Java Spring Boot-apps beveiligen met behulp van rollen en rolclaims

In dit artikel wordt een Java Spring Boot-web-app beschreven die gebruikmaakt van de Microsoft Entra ID Spring Boot Starter-clientbibliotheek voor Java voor verificatie, autorisatie en tokenverwerving. De app gebruikt het OpenID Connect-protocol om gebruikers aan te melden en beperkt de toegang tot sommige routes via Microsoft Entra ID Application Roles (app-rollen) voor autorisatie.

App-rollen, samen met beveiligingsgroepen, zijn populaire manieren om autorisatie te implementeren. Met op rollen gebaseerd toegangsbeheer (RBAC) met toepassingsrollen en rolclaims kunt u met minimale inspanning autorisatiebeleid afdwingen. Een andere benadering is het gebruik van Microsoft Entra-id-groepen en groepsclaims. Microsoft Entra ID-groepen en toepassingsrollen sluiten elkaar niet wederzijds uit. U kunt ze beide gebruiken om gedetailleerd toegangsbeheer te bieden.

Zie voor een video over een vergelijkbaar scenario Autorisatie implementeren in uw toepassingen met app-rollen, beveiligingsgroepen, scopes en directoryrollen.

Zie Authenticatie versus autorisatie voor meer informatie over hoe de protocollen in dit scenario en andere scenario’s werken.

In het volgende diagram ziet u de topologie van de app:

Diagram dat de topologie van de app toont.

De app maakt gebruik van de Microsoft Entra ID Spring Boot Starter-clientbibliotheek voor Java om een gebruiker aan te melden en een ID-token van Microsoft Entra ID te verkrijgen. Het id-token bevat de rollenclaim. De toepassing inspecteert de waarde van deze claim om te bepalen welke pagina's de gebruiker mag openen.

Dit type autorisatie wordt geïmplementeerd met RBAC. Met RBAC verleent een beheerder machtigingen aan rollen, niet aan afzonderlijke gebruikers of groepen. De beheerder kan vervolgens rollen toewijzen aan verschillende gebruikers en groepen om te bepalen wie toegang heeft tot bepaalde inhoud en functionaliteit.

Deze voorbeeldtoepassing definieert de volgende twee toepassingsrollen:

• : Heeft toegang tot de pagina's Alleen beheerders en Normale gebruikers.
• : Geautoriseerd om de Reguliere gebruikers-pagina te openen.

Deze toepassingsrollen worden gedefinieerd in het Azure-portal in het registratiemanifest van de toepassing. Wanneer een gebruiker zich aanmeldt bij de toepassing, verzendt Microsoft Entra ID een rolclaim voor elke rol die afzonderlijk aan de gebruiker wordt verleend in de vorm van rollidmaatschap.

U kunt gebruikers en groepen toewijzen aan rollen via Azure Portal.

Vereisten

• JDK versie 15. Dit voorbeeld is ontwikkeld op een systeem met Java 15, maar is mogelijk compatibel met andere versies.
• Maven 3
• Java Extension Pack for Visual Studio Code wordt aanbevolen om dit voorbeeld uit te voeren in Visual Studio Code.
• Een Microsoft Entra ID-tenant. Zie Een Microsoft Entra ID-tenant verkrijgen voor meer informatie.
• Een gebruikersaccount in uw Microsoft Entra ID-tenant. Dit voorbeeld werkt niet met een persoonlijk Microsoft-account. Als u zich met een persoonlijk account hebt aangemeld bij Azure Portal en u geen gebruikersaccount in uw directory hebt, moet u er nu een maken.
• Visual Studio Code
• Azure Tools voor Visual Studio Code

Aanbevelingen

• Enige bekendheid met het Spring Framework.
• Enige bekendheid met Linux/OSX-terminal.
• jwt.ms om uw tokens te inspecteren.
• Fiddler om uw netwerkactiviteit te controleren en problemen op te lossen.
• Volg de Microsoft Entra-blog om up-to-date te blijven met de nieuwste ontwikkelingen.

Het voorbeeld instellen

In de volgende secties ziet u hoe u de voorbeeldtoepassing instelt.

De voorbeeldopslagplaats klonen of downloaden

Als u het voorbeeld wilt klonen, opent u een Bash-venster en gebruikt u de volgende opdracht:

git clone https://github.com/Azure-Samples/ms-identity-msal-java-samples.git
cd 4-spring-web-app/3-Authorization-II/roles

U kunt ook naar de ms-identity-msal-java-samples-repository gaan, deze vervolgens als een .zip-bestand downloaden en op uw harde schijf uitpakken.

De voorbeeldtoepassing registreren bij uw Microsoft Entra ID-tenant

Er is één project in dit voorbeeld. In de volgende secties ziet u hoe u de app registreert met behulp van Azure Portal.

Kies de Microsoft Entra ID-tenant waar u uw toepassingen wilt maken

Gebruik de volgende stappen om uw tenant te kiezen:

1. Meld u aan bij de Azure Portal.

2. Als uw account zich in meer dan één Microsoft Entra ID-tenant bevindt, selecteert u uw profiel in de hoek van de Azure-portal en selecteert u vervolgens Switch directory om uw sessie over te schakelen naar de gewenste Microsoft Entra ID-tenant.

Registreer de app (java-spring-webapp-roles)

Voer de volgende stappen uit om de app te registreren:

1. Ga naar het Azure-portal en selecteer Microsoft Entra ID.

2. Selecteer App-registraties in het navigatiedeelvenster en selecteer vervolgens Nieuwe registratie.

3. Voer op de pagina Een toepassing registreren die wordt weergegeven de volgende registratiegegevens voor de toepassing in:

   • Voer in de sectie Name een duidelijke toepassingsnaam in om aan gebruikers van de app weer te geven, bijvoorbeeld .
   • Onder Ondersteunde accounttypen selecteert u Enkel accounts in deze organisatieadreslijst.
   • Selecteer in de sectie Redirect-URI (optioneel) Web in de keuzelijst en voer de volgende redirect-URI in: .

4. Selecteer Registreren om de toepassing te maken.

5. Ga op de registratiepagina van de app naar de waarde van Toepassings-id (client) en kopieer deze om later te gebruiken. U gebruikt deze waarde in het configuratiebestand of de bestanden van uw app.

6. Selecteer certificaten en geheimen op de registratiepagina van de app in het navigatiedeelvenster om de pagina te openen waar u geheimen kunt genereren en certificaten kunt uploaden.

7. Selecteer in de sectie Clientgeheimen de optie Nieuw clientgeheim.

8. Typ een beschrijving, bijvoorbeeld app-geheim.

9. Selecteer een vervaldatum voor het geheim of geef een aangepaste levensduur op. Clientgeheimen zijn beperkt tot een maximale levensduur van 24 maanden en Microsoft adviseert een vervaldatum van minder dan 12 maanden. Voor productie-apps gebruikt u bij voorkeur een certificaat of federatieve identiteitsreferentie in plaats van een clientgeheim.

10. Selecteer Toevoegen. De gegenereerde waarde wordt weergegeven.

11. Kopieer en sla de gegenereerde waarde op voor gebruik in latere stappen. U hebt deze waarde nodig voor de configuratiebestanden van uw code. Deze waarde wordt niet opnieuw weergegeven en u kunt deze niet op een andere manier ophalen. Zorg er dus voor dat u deze opslaat in Azure Portal voordat u naar een ander scherm of deelvenster navigeert.

De app-rollen definiëren

Gebruik de volgende stappen om de app-rollen te definiëren:

1. Selecteer in dezelfde app-registratie nog steeds App roles in het navigatievenster.

2. Selecteer App-rol maken en voer vervolgens de volgende waarden in:

   • Voer voor Weergavenaam een geschikte naam in, bijvoorbeeld PrivilegedAdmin.
   • Kies voor Toegestane lidtypen de optie Gebruiker.
   • Voor Value voert u PrivilegedAdmin in.
   • Voer voor Beschrijving PrivilegedAdmins die de beheerderspagina kunnen bekijken in.

3. Selecteer App-rol maken en voer vervolgens de volgende waarden in:

   • Voer voor Weergavenaam een geschikte naam in, bijvoorbeeld RegularUser.
   • Kies voor Toegestane lidtypen de optie Gebruiker.
   • Voer bij Waarde RegularUser in.
   • Voer bij Description RegularUsers die de User Page kunnen bekijken in.

4. Selecteer Toepassen om uw wijzigingen op te slaan.

Gebruikers toewijzen aan toepassingsrollen

Als u gebruikers wilt toevoegen aan de approl die eerder is gedefinieerd, volgt u de richtlijnen hier: Gebruikers en groepen toewijzen aan rollen.

De app (java-spring-webapp-roles) configureren om uw app-registratie te gebruiken

Gebruik de volgende stappen om de app te configureren:

1. Open het project in uw IDE.

2. Open het bestand src\main\resources\application.yml .

3. Zoek de plaatsaanduiding en vervang de bestaande waarde door uw Microsoft Entra-tenant-id.

4. Zoek de plaatsaanduiding en vervang de bestaande waarde door de toepassings-id of van de -app die uit de Azure-portal is gekopieerd.

5. Zoek de placeholder en vervang de bestaande waarde door de waarde die u hebt opgeslagen tijdens het maken van , gekopieerd uit de Azure-portal.

6. Open het src/main/java/com/microsoft/azuresamples/msal4j/msidentityspringbootapplication/Sample.Controller.java-bestand.

7. Zoek de verwijzingen naar de - en -approllen in dit bestand. Wijzig deze indien nodig zodat deze overeenkomen met de namen van de app-rollen die u in de vorige stappen hebt gekozen.

De voorbeeldtoepassing uitvoeren

az login

az upgrade

az extension add --name containerapp --upgrade

az extension add --name containerapp --upgrade --allow-preview true

az provider register --namespace Microsoft.App
az provider register --namespace Microsoft.OperationalInsights

export RESOURCE_GROUP="ms-identity-containerapps"
export LOCATION="canadacentral"
export ENVIRONMENT="env-ms-identity-containerapps"
export API_NAME="ms-identity-api"
export JAR_FILE_PATH_AND_NAME="./target/ms-identity-spring-boot-webapp-0.0.1-SNAPSHOT.jar"

az group create  \
    --name $RESOURCE_GROUP \
    --location $LOCATION \

az containerapp env create \
    --name $ENVIRONMENT \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION

az containerapp env show \
    --name $ENVIRONMENT \
    --resource-group $RESOURCE_GROUP \
    --query properties.defaultDomain

az containerapp up \
    --name $API_NAME \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION \
    --environment $ENVIRONMENT \
    --artifact <JAR_FILE_PATH_AND_NAME> \
    --ingress external \
    --target-port 8080 \
    --query properties.configuration.ingress.fqdn

Het voorbeeld verkennen

Gebruik de volgende stappen om het voorbeeld te verkennen:

1. Merk op dat de aanmeldings- of afmeldstatus in het midden van het scherm wordt weergegeven.
2. Selecteer de contextgevoelige knop in de hoek. Op deze knop staat Sign In wanneer u de app voor het eerst opent. U kunt ook tokengegevens, alleen beheerders of gewone gebruikers selecteren. Omdat deze pagina's zijn beveiligd en verificatie vereisen, wordt u automatisch omgeleid naar de aanmeldingspagina.
3. Volg op de volgende pagina de instructies en meld u aan met een account in de Microsoft Entra ID-tenant.
4. Let op de machtigingen die op het toestemmingsscherm worden gevraagd.
5. Wanneer de aanmeldingsstroom is voltooid, wordt u omgeleid naar de startpagina, waarin de aanmeldingsstatus wordt weergegeven, of een van de andere pagina's, afhankelijk van de knop die uw aanmeldingsstroom heeft geactiveerd.
6. Merk op dat de contextgevoelige knop nu Afmelden zegt en uw gebruikersnaam weergeeft.
7. Als u zich op de startpagina bevindt, selecteert u Details van id-token om enkele van de gedecodeerde claims van het ID-token te zien, inclusief rollen.
8. Selecteer Alleen beheerders om te bekijken. Alleen gebruikers met een app-rol PrivilegedAdmin kunnen deze pagina bekijken. Anders wordt een autorisatiefoutbericht weergegeven.
9. Selecteer Reguliere gebruikers om de -pagina weer te geven. Alleen gebruikers met app-rol of kunnen deze pagina bekijken. Anders wordt een autorisatiefoutbericht weergegeven.
10. Gebruik de knop in de hoek om u af te melden. De statuspagina geeft de nieuwe status weer.

Over de code

In dit voorbeeld wordt gedemonstreerd hoe u de Microsoft Entra ID Spring Boot Starter-clientbibliotheek voor Java gebruikt om gebruikers aan te melden bij uw Microsoft Entra ID-tenant. Het voorbeeld maakt ook gebruik van de Spring Oauth2-client en Spring Web Boot Starters. In het voorbeeld worden claims gebruikt van het id-token dat is verkregen van Microsoft Entra ID om de details van de aangemelde gebruiker weer te geven en om de toegang tot sommige pagina's te beperken met behulp van de rolclaim voor autorisatie.

Inhoud

In de volgende tabel ziet u de inhoud van de voorbeeldprojectmap:

Id-tokenclaims

Om tokendetails te extraheren, maakt de app gebruik van de objecten en van Spring Security in een request-mapping, zoals in het volgende voorbeeld te zien is. Zie de Sample Controller voor alle informatie over hoe deze app gebruikmaakt van claims in het ID-token.

import org.springframework.security.oauth2.core.oidc.user.OidcUser;
import org.springframework.security.core.annotation.AuthenticationPrincipal;
//...
@GetMapping(path = "/some_path")
public String tokenDetails(@AuthenticationPrincipal OidcUser principal) {
    Map<String, Object> claims = principal.getIdToken().getClaims();
}

Een rollenclaim verwerken in het id-token

De rollenclaim van het token bevat de namen van de rollen waaraan de aangemelde gebruiker is toegewezen, zoals wordt weergegeven in het volgende voorbeeld:

{
  ...
  "roles": [
    "PrivilegedAdmin",
    "RegularUser",]
  ...
}

Een gebruikelijke manier om de rolnamen te benaderen, wordt beschreven in de sectie ID-tokenclaims.

Microsoft Entra ID Boot Starter v3.3 en hoger verwerkt ook automatisch de claim voor rollen en voegt elke rol toe aan de van de aangemelde gebruiker, waarbij elke rol het voorvoegsel krijgt. Met deze configuratie kunnen ontwikkelaars gebruik te maken van app-rollen met Spring voorwaarde-annotaties met behulp van de -methode. U kunt bijvoorbeeld de volgende condities vinden, zoals gedemonstreerd in SampleController.java:

@GetMapping(path = "/admin_only")
@PreAuthorize("hasAuthority('APPROLE_PrivilegedAdmin')")
public String adminOnly(Model model) {
    // restrict to users who have PrivilegedAdmin app role only
}
@GetMapping(path = "/regular_user")
@PreAuthorize("hasAnyAuthority('APPROLE_PrivilegedAdmin','APPROLE_RegularUser')")
public String regularUser(Model model) {
    // restrict to users who have any of RegularUser or PrivilegedAdmin app roles
}

Met de volgende code wordt een volledige lijst met autorisaties voor een gegeven gebruiker opgehaald:

@GetMapping(path = "/some_path")
public String tokenDetails(@AuthenticationPrincipal OidcUser principal) {
   Collection<? extends GrantedAuthority> authorities = principal.getAuthorities();
}

Aanmeld- en afmeldkoppelingen

Voor aanmelding doet de app een aanvraag naar het microsoft Entra ID-aanmeldingseindpunt dat automatisch is geconfigureerd door de Microsoft Entra ID Spring Boot Starter-clientbibliotheek voor Java, zoals wordt weergegeven in het volgende voorbeeld:

<a class="btn btn-success" href="/oauth2/authorization/azure">Sign In</a>

Voor het afmelden verstuurt de app een POST-aanvraag naar het -eindpunt, zoals in het volgende voorbeeld wordt weergegeven:

<form action="#" th:action="@{/logout}" method="post">
  <input class="btn btn-warning" type="submit" value="Sign Out" />
</form>

Verificatieafhankelijke UI-elementen

De app heeft een aantal eenvoudige logica op de pagina's van de gebruikersinterfacesjabloon voor het bepalen van de inhoud die moet worden weergegeven op basis van of de gebruiker is geverifieerd, zoals wordt weergegeven in het volgende voorbeeld met spring Security Thymeleaf-tags:

<div sec:authorize="isAuthenticated()">
  this content only shows to authenticated users
</div>
<div sec:authorize="isAnonymous()">
  this content only shows to not-authenticated users
</div>

Routes beveiligen met AADWebSecurityConfigurerAdapter

Standaard beschermt de app de pagina's Details van het ID-token, Alleen beheerders en Gewone gebruikers, zodat alleen aangemelde gebruikers er toegang toe hebben. De app configureert deze routes op basis van de eigenschap uit het bestand application.yml. Als u de specifieke vereisten voor uw app wilt configureren, kunt u in een van uw klassen uitbreiden. Zie voor een voorbeeld de klasse SecurityConfig van deze app, zoals weergegeven in de volgende code:

@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends AADWebSecurityConfigurerAdapter{
  @Value( "${app.protect.authenticated}" )
  private String[] protectedRoutes;

    @Override
    public void configure(HttpSecurity http) throws Exception {
    // use required configuration form AADWebSecurityAdapter.configure:
    super.configure(http);
    // add custom configuration:
    http.authorizeRequests()
      .antMatchers(protectedRoutes).authenticated()     // limit these pages to authenticated users (default: /token_details, /admin_only, /regular_user)
      .antMatchers("/**").permitAll();                  // allow all other routes.
    }
}

Meer informatie

• Documentatie voor Microsoft Identity Platform
• Overzicht van Microsoft Authentication Library (MSAL)
• Snelstart: een toepassing registreren bij het Microsoft identity platform
• Snelstart: Een clienttoepassing configureren voor toegang tot web-API's
• Inzicht in toestemmingservaringen voor toepassingen in Microsoft Entra ID
• Begrijp de toestemming van gebruikers en beheerders
• Toepassings- en service-principal-objecten in Azure Active Directory
• Nationale cloudomgevingen
• MSAL-codevoorbeelden
• Azure Active Directory Spring Boot Starter-clientbibliotheek voor Java
• Microsoft Authentication Library voor Java (MSAL4J)
• MSAL4J Wiki
• ID-tokens
• Toegangstokens in het Microsoft identity platform

Zie Authenticatiescenario's voor Microsoft Entra ID voor meer informatie over hoe OAuth 2.0-protocollen werken in dit scenario en andere scenario's.