@azure/msal-node package

Classe d’erreur générale levée par la bibliothèque MSAL.js.

Classe abstraite de base pour toutes les applications clientes - public et confidentiel

Assertion du client de type jwt-bearer utilisé dans les flux clients confidentiels

Erreur levée lorsqu’il y a une erreur dans le code client en cours d’exécution sur le navigateur.

Erreur levée lorsqu’une erreur se produit lors de la configuration de la bibliothèque MSAL.js.

Octroi d’informations d’identification du client OAuth2.0

Cette classe doit être utilisée pour acquérir des jetons pour les applications clientes confidentielles (webApp, webAPI). Les applications clientes confidentielles configurent les secrets d’application, les certificats client/assertions, le cas échéant

Cette classe implémente l'interface de chiffrement du nœud MSAL, qui lui permet d'effectuer l'encodage et le décodage en base64, en générant des GUID aléatoires par chiffrement et en implémentant une clé de preuve pour le code Exchange spécifications pour le flux de code d'autorisation OAuth à l'aide de PKCE (rfc ici : https://tools.ietf.org/html/rfc7636).

Client de code d’appareil OAuth2.0

Plug-in de cache qui sérialise les données vers le cache et désérialise les données à partir du cache

Erreur levée lorsque l’interaction utilisateur est requise.

Classe qui facilite la journalisation des messages à un endroit spécifique.

Classe pour initialiser une identité managée et identifier le service

Client activéBehalf-Of

Cette classe doit être utilisée pour acquérir des jetons pour les applications clientes publiques (bureau, mobile). Les applications clientes publiques ne sont pas approuvées pour stocker en toute sécurité les secrets d’application et peuvent donc demander uniquement des jetons au nom d’un utilisateur.

Erreur levée lorsqu’il existe une erreur avec le code du serveur, par exemple, une indisponibilité.

Gestionnaire de cache de jetons en mémoire

Cette instance de classe permet de suivre les modifications de mémoire facilitant les décisions de lecture et d’écriture dans le cache persistant

Remarque du client d’octroi de mot de passe Oauth2.0 : Nous prenons uniquement en charge les clients publics pour l’octroi de mot de passe et à des fins de test uniquement

Interface pour le cache qui définit un getter et un setter

Interface pour la classe ConfidentialClientApplication définissant les signatures d’API publiques

Interface pour LoopbackClient permettant de remplacer le serveur de bouclage par défaut par une implémentation personnalisée.

Interface réseau cliente pour envoyer des demandes back-end.

Interface qui définit les méthodes getter pour obtenir des clés utilisées pour les données d’identité dans le cache

Interface pour la classe PublicClientApplication définissant les signatures d’API publiques

Interface de cache de jeton pour le client, donnant accès aux API de cache

Objet account avec la signature suivante :

• homeAccountId - Identificateur de compte d’accueil pour cet objet de compte
• environnement : entité qui a émis le jeton représenté par le domaine de l’émetteur (par exemple, login.microsoftonline.com)
• tenantId - Id de locataire complet ou d’organisation auquel appartient ce compte
• nom d’utilisateur - preferred_username revendication du id_token qui représente ce compte
• localAccountId - Identificateur de compte spécifique au locataire local pour cet objet de compte, généralement utilisé dans les cas hérités
• nom - Nom complet du compte, y compris le nom donné et le nom de famille
• idToken - jeton d’ID brut
• idTokenClaims - L’objet contient des revendications à partir du jeton d’ID
• nativeAccountId - ID de compte natif de l’utilisateur
• tenantProfiles : mappage d’objets de profil de locataire pour chaque locataire avec lequel le compte s’est authentifié dans le navigateur
• dataBoundary - Limite de données extraite de clientInfo

Objet d’entrée pour iAppTokenProvider extensiblity. MSAL crée cet objet, qui peut être utilisé pour aider à créer un AppTokenProviderResult.

• correlationId : ID de corrélation associé à la requête
• tenantId : ID de locataire pour lequel le jeton doit être fourni
• étendues : étendues pour lesquelles le jeton doit être fourni
• revendications : toutes les revendications supplémentaires que le jeton doit satisfaire

Objet output pour IAppTokenProvider extensiblity.

• accessToken : jeton d’accès réel, généralement au format JWT, qui satisfait aux données de requête AppTokenProviderParameters
• expiresInSeconds : durée pendant laquelle les jetons ont avant l’expiration, en secondes. Similaire au champ « expires_in » dans une réponse de jeton AAD.
• refreshInSeconds : durée pendant laquelle le jeton doit être actualisé de manière proactive. Similaire au champ « refresh_in » dans une réponse de jeton AAD.

Résultat retourné à partir du point de terminaison de jeton de l’autorité.

• uniqueId - oid ou sub revendication à partir d’un jeton d’ID
• tenantId - tid revendication à partir du jeton d’ID
• étendues : étendues validées pour le jeton respectif
• compte : représentation d’objet de compte de l’utilisateur actuellement connecté
• idToken - Jeton d’ID reçu dans le cadre de la réponse
• idTokenClaims - Revendications de jeton d’ID pertinentes MSAL
• accessToken - Jeton d’accès ou certificat SSH reçu dans le cadre de la réponse
• fromCache - Boolean indiquant si le jeton provient du cache
• expiresOn - Objet Date Javascript représentant l’expiration relative du jeton d’accès
• extExpiresOn - Objet Date Javascript représentant l’expiration relative étendue du jeton d’accès en cas de panne du serveur
• refreshOn - Objet Date Javascript représentant l’heure relative jusqu’à ce qu’un jeton d’accès soit actualisé
• state - Valeur transmise par l’utilisateur dans la demande
• familyId - Identificateur d’ID de famille, généralement utilisé uniquement pour les jetons d’actualisation
• requestId - ID de requête retourné dans le cadre de la réponse

Réponse retournée après le traitement de la chaîne ou du fragment de requête de réponse de code.

Demander à l’utilisateur d’acquérir un jeton auprès du serveur qui échange un code d’autorisation valide (deuxième étape du flux de code d’autorisation OAuth2.0)

• étendues : tableau d’étendues auquel l’application demande l’accès.
• revendications : demande de revendications stringifiée qui sera ajoutée à tous les appels /authorize et /token
• autorité : - URL de l’autorité, service de jeton de sécurité (STS) à partir duquel MSAL acquiert des jetons. Si l’autorité est définie sur l’objet d’application cliente, cela remplace cette valeur. La substitution de la valeur entraîne la validation de l’autorité à chaque fois. Si la même autorité sera utilisée pour toutes les requêtes, définissez sur l’objet d’application au lieu des demandes.
• correlationId : ensemble de GUID unique par requête pour tracer une requête de bout en bout à des fins de télémétrie.
• redirectUri : URI de redirection de votre application, vers lequel l’autorité redirige après que l’utilisateur entre les informations d’identification et les consentements. Il doit correspondre exactement à l’une des URI de redirection que vous avez inscrits dans le portail.
• tokenQueryParameters - Chaîne à carte de chaîne des paramètres de requête personnalisés ajoutés à l’appel /token
• code : authorization_code que l’utilisateur a acquis dans la première étape du flux.
• codeVerifier : la même code_verifier utilisée pour obtenir le authorization_code. Obligatoire si PKCE a été utilisé dans la demande d’octroi de code d’autorisation. Pour plus d’informations, consultez le RFC PKCE : https://tools.ietf.org/html/rfc7636
• état : GUID unique généré par l’utilisateur mis en cache par l’utilisateur et envoyé au serveur lors de la première étape du flux. Cette chaîne est renvoyée par le serveur avec le code d’autorisation. L’état mis en cache de l’utilisateur est ensuite comparé à l’état reçu du serveur pour atténuer le risque d’attaques CSRF. Voir https://datatracker.ietf.org/doc/html/rfc6819#section-3.6.

Demander l’objet transmis par l’utilisateur pour récupérer un code à partir du serveur (première étape du flux d’octroi du code d’autorisation)

• étendues : tableau d’étendues auquel l’application demande l’accès.
• revendications : demande de revendications stringifiée qui sera ajoutée à tous les appels /authorize et /token
• autorité : URL de l’autorité à partir de laquelle l’application acquiert des jetons.
• correlationId : ensemble de GUID unique par requête pour tracer une requête de bout en bout à des fins de télémétrie.
• redirectUri : URI de redirection où les réponses d’authentification peuvent être reçues par votre application. Il doit correspondre exactement à l’une des URI de redirection inscrits dans le portail Azure.
• extraScopesToConsent : étendues pour une autre ressource lorsque l’utilisateur a besoin d’un consentement initial.
• responseMode : spécifie la méthode qui doit être utilisée pour envoyer le résultat d’authentification à votre application. Peut être une requête, form_post ou un fragment. Si aucune valeur n’est transmise, elle effectue par défaut une requête.
• codeChallenge : utilisé pour sécuriser l’octroi de code d’autorisation via la preuve de clé pour le code Exchange (PKCE). Pour plus d’informations, consultez le RCF PKCE :https://tools.ietf.org/html/rfc7636
• codeChallengeMethod : méthode utilisée pour encoder le vérificateur de code pour le paramètre de défi de code. Peut être « brut » ou « S256 ». Si elle est exclue, le défi de code est supposé être en texte clair. Pour plus d’informations, consultez le RCF PKCE : https://tools.ietf.org/html/rfc7636
• state : valeur incluse dans la requête qui est également retournée dans la réponse du jeton. Une valeur unique générée de manière aléatoire est généralement utilisée pour empêcher les attaques de falsification de requête intersites. L’état est également utilisé pour encoder des informations sur l’état de l’utilisateur dans l’application avant la demande d’authentification.
• invite : indique le type d’interaction utilisateur requis. connexion : force l’utilisateur à entrer ses informations d’identification sur cette demande, négation de l’authentification unique aucun : vérifie que l’utilisateur n’est pas présenté avec une invite interactive. si la demande ne peut pas être effectuée via l’authentification unique, le point de terminaison renvoie un consentement d’erreur interaction_required : déclenche la boîte de dialogue de consentement OAuth une fois l’utilisateur connecté, demandant à l’utilisateur d’accorder des autorisations à l’application select_account : interrompt l’authentification unique pour fournir une expérience de sélection de compte qui répertorie tous les comptes dans la session ou tout compte mémorisé ou une option permettant d’utiliser une autre création de compte : dirigera l’utilisateur vers l’expérience de création de compte au lieu de l’expérience de connexion
• account - AccountInfo obtenu à partir d’une API getAccount. Sera utilisé dans certains scénarios pour générer des login_hint si les paramètres loginHint et Sid ne sont pas fournis.
• loginHint : peut être utilisé pour pré-remplir le champ nom d’utilisateur/adresse e-mail de la page de connexion de l’utilisateur, si vous connaissez l’adresse nom d’utilisateur/e-mail à l’avance. Souvent, les applications utilisent ce paramètre pendant la réauthentification, ayant déjà extrait le nom d’utilisateur d’une connexion précédente à l’aide de la revendication preferred_username.
• sid - ID de session, identificateur unique pour la session. Disponible en tant que revendication facultative sur les jetons d’ID.
• domainHint : fournit un indicateur sur le locataire ou le domaine que l’utilisateur doit utiliser pour se connecter. La valeur de l’indicateur de domaine est un domaine inscrit pour le locataire.
• extraQueryParameters - Chaîne à carte de chaîne des paramètres de requête personnalisés ajoutés à l’appel /authorize
• tokenQueryParameters - Chaîne à carte de chaîne des paramètres de requête personnalisés ajoutés à l’appel /token
• nonce : valeur incluse dans la requête retournée dans le jeton d’ID. Une valeur unique générée de manière aléatoire est généralement utilisée pour atténuer les attaques par relecture.

Propriétés de réponse qui peuvent être retournées par le point de terminaison /authorize

Options spécifiques à AzureCloudInstance

• azureCloudInstance - énumération de chaîne fournissant une notation courte pour les autorités cloud publiques et soverign
• locataire : provisionner pour fournir les informations du locataire

Utilisez cette option pour configurer les options de répartiteur ci-dessous :

• nativeBrokerPlugin - Implémentation du répartiteur natif (doit être importée à partir de msal-node-extensions)

Remarque : Ces options sont uniquement disponibles pour PublicClientApplications à l’aide du flux de code d’autorisation

Magasin de valeurs de clé pour le cache en mémoire

Utilisez cette option pour configurer les options de configuration du cache ci-dessous :

• cachePlugin - Plug-in pour la lecture et l’écriture du cache de jeton sur le disque.

CommonClientCredentialRequest

• étendues : tableau d’étendues auquel l’application demande l’accès. Contient généralement uniquement l’étendue .default pour une seule ressource. Consultez : https://dotnet.territoriali.olinfo.it/azure/active-directory/develop/scopes-oidc#the-default-scope
• autorité : URL de l’autorité, service de jeton de sécurité (STS) à partir duquel MSAL acquiert des jetons.
• correlationId : ensemble de GUID unique par requête pour tracer une requête de bout en bout à des fins de télémétrie.
• skipCache : ignorez la recherche du cache de jetons et forcez la demande à l’autorité pour obtenir un nouveau jeton. La valeur par défaut est false.
• clientAssertion : chaîne d’assertion ou fonction de rappel qui retourne une chaîne d’assertion (les deux sont des JWT signés en base64Url) utilisées dans le flux d’informations d’identification du client
• tokenQueryParameters - Chaîne à carte de chaîne des paramètres de requête personnalisés ajoutés à l’appel /token

Utiliser l’objet de configuration pour configurer MSAL et initialiser l’objet d’application cliente

• authentification : c’est là que vous configurez des éléments d’authentification tels que clientID, autorité utilisée pour l’authentification auprès de la plateforme d’identités Microsoft
• broker : il s’agit de l’emplacement où vous configurez les options du répartiteur
• cache : c’est là que vous configurez l’emplacement du cache
• système : c’est là que vous pouvez configurer le client réseau, l’enregistreur d’événements
• télémétrie : c’est là que vous pouvez configurer les options de télémétrie

Paramètres du flux de code d’appareil Oauth2.

• étendues : tableau d’étendues auquel l’application demande l’accès.
• autorité : - URL de l’autorité, service de jeton de sécurité (STS) à partir duquel MSAL acquiert des jetons. Si l’autorité est définie sur l’objet d’application cliente, cela remplace cette valeur. La substitution de la valeur entraîne la validation de l’autorité à chaque fois. Si la même autorité sera utilisée pour toutes les requêtes, définissez sur l’objet d’application au lieu des demandes.
• correlationId : ensemble de GUID unique par requête pour tracer une requête de bout en bout à des fins de télémétrie.
• deviceCodeCallback : rappel contenant la réponse du code d’appareil. Le message doit être affiché à l’utilisateur final. L’utilisateur final peut ensuite accéder au verification_uri, entrer le user_code et les informations d’identification d’entrée.
• cancel : booléen pour annuler l’interrogation du point de terminaison de code de l’appareil. Bien que l’utilisateur s’authentifie sur un appareil distinct, MSAL interroge le point de terminaison de jeton du service de jeton de sécurité pour l’intervalle spécifié dans la réponse du code de l’appareil (généralement 15 minutes). Pour arrêter l’interrogation et annuler la requête, définissez cancel=true.
• extraQueryParameters - Chaîne à carte de chaîne des paramètres de requête personnalisés ajoutés à la chaîne de requête

Type qui décrit les revendications de jeton d’ID connues par MSAL.

Type intermittent pour gérer des objets de données en mémoire avec des types définis

Demander l’objet transmis par l’utilisateur pour configurer l’API acquireTokenInteractive

• openBrowser - Fonction pour ouvrir une instance de navigateur sur le système de l’utilisateur.
• étendues : tableau d’étendues auquel l’application demande l’accès.
• successTemplate : - Modèle à afficher sur l’instance de navigateur ouverte lors de l’acquisition de jeton réussie.
• errorTemplate : modèle à afficher sur l’instance de navigateur ouverte en cas d’échec d’acquisition de jeton.
• windowHandle : utilisé dans les flux de répartiteur natifs pour parenter correctement la fenêtre broker native
• loopbackClient : implémentation personnalisée pour un serveur de bouclage pour écouter la réponse du code d’autorisation.

Format de cache lu à partir de l’objet blob de cache fourni à la configuration pendant l’instanciation de l’application

ManagedIdentityRequest

• revendications : demande de revendications chaîne qui sera utilisée pour déterminer si le cache doit être ignoré ou non
• forceRefresh : force les demandes d’identité managée à ignorer le cache et à passer des appels réseau si true
• ressource : ressource demandée pour accéder à l’API protégée. Il doit s’agir de la forme « ResourceIdUri » ou « ResourceIdUri/.default ». Par exemple https://management.azure.net ou, pour Microsoft Graph,https://graph.microsoft.com/.default

Options autorisées par les API de requête réseau.

• clientId : ID client de l’application.
• autorité : URL de l’autorité. Si aucune valeur n’est définie, la https://login.microsoftonline.com/commonvaleur par défaut est .
• knownAuthorities : nécessaire pour Azure B2C et ADFS. Toutes les autorités qui seront utilisées dans l’application cliente. Seul l’hôte de l’autorité doit être transmis.
• clientSecret - Chaîne secrète utilisée par l’application lors de la demande d’un jeton. Utilisé uniquement dans les applications clientes confidentielles. Peut être créé dans le portail d’inscription d’application Azure.
• clientAssertion : objet ClientAssertion contenant une chaîne d’assertion ou une fonction de rappel qui retourne une chaîne d’assertion utilisée par l’application lors de la demande d’un jeton, ainsi que du type de l’assertion (urn :ietf :params :oauth :client-assertion-type :jwt-bearer). Utilisé uniquement dans les applications clientes confidentielles.
• clientCertificate : certificat que l’application utilise lors de la demande d’un jeton. Utilisé uniquement dans les applications clientes confidentielles. Nécessite l’empreinte numérique X.509 CODÉE X.509 SHA-1 ou SHA-256 du certificat et la clé privée encodée PEM (la chaîne doit contenir -----BEGIN PRIVATE KEY----- ... -----END PRIVATE KEY----- )
• protocolMode : énumération qui représente le protocole que msal suit. Utilisé pour configurer des points de terminaison appropriés.
• skipAuthorityMetadataCache : indicateur permettant de choisir s’il faut utiliser ou non le cache de métadonnées locales pendant l’initialisation de l’autorité. La valeur par défaut est false.
• encodeExtraQueryParams : indicateur permettant de choisir s’il faut encoder des paramètres de requête supplémentaires dans l’URL de la requête. La valeur par défaut est false.

Type pour la configuration des options d’enregistreur d’événements et de client http

• enregistreur d’événements : utilisé pour initialiser l’objet Logger ; TODO : Développer les détails de l’enregistreur d’événements ou créer un lien vers la documentation sur l’enregistreur d’événements
• networkClient : client Http utilisé pour tous les appels http get et post. Utilise par défaut le client http par défaut de MSAL.

• étendues : tableau d’étendues auquel l’application demande l’accès.
• autorité : URL de l’autorité, service de jeton de sécurité (STS) à partir duquel MSAL acquiert des jetons.
• correlationId : ensemble de GUID unique par requête pour tracer une requête de bout en bout à des fins de télémétrie.
• oboAssertion : jeton d’accès envoyé à l’API de niveau intermédiaire. Ce jeton doit avoir un public de l’application qui effectue cette requête OBO.
• skipCache : ignorez la recherche du cache de jetons et forcez la demande à l’autorité pour obtenir un nouveau jeton. La valeur par défaut est false.
• tokenQueryParameters - Chaîne à carte de chaîne des paramètres de requête personnalisés ajoutés à l’appel /token

CommonRefreshTokenRequest

• étendues : tableau d’étendues auquel l’application demande l’accès.
• revendications : demande de revendications stringifiée qui sera ajoutée à tous les appels /authorize et /token
• autorité : URL de l’autorité, service de jeton de sécurité (STS) à partir duquel MSAL acquiert des jetons.
• correlationId : ensemble de GUID unique par requête pour tracer une requête de bout en bout à des fins de télémétrie.
• refreshToken : jeton d’actualisation retourné par une demande précédente au fournisseur d’identité.
• tokenQueryParameters - Chaîne à carte de chaîne des paramètres de requête personnalisés ajoutés à l’appel /token
• forceCache - Forcer MSAL à mettre en cache une réponse de flux de jeton d’actualisation lorsqu’il n’existe aucun compte dans le cache. Utilisé pour les scénarios de migration.

Type d’informations d’identification du jeton d’accès

Type de compte

Type AppMetadata

Type d’informations d’identification Idtoken

Actualiser le type d’informations d’identification du jeton

Paramètres SilentFlow transmis par l’utilisateur pour récupérer les informations d’identification en mode silencieux

• étendues : tableau d’étendues auquel l’application demande l’accès.
• revendications : demande de revendications stringifiée qui sera ajoutée à tous les appels /authorize et /token. Lorsqu’elle est incluse dans une demande silencieuse, la recherche du cache est ignorée et le jeton est actualisé.
• autorité : URL de l’autorité à partir de laquelle l’application acquiert des jetons.
• correlationId : ensemble de GUID unique par requête pour tracer une requête de bout en bout à des fins de télémétrie.
• tokenQueryParameters - Chaîne à carte de chaîne des paramètres de requête personnalisés ajoutés à l’appel /token
• compte : entité de compte pour rechercher les informations d’identification.
• forceRefresh : force les requêtes silencieuses à effectuer des appels réseau si la valeur est true.

Paramètres UsernamePassword transmis par l’utilisateur pour récupérer les informations d’identification Remarque : la dernière pratique actuelle de sécurité OAuth 2.0 interdit entièrement l’octroi de mot de passe. Ce flux est ajouté pour les tests internes.

• étendues : tableau d’étendues auquel l’application demande l’accès.
• revendications : demande de revendications stringifiée qui sera ajoutée à tous les appels /authorize et /token. Lorsqu’elle est incluse dans une demande silencieuse, la recherche du cache est ignorée et le jeton est actualisé.
• autorité : URL de l’autorité à partir de laquelle l’application acquiert des jetons.
• correlationId : ensemble de GUID unique par requête pour tracer une requête de bout en bout à des fins de télémétrie.
• nom d’utilisateur - nom d’utilisateur du client
• mot de passe - informations d’identification
• tokenQueryParameters - Chaîne à carte de chaîne des paramètres de requête personnalisés ajoutés à l’appel /token

Niveau du message de journal.

Noms de sources d’identité managée

Modes de protocole pris en charge par MSAL.

valeurs autorisées pour response_mode

Classe AuthErrorMessage contenant des constantes de chaîne utilisées par les codes d’erreur et les messages.

Constantes de chaîne utilisées par les codes d’erreur et les messages.

Classe ClientConfigurationErrorMessage contenant des constantes de chaîne utilisées par les codes d’erreur et les messages.

Erreurs requises d’interaction définies par le Kit de développement logiciel (SDK)

nous avons envisagé de rendre cette « énumération » dans la requête au lieu de chaîne, mais il semble que la liste autorisée des valeurs d’invite change au cours des deux dernières années. Il existe également des valeurs d’invite non documentées pour certains partenaires internes. Par conséquent, le choix du type générique « string » au lieu de « enum »