Нативная аутентификация в Внешняя идентификация Microsoft Entra

Применяется: Внешние клиенты (дополнительные сведения)

Встроенная проверка подлинности Microsoft Entra позволяет полностью контролировать дизайн процесса входа в систему для вашего мобильного и настольного приложения. В отличие от решений на основе браузера, нативная проверка подлинности позволяет создавать визуально привлекательные, идеально точно выполненные экраны проверки подлинности, которые легко интегрируются в интерфейс вашего приложения. Благодаря этому подходу можно полностью настроить пользовательский интерфейс, включая элементы дизайна, размещение логотипа и макет, обеспечивая согласованный и фирменный вид.

Стандартный процесс входа в приложение, который зависит от браузерной проверки подлинности, часто приводит к сбою во время проверки подлинности. Пользователи временно перенаправляются в системный браузер для проверки подлинности, только чтобы вернуться в приложение после завершения входа.

Хотя делегированная браузером проверка подлинности обеспечивает такие преимущества, как сокращенные векторы атак и поддержка единого входа, он предлагает ограниченные параметры настройки пользовательского интерфейса.

Доступные методы проверки подлинности

В настоящее время поставщик удостоверения локальной учетной записи поддерживает два метода проверки подлинности: встроенную проверку подлинности.

• Электронная почта для входа с одноразовым паролем (ОТП).
• Вход с использованием адреса электронной почты и пароля с поддержкой сброса пароля в режиме самообслуживания (SSPR).

Встроенная проверка подлинности пока не поддерживает федеративные поставщики удостоверений, такие как социальные или корпоративные удостоверения.

Когда следует использовать собственную проверку подлинности

Когда речь заходит о внедрении аутентификации для мобильных и настольных приложений на External ID, у вас есть два варианта:

• Проверка подлинности, делегированная через браузер и размещенная Microsoft.
• Полностью настраиваемая проверка подлинности на основе собственного пакета SDK.

Выбранный подход зависит от конкретных требований вашего приложения. Хотя каждое приложение имеет уникальные требования к проверке подлинности, следует учитывать некоторые распространенные аспекты. Независимо от того, выбираете ли вы собственную проверку подлинности или делегированную браузером проверку подлинности, Внешняя идентификация Microsoft Entra поддерживает оба из них.

Параллельное сравнение двух подходов, включая доступность компонентов, поддерживаемые языки и платформы, взаимодействие с пользователем, настройку и компромиссы безопасности, см. в разделе "Выбор подхода к проверке подлинности".

Включение собственной проверки подлинности

Сначала ознакомьтесь с рекомендациями по использованию встроенной аутентификации. Затем проведите внутреннее обсуждение с владельцем вашего приложения, дизайнером и командой разработки, чтобы определить, требуется ли нативная аутентификация.

Если команда определяет, что собственная проверка подлинности необходима для приложения, выполните следующие действия, чтобы включить собственную проверку подлинности в Центр администрирования Microsoft Entra:

1. Войдите в Центр администрирования Microsoft Entra.
2. Перейдите к Регистрация приложений и выберите регистрацию приложения, для которой требуется включить общедоступный клиент и собственные потоки проверки подлинности.
3. В разделе "Управление" выберите "Проверка подлинности".
4. В разделе Дополнительные параметрыразрешить общедоступные потоки клиентов:
   1. Включите следующие потоки для мобильных и десктопных устройств и выберите Да.
   2. Для включения функции собственной аутентификациивыберите Да.
5. Выберите кнопку Сохранить.

Обновление кода конфигурации

После включения собственных API проверки подлинности в Центре администрирования вам по-прежнему необходимо обновить код конфигурации приложения для поддержки собственных потоков проверки подлинности для Android или iOS/macOS. Для этого необходимо добавить поле типа челленджа в вашу конфигурацию. Типы вызовов — это список значений, которые приложение использует для уведомления Microsoft Entra о методе проверки подлинности, который он поддерживает. Дополнительные сведения о типах вызовов собственной проверки подлинности можно найти в разделе Типы вызовов собственной проверки подлинности. Если конфигурация не обновляется для интеграции собственных компонентов проверки подлинности, пакеты SDK и API для собственной проверки подлинности недоступны.

Рекомендации по безопасности для встроенной аутентификации

Первичная аутентификация обеспечивает команде разработчиков полный контроль над процессом аутентификации. Когда у вас есть контроль, появляется ответственность за соблюдение рекомендаций по обеспечению безопасности в реализации вашего приложения, таких как безопасная обработка токенов и обеспечение безопасности передачи данных (HTTPS).

Единый вход (SSO)

Нативная аутентификация поддерживает единый вход (SSO) для веб-представлений. Это позволяет пользователям выполнять вход один раз через пользовательский интерфейс собственного приложения, а затем получать доступ к веб-ресурсам, размещенным в внедренном веб-представлении (например, WKWebView в iOS или WebView Android), без получения второго запроса на вход.

Приложение достигает этого путем получения маркера доступа с помощью Native Auth SDK или родного API проверки подлинности и его внедрения в HTTP-запрос веб-представления через заголовок. Веб-ресурс проверяет маркер и устанавливает сеанс, обеспечивая простой переход от собственного интерфейса к веб-содержимому.

Инструкции по реализации см. в статье "Реализация единого входа из собственных приложений в внедренные веб-представления".

Использование родной проверки подлинности

Вы можете создавать приложения, использующие собственную проверку подлинности, с помощью собственных API проверки подлинности или пакета SDK Microsoft Authentication Library (MSAL) для Android, iOS, macOS и веб-приложений. По возможности рекомендуется использовать MSAL для добавления родной аутентификации в приложения.

Дополнительные сведения о примерах и руководствах по собственной проверке подлинности см. в следующей таблице:

Если вы планируете создать приложение на платформе, не поддерживаемой MSAL, вы можете использовать наш API проверки подлинности. Дополнительные сведения см. в справочнике по API собственной проверки подлинности.

Связанный контент

• Руководства по собственной проверке подлинности Android.
• Руководства по собственной проверке подлинности iOS.
• Нативная аутентификация в руководстве React SPA.
• Руководство по машинной проверке подлинности в Angular SPA.
• Документация по API собственной проверки подлинности.