@azure/msal-node package

Classe de erro geral lançada pela biblioteca MSAL.js.

Classe base de resumo para todas as ClienteAplicações - pública e confidencial

Afirmação do cliente do tipo jwt-bearer usado em fluxos confidenciais de clientes

Erro lançado quando há um erro no código do cliente a correr no navegador.

Erro lançado quando há um erro na configuração da biblioteca MSAL.js.

Concessão de credencial de cliente OAuth2.0

Esta classe destina-se a ser usada para adquirir tokens para aplicações clientes confidenciais (webApp, webAPI). Aplicações cliente confidenciais irão configurar os segredos da aplicação, certificados/asserções do cliente conforme aplicável

Esta classe implementa a interface criptográfica do nó MSAL, que lhe permite realizar codificação e descodificação base64, gerando GUIDs criptograficamente aleatórios e implementando especificações Proof Key for Code Exchange para o OAuth Authorization Code Flow usando PKCE (rfc aqui: https://tools.ietf.org/html/rfc7636).

Cliente de código de dispositivo OAuth2.0

Plugin de cache que serializa dados para a cache e desserializa dados da cache

Erro lançado quando a interação do utilizador é necessária.

Classe que facilita o registo de mensagens num local específico.

classe para inicializar uma identidade gerida e identificar o serviço

On-Behalf-Of cliente

Esta classe destina-se a ser usada para adquirir tokens para aplicações clientes públicas (desktop, mobile). As aplicações clientes públicas não são confiáveis para armazenar segredos de aplicação de forma segura, e por isso só podem solicitar tokens em nome de um utilizador.

Erro lançado quando há um erro no código do servidor, por exemplo, indisponibilidade.

Gestor de cache de tokens em memória

Esta instância de classe ajuda a acompanhar as alterações de memória, facilitando decisões para ler e escrever na cache persistente

Cliente de concessão de palavra-passe Oauth2.0 Nota: Estamos apenas a apoiar clientes públicos para concessão de palavra-passe e para fins puramente de teste

Interface para a cache que define um getter e um setter

Interface para a classe ConfidentialClientApplication que define as assinaturas públicas da API

Interface para o LoopbackClient que permite substituir o servidor de loopback predefinido por uma implementação personalizada.

Interface de rede cliente para enviar pedidos de backend.

Interface que define métodos getter para obter chaves usadas para identificar dados na cache

Interface para a classe PublicClientApplication que define as assinaturas públicas da API

Interface de cache de token para o cliente, dando acesso a APIs de cache

Objeto de conta com a seguinte assinatura:

• homeAccountId - Identificador da conta principal para este objeto de conta
• ambiente - Entidade que emitiu o token representado pelo domínio do emissor (por exemplo, login.microsoftonline.com)
• TenantId - Tenant completo ou ID organizacional a que esta conta pertence
• Nome de utilizador - preferred_username reivindicação da id_token que representa esta conta
• localAccountId - Identificador de conta local, específico do inquilino para este objeto de conta, geralmente usado em casos legados
• nome - Nome completo da conta, incluindo nome próprio e apelido
• idToken - token de identificação bruto
• idTokenClaims - O objeto contém reivindicações do ID token
• nativeAccountId - O ID nativo da conta do utilizador
• TenantProfiles - Mapa dos objetos de perfil de inquilino para cada inquilino com que a conta se autenticou no navegador
• dataBoundary - Fronteira de dados extraída do clienteInfo

Objeto de entrada para a extensibilidade IAppTokenProvider. A MSAL irá criar este objeto, que pode ser usado para ajudar a criar um AppTokenProviderResult.

• correlationId - o Id de correlação associado ao pedido
• tenantId - o Id do inquilino para o qual o token deve ser fornecido
• Scopes - os scopes para os quais o token deve ser fornecido
• Reivindicações - quaisquer reivindicações extra que o token tenha de satisfazer

Objeto de saída para extensibilidade IAppTokenProvider.

• accessToken - o token de acesso propriamente dito, tipicamente em formato JWT, que satisfaz os dados de pedido AppTokenProviderParameters
• expiresInSeconds - quanto tempo o token tem antes de expirar, em segundos. Semelhante ao campo "expires_in" numa resposta de token AAD.
• refreshInSeconds - o tempo que o token tem antes de ser atualizado proativamente. Semelhante ao campo "refresh_in" numa resposta de token AAD.

Resultado devolvido do endpoint do token da autoridade.

• uniqueId - oid ou sub reivindicação a partir do token ID
• tenantId - tid reclamação a partir do token ID
• escopos - Escopos validados para o respetivo token
• conta - Uma representação de objeto conta do utilizador atualmente iniciado
• idToken - Token ID recebido como parte da resposta
• idTokenClaims - Reivindicações de ID token relevantes para MSAL
• accessToken - Token de acesso ou certificado SSH recebido como parte da resposta
• fromCache - Booleano que indica se o token veio da cache
• expiresOn - Objeto Data Javascript representando a expiração relativa do token de acesso
• extExpiresOn - Objeto Data Javascript que representa a expiração relativa estendida do token de acesso em caso de falha do servidor
• refreshOn - Objeto Data Javascript representando o tempo relativo até que um token de acesso tenha de ser atualizado
• estado - Valor passado pelo utilizador a pedido
• familyId - Identificador de Family ID, normalmente usado apenas para tokens de atualização
• requestId - ID do pedido devolvido como parte da resposta

Resposta retornada após processar a cadeia de resposta ou fragmento da consulta de resposta.

Objeto de pedido passado pelo utilizador para adquirir um token do servidor trocando um código de autorização válido (segunda perna do fluxo de código de autorização OAuth2.0)

• scopes - Array de escopos aos quais a aplicação está a pedir acesso.
• claims - Um pedido de claims stringified que será adicionado a todas as chamadas /authorize e /token
• autoridade: - URL da autoridade, o serviço de token de segurança (STS) do qual a MSAL irá adquirir tokens. Se a authority for definida no objeto da aplicação cliente, esta irá sobrepor esse valor. Sobrepor o valor fará com que a validação da autoridade aconteça cada vez. Se a mesma autoridade for usada para todos os pedidos, defina o objeto de aplicação em vez dos pedidos.
• correlationId - GUID único definido por pedido para rastrear um pedido de ponta a ponta para fins de telemetria.
• redirectUri - O URI de redirecionamento da sua aplicação, para onde a autoridade irá redirecionar depois do utilizador introduzir credenciais e consentir. Tem de corresponder exatamente a um dos URIs de redirecionamento que registou no portal.
• tokenQueryParameters - Mapa de string para string de parâmetros de consulta personalizados adicionados à chamada /token
• código - O authorization_code que o utilizador adquiriu na primeira etapa do fluxo.
• codeVerifier - O mesmo code_verifier que foi usado para obter a authorization_code. Obrigatório se o PKCE foi usado no pedido de concessão do código de autorização. Para mais informações, consulte o PKCE RFC: https://tools.ietf.org/html/rfc7636
• estado - GUID único gerado pelo utilizador que é armazenado em cache pelo utilizador e enviado para o servidor durante a primeira etapa do fluxo. Esta cadeia é enviada de volta pelo servidor com o código de autorização. O estado em cache do utilizador é então comparado com o estado recebido do servidor para mitigar o risco de ataques CSRF. Consulte https://datatracker.ietf.org/doc/html/rfc6819#section-3.6.

Objeto de pedido passado pelo utilizador para recuperar um Código do servidor (primeira etapa do fluxo de concessão do código de autorização)

• scopes - Array de escopos aos quais a aplicação está a pedir acesso.
• claims - Um pedido de claims stringified que será adicionado a todas as chamadas /authorize e /token
• autoridade - URL da autoridade da qual a aplicação adquire os tokens.
• correlationId - GUID único definido por pedido para rastrear um pedido de ponta a ponta para fins de telemetria.
• redirectUri - O URI de redirecionamento onde a sua aplicação pode receber respostas de autenticação. Deve corresponder exatamente a um dos URIs de redirecionamento registados no portal Azure.
• extraScopesToConsent - Escopos para um recurso diferente quando o utilizador precisa de consentimento antecipado.
• responseMode - Especifica o método que deve ser usado para enviar o resultado de autenticação à sua aplicação. Pode ser consulta, form_post ou fragmento. Se não for passado nenhum valor, por defeito passa para a consulta.
• codeChallenge - Usado para garantir a concessão de código de autorização via Proof of Key for Code Exchange (PKCE). Para mais informações, consulte o PKCE RCF:https://tools.ietf.org/html/rfc7636
• codeChallengeMethod - O método usado para codificar o verificador de código para o parâmetro de desafio de código. Pode ser "simples" ou "S256". Se excluído, o desafio de código assume-se que é texto simples. Para mais informações, consulte o PKCE RCF: https://tools.ietf.org/html/rfc7636
• estado - Um valor incluído no pedido que também é devolvido na resposta do token. Um valor único gerado aleatoriamente é normalmente usado para prevenir ataques de falsificação de pedidos entre sites. O estado também é usado para codificar informações sobre o estado do utilizador na aplicação antes do pedido de autenticação ocorrer.
• prompt - Indica o tipo de interação do utilizador necessária. Login: Vai forçar o utilizador a introduzir as suas credenciais nesse pedido, anulando o single-sign on nenhum: Garante que o utilizador não recebe nenhum prompt interativo. Se o pedido não puder ser concluído via Single-Logon, o endpoint devolverá um interaction_required Consentimento de Erro: Será que o Diálogo de Consentimento OAuth será ativado após o utilizador iniciar sessão, pedindo permissões à aplicação select_account: irá interromper o Single Sign-=ao fornecer experiência de seleção de conta listando todas as contas em sessão ou quaisquer contas memorizadas ou uma opção para escolher usar uma conta diferente Criar: vai direcionar o utilizador para a experiência de criação de conta em vez da experiência de login
• conta - AccountInfo obtido a partir de uma API getAccount. Será usado em certos cenários para gerar login_hint se não forem fornecidos os parâmetros loginHint e sid.
• loginDica - Pode ser usado para pré-preencher o campo de nome de utilizador/endereço de email da página de início de sessão do utilizador, se souber o nome de utilizador/endereço de email antecipadamente. Frequentemente, as aplicações usam este parâmetro durante a reautenticação, tendo já extraído o nome de utilizador de um login anterior usando a reivindicação preferred_username.
• sid - ID da sessão, identificador único para a sessão. Disponível como reivindicação opcional em ID tokens.
• DomainHint - Fornece uma dica sobre o inquilino ou domínio que o utilizador deve usar para iniciar sessão. O valor da dica de domínio é um domínio registado para o inquilino.
• extraQueryParameters - Mapa de string para string de parâmetros personalizados de consulta adicionados à chamada /authorize
• tokenQueryParameters - Mapa de string para string de parâmetros de consulta personalizados adicionados à chamada /token
• nonce - Um valor incluído no pedido que é devolvido no token id. Um valor único gerado aleatoriamente é normalmente usado para mitigar ataques de repetição.

Propriedades de resposta que podem ser devolvidas pelo endpoint /authorize

Opções específicas do AzureCloudInstance

• azureCloudInstance - string enum que fornece notação curta para autoridades de soverign e cloud pública
• Inquilino - Cláusula para fornecer informações ao inquilino

Use isto para configurar as opções de corretores abaixo:

• nativeBrokerPlugin - Implementação nativa do broker (deve ser importada do msal-node-extensions)

Nota: Estas opções estão disponíveis apenas para PublicClientApplications que utilizam o Fluxo de Código de Autorização

Armazenamento de chave-valor para cache em memória

Use isto para configurar as opções de configuração de cache abaixo:

• cachePlugin - Plugin para ler e gravar cache de tokens no disco.

PedidoCredencial ComumCliente

• scopes - Array de escopos aos quais a aplicação está a pedir acesso. Normalmente contém apenas o escopo .default para um único recurso. Veja: https://dotnet.territoriali.olinfo.it/azure/active-directory/develop/scopes-oidc#the-default-scope
• autoridade - URL da autoridade, o serviço de token de segurança (STS) do qual a MSAL irá adquirir os tokens.
• correlationId - GUID único definido por pedido para rastrear um pedido de ponta a ponta para fins de telemetria.
• skipCache - Ignorar a pesquisa de cache de tokens e forçar o pedido à autoridade para obter um novo token. É definido para false por padrão.
• clientAssertion - Uma cadeia de asserção ou uma função de callback que devolve uma cadeia de asserção (ambas são JWTs assinados codificados em Base64Url) usada no fluxo de credenciais do cliente
• tokenQueryParameters - Mapa de string para string de parâmetros de consulta personalizados adicionados à chamada /token

Use o objeto de configuração para configurar o MSAL e inicializar o objeto de aplicação cliente

• auth: é aqui que configuras elementos de autenticação como o clientID, autoridade usada para autenticação contra a Microsoft Identity Platform
• Corretor: É aqui que configuras as opções do corretor
• Cache: É aqui que se configura a localização da cache
• Sistema: É aqui que podes configurar o cliente de rede, o logger
• Telemetria: É aqui que podes configurar as opções de telemetria

Parâmetros para o fluxo de código do dispositivo Oauth2.

• scopes - Array de escopos aos quais a aplicação está a pedir acesso.
• autoridade: - URL da autoridade, o serviço de token de segurança (STS) do qual a MSAL irá adquirir tokens. Se a authority for definida no objeto da aplicação cliente, esta irá sobrepor esse valor. Sobrepor o valor fará com que a validação da autoridade aconteça cada vez. Se a mesma autoridade for usada para todos os pedidos, defina o objeto de aplicação em vez dos pedidos.
• correlationId - GUID único definido por pedido para rastrear um pedido de ponta a ponta para fins de telemetria.
• deviceCodeCallback - Chamada de retorno contendo resposta ao código do dispositivo. A mensagem deve ser mostrada ao utilizador final. O utilizador final pode então navegar até à verification_uri, introduzir a user_code e introduzir credenciais.
• cancel - Booleano para cancelar o sondamento do endpoint do código do dispositivo. Enquanto o utilizador autentica num dispositivo separado, o MSAL consulta o endpoint do token do serviço de token de segurança para o intervalo especificado na resposta ao código do dispositivo (normalmente 15 minutos). Para parar de fazer polling e cancelar o pedido, defina cancel=true.
• extraQueryParameters - Mapa de string para string de parâmetros personalizados de consulta adicionados à cadeia de query

Tipo que descreve as reivindicações do Id Token conhecidas pela MSAL.

Tipo intermitente para lidar com objetos de dados em memória com tipos definidos

Objeto de pedido passado pelo utilizador para configurar a API acquireTokenInteractive

• openBrowser - Função para abrir uma instância de navegador no sistema do utilizador.
• scopes - Array de escopos aos quais a aplicação está a pedir acesso.
• TemplateSuccessTemplate: - Modelo a ser exibido na instância do navegador aberta após a aquisição bem-sucedida do token.
• erroTemplate - Modelo a ser exibido na instância do navegador aberta após falha na aquisição do token.
• windowHandle - Usado em fluxos nativos do broker para parentar corretamente a janela nativa do broker
• loopbackClient - Implementação personalizada para um servidor de loopback para ouvir respostas ao código de autorização.

O formato de cache é lido do blob de cache fornecido à configuração durante a instância da aplicação

Pedido de Identidade Gerida

• Reivindicações - um pedido de reclamações rigorificado que será usado para determinar se a cache deve ou não ser ignorada
• forceRefresh - força os pedidos de identidade gerida a saltar a cache e a fazer chamadas de rede, se for verdade
• resource - recurso solicitado para aceder à API protegida. Deve ser da forma "ResourceIdUri" ou "ResourceIdUri/.default". Por exemplo https://management.azure.net ou, para o Microsoft Graph,https://graph.microsoft.com/.default

Opções permitidas por APIs de pedidos de rede.

• ClientId - ID do cliente da aplicação.
• autoridade - URL da autoridade. Se nenhum valor for definido, o valor por defeito é https://login.microsoftonline.com/common.
• KnowAuthorities - Necessário para Azure B2C e ADFS. Todas as autoridades que serão utilizadas na aplicação do cliente. Apenas o anfitrião da autoridade deve ser entregue.
• ClientSecret - Cadeia de caracteres secretos que a aplicação utiliza ao solicitar um token. Usado apenas em aplicações confidenciais de clientes. Pode ser criado no portal de registo de aplicações do Azure.
• ClientAssertion - Um objeto ClientAssertion contendo uma cadeia de assertion ou uma função de callback que devolve uma string de assertion que a aplicação usa ao pedir um token, bem como o tipo da asserção (urn:ietf:params:oauth:client-assertion-type:jwt-bearer). Usado apenas em aplicações confidenciais de clientes.
• ClientCertificate - Certificado que a aplicação utiliza ao solicitar um token. Usado apenas em aplicações confidenciais de clientes. Requer a impressão digital hexadecimal X.509 SHA-1 ou SHA-256 do certificado, e a chave privada codificada em PEM (a string deve conter -----CHAVE PRIVADA INICIAL----- ... -----FIM CHAVE PRIVADA----- )
• protocolMode - Enum que representa o protocolo que MSAL segue. Usado para configurar endpoints adequados.
• skipAuthorityMetadataCache - Um flag para escolher se deve ou não usar a cache local de metadados durante a inicialização da autoridade. É definido para false por padrão.
• encodeExtraQueryParams - Um flag para escolher se deve codificar parâmetros de consulta extra no URL do pedido. É definido para false por padrão.

Tipo para configurar opções de logger e cliente http

• logger - Usado para inicializar o objeto Logger; A FAZER: Expandir os detalhes do logger ou ligar à documentação do logger
• networkClient - Cliente HTTP usado para todas as chamadas http get e post. Por defeito, usa o cliente http padrão da MSAL.

• scopes - Array de escopos aos quais a aplicação está a pedir acesso.
• autoridade - URL da autoridade, o serviço de token de segurança (STS) do qual a MSAL irá adquirir os tokens.
• correlationId - GUID único definido por pedido para rastrear um pedido de ponta a ponta para fins de telemetria.
• oboAssertion - O token de acesso que foi enviado para a API de nível intermédio. Este token deve ter uma audiência da aplicação que faz este pedido OBO.
• skipCache - Ignorar a pesquisa de cache de tokens e forçar o pedido à autoridade para obter um novo token. É definido para false por padrão.
• tokenQueryParameters - Mapa de string para string de parâmetros de consulta personalizados adicionados à chamada /token

CommonRefreshTokenRequest

• scopes - Array de escopos aos quais a aplicação está a pedir acesso.
• claims - Um pedido de claims stringified que será adicionado a todas as chamadas /authorize e /token
• autoridade - URL da autoridade, o serviço de token de segurança (STS) do qual a MSAL irá adquirir os tokens.
• correlationId - GUID único definido por pedido para rastrear um pedido de ponta a ponta para fins de telemetria.
• refreshToken - Um token de refresh devolvido de um pedido anterior ao fornecedor de Identidade.
• tokenQueryParameters - Mapa de string para string de parâmetros de consulta personalizados adicionados à chamada /token
• forceCache - Forçar o MSAL a armazenar em cache uma resposta de fluxo de token de atualização quando não há conta na cache. Usado para cenários de migração.

Tipo de credencial de token de acesso

Tipo de conta

Tipo AppMetadata

Tipo de credencial Idtoken

Tipo de credencial de token de atualização

Parâmetros SilentFlow passados pelo utilizador para obter credenciais silenciosamente

• scopes - Array de escopos aos quais a aplicação está a pedir acesso.
• claims - Um pedido de claims stringified que será adicionado a todas as chamadas /authorize e /token. Quando incluído num pedido silencioso, a pesquisa de cache será ignorada e o token será atualizado.
• autoridade - URL da autoridade da qual a aplicação adquire os tokens.
• correlationId - GUID único definido por pedido para rastrear um pedido de ponta a ponta para fins de telemetria.
• tokenQueryParameters - Mapa de string para string de parâmetros de consulta personalizados adicionados à chamada /token
• conta - Entidade da conta para consultar as credenciais.
• forceRefresh - Força pedidos silenciosos a fazer chamadas de rede, se for verdade.

Parâmetros de nome de utilizadorPalavra-passe passados pelo utilizador para obter credenciais Nota: A última Prática Atual de Segurança do OAuth 2.0 rejeita totalmente a concessão de palavra-passe. Este fluxo é adicionado para testes internos.

• scopes - Array de escopos aos quais a aplicação está a pedir acesso.
• claims - Um pedido de claims stringified que será adicionado a todas as chamadas /authorize e /token. Quando incluído num pedido silencioso, a pesquisa de cache será ignorada e o token será atualizado.
• autoridade - URL da autoridade da qual a aplicação adquire os tokens.
• correlationId - GUID único definido por pedido para rastrear um pedido de ponta a ponta para fins de telemetria.
• Nome de utilizador - Nome de utilizador do cliente
• Palavra-passe - credenciais
• tokenQueryParameters - Mapa de string para string de parâmetros de consulta personalizados adicionados à chamada /token

Registar o nível da mensagem.

Nomes de Fonte de Identidade Gerida

Modos de protocolo suportados pelo MSAL.

valores permitidos para response_mode

AuthErrorMessage classe contendo constantes de cadeia usadas por códigos de erro e mensagens.

Constantes de cadeia usadas por códigos de erro e mensagens.

A classe ClientConfigurationErrorMessage contém constantes de cadeia usadas por códigos de erro e mensagens.

Interação requeria erros definidos pelo SDK

Considerámos colocar este "enum" no pedido em vez de uma cadeia, no entanto, parece que a lista permitida de valores do prompt tem mudado nos últimos anos. Existem também alguns valores de prompt não documentados para alguns parceiros internos, daí a escolha do tipo genérico de "string" em vez do "enum"