Управление маркерами OAuth в Службе приложений Azure

В этой статье показано, как управлять маркерами OAuth для встроенной проверки подлинности и авторизации в Службе приложений Azure.

Извлечение токенов в коде приложения

Служба приложений Azure внедряет маркеры, относящиеся к поставщику, в заголовок запроса, чтобы можно было легко получить к ним доступ. Чтобы получить маркеры для конкретного поставщика, для приложения необходимо включить хранилище маркеров .

Отправьте HTTP-запрос GET/.auth/me с помощью клиентского кода, например, мобильного приложения или JavaScript в браузере. В возвращаемом JSON-файле будут содержаться предоставляемые поставщиком токены.

В следующей таблице перечислены имена заголовков токенов OAuth для нескольких встроенных поставщиков службы приложений:

Обновление токенов аутентификации

Информация ниже относится к токенам поставщика. Сведения о маркерах сеанса см. в разделе "Продление срока действия маркера сеанса".

Если срок действия маркера доступа поставщика истекает, необходимо повторно выполнить проверку подлинности пользователя, прежде чем снова использовать этот маркер. Истечения срока действия токена можно избежать, выполнив вызов GET к конечной точке приложения /.auth/refresh.

Чтобы обновить токен доступа в любое время, вызовите /.auth/refresh на любом языке. В следующем фрагменте кода jQuery используется для обновления токенов доступа из клиента JavaScript.

function refreshTokens() {
  let refreshUrl = "/.auth/refresh";
  $.ajax(refreshUrl) .done(function() {
    console.log("Token refresh completed successfully.");
  }) .fail(function() {
    console.log("Token refresh failed. See application logs for details.");
  });
}

При этом Служба приложений автоматически обновляет маркеры доступа в хранилище токенов для пользователя, прошедшего аутентификацию. Последующие запросы получают обновленные маркеры. Маркеры обновления и время истечения их действия можно увидеть с помощью заголовков, перечисленных в извлечении токенов в коде приложения.

Настройте поставщиков для выдачи токенов обновления

Чтобы обновление токенов работало, хранилище токенов должно содержать токены обновления от вашего поставщика. Каждый поставщик документирует, как получить токены обновления. В следующей таблице представлена краткая сводка:

Настройка поставщика Microsoft Entra для предоставления токенов обновления

1. На портале Azure перейдите на площадку API (предварительная версия) и при необходимости выберите новый запрос .
2. В поле введите относительный путь ARM вместе с версией API, введите следующую строку, заменив плейсхолдеры идентификатором подписки, именем группы ресурсов и именем приложения:
   subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Web/sites/<app-name>/config/authsettingsV2?api-version=2024-11-01
3. Выберите Выполнить.
4. Выберите PUT в левом верхнем углу и перейдите на вкладку "Текст запроса ".
5. Скопируйте содержимое GET ответа из поля текста ответа и вставьте их на вкладку "Текст запроса ".
6. В коде найдите "identityProviders":>>"azureActiveDirectory":"login": раздел и добавьте следующую строку:
   "loginParameters": ["scope=openid profile email offline_access"]
7. Выберите Выполнить. В поле "Текст ответа" отображаются изменения.

Offline_access — это область, которая предоставляет маркеры обновления. Служба приложений уже запрашивает другие области по умолчанию. Дополнительные сведения см. в разделе "Области подключения OpenID" и "Веб-приложения" — обновление параметров проверки подлинности версии 2.

Продление периода отсрочки срока действия токена сеанса

Срок действия сеанса, прошедшего проверку подлинности, истекает через 8 часов, и 72-часовой льготный период по умолчанию следует. В течение этого льготного периода можно обновить маркер сеанса с помощью службы приложений без повторной проверки подлинности пользователя. Вы можете просто вызывать /.auth/refresh , когда маркер сеанса становится недействительным, и вам не нужно отслеживать срок действия маркера самостоятельно.

Когда 72-часовой льготный период истекает, пользователь должен снова войти, чтобы получить действительный маркер сеанса. Если вам нужен срок действия более 72 часов, его можно продлить, но продление срока действия на длительный период может иметь значительные последствия для безопасности, если токен аутентификации будет утечет или украден. Рекомендуется оставить параметр по умолчанию 72 часа или задать период расширения наименьшим возможным значением.

Чтобы продлить срок действия по умолчанию, выполните следующую команду Azure CLI в Azure Cloud Shell:

az webapp auth update --resource-group <group_name> --name <app_name> --token-refresh-extension-hours <hours>

Связанный контент

• Руководство: Полная проверка подлинности и авторизация пользователей