Java Spring Boot-apps beveiligen met Azure Active Directory B2C

In dit artikel wordt een Java Spring Boot-webapp gedemonstreerd waarmee gebruikers zich aanmelden bij uw Azure Active Directory B2C-tenant met behulp van de Azure AD B2C Spring Boot Starter-clientbibliotheek voor Java. Het maakt gebruik van het OpenID Connect-protocol.

In het volgende diagram ziet u de topologie van de app:

Diagram dat de topologie van de app toont.

De client-app maakt gebruik van de Azure AD B2C Spring Boot Starter-clientbibliotheek voor Java om een gebruiker aan te melden en een id-token te verkrijgen van Azure AD B2C. Het id-token bewijst dat de gebruiker is geverifieerd met Azure AD B2C en dat de gebruiker toegang heeft tot beveiligde routes.

Vereisten

• JDK versie 15. Dit voorbeeld is ontwikkeld op een systeem met Java 15, maar is mogelijk compatibel met andere versies.
• Maven 3
• Java Extension Pack for Visual Studio Code wordt aanbevolen om dit voorbeeld uit te voeren in Visual Studio Code.
• Een Azure AD B2C-tenant. Zie Zelfstudie: een Azure Active Directory B2C-tenant maken voor meer informatie.
• Visual Studio Code
• Azure Tools voor Visual Studio Code

Aanbevelingen

• Enige bekendheid met het Spring Framework.
• Enige bekendheid met Linux/OSX-terminal.
• jwt.ms om uw tokens te inspecteren.
• Fiddler om uw netwerkactiviteit te controleren en problemen op te lossen.
• Volg de Microsoft Entra-blog om up-to-date te blijven met de nieuwste ontwikkelingen.

Het voorbeeld instellen

In de volgende secties ziet u hoe u de voorbeeldtoepassing instelt.

De voorbeeldopslagplaats klonen of downloaden

Als u het voorbeeld wilt klonen, opent u een Bash-venster en gebruikt u de volgende opdracht:

git clone https://github.com/Azure-Samples/ms-identity-msal-java-samples.git
cd 4-spring-web-app/1-Authentication/sign-in-b2c

U kunt ook naar de ms-identity-msal-java-samples-repository gaan, deze vervolgens als een .zip-bestand downloaden en op uw harde schijf uitpakken.

Dit voorbeeld bevat een vooraf geregistreerde applicatie voor demonstratiedoeleinden. Als u uw eigen Azure AD B2C-tenant en -toepassing wilt gebruiken, registreert en configureert u de toepassing in Azure Portal. Zie de sectie De app registreren voor meer informatie. Ga anders door met de stappen in de sectie Het voorbeeld uitvoeren.

Kies de Azure AD B2C-tenant waar u uw toepassingen wilt maken

Gebruik de volgende stappen om uw tenant te kiezen:

1. Meld u aan bij de Azure Portal.

2. Als uw account aanwezig is in meer dan één Azure AD B2C-tenant, selecteert u uw profiel in de hoek van het Azure-portal en selecteert u vervolgens Van map wisselen om uw sessie te wijzigen naar de gewenste Azure AD B2C-tenant.

Gebruikersstromen en aangepast beleid maken

Raadpleeg zelfstudie: gebruikersstromen maken in Azure Active Directory B2C voor het maken van algemene gebruikersstromen, zoals registreren, aanmelden, profielbewerking en het opnieuw instellen van wachtwoorden.

U kunt ook aangepaste beleidsregels maken in Azure Active Directory B2C. Deze taak valt echter buiten de scope van deze tutorial. Voor meer informatie, zie Aangepast Azure AD B2C-beleid: overzicht.

Externe id-providers toevoegen

Zie Zelfstudie: identiteitsproviders toevoegen aan uw toepassingen in Azure Active Directory B2C.

Registreer de app (java-spring-webapp-auth-b2c)

Voer de volgende stappen uit om de app te registreren:

1. Navigeer naar het Azure-portal en selecteer Azure AD B2C.

2. Selecteer App-registraties in het navigatiedeelvenster en selecteer vervolgens Nieuwe registratie.

3. Voer op de pagina Een toepassing registreren die wordt weergegeven de volgende registratiegegevens voor de toepassing in:

   • Voer in de sectie Name een duidelijke toepassingsnaam in die aan gebruikers van de app wordt weergegeven - bijvoorbeeld .
   • Selecteer onder Ondersteunde accounttypen de optie Accounts in een identiteitsprovider of organisatiemap (voor het verifiëren van gebruikers met gebruikersstromen).
   • Selecteer in de sectie Redirect-URI (optioneel) Web in de keuzelijst en voer de volgende redirect-URI in: .

4. Selecteer Registreren om de toepassing te maken.

5. Ga op de registratiepagina van de app naar de waarde van Toepassings-id (client) en kopieer deze om later te gebruiken. U gebruikt deze waarde in het configuratiebestand of de bestanden van uw app.

6. Selecteer Opslaan om uw wijzigingen op te slaan.

7. Selecteer op de registratiepagina van de app het deelvenster Certificaten en geheimen in het navigatiedeelvenster om de pagina te openen om geheimen te genereren en certificaten te uploaden.

8. Selecteer in de sectie Clientgeheimen de optie Nieuw clientgeheim.

9. Typ een beschrijving, bijvoorbeeld app-geheim.

10. Selecteer een vervaldatum voor het geheim of geef een aangepaste levensduur op. Clientgeheimen zijn beperkt tot een maximale levensduur van 24 maanden en Microsoft adviseert een vervaldatum van minder dan 12 maanden. Voor productie-apps gebruikt u bij voorkeur een certificaat of federatieve identiteitsreferentie in plaats van een clientgeheim.

11. Selecteer Toevoegen. De gegenereerde waarde wordt weergegeven.

12. Kopieer en sla de gegenereerde waarde op voor gebruik in latere stappen. U hebt deze waarde nodig voor de configuratiebestanden van uw code. Deze waarde wordt niet opnieuw weergegeven en u kunt deze niet op een andere manier ophalen. Zorg er dus voor dat u deze opslaat in Azure Portal voordat u naar een ander scherm of deelvenster navigeert.

De app configureren (java-spring-webapp-auth-b2c) om uw app-registratie te gebruiken

Gebruik de volgende stappen om de app te configureren:

1. Open het project in uw IDE.

2. Open het bestand src/main/resources/application.yml .

3. Zoek de eigenschap en vervang de bestaande waarde door de toepassings-id of van de toepassing uit Azure Portal.

4. Zoek de eigenschap en vervang de bestaande waarde door de waarde die u hebt opgeslagen tijdens het maken van de toepassing in de Azure-portal.

5. Zoek de eigenschap en vervang de twee vermeldingen van de waarde door de naam van de Azure AD B2C-tenant waarin u de toepassing hebt gemaakt in de Azure-portal.

6. Zoek de eigenschap en vervang deze door de naam van het gebruikersstroombeleid voor aanmelden/registreren dat u hebt gemaakt in de Azure AD B2C-tenant waarin u de toepassing hebt gemaakt in de Azure portal.

7. Zoek de eigenschap en vervang deze door de naam van het gebruikersstroombeleid voor wachtwoordherstel dat u hebt gemaakt in de Azure AD B2C-tenant waarin u de toepassing hebt gemaakt in de Azure-portal.

8. Zoek de eigenschap en vervang deze door de naam van het gebruikersstroombeleid voor het bewerken van profielen dat u hebt gemaakt in de Azure AD B2C-tenant waarin u de toepassing hebt gemaakt in de Azure-portal.

9. Open het bestand src/main/resources/templates/navbar.html.

10. Zoek de verwijzingen naar de - en -gebruikersstromen en vervang deze door uw - en -gebruikersstromen.

De voorbeeldtoepassing uitvoeren

az login

az upgrade

az extension add --name containerapp --upgrade

az extension add --name containerapp --upgrade --allow-preview true

az provider register --namespace Microsoft.App
az provider register --namespace Microsoft.OperationalInsights

export RESOURCE_GROUP="ms-identity-containerapps"
export LOCATION="canadacentral"
export ENVIRONMENT="env-ms-identity-containerapps"
export API_NAME="ms-identity-api"
export JAR_FILE_PATH_AND_NAME="./target/ms-identity-spring-boot-webapp-0.0.1-SNAPSHOT.jar"

az group create  \
    --name $RESOURCE_GROUP \
    --location $LOCATION \

az containerapp env create \
    --name $ENVIRONMENT \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION

az containerapp env show \
    --name $ENVIRONMENT \
    --resource-group $RESOURCE_GROUP \
    --query properties.defaultDomain

az containerapp up \
    --name $API_NAME \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION \
    --environment $ENVIRONMENT \
    --artifact <JAR_FILE_PATH_AND_NAME> \
    --ingress external \
    --target-port 8080 \
    --query properties.configuration.ingress.fqdn

Het voorbeeld verkennen

Gebruik de volgende stappen om het voorbeeld te verkennen:

1. Merk op dat de aanmeldings- of afmeldstatus in het midden van het scherm wordt weergegeven.
2. Selecteer de contextgevoelige knop in de hoek. Op deze knop staat Sign In wanneer u de app voor het eerst opent. U kunt ook de koppeling naar tokendetails selecteren. Omdat deze pagina is beveiligd en verificatie vereist, wordt u automatisch omgeleid naar de aanmeldingspagina.
3. Volg op de volgende pagina de instructies en meld u aan met een account van uw gekozen id-provider. U kunt er ook voor kiezen om u te registreren of aan te melden bij een lokaal account op de B2C-tenant met behulp van een e-mailadres.
4. Wanneer de aanmeldingsstroom is voltooid, wordt u omgeleid naar de startpagina, waarin de aanmeldingsstatus wordt weergegeven, of de pagina met tokengegevens , afhankelijk van de knop die uw aanmeldingsstroom heeft geactiveerd.
5. Merk op dat de contextgevoelige knop nu Afmelden zegt en uw gebruikersnaam weergeeft.
6. Als u zich op de startpagina bevindt, selecteert u Details van id-token om enkele van de gedecodeerde claims van het ID-token weer te geven.
7. Bewerk uw profiel. Selecteer profiel bewerken om details te wijzigen, zoals uw weergavenaam, woonplaats en beroep.
8. Gebruik de knop in de hoek om u af te melden. De statuspagina geeft de nieuwe status weer.

Over de code

In dit voorbeeld wordt gedemonstreerd hoe u Azure AD B2C Spring Boot Starter-clientbibliotheek voor Java gebruikt om gebruikers aan te melden bij uw Azure AD B2C-tenant. Het voorbeeld maakt ook gebruik van de Spring Oauth2-client en Spring Web Boot Starters. In het voorbeeld worden claims gebruikt van het id-token dat is verkregen van Azure AD B2C om de details van de aangemelde gebruiker weer te geven.

Inhoud

In de volgende tabel ziet u de inhoud van de voorbeeldprojectmap:

Id-tokenclaims

Om tokendetails te extraheren maakt de app gebruik van de objecten en van Spring Security in een requestmapping, zoals in het volgende voorbeeld wordt weergegeven. Zie de Sample Controller voor alle details over hoe deze app gebruikmaakt van ID-tokenclaims.

import org.springframework.security.oauth2.core.oidc.user.OidcUser;
import org.springframework.security.core.annotation.AuthenticationPrincipal;
//...
@GetMapping(path = "/some_path")
public String tokenDetails(@AuthenticationPrincipal OidcUser principal) {
    Map<String, Object> claims = principal.getIdToken().getClaims();
}

Aanmeld- en afmeldkoppelingen

Voor aanmelding doet de app een aanvraag naar het Azure AD B2C-aanmeldingseindpunt dat automatisch is geconfigureerd door de Azure AD B2C Spring Boot Starter-clientbibliotheek voor Java, zoals wordt weergegeven in het volgende voorbeeld:

<a class="btn btn-success" href="/oauth2/authorization/{your-sign-up-sign-in-user-flow}">Sign In</a>

Voor het afmelden verstuurt de app een POST-aanvraag naar het -eindpunt, zoals in het volgende voorbeeld wordt weergegeven:

<form action="#" th:action="@{/logout}" method="post">
  <input class="btn btn-warning" type="submit" value="Sign Out" />
</form>

Verificatieafhankelijke UI-elementen

De app heeft een aantal eenvoudige logica op de pagina's van de gebruikersinterfacesjabloon voor het bepalen van de inhoud die moet worden weergegeven op basis van of de gebruiker is geverifieerd, zoals wordt weergegeven in het volgende voorbeeld met spring Security Thymeleaf-tags:

<div sec:authorize="isAuthenticated()">
  this content only shows to authenticated users
</div>
<div sec:authorize="isAnonymous()">
  this content only shows to not-authenticated users
</div>

Routes beveiligen met WebSecurityConfigurerAdapter

De app beveiligt standaard de pagina Details van het id-token , zodat alleen aangemelde gebruikers er toegang toe hebben. De app configureert deze routes op basis van de eigenschap uit het bestand application.yml. Om de specifieke vereisten voor uw app te configureren, kunt u in een van uw klassen uitbreiden. Zie voor een voorbeeld de klasse SecurityConfig van deze app, zoals weergegeven in de volgende code:

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Value("${app.protect.authenticated}")
    private String[] protectedRoutes;

    private final AADB2COidcLoginConfigurer configurer;

    public SecurityConfig(AADB2COidcLoginConfigurer configurer) {
        this.configurer = configurer;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // @formatter:off
        http.authorizeRequests()
            .antMatchers(protectedRoutes).authenticated()     // limit these pages to authenticated users (default: /token_details)
            .antMatchers("/**").permitAll()                  // allow all other routes.
            .and()
            .apply(configurer)
            ;
        // @formatter:off
    }
}

Meer informatie

• Microsoft identity platform (Microsoft Entra ID voor ontwikkelaars)
• Overzicht van Microsoft Authentication Library (MSAL)
• Snelstart: een toepassing registreren bij het Microsoft identity platform
• Snelstart: Een clienttoepassing configureren voor toegang tot web-API's
• Inzicht in toestemmingservaringen voor toepassingen in Microsoft Entra ID
• Begrijp de toestemming van gebruikers en beheerders
• Overzicht van toepassings- en service-principalobjecten in Microsoft Entra ID
• Nationale cloudomgevingen
• MSAL-codevoorbeelden
• Microsoft Entra ID Spring Boot Starter-clientbibliotheek voor Java
• Azure Active Directory B2C Spring Boot Starter-clientbibliotheek voor Java
• Microsoft Authentication Library voor Java (MSAL4J)
• MSAL4J Wiki
• ID-tokens
• Toegangstokens in het Microsoft identity platform

Zie Authenticatiescenario's voor Microsoft Entra ID voor meer informatie over hoe OAuth 2.0-protocollen werken in dit scenario en andere scenario's.