microsoft authentication graph helpers

Ayudantes de Microsoft Graph

Siga: https://github.com/azuread/microsoft-identity-web para un enfoque mejor y compatible basado en MSAL.

El propósito de esta biblioteca es simplificar la interacción con las bibliotecas de autenticación de Microsoft y llamar a la primera parte y otras API.

Tenga en cuenta que esto todavía funciona en progreso y hay cosas como protección de datos en el caché, etc. Falta en este momento.

Configuración

1. Agregar a la inyección de dependencia

    // This library depends on MemoryCache / DistributedMemorycache for storing Tokens from the TokenCache
   services . AddMemoryCache ( ) ;
   
   services . AddSingleton ( new ClientCredential ( _config [ "AzureAd:ClientId" ] , _config [ "AzureAd:ClientSecret" ] ) ) ;
   services . AddScoped < TokenCacheFactory > ( ) ;
   services . AddScoped < AdalFactory > ( ) ;
   services . AddScoped < MicrosoftGraphFactory > ( ) ;
   services . AddScoped < AzureAdGraphFactory > ( ) ;

2. Configure su OpenID Connect Middleware para canjear el código de token y guárdelo en el caché

    services . Configure < OpenIdConnectOptions > ( AzureADDefaults . OpenIdScheme , options =>
   {
       options . ResponseType = OpenIdConnectResponseType . CodeIdToken ;
       options . Events = new OpenIdConnectEvents ( )
       {
           OnAuthorizationCodeReceived = async context =>
           {
               var authContext = context . HttpContext . RequestServices . GetRequiredService < AdalFactory > ( ) . GetAuthenticationContextForUser ( context . Principal ) ;
               var clientCred = context . HttpContext . RequestServices . GetRequiredService < Microsoft . IdentityModel . Clients . ActiveDirectory . ClientCredential > ( ) ;
               var authResult = await authContext . AcquireTokenByAuthorizationCodeAsync ( context . ProtocolMessage . Code , new Uri ( context . Properties . Items [ OpenIdConnectDefaults . RedirectUriForCodePropertiesKey ] ) , clientCred , "https://graph.microsoft.com" ) ;
               context . HandleCodeRedemption ( authResult . AccessToken , authResult . IdToken ) ;
           } ,
       } ;
   } ) ;

3. Ganancia

    public class HomeController : Controller
   {
       private readonly MicrosoftGraphFactory _graphFactory ;
       public HomeController ( MicrosoftGraphFactory graphFactory )
       {
           _graphFactory = graphFactory ;
       }
       [ Authorize ]
       public async Task < IActionResult > Index ( )
       {
           var graphClient = _graphFactory . GetClientForUser ( HttpContext . User ) ;
           var users = await graphClient . Users . Request ( ) . GetAsync ( ) ;
   
           return Json ( users ) ;
       }
       public async Task < IActionResult > IndexAsApp ( )
       {
           var tenantId = "" ;
           
           var graphClient = _graphFactory . GetClientForApplication ( tenantId ) ;
           var users = await graphClient . Users . Request ( ) . GetAsync ( ) ;
   
           return Json ( users ) ;
       }
   } 

Atributo de autorización

Una vez que haya configurado lo anterior, también puede hacer uso del AzureAdAuthorizationAttribute . El propósito de esto es hacer que la autorización con roles y grupos de Azure sea más simple.

Gracias a esta extensión, puede utilizar el grupo en tiempo real y la autorización basada en roles. Actualmente, la configuración es que cualquiera de los requisitos debe cumplirse. Si desea múltiples, como la membresía del grupo y el rol, simplemente apílalo uno encima del otro.

Para que esto funcione, también debe agregar IHttpContextAccessor a sus servicios.

 public void ConfigureServices ( IServiceCollection services )
{
    .. .
    services . AddHttpContextAccessor ( ) ;
    .. .
} 

 public class HomeController : Controller
{
    [ AzureAdAuthorization ( roles : new string [ ] { AzureAdRoles . CompanyAdministrator } , groups : new string [ ] { ApplicationGroupIds . AppAdministrators } ) ]
    public async Task < IActionResult > Index ( )
    {
        var graphClient = _graphFactory . GetClientForUser ( HttpContext . User ) ;
        var users = await graphClient . Users . Request ( ) . GetAsync ( ) ;

        return Json ( users ) ;
    }
} 

Usando con API

Para que esto funcione, debe configurar jwtbearermiddleware configurado correctamente (con SaveTokens = true ) para Azure AD en su proyecto. Este método simplifica la redención del token de flujo en el behalf mientras aprovecha el caché del token y todo.

 public class HomeController : Controller
{
    private readonly MicrosoftGraphFactory _graphFactory ;
    public HomeController ( MicrosoftGraphFactory graphFactory )
    {
        _graphFactory = graphFactory ;
    }
    [ Authorize ( JwtBearerDefaults . AuthenticationScheme ) ]
    public async Task < IActionResult > Index ( )
    {
        var graphClient = _graphFactory . GetClientForApiUser ( HttpContext . GetTokenAsync ( "access_token" ) , HttpContext . User ) ;
        var users = await graphClient . Users . Request ( ) . GetAsync ( ) ;

        return Json ( users ) ;
    }
}