2. 程式人生 > >Azure AD（二）呼叫受Microsoft 標識平臺保護的 ASP.NET Core Web API 上

Azure AD（二）呼叫受Microsoft 標識平臺保護的 ASP.NET Core Web API 上

阿新 • • 發佈：2020-05-11

一，引言

　　上一節講到Azure AD的一些基礎概念，以及Azure AD究竟可以用來做什麼？本節就接著講如何在我們的專案中整合Azure AD 保護我們的API資源（其實這裡還可以在 SPA單頁面應用，Web專案，移動/桌面應用程式整合Azure AD），好了，廢話不多說，開始今天的內容。

二，正文

上一篇介紹到 Azure AD 其實是微軟基於雲的表示和授權訪問管理服務，它可以幫助我們在Azure中登入和訪問資源。我們可以通過Azure的標識平臺生成應用程式，採用微軟表示登入，以及獲取令牌來呼叫受保護的API資源。也就是說這一切功能也是基於包含Oauth 2.0和Open ID Connect的身份驗證服務。

下面先去了解，熟悉一下關於Identity Server 4的 OpenID 和 OAuth 的區別以及授權模式

如果之前有了解 Identity Server 4 這種授權驗證的框架，可以跳過下面的介紹：

identityServer4 知多少（聖傑）：https://www.cnblogs.com/sheng-jie/p/9430920.html

授權伺服器identityServer4 開篇（老張的哲學）：https://www.cnblogs.com/laozhang-is-phi/p/10483922.html

（一） OpenID 和 OAuth 的區別 （以下的介紹來自google和 OAuth官網）

　　1，OpenID 是一個以使用者為中心的數字身份識別框架，它具有開放、分散性。OpenID 的建立基於這樣一個概念：我們可以通過 URI （又叫 URL 或網站地址）來認證一個網站的唯一身份，簡單通俗的理解，OpenID是用來做為身份驗證的

　　2，OAuth 2.0是用於授權的行業標準協議。OAuth 2.0致力於簡化客戶端開發人員的工作，同時為Web應用程式，桌面應用程式，行動電話和客廳裝置提供特定的授權流程。也就是說 OAuth 2.0 是用來進行授權的

　　3，OpenID Connect 是基於OAuth 協議的簡單身份層。它允許客戶端基於授權伺服器執行的身份驗證來驗證終端使用者的身份，並以可互操作且類似於REST的方式獲取有關最終​​使用者的基本配置檔案資訊。OpenID Connect允許所有型別的客戶端（包括基於Web的客戶端，移動客戶端和JavaScript客戶端）請求並接收有關經過身份驗證的會話和終端使用者的資訊。規範套件是可擴充套件的，允許參與者在對他們有意義的時候使用可選功能，例如身份資料加密，OpenID提供程式的發現以及會話管理。

　　OpenID Connect執行許多與OpenID 2.0相同的任務，但是這樣做的方式是API友好的，並且可由本機和移動應用程式使用，OpenID Connect定義了用於可靠簽名和加密的可選機制。OAuth 1.0a和OpenID 2.0的整合需要擴充套件，而在OpenID Connect中，OAuth 2.0功能與協議本身整合在一起。

（二）授權模式

　　1，隱式模式（Implicit Flow）

　　2，客戶端授權模式（Client Credentials Flow）

　　3，授權碼授權模式（Authorization Code Flow）

　　4，資源持有者密碼模式（Resource Owner Password Credentials ）：注意一下，這裡的密碼翻譯的不正確，應該是單單指密碼，證書也是可以的

　　。。。。。等

這裡暫時只瞭解這四種常見的授權模式。

（三）新增受保護資源

1，VS 建立 “Asp.Net Core WebApi” 專案，並且新增 “OrderController” 控制器，並且新增相應的方法，此步驟暫時省略，詳細程式碼我整理完成後，會新增到github上

2，安裝：Microsoft.AspNetCore.Authentication.AzureAD.UI

3，需要註冊驗證服務，整個地方預設的是 “AzureADJwtBearer”，AddAzureADBearer方法繫結Azure AD身份驗證終結點，租戶，租戶所在的自定義域，以及客戶端Id

services.AddAuthentication(AzureADDefaults.JwtBearerAuthenticationScheme)
         .AddAzureADBearer(options => Configuration.Bind("AzureAd", options));

開啟Authentication中介軟體

 // open authentication middleware
     app.UseAuthentication();

4，在Azure Portal 上新增一個租戶

　　4.1 在Azure Portal 上選擇 選單 “Azure Active Directory”

              

　　4.2，點選圖中的 “建立目錄”

      

　　4.3，目錄選擇預設 “Azure Active Directory”，點選 “下一步-配置”

         

　　4.4，新增對應的組織名稱和初始域名，

　　　　組織名：myCommpany

　　　　初始域名：trainingdiscussion　

 

 　　點選 “產看+建立” 進行驗證，驗證完成後點選 “建立” 

5，註冊 “應用程式”

　　5.1，Azure Portal 點選個人頭像，切換目錄

         

　　5.2，選中剛剛建立的 “MyCompany” 的目錄，繼續在Portal首頁左側選擇 “Azure Active Directory”，選中 “應用註冊” ，點選 “新註冊”    

　　5.3，填寫應用註冊的一些基本資訊

　　　　（1）新增受保護的Api資源的名稱，也就是我們在VS中建立的.Net Core 的 WebApi 專案，我這裡暫時命名為 “WebApi”，

　　　　（2）選擇支援的賬戶型別，我這裡選擇的是一個多租戶的型別

　　　　（3）平臺配置，選擇 Web API，這裡的平臺配置怎麼理解：就好在Web專案中是在成功驗證使用者身份後，會攜帶令牌，我們作為目標接受的URL,稱其為 ”回撥地址“

           

　　5.4， 點選 ”註冊“，然後選擇 ”管理“---》”身份驗證“，點選”切換到舊體驗“

　　5.5，找到隱式授權模式，勾選 ”訪問令牌“，”ID令牌“兩個複選框

             

　　OK，以上我們在Azure Portal 就配置好一個客戶端的註冊，

　　5.6，在此，我們真正在程式碼中開啟驗證的話，還需要4個引數，也就是上面提到的 ”自定義域（Domain）“，”租戶Id（TenantId）“，”客戶端Id（ClientId）“，”應用註冊終結點（Instance）“

　　（1）Domain，TenantId　（Domain 引數可以在建立目錄時，先行復制好）

　　　　

　　（2）ClientId：選擇剛剛註冊好的應用程式，進入應用程式頁面後，找到物件Id 進行復制操作。

　　

 

 

　　（3）Instance：每個國家都有一個單獨的Azure門戶。若要在應用程式中與Azure AD進行整合，需要在每個特定環境的Azure門戶中單獨註冊應用程式。

　　　　所有用於驗證應用程式的Azure AD終結點的URL也是不同的

　　　　適用於美國政府的 Azure AD  ：https://login.microsoftonline.us

　　　　Azure AD 德國                        ：https://login.microsoftonline.de

　　　　由世紀互聯運營的 Azure AD 中國：https://login.chinacloudapi.cn

　　　　Azure AD（全球服務）          ：https://login.microsoftonline.com

 

　　例如，對於 Azure 中國：

  • 授權常用終結點為：https://login.chinacloudapi.cn/common/oauth2/authorize
  • 令牌常用終結點為 ：https://login.chinacloudapi.cn/common/oauth2/token

　　對於單租戶應用程式，請將先前 URL 中的“common”替換為你的租戶 ID 或名稱。 示例為 https://login.chinacloudapi.cn/myCommany。

6，配置檔案中的內容如下所示

"AzureAd": {
    "Instance": "https://login.chinacloudapi.cn/",
    "Domain": "trainingdiscussion.partner.onmschina.cn",
    "TenantId": "53359126-8bcf-455d-a934-5fe72d349207",
    "ClientId": "f38ec09d-203e-4b2d-a1c1-faf76a608528"
  },

給需要驗證的方法或者控制器加上驗證標籤[Authorize]

詳情請看完整程式碼

完整程式碼：

public class Startup
    {
        public Startup(IConfiguration configuration, IWebHostEnvironment environment)
        {
            Configuration = configuration;
            Environment = environment;
        }

        public IConfiguration Configuration { get; }

        public IWebHostEnvironment Environment { get; }

        // This method gets called by the runtime. Use this method to add services to the container.
        public void ConfigureServices(IServiceCollection services)
        {
            services.AddSingleton(new Appsettings(Environment.ContentRootPath));

            services.AddAuthentication(AzureADDefaults.JwtBearerAuthenticationScheme)
                .AddAzureADBearer(options => Configuration.Bind("AzureAd", options));

            services.AddSwaggerGen(c =>
            {
                c.SwaggerDoc("v1", new OpenApiInfo { Title = "My API", Version = "v1" });
                c.AddSecurityDefinition("oauth2", new OpenApiSecurityScheme
                {
                    Description = "JWT授權(資料將在請求頭中進行傳輸) 直接在下框中輸入Bearer {token}（注意兩者之間是一個空格）\"",
                    Type = SecuritySchemeType.OAuth2,
                    In = ParameterLocation.Header,//jwt預設存放Authorization資訊的位置(請求頭中)
                    Flows = new OpenApiOAuthFlows()
                    {
                        Implicit = new OpenApiOAuthFlow
                        {
                            Scopes = new Dictionary<string, string>
                            {
                                { "user_impersonation", "Access API" }
                            },
                            AuthorizationUrl = new Uri($"https://login.chinacloudapi.cn/{ Appsettings.app(new string[] { "AzureAD", "TenantId" })}/oauth2/authorize")
                            
                        }
                    }
                });
                // 在header中新增token，傳遞到後臺
                c.OperationFilter<SecurityRequirementsOperationFilter>();
            });

            services.AddControllers();
        }

        // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
        public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
        {
            if (env.IsDevelopment())
            {
                app.UseDeveloperExceptionPage();
            }

            #region Swagger
            app.UseSwagger();
            app.UseSwaggerUI(c =>
            {
                //根據版本名稱倒序 遍歷展示
                var ApiName = Appsettings.app(new string[] { "Startup", "ApiName" });
                c.SwaggerEndpoint($"/swagger/v1/swagger.json", $"{ApiName} v1");

                c.OAuthClientId(Appsettings.app(new string[] { "Swagger", "ClientId" }));
                c.OAuthClientSecret(Appsettings.app(new string[] { "Swagger", "ClientSecret" }));
                c.OAuthRealm(Appsettings.app(new string[] { "AzureAD", "ClientId" }));
                c.OAuthAppName("My API V1");
                c.OAuthScopeSeparator(" ");
                c.OAuthAdditionalQueryStringParams(new Dictionary<string, string>() { { "resource", Appsettings.app(new string[] { "AzureAD", "ClientId" }) } });
            });
            #endregion

            // open authentication middleware
            app.UseAuthentication();

            app.UseRouting();

            app.UseAuthorization();

            app.UseEndpoints(endpoints =>
            {
                endpoints.MapControllers();
            });
        }
    }
startup.cs 
{
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft": "Warning",
      "Microsoft.Hosting.Lifetime": "Information"
    }
  },
  "AllowedHosts": "*",
  "AzureAd": {
    "Instance": "https://login.chinacloudapi.cn/",
    "Domain": "trainingdiscussion.partner.onmschina.cn",
    "TenantId": "53359126-8bcf-455d-a934-5fe72d349207",
    "ClientId": "f38ec09d-203e-4b2d-a1c1-faf76a608528"
  },
  "Swagger": {
    "ClientId": "e15070c3-7e9a-40c0-b73f-2f34fb031641",
    "ClientSecret": "" //  ?fxV/=/pwlRjwQgoIdLRlPNlWBBQ8939
  }
}
application.json 
    [Route("api/[controller]")]
    [ApiController]

    public class OrderController : ControllerBase
    {
        // GET: api/Order
        [HttpGet]
        [Authorize]
        public IEnumerable<string> Get()
        {
            return new string[] { "value1", "value2" };
        }

        // GET: api/Order/5
        [HttpGet("{id}", Name = "Get")]
        public string Get(int id)
        {
            return "value";
        }

        // POST: api/Order
        [HttpPost]
        public void Post([FromBody] string value)
        {
        }

        // PUT: api/Order/5
        [HttpPut("{id}")]
        public void Put(int id, [FromBody] string value)
        {
        }

        // DELETE: api/ApiWithActions/5
        [HttpDelete("{id}")]
        public void Delete(int id)
        {
        }
    }
OrderController.cs

7，專案新增Swagger的配置，使用Swagger進行介面測試-

　　7.1：安裝  Swashbuckle.AspNetCore，Swashbuckle.AspNetCore.Filters

　　7.1：配置 Swagger 服務，並且使用隱式授權模式

services.AddSwaggerGen(c =>
            {
                c.SwaggerDoc("v1", new OpenApiInfo { Title = "My API", Version = "v1" });
                c.AddSecurityDefinition("oauth2", new OpenApiSecurityScheme
                {
                    Description = "JWT授權(資料將在請求頭中進行傳輸) 直接在下框中輸入Bearer {token}（注意兩者之間是一個空格）\"",
                    Type = SecuritySchemeType.OAuth2,
                    In = ParameterLocation.Header,//jwt預設存放Authorization資訊的位置(請求頭中)
                    Flows = new OpenApiOAuthFlows()
                    {
                        Implicit = new OpenApiOAuthFlow
                        {
                            AuthorizationUrl = new Uri($"https://login.chinacloudapi.cn/{ Appsettings.app(new string[] { "AzureAD", "TenantId" })}/oauth2/authorize")
                            
                        }
                    }
                });
                // 在header中新增token，傳遞到後臺
                c.OperationFilter<SecurityRequirementsOperationFilter>();
            });

　　7.3，開啟中介軟體

 app.UseSwagger();
            app.UseSwaggerUI(c =>
            {
                //根據版本名稱倒序 遍歷展示
                var ApiName = Appsettings.app(new string[] { "Startup", "ApiName" });
                c.SwaggerEndpoint($"/swagger/v1/swagger.json", $"{ApiName} v1");

                c.OAuthClientId(Appsettings.app(new string[] { "Swagger", "ClientId" }));
                c.OAuthClientSecret(Appsettings.app(new string[] { "Swagger", "ClientSecret" }));
                c.OAuthRealm(Appsettings.app(new string[] { "AzureAD", "ClientId" }));
                c.OAuthAppName("My API V1");
                c.OAuthScopeSeparator(" ");
                c.OAuthAdditionalQueryStringParams(new Dictionary<string, string>() { { "resource", Appsettings.app(new string[] { "AzureAD", "ClientId" }) } });
            });

詳細程式碼，請看上面的的完整程式碼☝☝☝☝☝

　　7.4，註冊應用程式（Swagger）

　　（1）現在，我們將為Swagger新增一個 "Azure AD" 應用程式，並授予它向 "Web API" 應用程式發出請求的許可權

 　  　　注意重定向URL的地址，這裡需要配置 swagger 的回撥地址，localhost:9021 是專案執行的地址

　　　　勾選啟用隱式授權模式的 ”訪問令牌“，”ID令牌“

　　（2）轉到 WebApi 應用新增任意scope（scope名隨便定義），那此應用的API將會被公開（暴露），我們這裡添加了一個scope（讀)

    　　 

　　（3）將應用程式ID複製到appsettings中的Swagger:ClientId

 

 

 

　　（4）轉到 “Swagger” 的應用註冊點選”新增許可權“---》“委託的許可權” 來新增下面綠框架中的兩個許可權，管理員同意後，前端應用就擁有呼叫後端API的許可權了。　

 

 

 

 

 

 

 

 

 

 

 

 

 8，測試效果

　　啟動專案，在專案的 “Swagger” 首頁，點選  Try it out 嘗試呼叫 api/order 介面，Response 提示 401 無訪問許可權

 

 

 

此時，我們可以在Swagger首頁點選 ”Authorize“ ，驗證和訪問Api資源

 

 

 

登陸Azure賬戶，進行認證授權

 

 

 

再次呼叫 api/Order 介面  Response：200 OK

 

 

砰

相關推薦

Azure AD（二）呼叫受Microsoft 標識平臺保護的 ASP.NET Core Web API 上

一，引言 　　上一節講到Azure AD的一些基礎概念，以及Azure AD究竟可以用來做什麼？本節就接著講如何在我們的專案中整合Azure AD 保護我們的API資源（其實這裡還可以在 SPA單頁面應用，Web專案，移動/桌面應用程式整合Azure AD），好了，廢話不多說，開始今天的內容。 二，正文 上一

Azure AD（二）呼叫受Microsoft 標識平臺保護的 ASP.NET Core Web API 下

一，引言 　　上一節講到如何在我們的專案中整合Azure AD 保護我們的API資源，以及在專案中整合Swagger，並且如何把Swagger作為一個客戶端進行認證和授權去訪問我們的WebApi資源的？本節就接著講如何在我們的專案中整合 Azure AD 保護我們的API資源，使用其他幾種授權模式進行授權認證

ASP.NET Core Web API + Angular 仿B站（二）後臺模型創建以及數據庫的初始化

[] let 查看 hang lar enc cep 連接字符串 nds 前言： 本系列文章主要為對所學 Angular 框架的一次微小的實踐，對 b站頁面作簡單的模仿。 本系列文章主要參考資料： 微軟文檔：　　　　https://docs.microsoft.com

ASP.NET Core Web API + Angular 仿B站（二）後臺模型建立以及資料庫的初始化

前言： 本系列文章主要為對所學 Angular 框架的一次微小的實踐，對 b站頁面作簡單的模仿。 本系列文章主要參考資料： 微軟文件：　　　　https://docs.microsoft.com/zh-cn/aspnet/core/getting-started/?view=aspnetcore-2.1

使用 Swagger 自動生成 ASP.NET Core Web API 的文檔、在線幫助測試文檔（ASP.NET Core Web API 自動生成文檔）

地址 .cn 名稱 cor 生成文檔 def pos 構建 回車 對於開發人員來說，構建一個消費應用程序時去了解各種各樣的 API 是一個巨大的挑戰。在你的 Web API 項目中使用 Swagger 的 .NET Core 封裝 Swashbuckle 可以幫助你創建良好

在ASP.NET Core Web API 專案裡無法訪問（wwwroot）下的檔案

解決辦法：在“ Startup.cs ” 檔案裡的 Configur方法裡新增一句程式碼“ app.UseStaticFiles() ”,這樣就可以訪問wwwroot下的檔案了。 - 方法程式碼是

ASP.NET Core Web API下事件驅動型架構的實現（一）：一個簡單的實現

很長一段時間以來，我都在思考如何在ASP.NET Core的框架下，實現一套完整的事件驅動型架構

.Net Core Web Api 上傳女朋友的照片到微軟雲Azure Storage

前言 實現一個Web Api，把女朋友照片儲存到Azure雲的storage裡。 Image Upload Api 在對應的Api Controller裡，加上attribute： [Consumes("application/json", "multipart/form-data")] 然後定

SPH演算法簡介（二）: 粒子受力分析

    SPH演算法的基本設想，就是將連續的流體想象成一個個相互作用的微粒，這些例子相互影響，共同形成了複雜的流體運動，對於每個單獨的流體微粒，依舊遵循最基本的牛頓第二定律 (2.1)     這是我們分析的基礎，在SPH演算法裡，流體的質量是由流體單元的密度決定的，所以一般用密度代替質量 (2.2)

人臉識別（二）呼叫face++api實現人臉對比

上次部落格簡單講了一下呼叫face++的api來檢測人臉。當然，生產環境中要實現複雜的需求光靠這麼簡單的呼叫一下api肯定是不行的。這次先來講一講face++中實現人臉對比的api並實現一些相對較為複雜的需求。 首先來看一看呼叫的人臉對比的api需要的東西:

使用 Visual Studio 開發、測試和部署 Azure Functions（二）測試，部署

1，引言 上一篇介紹了使用使用 Visual Studio 開發 "Azure Functions" 函式，此篇介紹 “Azure Functions” 的測試以及直接從 Vistual Studio 在 Azure 上的部署 ”Azure Functions“應用。 2，建立單元測試專案   &n

Azure AD（三）知識補充-Azure資源的託管標識

一，引言 　　來個慣例，吹水！

Azure AD（四）知識補充-服務主體

一，引言 　　又到了新的一週了，也到了我新的分享的時間了，還記得上一週立得Flag，其中 “保證每週輸出一篇文章” ，讓我特別“在意”（這裡用詞不太恰當）。主要是我的一個大學舍友，他突然問了我一個關於寫博的事情，自己也在上週開通了賬號，也想著堅持寫部落格。在我看

Azure Monitor（二）Log Analytics

一，引言（ 前情回顧）  　　Azure Monitor 包括 Log Analytics 和 Application Insights，其提供的高階工具適用於收集和分析遙測資料，以便最大程度地提高雲和本地的資源和應用程式的效能和可用性。 它可以幫助我們瞭解應用程式的效能，並主動識別影響應

Azure AD（五）使用多租戶應用程式模式讓任何 Azure Active Directory 使用者登入

一，引言 距離上次分享關於 “Azure AD" 的知識過去差不多2個多月了， 今天最近剛好也是學習，分享一下關於Azure AD 使用多租戶應用程式模式讓任何 Azure Active Directory 使用者登入，之前僅僅都是在當初租戶的使用者或者受邀來賓來訪問和使用我們的api資

Azure Terraform（二）語法詳解

一，引言 　　上篇文章開始，我們簡單介紹了以下通過基礎設施管理工具----- Terraform，通過它來統一管理複雜的雲基礎設施資源。作為入門演示，使用Terraform 部署Azure 資源組的方式直觀的感受到iac 工具帶來的強大便利。接下來，今天介紹 Terraform 語法詳解，從程式碼的角度來理解

Azure Functions（二）整合 Azure Blob Storage 儲存檔案

一，引言 　　上一篇文章有介紹到什麼是 SeverLess ，ServerLess 都有哪些特點，以及多雲環境下 ServerLess 都有哪些解決方案。在這眾多解決方案中就包括 Function App（Azure 下的ServerLess），今天我們結合之前所講的 Azure Functions 以及 A

任務排程quartz（二）一個簡單的排程平臺的實現

奮戰了幾個大概三個星期，終於實現了一個簡單的排程平臺。不過完全憑自己的個人能力是不可能完成的，筆者是參照公司的專案，學習其中的思想和技術。然後，再融入自己的一點想法，加以改造，就實現了一個比較簡單的排程平臺，同時也非常佩服這些有想法的技術牛人。 首先，來看看一

.Net Core Web Api實踐（二）.net core+Redis+IIS+nginx實現Session共享

前言：雖說公司app後端使用的是.net core+Redis+docker+k8s部署的，但是微信公眾號後端使用的是IIS部署的，雖說公眾號併發量不大，但領導還是使用了負載均衡，所以在介紹docker+k8s實現分散式Session共享之前，就先介紹一下IIS+nginx實現Session共享的方案，兩者其

在ASP.NET Core 2.0上操作MongoDB就是能這麼的簡便酷爽（自動完成分庫分表）

NoSQL是泛指非關係型的資料庫，現今在我們的專案中也多有使用，其獨特的優點為我們的專案架構帶來了不少亮點，而我們這裡的主角（MongoDB）則是NoSQL資料庫家族中的一種。事實上，NoSQL資料庫的應用場景有很多，其最主要的目的就是為了能解決大規模資料集合多重資料種類帶來的困難，及大資料應用的難題。