Azure AD、Angular Spa 和 Spring 微服务集成

Question

我们使用 Azure AD 进行身份验证和授权。我们的 angular spa 已通过 Azure AD 启用 SSO。我们需要保护我们的后端 服务，并且只允许具有有效 jwt 令牌的 API。

到目前为止，我们所做的是：

1. 在 Azure AD 中注册了我们的 Angular 应用。

2. 我们已经将 spring 微服务配置为资源服务器，并且 应用程序属性包含 jwt.issuer-uri

   spring.security.oauth2.resourceserver.jwt.issuer-uri=XXXXXXXXXXX-XXXXXXXXX-XXXXXXX-XXXXXXXXXXXX

问题是我们从 Azure AD 获得的令牌的受众为 "00000003-0000-0000-c000-000000000000"，这意味着该令牌是为 Microsoft 图表生成的。我还尝试使用此令牌访问图形 Api，它起作用了。但是我们想要的是在我们自己的spring微服务中验证这个token并授予权限 基于提供的 jwt。

为了解决这个问题，我必须在我们的 Azure 注册 Angular 应用程序中进行一些配置更改。我添加了一个自定义 scope api:///app 并使用 获取令牌时的此范围。现在令牌正在后端验证，API 工作正常。

此配置以某种方式有效，但对我来说似乎不正确。我是 azure 的新手，所以不确定所有的东西是如何联系起来的。

1. 现在正在生成的新令牌的受众是我们的 角度温泉客户端ID。这个对吗？不应该是后台吗 服务？任何为什么它会被后端验证 当前配置？
2. 我的理解是我们不必注册我们的spring 带有 Azure 广告的微服务。我将只充当资源服务器 将使用 发行者网址。
3. 如果我们需要使用 azure AD 注册我们的后端服务，那么 对所有微服务都做同样的事情会不会很困难？

我已经通过引用完成了所有设置。 https://ordina-jworks.github.io/security/2020/08/18/Securing-Applications-Azure-AD.html

在其他一些链接中，我发现用于设置后端服务的配置完全不同。我不确定哪一个是正确的。 https://docs.microsoft.com/en-us/java/api/overview/azure/active-directory-spring-boot-starter-readme?view=azure-java-stable

Answer 1

在遵循基于标准的方法时，Azure AD 有点令人困惑。几年前我为此写了blog post：

• 您已经发现至少需要一个 API 注册才能工作，以公开 API 范围 - 以便获得可用的访问令牌

• 然后，从 Azure 中的 API 条目生成的 id 将成为您的受众，如本文的第 9 步。

我们真正想做的是这样，这样我们就可以将微服务中的 JWT 转发到微服务调用：

• 让 Azure AD 发出所有微服务通用的受众声明，例如 api.mycompany.com

• 根据微服务中的数据区域在访问令牌中发布多个范围 - 如this Curity doc

我的目标是在 Azure AD 中使用一个条目来代表您的 API 平台。然后每个微服务可以使用相同的生成受众价值。

希望您也可以使用多个自定义范围，尽管这里有一些烦恼，尤其是当您想要使用 Azure AD 通过 Graph API 公开的内置 OpenID Connect 用户信息范围时。