Java Web アプリのサインイン フローをトレースする

このチュートリアルでは、説明用のJavaサーブレットコードを通して、サインイン要求をたどります。 ブラウザー、Microsoft Entra ID、MSAL4J、およびアプリケーションのセッション ヘルパーが対話する方法について説明します。

アプリケーション定義ヘルパーを識別する

MSAL4J はトークン取得 API を提供します。 アプリケーションは、ブラウザーのリダイレクト、コールバック処理、セッションを調整する周囲のコードを提供します。 フラグメントでは、以下の説明用ヘルパー関数を使用します。

これらの名前とそのヘルパー メソッドは、MSAL4J API ではなく、アプリケーション定義です。 これらの役割についてはチュートリアルで説明しますが、実装は含まれていません。

承認 URL がブラウザーの対話を開始する

最初のフラグメントは、アプリケーションが承認 URL を作成し、ブラウザーをリダイレクトする方法を示しています。 ヘルパーは、構成済みの機密クライアントを提供します。 また、アプリケーションは、このサインイン要求に対して新しく予測できない state 値と nonce 値を生成し、後で比較するために保持しました。

final ConfidentialClientApplication client = getConfidentialClientInstance();
AuthorizationRequestUrlParameters parameters = AuthorizationRequestUrlParameters
                                                    .builder(Config.REDIRECT_URI, Collections.singleton(Config.SCOPES))
                                                    .responseMode(ResponseMode.QUERY)
                                                    .prompt(Prompt.SELECT_ACCOUNT)
                                                    .state(state)
                                                    .nonce(nonce)
                                                    .build();

final String authorizeUrl = client.getAuthorizationRequestUrl(parameters).toString();
contextAdapter.redirectUser(authorizeUrl);

AuthorizationRequestUrlParameters では、コールバック URI、要求されたスコープ、プロトコルのオプションについて説明します。 Collections.singleton 複数のスコープのスペース区切りリストではなく、 Config.SCOPES に 1 つのスコープが含まれているため、ここでは適切です。 MSAL では、既定で標準の OpenID Connect スコープ openid、 profile、および offline_access が追加されます。

MSAL4J 1.9.1 では、 ResponseMode.QUERY はコールバックのクエリ文字列に承認応答パラメーターを配置します。 Prompt.SELECT_ACCOUNT は、アカウントの選択を要求します。 state は応答をサインイン要求と関連付けるのに役立ちますが、 nonce はその要求に ID トークンをバインドします。

getAuthorizationRequestUrl は URL を構築します。 redirectUser は、ブラウザーをリダイレクトするアプリケーション定義ヘルパーです。 どちらの操作でも、認可コードの引き換えは行われません。

コールバックは、トークンのコードを交換します。

承認応答が成功した後、Microsoft Entra IDは認証コードを使用してブラウザーをアプリケーションのコールバック URI にリダイレクトします。 次のフラグメントは、コールバックが stateを検証し、エラー応答を処理し、 authCodeを抽出した後の引き換えに焦点を当てています。 コールバック実装全体は表示されません。

final AuthorizationCodeParameters authParams = AuthorizationCodeParameters
                                                    .builder(authCode, new URI(Config.REDIRECT_URI))
                                                    .scopes(Collections.singleton(Config.SCOPES))
                                                    .build();

final ConfidentialClientApplication client = AuthHelper.getConfidentialClientInstance();
final IAuthenticationResult result = client.acquireToken(authParams).get();

AuthorizationCodeParameters は、受信したコードをコールバック URI と要求されたスコープに接続します。 リダイレクト URI は、承認要求とアプリ登録で使用されたものと一致する必要があります。 機密クライアントは、トークン エンドポイントでコードを交換するときにアプリケーションを認証します。

acquireToken は将来を返し、 .get() はこの例の結果を待ちます。 引き換えが成功すると IAuthenticationResultが発生します。失敗した交換はエラーとして処理する必要があります。 承認コードは有効期間が短く、単一使用であり、後の API 呼び出しで再利用可能な資格情報ではありません。

アプリケーションが結果をセッションに関連付ける

次のフラグメントは、トークンの受信とセッションを認証済みとして扱う境界を示しています。 ここでは、 context はアプリケーション定義の IdentityContextData インスタンスです。

context.setIdTokenClaims(result.idToken());
validateNonce(context);
context.setAuthResult(result, client.tokenCache().serialize());

最初の呼び出しでは、ID トークンのクレームをアプリケーションの nonce 検証で利用できるようにします。 アプリケーション定義の validateNonce ヘルパーは、返された nonce を元の要求に保持されている値と比較し、検証が失敗した場合は処理を停止します。 最後の呼び出しでは、認証結果とシリアル化されたトークン キャッシュがアプリケーション コンテキストに記録されます。このキャッシュは、周囲のコードがセッションに関連付けられます。

これらのヘルパーは、アプリケーションの広範なセキュリティ責任を置き換えるわけではありません。 完全な実装には、正しい応答処理、セキュリティで保護されたセッションとトークン キャッシュストレージ、適切なエラー処理、保護された操作の承認も必要です。

フローを接続する

ブラウザーは、サインインを通じてユーザーを移動し、承認コードを返します。 サーバーはそのコードを MSAL4J で引き換え、結果を処理し、アプリケーションのセッションを維持します。 後でMicrosoft Graph呼び出しでは、承認コードや ID トークンではなく、アクセス トークンが使用されます。

ライブラリ API の詳細については、「MSAL4J 認証コード URL ビルダー」および「認証コードを使用したトークンの取得」を参照してください。