Adquirir tokens para chamar uma API Web usando um aplicativo daemon

Veja um exemplo de definição dos escopos para a API Web como parte da configuração em um arquivo appsettings.json. Este exemplo foi extraído do exemplo de código daemon de console do .NET no GitHub.

{
    "AzureAd": {
        // Same AzureAd section as before.
    },

    "MyWebApi": {
        "BaseUrl": "https://localhost:44372/",
        "RelativePath": "api/TodoList",
        "RequestAppToken": true,
        "Scopes": [ "[Enter here the scopes for your web API]" ]
    }
}

Em Java, defina o escopo de Microsoft Graph padrão como uma constante:

final static String GRAPH_DEFAULT_SCOPE = "https://graph.microsoft.com/.default";

Em Node.js, especifique o escopo no objeto de solicitação de token:

const tokenRequest = {
    scopes: [process.env.GRAPH_ENDPOINT + '.default'], // e.g. 'https://graph.microsoft.com/.default'
};

No MSAL Python, o arquivo de configuração é semelhante a este trecho de código:

{
    "scope": ["https://graph.microsoft.com/.default"],
}

No código de .NET de baixo nível, crie o escopo acrescentando /.default à ID do recurso:

ResourceId = "someAppIDURI";
var scopes = new [] {  ResourceId+"/.default"};

Com Microsoft. Identity.Web, você não precisa adquirir um token diretamente. Você pode usar APIs de nível superior, como você vê em Chamar uma API Web de um aplicativo daemon. Se, no entanto, você estiver usando um SDK que exija um token, poderá obter um token de aplicativo por meio da ITokenAcquirer abstração, conforme mostrado no exemplo a seguir:

using Microsoft.Extensions.DependencyInjection;
using Microsoft.Identity.Abstractions;
using Microsoft.Identity.Web;

// In the Program.cs, acquire a token for your downstream API

var tokenAcquirerFactory = TokenAcquirerFactory.GetDefaultInstance();
ITokenAcquirer acquirer = tokenAcquirerFactory.GetTokenAcquirer();
AcquireTokenResult tokenResult = await acquirer.GetTokenForUserAsync(new[] { "https://graph.microsoft.com/.default" });
string accessToken = tokenResult.AccessToken;

O exemplo de aquisição de token Java a seguir é extraído dos exemplos de desenvolvimento de Java MSAL.

private static IAuthenticationResult acquireToken() throws Exception {

     // Load token cache from file and initialize token cache aspect. The token cache will have
     // dummy data, so the acquireTokenSilently call will fail.
     TokenCacheAspect tokenCacheAspect = new TokenCacheAspect("sample_cache.json");

     IClientCredential credential = ClientCredentialFactory.createFromSecret(CLIENT_SECRET);
     ConfidentialClientApplication cca =
             ConfidentialClientApplication
                     .builder(CLIENT_ID, credential)
                     .authority(AUTHORITY)
                     .setTokenCacheAccessAspect(tokenCacheAspect)
                     .build();

     IAuthenticationResult result;
     try {
         SilentParameters silentParameters =
                 SilentParameters
                         .builder(SCOPE)
                         .build();

         // try to acquire token silently. This call will fail since the token cache does not
         // have a token for the application you are requesting an access token for
         result = cca.acquireTokenSilently(silentParameters).join();
     } catch (Exception ex) {
         if (ex.getCause() instanceof MsalException) {

             ClientCredentialParameters parameters =
                     ClientCredentialParameters
                             .builder(SCOPE)
                             .build();

             // Try to acquire a token. If successful, you should see
             // the token information printed out to console
             result = cca.acquireToken(parameters).join();
         } else {
             // Handle other exceptions accordingly
             throw ex;
         }
     }
     return result;
 }

O trecho de código a seguir ilustra a obtenção de token em um aplicativo cliente confidencial do MSAL Node:

try {
    const authResponse = await cca.acquireTokenByClientCredential(tokenRequest);
    console.log(authResponse.accessToken) // display access token
} catch (error) {
    console.log(error);
}

O exemplo a seguir mostra o padrão do MSAL Python para obter um token de acesso somente para aplicativo com credenciais de cliente:

result = None

# First, the code looks up a token from the cache.
# Because we're looking for a token for the current app, not for a user,
# use None for the account parameter.
result = app.acquire_token_silent(config["scope"], account=None)

if not result:
    logging.info("No suitable token exists in cache. Let's get a new one from Azure AD.")
    result = app.acquire_token_for_client(scopes=config["scope"])

if "access_token" in result:
    # Call a protected API with the access token.
    print(result["token_type"])
else:
    print(result.get("error"))
    print(result.get("error_description"))
    print(result.get("correlation_id"))  # You might need this when reporting a bug.

using Microsoft.Identity.Client;

// With client credentials flows, the scope is always of the shape "resource/.default" because the
// application permissions need to be set statically (in the portal or by PowerShell), and then granted by
// a tenant administrator.
string[] scopes = new string[] { "https://graph.microsoft.com/.default" };

AuthenticationResult result = null;
try
{
 result = await app.AcquireTokenForClient(scopes)
                  .ExecuteAsync();
}
catch (MsalUiRequiredException ex)
{
    // The application doesn't have sufficient permissions.
    // - Did you declare enough app permissions during app creation?
    // - Did the tenant admin grant permissions to the application?
}
catch (MsalServiceException ex) when (ex.Message.Contains("AADSTS70011"))
{
    // Invalid scope. The scope has to be in the form "https://resourceurl/.default"
    // Mitigation: Change the scope to be as expected.
}

AcquireTokenForClient usa o cache de token de aplicativo

No MSAL.NET, AcquireTokenForClient usa o cache de token do aplicativo. (Todos os outros métodos AcquireTokenXX usam o cache de token de usuário.) Não recorra a AcquireTokenSilent antes de recorrer a AcquireTokenForClient, porque AcquireTokenSilent o usa o cache de token de usuário. AcquireTokenForClient verifica o cache do token de aplicativo e o atualiza.

Vá para o próximo artigo nesse cenário, Recorrendo a uma API Web.

Vá para o próximo artigo nesse cenário, Recorrendo a uma API Web.

Vá para o próximo artigo nesse cenário, Recorrendo a uma API Web.

Vá para o próximo artigo nesse cenário, Recorrendo a uma API Web.

Vá para o próximo artigo nesse cenário, Recorrendo a uma API Web.