@azure/msal-node package

Classe di errore generale generata dalla libreria di MSAL.js.

Classe astratta di base per tutte le applicazioni ClientApplications - pubblico e riservato

Asserzione client di tipo jwt-bearer usata nei flussi client riservati

Errore generato quando si verifica un errore nel codice client in esecuzione nel browser.

Errore generato quando si verifica un errore nella configurazione della libreria di MSAL.js.

Concessione di credenziali client OAuth2.0

Questa classe deve essere usata per acquisire i token per le applicazioni client riservate (webApp, webAPI). Le applicazioni client riservate configureranno segreti dell'applicazione, certificati client/asserzioni applicabili

Questa classe implementa l'interfaccia di crittografia del nodo MSAL, che consente di eseguire la codifica e la decodifica base64, generando GUID casuali crittograficamente e implementando la chiave di prova per il codice Exchange specifiche per il flusso del codice di autorizzazione OAuth usando PKCE (rfc qui: https://tools.ietf.org/html/rfc7636).

Client del codice del dispositivo OAuth2.0

Plug-in cache che serializza i dati nella cache e deserializza i dati dalla cache

Errore generato quando è necessaria l'interazione dell'utente.

Classe che facilita la registrazione dei messaggi in una posizione specifica.

Classe per inizializzare un'identità gestita e identificare il servizio

Client on-Behalf-Of

Questa classe deve essere usata per acquisire i token per le applicazioni client pubbliche (desktop, dispositivi mobili). Le applicazioni client pubbliche non sono attendibili per archiviare in modo sicuro i segreti dell'applicazione e pertanto possono richiedere solo token nel nome di un utente.

Errore generato quando si verifica un errore con il codice del server, ad esempio l'indisponibilità.

Gestione cache dei token in memoria

Questa istanza di classe consente di tenere traccia delle modifiche alla memoria semplificando le decisioni di lettura e scrittura nella cache persistente

Nota client concessione password Oauth2.0: Microsoft supporta solo i client pubblici per la concessione di password e per scopi puramente di test

Interfaccia per la cache che definisce un getter e un setter

Interfaccia per la classe ConfidentialClientApplication che definisce le firme dell'API pubblica

Interfaccia per LoopbackClient che consente di sostituire il server di loopback predefinito con un'implementazione personalizzata.

Interfaccia di rete client per inviare richieste back-end.

Interfaccia che definisce i metodi getter per ottenere le chiavi usate per l'identità dei dati nella cache

Interfaccia per la classe PublicClientApplication che definisce le firme dell'API pubblica

Interfaccia della cache dei token per il client, consentendo l'accesso alle API della cache

Oggetto Account con la firma seguente:

• homeAccountId - Identificatore dell'account home per questo oggetto account
• environment - Entità che ha emesso il token rappresentato dal dominio dell'autorità emittente (ad esempio, login.microsoftonline.com)
• tenantId: tenant completo o ID organizzazione a cui appartiene l'account
• username : preferred_username attestazione del id_token che rappresenta questo account
• localAccountId - Identificatore di account locale e specifico del tenant per questo oggetto account, in genere usato nei casi legacy
• name - Nome completo per l'account, inclusi il nome e il nome della famiglia specificati
• idToken - token ID non elaborato
• idTokenClaims - L'oggetto contiene attestazioni dal token ID
• nativeAccountId - ID dell'account nativo dell'utente
• tenantProfiles: mappa degli oggetti del profilo tenant per ogni tenant con cui l'account è stato autenticato nel browser
• dataBoundary - Limite dati estratto da clientInfo

Oggetto di input per l'estendibilità IAppTokenProvider. MSAL creerà questo oggetto, che può essere usato per creare un Oggetto AppTokenProviderResult.

• correlationId: ID di correlazione associato alla richiesta
• tenantId: ID tenant per il quale deve essere specificato il token
• ambiti: gli ambiti per i quali è necessario specificare il token
• attestazioni: eventuali attestazioni aggiuntive che il token deve soddisfare

Oggetto di output per l'estendibilità IAppTokenProvider.

• accessToken: il token di accesso effettivo, in genere in formato JWT, che soddisfa i dati della richiesta AppTokenProviderParameters
• expiresInSeconds: per quanto tempo i token hanno prima della scadenza, in secondi. Analogamente al campo "expires_in" in una risposta del token AAD.
• refreshInSeconds: per quanto tempo il token deve essere aggiornato in modo proattivo. Analogamente al campo "refresh_in" in una risposta del token AAD.

Risultato restituito dall'endpoint del token dell'autorità.

• uniqueId - oid o sub attestazione dal token ID
• tenantId : tid attestazione dal token ID
• ambiti: ambiti convalidati per il rispettivo token
• account: rappresentazione dell'oggetto account dell'utente attualmente connesso
• idToken - Token ID ricevuto come parte della risposta
• idTokenClaims - Attestazioni di token ID rilevanti per MSAL
• accessToken - Token di accesso o certificato SSH ricevuto come parte della risposta
• fromCache - Valore booleano che indica se il token proviene dalla cache
• expiresOn - Oggetto Data Javascript che rappresenta la scadenza relativa del token di accesso
• extExpiresOn - Oggetto Data Javascript che rappresenta la scadenza relativa estesa del token di accesso in caso di interruzione del server
• refreshOn - Oggetto Data Javascript che rappresenta l'ora relativa fino a quando non deve essere aggiornato un token di accesso
• state - Valore passato dall'utente nella richiesta
• familyId - Identificatore ID famiglia, in genere usato solo per i token di aggiornamento
• requestId - ID richiesta restituito come parte della risposta

Risposta restituita dopo l'elaborazione della stringa di query di risposta del codice o frammento.

Richiedere l'oggetto passato dall'utente per acquisire un token dal server scambiando un codice di autorizzazione valido (seconda parte del flusso del codice di autorizzazione OAuth2.0)

• ambiti: matrice di ambiti a cui l'applicazione richiede l'accesso.
• claims: richiesta di attestazioni stringate che verrà aggiunta a tutte le chiamate /authorize e /token
• authority: - URL dell'autorità, il servizio token di sicurezza (STS) da cui MSAL acquisirà i token. Se l'autorità è impostata sull'oggetto applicazione client, verrà eseguito l'override di tale valore. Se si esegue l'override del valore, la convalida dell'autorità verrà eseguita ogni volta. Se la stessa autorità verrà usata per tutte le richieste, impostare sull'oggetto applicazione anziché sulle richieste.
• correlationId: GUID univoco impostato per richiesta per tracciare una richiesta end-to-end per scopi di telemetria.
• redirectUri: URI di reindirizzamento dell'app, in cui l'autorità reindirizzerà a dopo che l'utente inserisce le credenziali e il consenso. Deve corrispondere esattamente a uno degli URI di reindirizzamento registrati nel portale.
• tokenQueryParameters - Stringa per la mappa di stringhe dei parametri di query personalizzati aggiunti alla chiamata /token
• code: authorization_code che l'utente ha acquisito nella prima parte del flusso.
• codeVerifier: la stessa code_verifier usata per ottenere il authorization_code. Obbligatorio se PKCE è stato usato nella richiesta di concessione del codice di autorizzazione. Per altre informazioni, vedere PKCE RFC: https://tools.ietf.org/html/rfc7636
• state : GUID univoco generato dall'utente memorizzato nella cache dall'utente e inviato al server durante la prima fase del flusso. Questa stringa viene restituita dal server con il codice di autorizzazione. Lo stato memorizzato nella cache dell'utente viene quindi confrontato con lo stato ricevuto dal server per ridurre il rischio di attacchi CSRF. Vedete https://datatracker.ietf.org/doc/html/rfc6819#section-3.6.

Richiedere l'oggetto passato dall'utente per recuperare un codice dal server (primo passaggio del flusso di concessione del codice di autorizzazione)

• ambiti: matrice di ambiti a cui l'applicazione richiede l'accesso.
• claims: richiesta di attestazioni stringate che verrà aggiunta a tutte le chiamate /authorize e /token
• authority : URL dell'autorità da cui l'applicazione acquisisce i token.
• correlationId: GUID univoco impostato per richiesta per tracciare una richiesta end-to-end per scopi di telemetria.
• redirectUri: URI di reindirizzamento in cui è possibile ricevere risposte di autenticazione dall'applicazione. Deve corrispondere esattamente a uno degli URI di reindirizzamento registrati nel portale di Azure.
• extraScopesToConsent: ambiti per una risorsa diversa quando l'utente necessita del consenso iniziale.
• responseMode: specifica il metodo che deve essere usato per inviare il risultato dell'autenticazione all'app. Può essere una query, form_post o un frammento. Se non viene passato alcun valore, per impostazione predefinita viene eseguita una query.
• codeChallenge: usato per proteggere la concessione del codice di autorizzazione tramite proof of key for Code Exchange (PKCE). Per altre informazioni, vedere PKCE RCF:https://tools.ietf.org/html/rfc7636
• codeChallengeMethod: metodo usato per codificare il verificatore di codice per il parametro di verifica del codice. Può essere "normale" o "S256". Se escluso, si presuppone che la richiesta di verifica del codice sia testo non crittografato. Per altre informazioni, vedere PKCE RCF: https://tools.ietf.org/html/rfc7636
• state: valore incluso nella richiesta restituita anche nella risposta del token. Un valore univoco generato in modo casuale viene in genere usato per prevenire attacchi falsi di richiesta intersito. Lo stato viene usato anche per codificare informazioni sullo stato dell'utente nell'app prima che si verifichi la richiesta di autenticazione.
• prompt: indica il tipo di interazione dell'utente necessario. login: forza l'utente a immettere le proprie credenziali su tale richiesta, negando l'accesso Single Sign-On none: garantisce che l'utente non venga visualizzato alcun prompt interattivo. se la richiesta non può essere completata tramite Single Sign-On, l'endpoint restituirà un consenso di errore interaction_required: attiverà la finestra di dialogo di consenso OAuth dopo l'accesso dell'utente, chiedendo all'utente di concedere le autorizzazioni all'app select_account: interromperà l'accesso Single Sign-=On fornendo un'esperienza di selezione dell'account che elenca tutti gli account nella sessione o tutti gli account memorizzati o un'opzione per scegliere di usare un account diverso: indiricherà l'utente all'esperienza di creazione dell'account anziché all'esperienza di accesso
• account: AccountInfo ottenuto da un'API getAccount. Verrà usato in determinati scenari per generare login_hint se non vengono forniti parametri loginHint e sid.
• loginHint: può essere usato per pre-compilare il campo nome utente/indirizzo di posta elettronica della pagina di accesso per l'utente, se si conosce il nome utente/indirizzo di posta elettronica in anticipo. Spesso le app usano questo parametro durante la ripetizione dell'autenticazione, avendo già estratto il nome utente da un accesso precedente usando l'attestazione preferred_username.
• sid : ID sessione, identificatore univoco per la sessione. Disponibile come attestazione facoltativa nei token ID.
• domainHint: fornisce un suggerimento sul tenant o sul dominio che l'utente deve usare per accedere. Il valore dell'hint di dominio è un dominio registrato per il tenant.
• extraQueryParameters - Stringa per la mappa di stringhe dei parametri di query personalizzati aggiunti alla chiamata /authorize
• tokenQueryParameters - Stringa per la mappa di stringhe dei parametri di query personalizzati aggiunti alla chiamata /token
• nonce: valore incluso nella richiesta restituita nel token ID. Un valore univoco generato in modo casuale viene in genere usato per attenuare gli attacchi di riproduzione.

Proprietà di risposta che possono essere restituite dall'endpoint /authorize

Opzioni specifiche di AzureCloudInstance

• azureCloudInstance : enumerazione stringa che fornisce una notazione breve per le autorità cloud pubbliche e soverign
• tenant: provisioning per fornire le informazioni sul tenant

Usare questa opzione per configurare le opzioni broker seguenti:

• nativeBrokerPlugin - Implementazione del broker nativo (deve essere importata da msal-node-extensions)

Nota: queste opzioni sono disponibili solo per PublicClientApplications usando il flusso del codice di autorizzazione

Archivio valori chiave per la cache in memoria

Usare questa opzione per configurare le opzioni di configurazione della cache seguenti:

• cachePlugin: plug-in per la lettura e la scrittura della cache dei token su disco.

CommonClientCredentialRequest

• ambiti: matrice di ambiti a cui l'applicazione richiede l'accesso. In genere contiene solo l'ambito predefinito per una singola risorsa. Vedere: https://dotnet.territoriali.olinfo.it/azure/active-directory/develop/scopes-oidc#the-default-scope
• authority : URL dell'autorità, il servizio token di sicurezza (STS) da cui MSAL acquisirà i token.
• correlationId: GUID univoco impostato per richiesta per tracciare una richiesta end-to-end per scopi di telemetria.
• skipCache: ignorare la ricerca della cache dei token e forzare la richiesta all'autorità per ottenere un nuovo token. Il valore predefinito è falso.
• clientAssertion: stringa di asserzione o funzione di callback che restituisce una stringa di asserzione (entrambe sono JWT con codifica Base64Url) usate nel flusso delle credenziali client
• tokenQueryParameters - Stringa per la mappa di stringhe dei parametri di query personalizzati aggiunti alla chiamata /token

Usare l'oggetto di configurazione per configurare MSAL e inizializzare l'oggetto applicazione client

• Autenticazione: in questo caso si configurano elementi di autenticazione come clientID, autorità usata per l'autenticazione in base a Microsoft Identity Platform
• broker: è qui che si configurano le opzioni broker
• cache: è qui che si configura il percorso della cache
• system: qui è possibile configurare il client di rete, il logger
• telemetria: qui è possibile configurare le opzioni di telemetria

Parametri per il flusso del codice del dispositivo Oauth2.

• ambiti: matrice di ambiti a cui l'applicazione richiede l'accesso.
• authority: - URL dell'autorità, il servizio token di sicurezza (STS) da cui MSAL acquisirà i token. Se l'autorità è impostata sull'oggetto applicazione client, verrà eseguito l'override di tale valore. Se si esegue l'override del valore, la convalida dell'autorità verrà eseguita ogni volta. Se la stessa autorità verrà usata per tutte le richieste, impostare sull'oggetto applicazione anziché sulle richieste.
• correlationId: GUID univoco impostato per richiesta per tracciare una richiesta end-to-end per scopi di telemetria.
• deviceCodeCallback: callback contenente la risposta del codice del dispositivo. Il messaggio deve essere visualizzato all'utente finale. L'utente finale può quindi passare al verification_uri, immettere il user_code e le credenziali di input.
• cancel: valore booleano per annullare il polling dell'endpoint del codice del dispositivo. Mentre l'utente esegue l'autenticazione in un dispositivo separato, MSAL esegue il polling dell'endpoint del token del servizio token di sicurezza per l'intervallo specificato nella risposta al codice del dispositivo (in genere 15 minuti). Per interrompere il polling e annullare la richiesta, impostare cancel=true.
• extraQueryParameters - Stringa per la mappa di stringhe dei parametri di query personalizzati aggiunti alla stringa di query

Tipo che descrive le attestazioni del token ID note da MSAL.

Tipo intermittente per gestire oggetti dati in memoria con tipi definiti

Richiedere l'oggetto passato dall'utente per configurare l'API acquireTokenInteractive

• openBrowser: funzione per aprire un'istanza del browser nel sistema dell'utente.
• ambiti: matrice di ambiti a cui l'applicazione richiede l'accesso.
• successTemplate: - Modello da visualizzare nell'istanza del browser aperta al completamento dell'acquisizione del token.
• errorTemplate: modello da visualizzare nell'istanza del browser aperta in caso di errore di acquisizione del token.
• windowHandle : usato nei flussi broker nativi per eseguire correttamente l'elemento padre della finestra del broker nativo
• loopbackClient: implementazione personalizzata per un server di loopback in ascolto della risposta al codice di autorizzazione.

Formato cache letto dal BLOB della cache fornito alla configurazione durante la creazione di istanze dell'app

ManagedIdentityRequest

• claims : richiesta di attestazioni stringate che verrà usata per determinare se la cache deve essere ignorata o meno
• forceRefresh: forza le richieste di identità gestite a ignorare la cache e effettuare chiamate di rete se true
• resource: risorsa richiesta per accedere all'API protetta. Deve essere nel formato "ResourceIdUri" o "ResourceIdUri/.default". Ad esempio https://management.azure.net o, per Microsoft Graph,https://graph.microsoft.com/.default

Opzioni consentite dalle API di richiesta di rete.

• clientId: ID client dell'applicazione.
• authority : URL dell'autorità. Se non è impostato alcun valore, il valore predefinito è https://login.microsoftonline.com/common.
• knownAuthorities: necessaria per Azure B2C e ADFS. Tutte le autorità che verranno usate nell'applicazione client. È necessario passare solo l'host dell'autorità.
• clientSecret: stringa segreta usata dall'applicazione durante la richiesta di un token. Usato solo nelle applicazioni client riservate. Può essere creato nel portale di registrazione dell'app Azure.
• clientAssertion: oggetto ClientAssertion contenente una stringa di asserzione o una funzione di callback che restituisce una stringa di asserzione usata dall'applicazione durante la richiesta di un token, nonché il tipo dell'asserzione (urn:ietf:params:oauth:client-assertion-type:jwt-bearer). Usato solo nelle applicazioni client riservate.
• clientCertificate: certificato usato dall'applicazione durante la richiesta di un token. Usato solo nelle applicazioni client riservate. Richiede l'identificazione personale X.509 SHA-1 o SHA-256 con codifica hex del certificato e la chiave privata con codifica PEM (la stringa deve contenere -----BEGIN PRIVATE KEY----- ... -----END PRIVATE KEY----- )
• protocolMode: enumerazione che rappresenta il protocollo seguito da msal. Usato per configurare gli endpoint appropriati.
• skipAuthorityMetadataCache: flag per scegliere se usare o meno la cache dei metadati locale durante l'inizializzazione dell'autorità. Il valore predefinito è falso.
• encodeExtraQueryParams: flag per scegliere se codificare parametri di query aggiuntivi nell'URL della richiesta. Il valore predefinito è falso.

Tipo per la configurazione delle opzioni del logger e del client HTTP

• logger - Usato per inizializzare l'oggetto Logger; TODO: Espandere i dettagli del logger o collegarsi alla documentazione sul logger
• networkClient: client HTTP usato per tutte le chiamate http get e post. L'impostazione predefinita è l'uso del client HTTP predefinito di MSAL.

• ambiti: matrice di ambiti a cui l'applicazione richiede l'accesso.
• authority : URL dell'autorità, il servizio token di sicurezza (STS) da cui MSAL acquisirà i token.
• correlationId: GUID univoco impostato per richiesta per tracciare una richiesta end-to-end per scopi di telemetria.
• oboAssertion: token di accesso inviato all'API di livello intermedio. Questo token deve avere un gruppo di destinatari dell'app che effettua questa richiesta OBO.
• skipCache: ignorare la ricerca della cache dei token e forzare la richiesta all'autorità per ottenere un nuovo token. Il valore predefinito è falso.
• tokenQueryParameters - Stringa per la mappa di stringhe dei parametri di query personalizzati aggiunti alla chiamata /token

CommonRefreshTokenRequest

• ambiti: matrice di ambiti a cui l'applicazione richiede l'accesso.
• claims: richiesta di attestazioni stringate che verrà aggiunta a tutte le chiamate /authorize e /token
• authority : URL dell'autorità, il servizio token di sicurezza (STS) da cui MSAL acquisirà i token.
• correlationId: GUID univoco impostato per richiesta per tracciare una richiesta end-to-end per scopi di telemetria.
• refreshToken: token di aggiornamento restituito da una richiesta precedente al provider di identità.
• tokenQueryParameters - Stringa per la mappa di stringhe dei parametri di query personalizzati aggiunti alla chiamata /token
• forceCache: forzaRE MSAL a memorizzare nella cache una risposta del flusso del token di aggiornamento quando non è presente alcun account nella cache. Usato per gli scenari di migrazione.

Tipo di credenziale del token di accesso

Tipo di account

Tipo AppMetadata

Tipo di credenziale Idtoken

Aggiornare il tipo di credenziale del token

Parametri SilentFlow passati dall'utente per recuperare le credenziali in modo invisibile all'utente

• ambiti: matrice di ambiti a cui l'applicazione richiede l'accesso.
• claims: richiesta di attestazioni stringate che verrà aggiunta a tutte le chiamate /authorize e /token. Se incluso in una richiesta invisibile all'utente, la ricerca nella cache verrà ignorata e il token verrà aggiornato.
• authority : URL dell'autorità da cui l'applicazione acquisisce i token.
• correlationId: GUID univoco impostato per richiesta per tracciare una richiesta end-to-end per scopi di telemetria.
• tokenQueryParameters - Stringa per la mappa di stringhe dei parametri di query personalizzati aggiunti alla chiamata /token
• account: entità account per cercare le credenziali.
• forceRefresh: forza le richieste invisibile all'utente a effettuare chiamate di rete se true.

Parametri UsernamePassword passati dall'utente per recuperare le credenziali Nota: la versione più recente di OAuth 2.0 Security Best Current Practice non consente completamente la concessione della password. Questo flusso viene aggiunto per i test interni.

• ambiti: matrice di ambiti a cui l'applicazione richiede l'accesso.
• claims: richiesta di attestazioni stringate che verrà aggiunta a tutte le chiamate /authorize e /token. Se incluso in una richiesta invisibile all'utente, la ricerca nella cache verrà ignorata e il token verrà aggiornato.
• authority : URL dell'autorità da cui l'applicazione acquisisce i token.
• correlationId: GUID univoco impostato per richiesta per tracciare una richiesta end-to-end per scopi di telemetria.
• username : nome utente del client
• password - credenziali
• tokenQueryParameters - Stringa per la mappa di stringhe dei parametri di query personalizzati aggiunti alla chiamata /token

Livello di messaggio di log.

Nomi di origine dell'identità gestita

Modalità di protocollo supportate da MSAL.

valori consentiti per response_mode

Classe AuthErrorMessage contenente costanti stringa usate da codici di errore e messaggi.

Costanti stringa usate da codici di errore e messaggi.

Classe ClientConfigurationErrorMessage contenente costanti stringa usate da codici di errore e messaggi.

Errori di interazione necessari definiti dall'SDK

è stato considerato come effettuare questa "enumerazione" nella richiesta anziché nella stringa, tuttavia sembra che l'elenco consentito di valori di prompt continua a cambiare negli ultimi due anni. Esistono anche alcuni valori di richiesta non documentati per alcuni partner interni, quindi la scelta del tipo "string" generico anziché dell'enumerazione