Поставщики идентификационных услуг

ПРИМЕНИМО К: пакет SDK версии 4

Поставщик удостоверений выполняет проверку подлинности удостоверений пользователя или клиента и выдает одноразовые маркеры безопасности. Он предоставляет проверку подлинности пользователей как услугу.

Клиентские приложения, например веб-приложения, делегируют аутентификацию доверенному поставщику удостоверений. Такие клиентские приложения считаются федеративными, то есть используют федеративное удостоверение. Дополнительные сведения см. в разделе "Федеративное удостоверение".

Использование доверенного поставщика удостоверений:

Включает функции единого входа, позволяя приложению получать доступ к нескольким защищенным ресурсам.
Упрощает подключение между ресурсами облачных вычислений и пользователями, уменьшая необходимость повторной проверки подлинности пользователей.

Единый вход

Единый вход относится к процессу проверки подлинности, который позволяет пользователю входить в систему один раз с одним набором учетных данных для доступа к нескольким приложениям или службам.

Пользователь входит в систему с одним идентификатором и паролем, чтобы получить доступ к любым из нескольких связанных программных систем. Дополнительные сведения см. в разделе "Единый вход".

Многие поставщики удостоверений поддерживают операцию выхода, которая отменяет маркер пользователя и завершает доступ к связанным приложениям и службам.

Это важно

Единый вход повышает удобство использования, уменьшая количество операций ввода учетных данных пользователем. Кроме того, она обеспечивает более высокую безопасность, уменьшая потенциальную область атаки.

Поставщик удостоверений личности Microsoft Entra ID

Идентификатор Microsoft Entra — это служба удостоверений в Microsoft Azure, которая предоставляет возможности управления удостоверениями и управления доступом. Он позволяет безопасно выполнять вход пользователей с помощью стандартных отраслевых протоколов, таких как OAuth2.0.

Вы можете выбрать один из двух реализаций поставщика удостоверений Active Directory, которые имеют разные параметры, как показано ниже.

Замечание

Используйте эти параметры при настройке параметров подключения OAuth в приложении регистрации бота Azure. Для получения дополнительной информации, см. раздел «Добавление проверки подлинности боту».

Идентификатор Microsoft Entra
Azure AD версии 1

Платформа идентификации Microsoft (версия 2.0) — также известная как конечная точка Microsoft Entra ID — позволяет боту получать токены для обращения к API Microsoft, таким как Microsoft Graph или другие API. Платформа удостоверений — эволюция платформы Azure AD (версия 1.0). Дополнительные сведения см. в обзоре платформы удостоверений Майкрософт (версия 2.0).

Используйте приведенные ниже параметры AD версии 2, чтобы позволить боту получать доступ к данным Office 365 через API Microsoft Graph.

Недвижимость	Описание или значение
Имя	Имя для подключения к поставщику удостоверения.
Поставщик услуг	Используемый поставщик удостоверений. Выберите Microsoft Entra ID.
Идентификатор клиента	Идентификатор приложения (ID клиента) для вашего приложения провайдера удостоверений Azure.
Секрет клиента	Секретный ключ вашего приложения поставщика удостоверений Azure.
Идентификатор клиента	Идентификатор каталога (арендатора) или `common`. Дополнительные сведения см. в заметке об идентификаторах клиента.
Области применения	Разделенный пробелом список разрешений API, предоставленных приложению поставщика удостоверений Microsoft Entra ID, например `openid`, , `profile`, `Mail.ReadMail.Send`, `User.Read`и `User.ReadBasic.All`.
URL-адрес Exchange токена	Для бота с поддержкой единого входа (SSO) используйте URL-адрес обмена токенами, связанный с подключением OAuth; в противном случае оставьте пустым. Сведения о URL-адресе обмена маркерами единого входа см. в разделе "Создание параметров подключения OAuth".

Azure AD версии 1

Используйте приведенные ниже параметры для настройки платформы разработчика Microsoft Entra ID (версии 1.0), также известной как конечная точка Azure AD версии 1 . Это позволяет создавать приложения, безопасные для входа пользователей с помощью рабочей или учебной учетной записи Майкрософт. Дополнительные сведения см. в обзоре идентификатора Microsoft Entra для разработчиков (версии 1.0).

Недвижимость	Описание или значение
Имя	Имя для подключения к поставщику удостоверения.
Поставщик услуг	Используемый поставщик удостоверений. Выберите Microsoft Entra ID.
Идентификатор клиента	Идентификатор приложения (ID клиента) для вашего приложения провайдера удостоверений Azure.
Секрет клиента	Секретный ключ вашего приложения поставщика удостоверений Azure.
Тип предоставления	`authorization_code`
URL-адрес входа	`https://login.microsoftonline.com`
Идентификатор клиента	Идентификатор каталога (арендатора) или `common`. Дополнительные сведения см. в описании идентификаторов клиентов ниже.
URL-адрес ресурса	`https://graph.microsoft.com/`
Области применения	Оставьте это пустым.
URL-адрес Exchange токена	Оставьте это пустым.

Замечание

Если выбран один из следующих вариантов, введите идентификатор клиента , записанный для приложения поставщика удостоверений Microsoft Entra ID:

Учетные записи только в этом каталоге организации (только майкрософт — один клиент)
Учетные записи в любом каталоге организации (каталог Microsoft AAD — мультитенантный)

Если вы выбрали учетные записи в любом каталоге организации (любой каталог идентификатора Microsoft Entra — мультитенантные и личные учетные записи Майкрософт, например Skype, Xbox, Outlook.com), введите common.

В противном случае приложение поставщика удостоверений Microsoft Entra ID будет использовать клиент для проверки выбранного идентификатора и исключения личных учетных записей Майкрософт.

Дополнительные сведения можно найти здесь

Другие поставщики удостоверений

Azure поддерживает несколько поставщиков удостоверений. Полный список можно получить вместе с соответствующими сведениями, выполнив следующие команды консоли Azure:

az login
az bot authsetting list-providers

Вы также можете просмотреть список этих поставщиков на портале Azure при определении параметров подключения OAuth для приложения регистрации бота.

Поставщики удостоверений Azure

Универсальные поставщики OAuth

Azure поддерживает универсальный OAuth2, который позволяет использовать собственного поставщика удостоверений.

Вы можете выбрать две реализации универсального поставщика удостоверений, которые имеют разные параметры, как показано ниже.

Замечание

Используйте параметры, описанные здесь при настройке параметров подключения OAuth в приложении регистрации бота Azure.

Стандартный OAuth 2
Универсальный поставщик OAuth 2

Используйте этого провайдера для настройки любого универсального поставщика удостоверений OAuth2, который имеет схожие требования с поставщиком Microsoft Entra ID, в частности, версии AD v2. Для этого типа соединения строки запроса и содержимое тела запроса являются фиксированными.

Недвижимость	Описание или значение
Имя	Имя для подключения к поставщику удостоверения.
Поставщик услуг	Используемый поставщик удостоверений. Выберите универсальный Oauth 2.
Идентификатор клиента	Идентификатор клиента, полученный от поставщика удостоверений.
Секрет клиента	Секрет клиента, полученный из регистрации поставщика идентификационных данных.
URL-адрес авторизации	`https://login.microsoftonline.com/common/oauth2/v2.0/authorize`
URL-адрес токена	`https://login.microsoftonline.com/common/oauth2/v2.0/token`
Обновить URL	`https://login.microsoftonline.com/common/oauth2/v2.0/token`
URL-адрес Exchange токена	Оставьте это пустым.
Области применения	Список разрешений API, предоставленных приложению поставщика удостоверений, разделенный запятыми.

Для этого поставщика требуется больше параметров конфигурации, поэтому используйте эту версию для настройки любого универсального поставщика служб OAuth 2, если требуется дополнительная гибкость. В этой конфигурации можно указать шаблоны URL-адресов, шаблоны строк запроса и шаблоны тела для авторизации, обновления и преобразования токенов.

Недвижимость	Описание или значение
Имя	Имя для подключения к поставщику удостоверения.
Поставщик услуг	Используемый поставщик удостоверений. Выберите универсальный провайдер OAuth 2.
Идентификатор клиента	Идентификатор клиента, полученный от поставщика удостоверений.
Секрет клиента	Секрет клиента, полученный из регистрации поставщика идентификационных данных.
Разделитель списка областей	Символ разделителя для списка областей. Пустые пробелы () не поддерживаются в этом поле, но могут использоваться в поле "Области ", если это требуется поставщиком удостоверений. В этом случае используйте запятую (,) для этого поля и пробел ( ) в поле Области.
Шаблон URL-адреса авторизации	Шаблон URL-адреса для авторизации, определенный поставщиком удостоверений. Например: `https://login.microsoftonline.com/common/oauth2/v2.0/authorize`.
Шаблон строки запроса URL-адреса авторизации	Шаблон запроса для авторизации, предоставляемый поставщиком удостоверений. Ключи в шаблоне строки запроса зависят от поставщика удостоверений. Например: `?client_id={ClientId}&response_type=code&redirect_uri={RedirectUrl}&scope={Scopes}&state={State}`.
Шаблон URL токена	`https://login.microsoftonline.com/common/oauth2/v2.0/token`
Шаблон строки запроса URL для токена	Разделитель строки запроса для URL-адреса токена. Обычно вопросительный знак (?).
Шаблон текста токена	Шаблон для текста маркера. Например: `code={Code}&grant_type=authorization_code&redirect_uri={RedirectUrl}&client_id={ClientId}&client_secret={ClientSecret}`.
Обновление шаблона URL-адреса	`https://login.microsoftonline.com/common/oauth2/v2.0/token`
Обновление шаблона строки запроса URL-адреса	Разделитель строки запроса для URL-адреса обновления токена. Обычно вопросительный знак (?).
Обновление шаблона текста	Шаблон для основного содержимого обновления. Например: `refresh_token={RefreshToken}&redirect_uri={RedirectUrl}&grant_type=refresh_token&client_id={ClientId}&client_secret={ClientSecret}`.
URL-адрес Exchange токена	Оставьте это пустым.
Области применения	Список прав доступа, которые вы хотите предоставить аутентифицированным пользователям после входа. Убедитесь, что вы задаете только необходимые области и следуйте принципу управления доступом по наименьшим привилегиям. Например: `User.Read`. Если вы используете настраиваемую область, используйте полный URI, включая открыто предоставленный URI идентификатора приложения.

Дальнейшие шаги

Прокси поставщиков идентификационных данных

Last updated on 2024-10-09

Поставщики идентификационных услуг

Единый вход

Поставщик удостоверений личности Microsoft Entra ID

Другие поставщики удостоверений

Универсальные поставщики OAuth

Дальнейшие шаги

Дополнительные ресурсы