Proteggere le app Java Spring Boot con Microsoft Entra ID

Questo articolo illustra un'app Web Java Spring Boot che consente agli utenti di accedere nel tenant di Microsoft Entra ID usando la libreria client Microsoft Entra ID Spring Boot Starter client library for Java. Usa il protocollo OpenID Connect.

Il diagramma seguente illustra la topologia dell'app:

L'app client usa la libreria client Microsoft Entra ID Spring Boot Starter per Java per consentire l'accesso a un utente e ottenere un token ID da Microsoft Entra ID. Il token ID dimostra che l'utente è autenticato con Microsoft Entra ID e consente all'utente di accedere alle route protette.

Prerequisiti

• versione 17 di JDK. Questo esempio è stato sviluppato in un sistema con Java 17, ma potrebbe essere compatibile con altre versioni.
• Maven 3
• Java Extension Pack for Visual Studio Code è consigliato per eseguire questo esempio in Visual Studio Code.
• Tenant di Microsoft Entra ID. Per altre informazioni, vedi Come ottenere un tenant di Microsoft Entra ID.
• Un account utente nel tenant di Microsoft Entra ID. Questo esempio non funziona con un account Microsoft personale. Pertanto, se hai effettuato l'accesso al portale di Azure con un account personale e non hai un account utente nella tua directory, devi crearne uno ora.
• Visual Studio Code
• Strumenti di Azure per Visual Studio Code

Consigli

• Una certa familiarità con il Spring Framework.
• Una certa familiarità con il terminale Linux/OSX.
• jwt.ms per controllare i token.
• Fiddler per monitorare l'attività di rete e risolvere i problemi.
• Segui il blog di Microsoft Entra per rimanere up-to-date con gli ultimi sviluppi.

Configurare l'esempio

Le sezioni seguenti illustrano come configurare l'applicazione di esempio.

Clonare o scaricare il repository di esempio

Per clonare l'esempio, aprire una finestra Bash e usare il comando seguente:

git clone https://github.com/Azure-Samples/ms-identity-msal-java-samples.git
cd 4-spring-web-app/1-Authentication/sign-in

In alternativa, passare al repository ms-identity-msal-java-samples, quindi scaricarlo come file .zip ed estrarlo sul disco rigido.

Registrare le applicazioni di esempio nel tenant Microsoft Entra ID

In questo esempio è presente un progetto. Le sezioni seguenti illustrano come registrare l'app usando il portale di Azure.

Scegliere il tenant microsoft Entra ID in cui si desidera creare le applicazioni

Per scegliere il tenant, seguire questa procedura:

1. Accedere al portale di Azure.

2. Se l'account è presente in più tenant di Microsoft Entra ID, selezionare il profilo nell'angolo del portale di Azure e quindi selezionare Cambia directory per modificare la sessione nel tenant di Microsoft Entra ID desiderato.

Registrare l'app (java-spring-webapp-auth)

Per registrare l'app, seguire questa procedura:

1. Passare al portale di Azure e selezionare Microsoft Entra ID.

2. Selezionare Registrazioni app nel riquadro di spostamento, quindi selezionare Nuova registrazione.

3. Nella pagina Registra un'applicazione visualizzata immettere le informazioni di registrazione dell'applicazione seguenti:

   • Nella sezione Name, immetti un nome significativo per l'applicazione da mostrare agli utenti dell'app, ad esempio java-spring-webapp-auth.
   • In Tipi di account supportati selezionare Solo tenant singolo - TENANT_NAME (TENANT_NAME varia per tenant).
   • Nella sezione URI di reindirizzamento (facoltativo), seleziona Web nella casella combinata e inserisci il seguente URI di reindirizzamento: http://localhost:8080/login/oauth2/code/.

4. Selezionare Registra per creare l'applicazione.

5. Nella pagina di registrazione dell'app, trova e copia il valore ID applicazione (client) da utilizzare in seguito. Questo valore viene usato nel file o nei file di configurazione dell'app.

6. Nella pagina di registrazione dell'app selezionare Certificati e segreti nel riquadro di spostamento per aprire la pagina in cui è possibile generare segreti e caricare i certificati.

7. Nella sezione Segreti client seleziona Nuovo segreto client.

8. Digitare una descrizione, ad esempio il segreto dell'app.

9. Selezionare una delle durate disponibili: consigliata: 180 giorni (6 mesi),90 giorni (3 mesi),365 giorni (12 mesi),545 giorni (18 mesi) o 730 giorni (24 mesi).

10. Selezionare Aggiungi. Viene visualizzato il valore generato.

11. Copiare e salvare il valore generato da usare nei passaggi successivi. Questo valore è necessario per i file di configurazione del codice. Questo valore non viene visualizzato di nuovo e non è possibile recuperarlo con altri mezzi. Assicurarsi quindi di salvarlo dal portale di Azure prima di passare a qualsiasi altra schermata o riquadro.

Configurare l'app (java-spring-webapp-auth) per usare la registrazione dell'applicazione

Usare la procedura seguente per configurare l'app:

1. Aprire il progetto nell'IDE.

2. Apri il file src\main\resources\application.yml.

3. Individua il segnaposto Enter_Your_Tenant_ID_Here e sostituisci il valore esistente con l'ID del tenant di Microsoft Entra.

4. Trovare il segnaposto Enter_Your_Client_ID_Here e sostituire il valore esistente con l'ID applicazione dell'app java-spring-webapp-auth o clientId copiato dal portale di Azure.

5. Individuare il segnaposto Enter_Your_Client_Secret_Here e sostituire il valore esistente con il valore salvato durante la creazione di java-spring-webapp-auth, copiato dal portale di Azure.

Esegui l'esempio

az login

az upgrade

az extension add --name containerapp --upgrade

az extension add --name containerapp --upgrade --allow-preview true

az provider register --namespace Microsoft.App
az provider register --namespace Microsoft.OperationalInsights

export RESOURCE_GROUP="ms-identity-containerapps"
export LOCATION="canadacentral"
export ENVIRONMENT="env-ms-identity-containerapps"
export API_NAME="ms-identity-api"
export JAR_FILE_PATH_AND_NAME="./target/ms-identity-spring-boot-webapp-0.0.1-SNAPSHOT.jar"

az group create  \
    --name $RESOURCE_GROUP \
    --location $LOCATION \

az containerapp env create \
    --name $ENVIRONMENT \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION

az containerapp env show \
    --name $ENVIRONMENT \
    --resource-group $RESOURCE_GROUP \
    --query properties.defaultDomain

az containerapp up \
    --name $API_NAME \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION \
    --environment $ENVIRONMENT \
    --artifact <JAR_FILE_PATH_AND_NAME> \
    --ingress external \
    --target-port 8080 \
    --query properties.configuration.ingress.fqdn

Esaminare l'esempio

Per esplorare l'esempio, seguire questa procedura:

1. Notare lo stato di accesso o di disconnessione visualizzato al centro dello schermo.
2. Selezionare il pulsante sensibile al contesto nell'angolo. Questo pulsante riporta Accedi quando avvii l'app per la prima volta. In alternativa, selezionare dettagli del token. Poiché questa pagina è protetta e richiede l'autenticazione, si viene reindirizzati automaticamente alla pagina di accesso.
3. Nella pagina successiva, segui le istruzioni e accedi con un account nel tenant di Microsoft Entra ID.
4. Nella schermata di consenso notare gli ambiti richiesti.
5. Al termine del flusso di accesso, si dovrebbe essere reindirizzati alla home page, che mostra lo stato di accesso o la pagina dei dettagli del token, a seconda del pulsante che ha attivato il flusso di accesso.
6. Si noti che il pulsante sensibile al contesto ora indica Disconnetti e visualizza il nome utente.
7. Se ti trovi nella home page, seleziona ID Token Details per visualizzare alcune delle attestazioni decodificate del token ID.
8. Usare il pulsante nell'angolo per disconnettersi. La pagina di stato riflette il nuovo stato.

Informazioni sul codice

Questo esempio mostra come usare la libreria client per Java Microsoft Entra ID Spring Boot Starter per consentire agli utenti di accedere al tenant di Microsoft Entra ID. L'esempio usa anche gli starter Spring Oauth2 Client e Spring Web Boot. L'esempio usa attestazioni del token ID ottenuto da Microsoft Entra ID per visualizzare i dettagli dell'utente connesso.

Contenuto

La tabella seguente illustra il contenuto della cartella del progetto di esempio:

Attestazioni contenute nel token ID

Per estrarre i dettagli del token, l'app utilizza gli oggetti AuthenticationPrincipal e OidcUser di Spring Security in un mapping di richiesta, come mostrato nell'esempio seguente. Vedi il Controller di esempio per i dettagli completi su come questa app utilizza i claims del token ID.

import org.springframework.security.oauth2.core.oidc.user.OidcUser;
import org.springframework.security.core.annotation.AuthenticationPrincipal;
//...
@GetMapping(path = "/some_path")
public String tokenDetails(@AuthenticationPrincipal OidcUser principal) {
    Map<String, Object> claims = principal.getIdToken().getClaims();
}

Collegamenti di accesso e disconnessione

Per l'accesso, l'app effettua una richiesta all'endpoint di accesso di Microsoft Entra ID configurato automaticamente dalla libreria client Spring Boot Starter per Microsoft Entra ID per Java, come illustrato nell'esempio seguente:

<a class="btn btn-success" href="/oauth2/authorization/azure">Sign In</a>

Per disconnettersi, l'app effettua una richiesta POST all'endpoint logout, come mostrato nell'esempio seguente:

<form action="#" th:action="@{/logout}" method="post">
  <input class="btn btn-warning" type="submit" value="Sign Out" />
</form>

Elementi dell'interfaccia utente dipendenti dall'autenticazione

L'app ha una logica semplice nelle pagine del modello di interfaccia utente per determinare il contenuto da visualizzare in base all'autenticazione dell'utente, come illustrato nell'esempio seguente usando i tag Spring Security Thymeleaf:

<div sec:authorize="isAuthenticated()">
  this content only shows to authenticated users
</div>
<div sec:authorize="isAnonymous()">
  this content only shows to not-authenticated users
</div>

Proteggere i percorsi con AADWebSecurityConfigurerAdapter

Per impostazione predefinita, l'app protegge la pagina ID Token Details in modo che solo gli utenti che hanno effettuato l'accesso possano accedervi. L'app configura questi percorsi utilizzando la proprietà app.protect.authenticated del file application.yml. Per configurare i requisiti specifici dell'app, applica il metodo AadWebApplicationHttpSecurityConfigurer#aadWebApplication all'istanza HttpSecurity. Per un esempio, vedi la classe SecurityConfig di questa app, mostrata nel codice seguente:

@Configuration
@EnableWebSecurity
@EnableMethodSecurity
public class SecurityConfig  {
    
    @Value("${app.protect.authenticated}")
    private String[] allowedOrigins;
    
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        // @formatter:off
        http.apply(AadWebApplicationHttpSecurityConfigurer.aadWebApplication())
            .and()
            .authorizeHttpRequests(auth -> auth
                .requestMatchers(allowedOrigins).authenticated()
                .anyRequest().permitAll()
                );
        // @formatter:on
        return http.build();
    }

    @Bean
    @RequestScope
    public ServletUriComponentsBuilder urlBuilder() {
        return ServletUriComponentsBuilder.fromCurrentRequest();
    }    
}

Ulteriori informazioni

• Microsoft Identity Platform (Microsoft Entra ID per sviluppatori)
• Panoramica di Libreria di Autenticazione Microsoft (MSAL)
• Guida introduttiva: registrare un'applicazione con la piattaforma di identità Microsoft
• Guida introduttiva: Configurare un'applicazione client per accedere alle API Web
• Comprendere le esperienze di consenso per le applicazioni in Microsoft Entra ID
• Comprendere il consenso dell'utente e dell'amministratore
• Oggetti applicazione ed entità servizio in Microsoft Entra ID
• Cloud nazionali
• Esempi di codice MSAL
• libreria client Spring Boot Starter di Microsoft Entra ID per Java
• Microsoft Authentication Library per Java (MSAL4J)
• MSAL4J Wiki
• token ID
• Token di accesso nella piattaforma di identità Microsoft

Per altre informazioni su come funzionano i protocolli OAuth 2.0 in questo scenario e in altri scenari, vedere Scenari di autenticazione per Microsoft Entra ID.