Gestire i token OAuth nel servizio app di Azure

Questo articolo illustra come gestire i token OAuth per l'autenticazione e l'autorizzazione predefiniti nel servizio app di Azure.

Recuperare i token nel codice dell'app

Servizio app di Azure inserisce i token specifici del provider nell'intestazione della richiesta in modo da potervi accedere facilmente. Per ottenere i token specifici del provider, l'archivio token deve essere abilitato per l'app.

Inviare una richiesta HTTP GET a /.auth/me dal codice client, ad esempio un'app per dispositivi mobili o JavaScript nel browser. Il codice JSON restituito include i token specifici del provider.

La tabella seguente elenca i nomi delle intestazioni del token OAuth per diversi provider predefiniti del servizio app:

Aggiornare i token di autenticazione

Le informazioni seguenti fanno riferimento ai token del provider. Per i token di sessione, vedere Estendere il periodo di tolleranza di scadenza del token di sessione.

Se il token di accesso del provider scade, è necessario ripetere l'autenticazione dell'utente prima di poter usare di nuovo tale token. È possibile evitare la scadenza del token eseguendo una chiamata di GET nell'endpoint /.auth/refresh dell'applicazione.

Per aggiornare il token di accesso in qualsiasi momento, chiamare /.auth/refresh in qualsiasi lingua. Il frammento di codice seguente usa jQuery per aggiornare i token di accesso da un client JavaScript.

function refreshTokens() {
  let refreshUrl = "/.auth/refresh";
  $.ajax(refreshUrl) .done(function() {
    console.log("Token refresh completed successfully.");
  }) .fail(function() {
    console.log("Token refresh failed. See application logs for details.");
  });
}

Quando viene chiamato, il servizio app aggiorna automaticamente i token di accesso nell'archivio token per l'utente autenticato. Le successive richieste di token ottengono i token aggiornati. È possibile visualizzare i token di aggiornamento e la scadenza per i token usando le intestazioni elencate in Recuperare i token nel codice dell'app.

Configurare i provider per fornire i token di aggiornamento

Per il funzionamento dell'aggiornamento del token, l'archivio token deve contenere token di aggiornamento dal tuo provider. Ogni provider documenta come ottenere i token di aggiornamento. La tabella seguente fornisce un breve riepilogo:

Configurare il provider Microsoft Entra per fornire i token di aggiornamento

1. Nel portale di Azure passare all'API Playground (anteprima) e selezionare Nuova richiesta , se necessario.
2. Nel campo Immettere il percorso relativo ARM qui incluso il campo Versione API, immettere la stringa seguente, sostituendo i segnaposto con l'ID sottoscrizione, il nome del gruppo di risorse e il nome dell'app:
   subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Web/sites/<app-name>/config/authsettingsV2?api-version=2024-11-01
3. Seleziona Execute.
4. Selezionare PUT in alto a sinistra e selezionare la scheda Corpo della richiesta .
5. Copiare il contenuto della GET risposta dal campo Corpo della risposta e incollarli nella scheda Corpo della richiesta .
6. Nel codice individuare la "identityProviders":>>"azureActiveDirectory":"login": sezione e aggiungere la riga seguente:
   "loginParameters": ["scope=openid profile email offline_access"]
7. Seleziona Execute. Il campo Corpo della risposta mostra le modifiche apportate.

Offline_access è l'ambito che fornisce i token di aggiornamento. Il servizio App richiede già gli altri ambiti per impostazione predefinita. Per altre informazioni, vedere Ambiti openID Connect e app Web - Aggiornare le impostazioni di autenticazione V2.

Estendere il periodo di tolleranza della scadenza del token di sessione

La sessione autenticata scade dopo 8 ore e segue un periodo di tolleranza predefinito di 72 ore. In questo periodo di tolleranza è possibile aggiornare il token di sessione con il servizio app senza autenticare nuovamente l'utente. È sufficiente chiamare /.auth/refresh quando il token di sessione non è valido e non è necessario tenere traccia della scadenza del token manualmente.

Quando il periodo di tolleranza di 72 ore scade, l'utente deve eseguire di nuovo l'accesso per ottenere un token di sessione valido. Se è necessaria una finestra di scadenza più lunga di 72 ore, è possibile estenderla, ma l'estensione della scadenza per un lungo periodo potrebbe avere implicazioni significative sulla sicurezza se un token di autenticazione viene trapelato o rubato. È consigliabile lasciare l'impostazione predefinita di 72 ore o impostare il periodo di estensione sul valore più piccolo possibile.

Per estendere la finestra di scadenza predefinita, eseguire il comando seguente dell'interfaccia della riga di comando di Azure in Azure Cloud Shell:

az webapp auth update --resource-group <group_name> --name <app_name> --token-refresh-extension-hours <hours>

Contenuti correlati

• Esercitazione: Autenticare e autorizzare gli utenti da inizio a fine