設定
var azureCredential = new ClientSecretCredential
(
    tenantId: "xxxxx",
    clientId: "xxxxx",
    clientSecret: "xxxxx"
);
var apiProviderURI= "api://xxxxx";
var apiProviderEndpoint= "https://localhost:7146/Home/Index";

- API客戶端的租戶編號:tenantId: "xxxxx"。(xxxxx填入目錄 (租使用者) 識別碼)
- API客戶端的客戶編號:clientId: "xxxxx"。(xxxxx填入應用程式 (使用者端) 識別碼)
- API客戶端的客戶密碼:clientSecret: "xxxxx"。(xxxxx填入使用者端密碼)
- API服務端的應用程式識別碼URI: apiProviderURI= "api://xxxxx"。(xxxxx填入應用程式識別碼URI)
- API服務端的API服務端點: apiProviderEndpoint= "https://localhost:7146/Home/Index"。
// 建立AccessToken
var accessToken = (await azureCredential.GetTokenAsync(new Azure.Core.TokenRequestContext(new string[] { $"{apiProviderURI}/.default" }), default)).Token;
// 呼叫API服務端點
var responseContent = string.Empty;
using (var httpClient = new HttpClient())
{
    // Headers
    httpClient.DefaultRequestHeaders.Authorization = new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", accessToken);

    // Send
    var response = await httpClient.GetAsync(apiProviderEndpoint);
    responseContent = await response?.Content?.ReadAsStringAsync();
}

模組範例

使用AzureAD提供的Service身分驗證功能,進行 Service to Service 之間的身分驗證,是開發系統時常見的功能需求。本篇範例協助開發人員使用MDP.AspNetCore.Authentication.AzureAD.Services,逐步完成必要的設計和實作。

  • 範例下載:ApiClient.zip

  • 範例下載:ApiProvider.zip

  • 特別說明:本篇範例的API客戶端、API服務端,兩者皆可以在Azure環境之外部署使用。

建立API服務端(API Provider)

1.開啟命令提示字元,輸入下列指令。用以安裝MDP.WebApp範本、並且建立一個名為ApiProvider的Web站臺。

dotnet new install MDP.WebApp
dotnet new MDP.WebApp -n ApiProvider

2.使用Visual Studio開啟ApiProvider專案,在專案裡用NuGet套件管理員新增下列NuGet套件。

MDP.AspNetCore.Authentication.AzureAD.Services

3.依照模組使用-API服務端(API Provider)-申請服務的步驟流程,申請AzureAD提供的OAuth服務,並取得「目錄 (租使用者) 識別碼」、「應用程式 (使用者端) 識別碼」、「應用程式識別碼 URI」。

21.申請服務02.png

4.於專案內改寫appsettings.json,填入「目錄 (租使用者) 識別碼」、「應用程式 (使用者端) 識別碼」,用以掛載Service身分驗證。

{
  "Authentication": {
    "AzureAD.Services": {
      "TenantId": "xxxxx", // API Provider-目錄 (租使用者) 識別碼
      "ClientId": "xxxxx"  // API Provider-應用程式 (使用者端) 識別碼
    }
  }
}

5.改寫專案內的Controllers\HomeController.cs,提供一個必須透過身分驗證才能使用的\Home\Index API服務端點。

using MDP.AspNetCore.Authentication.AzureAD.Services;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using System;
using System.Linq;
using System.Security.Claims;

namespace ApiProvider
{
    public class HomeController : Controller
    {
        // Methods
        [Authorize]
        public string Index()
        {
            // ClaimsIdentity
            var claimsIdentity = this.User.Identity as ClaimsIdentity;
            if (claimsIdentity == null) throw new InvalidOperationException($"{nameof(claimsIdentity)}=null");
            Console.WriteLine($"this.User.AuthenticationType = {claimsIdentity.AuthenticationType}");
            Console.WriteLine($"this.User.TenantId = {claimsIdentity.FindFirst(AzureServicesAuthenticationClaimTypes.TenantId)?.Value}");
            Console.WriteLine($"this.User.ClientId = {claimsIdentity.FindFirst(AzureServicesAuthenticationClaimTypes.ClientId)?.Value}");
            Console.WriteLine($"this.User.Roles = {String.Join(",", claimsIdentity.FindAll(System.Security.Claims.ClaimTypes.Role).Select(o => o.Value))}");
            Console.WriteLine();
            
            // Return
            return "Hello World";
        }
    }
}

建立API客戶端(API Client)

1.開啟命令提示字元,輸入下列指令。用以安裝MDP.WebApp範本、並且建立一個名為ApiClient的Web站臺。

dotnet new install MDP.WebApp
dotnet new MDP.WebApp -n ApiClient

2.使用Visual Studio開啟ApiClient專案,在專案裡用NuGet套件管理員新增下列NuGet套件。

Azure.Identity

3.依照模組使用-API客戶端(API Client)-申請服務的步驟流程,申請AzureAD提供的OAuth服務,並取得「目錄 (租使用者) 識別碼」、「應用程式 (使用者端) 識別碼」、「使用者端密碼」。

21.申請服務02.png

4.改寫專案內的Controllers\HomeController.cs、Views\Home\Index.cshtml,提供Home頁面。並於Home頁面,使用憑證,建立代表API客戶端身分的AccessToken,用來透過API服務端的Service身分驗證後,取得資料顯示於頁面。

using Azure.Identity;
using Microsoft.AspNetCore.Mvc;
using System;
using System.Net.Http;
using System.Threading.Tasks;

namespace ApiClient
{
    public class HomeController : Controller
    {
        // Methods
        public async Task<ActionResult> Index()
        {
            // Variables
            var azureCredential = new ClientSecretCredential
            (
                tenantId: "xxxxx",    // API Client-目錄 (租使用者) 識別碼
                clientId: "xxxxx",    // API Client-應用程式 (使用者端) 識別碼
                clientSecret: "xxxxx" // API Client-使用者端密碼
            );
            var apiProviderURI = "api://xxxxx";                            // API Provider-「應用程式識別碼 URI」
            var apiProviderEndpoint = "https://localhost:7146/Home/Index"; // API Provider-API服務端點

            // AccessToken
            var accessToken = (await azureCredential.GetTokenAsync(new Azure.Core.TokenRequestContext(new string[] { $"{apiProviderURI}/.default" }), default)).Token;
            if (string.IsNullOrEmpty(accessToken) == true) throw new InvalidOperationException($"{nameof(accessToken)}=null");

            // Call API
            var responseContent = string.Empty;
            using (var httpClient = new HttpClient())
            {
                // Headers
                httpClient.DefaultRequestHeaders.Authorization = new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", accessToken);

                // Send
                var response = await httpClient.GetAsync(apiProviderEndpoint);
                responseContent = await response?.Content?.ReadAsStringAsync();
            }
            if (string.IsNullOrEmpty(responseContent) == true) throw new InvalidOperationException($"{nameof(responseContent)}=null");

            // ViewBag
            this.ViewBag.Message = responseContent;

            // Return
            return View();
        }
    }
}
<!DOCTYPE html>
<html>
<head>
    <meta charset="utf-8" />
    <title>ApiClient</title>
</head>
<body>

    <!--Title-->
    <h2>ApiClient</h2>
    <hr />

    <!--Message-->
    <h3>@ViewBag.Message</h3>

</body>
</html>

範例執行

1.使用Visual Studio開啟ApiProvider專案並執行。

2.使用Visual Studio開啟ApiClient專案並執行。

3.於ApiClient專案,執行所開啟的Browser視窗內,可以看到系統畫面進入到Home頁面,並且顯示API服務端回傳的”Hello World”。

22.執行結果01.png

4.於ApiProvider專案,執行所開啟的Console視窗內,可以看到透過Service身分驗證的API客戶端身分資料(Controller.User屬性)。

22.執行結果02.png

相關文章