Skydda Java Spring Boot-appar med Microsoft Entra-ID

Den här artikeln visar en Java Spring Boot-webbapp som loggar in användare i din Microsoft Entra ID-klientorganisation med hjälp av Microsoft Entra ID Spring Boot Starter-klientbiblioteket för Java. Det använder OpenID Connect-protokollet.

Följande diagram visar appens topologi:

Klientappen använder Microsoft Entra ID Spring Boot Starter-klientbiblioteket för Java för att logga in en användare och hämta en ID-token från Microsoft Entra-ID. ID-token bevisar att användaren autentiseras med Microsoft Entra-ID och gör det möjligt för användaren att komma åt skyddade vägar.

Förutsättningar

• JDK-version 17. Det här exemplet har utvecklats på ett system med Java 17, men det kan vara kompatibelt med andra versioner.
• Maven 3
• Java-tilläggspaketet för Visual Studio Code rekommenderas för att köra det här exemplet i Visual Studio Code.
• En Microsoft Entra-ID-klientorganisation. Mer information finns i Så här skaffar du en Microsoft Entra ID-klientorganisation.
• Ett användarkonto i din Microsoft Entra-ID-klientorganisation. Det här exemplet fungerar inte med ett personligt Microsoft-konto. Om du loggade in på Azure Portal med ett personligt konto och du inte har något användarkonto i din katalog måste du därför skapa ett nu.
• Visual Studio Code
• Azure Tools för Visual Studio Code

Rekommendationer

• Viss kännedom om Spring Framework.
• Viss kunskap om Linux/OSX-terminalen.
• jwt.ms för att granska dina token.
• Fiddler för att övervaka nätverksaktivitet och felsöka.
• Följ Microsoft Entra-bloggen för att hålla dig up-to-date med den senaste utvecklingen.

Konfigurera exemplet

I följande avsnitt visas hur du konfigurerar exempelprogrammet.

Klona eller ladda ned exempellagringsplatsen

Om du vill klona exemplet öppnar du ett Bash-fönster och använder följande kommando:

git clone https://github.com/Azure-Samples/ms-identity-msal-java-samples.git
cd 4-spring-web-app/1-Authentication/sign-in

Alternativt kan du gå till lagringsplatsen ms-identity-msal-java-samples och sedan ladda ned den som en .zip-fil och extrahera den till hårddisken.

Registrera exempelprogrammen med din Microsoft Entra ID-klientorganisation

Det finns ett projekt i det här exemplet. Följande avsnitt visar hur du registrerar appen med hjälp av Azure Portal.

Välj den Microsoft Entra-ID-klientorganisation där du vill skapa dina program

Använd följande steg för att välja klientorganisation:

1. Logga in på Azure-portalen.

2. Om ditt konto finns i mer än en Microsoft Entra ID-klientorganisation väljer du din profil i hörnet av Azure-portalen och väljer sedan Switch directory för att ändra sessionen till den önskade Microsoft Entra ID-klientorganisationen.

Registrera appen (java-spring-webapp-auth)

Använd följande steg för att registrera appen:

1. Gå till Azure-portalen och välj Microsoft Entra ID.

2. Välj App registrations i navigeringsfönstret och välj sedan Ny registrering.

3. På sidan Registrera ett program som visas anger du följande information om programregistreringen:

   • I avsnittet Namn anger du ett beskrivande namn på programmet som visas för appens användare – till exempel java-spring-webapp-auth.
   • Under Kontotyper som stöds väljer du Endast en klientorganisation – TENANT_NAME (TENANT_NAME varierar beroende på klientorganisation).
   • I avsnittet Omdirigerings-URI (valfritt) väljer du Web i kombinationsrutan och anger följande omdirigerings-URI: http://localhost:8080/login/oauth2/code/.

4. Välj Registrera för att skapa programmet.

5. På appens registreringssida hittar du och kopierar värdet för Program-ID (klient) som du använder senare. Du använder det här värdet i appens konfigurationsfil eller filer.

6. På appens registreringssida väljer du Certifikat och hemligheter i navigeringsfönstret för att öppna sidan där du kan generera hemligheter och ladda upp certifikat.

7. Under avsnittet Klienthemlighet välj Ny klienthemlighet.

8. Skriv en beskrivning – till exempel apphemlighet.

9. Välj en av de tillgängliga varaktigheterna: Rekommenderas: 180 dagar (6 månader), 90 dagar (3 månader), 365 dagar (12 månader), 545 dagar (18 månader) eller 730 dagar (24 månader).

10. Välj Lägg till. Det genererade värdet visas.

11. Kopiera och spara det genererade värdet för användning i senare steg. Du behöver det här värdet för kodens konfigurationsfiler. Det här värdet visas inte igen och du kan inte hämta det på något annat sätt. Se därför till att spara den från Azure Portal innan du går till någon annan skärm eller ett annat fönster.

Konfigurera appen (java-spring-webapp-auth) så att den använder din appregistrering

Använd följande steg för att konfigurera appen:

1. Öppna projektet i din IDE.

2. Öppna filen src\main\resources\application.yml.

3. Leta upp platshållaren Enter_Your_Tenant_ID_Here och ersätt det befintliga värdet med ditt klientorganisations-ID för Microsoft Entra.

4. Leta upp platshållaren Enter_Your_Client_ID_Here och ersätt det befintliga värdet med java-spring-webapp-auth appens program-ID eller clientId som du kopierade från Azure-portalen.

5. Leta upp platshållaren Enter_Your_Client_Secret_Here och ersätt det befintliga värdet med det värde som du sparade när du skapade java-spring-webapp-auth, kopierat från Azure-portalen.

Kör exemplet

az login

az upgrade

az extension add --name containerapp --upgrade

az extension add --name containerapp --upgrade --allow-preview true

az provider register --namespace Microsoft.App
az provider register --namespace Microsoft.OperationalInsights

export RESOURCE_GROUP="ms-identity-containerapps"
export LOCATION="canadacentral"
export ENVIRONMENT="env-ms-identity-containerapps"
export API_NAME="ms-identity-api"
export JAR_FILE_PATH_AND_NAME="./target/ms-identity-spring-boot-webapp-0.0.1-SNAPSHOT.jar"

az group create  \
    --name $RESOURCE_GROUP \
    --location $LOCATION \

az containerapp env create \
    --name $ENVIRONMENT \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION

az containerapp env show \
    --name $ENVIRONMENT \
    --resource-group $RESOURCE_GROUP \
    --query properties.defaultDomain

az containerapp up \
    --name $API_NAME \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION \
    --environment $ENVIRONMENT \
    --artifact <JAR_FILE_PATH_AND_NAME> \
    --ingress external \
    --target-port 8080 \
    --query properties.configuration.ingress.fqdn

Utforska exemplet

Använd följande steg för att utforska exemplet:

1. Observera den inloggade eller utloggade statusen som visas i mitten av skärmen.
2. Välj den sammanhangskänsliga knappen i hörnet. Den här knappen läser Logga in när du först kör appen. Alternativt väljer du tokeninformation. Eftersom den här sidan är skyddad och kräver autentisering omdirigeras du automatiskt till inloggningssidan.
3. På nästa sida följer du anvisningarna och loggar in med ett konto i Microsoft Entra ID-klientorganisationen.
4. På samtyckesskärmen, lägg märke till vilka behörigheter som begärs.
5. När inloggningsflödet har slutförts bör du omdirigeras till startsidan – som visar inloggningsstatusen – eller sidan med tokeninformation, beroende på vilken knapp som utlöste inloggningsflödet.
6. Observera att den sammanhangskänsliga knappen nu säger Logga ut och visar ditt användarnamn.
7. Om du är på startsidan väljer du Information om ID-token för att se några av anspråken i den avkodade ID-tokenen.
8. Använd knappen i hörnet för att logga ut. Statussidan visar det nya tillståndet.

Om koden

Det här exemplet visar hur man använder Microsoft Entra ID Spring Boot Starter-klientbiblioteket för Java för att låta användare logga in i din Microsoft Entra ID-klientorganisation. Exemplet använder även Spring Oauth2-klienten och Spring Web-startstartarna. Exemplet använder anspråken i ID-token som hämtats från Microsoft Entra ID för att visa uppgifter om den inloggade användaren.

Innehåll

I följande tabell visas innehållet i exempelprojektmappen:

Anspråk i ID-token

För att extrahera tokeninformation använder appen Spring Securitys AuthenticationPrincipal- och OidcUser-objekt i en request-mappning, vilket visas i följande exempel. Se Sample Controller för fullständig information om hur den här appen använder anspråk i ID-token.

import org.springframework.security.oauth2.core.oidc.user.OidcUser;
import org.springframework.security.core.annotation.AuthenticationPrincipal;
//...
@GetMapping(path = "/some_path")
public String tokenDetails(@AuthenticationPrincipal OidcUser principal) {
    Map<String, Object> claims = principal.getIdToken().getClaims();
}

Inloggnings- och utloggningslänkar

För inloggning skickar appen en begäran till Microsoft Entra ID-inloggningsslutpunkten automatiskt konfigurerad av Microsoft Entra ID Spring Boot Starter-klientbiblioteket för Java, enligt följande exempel:

<a class="btn btn-success" href="/oauth2/authorization/azure">Sign In</a>

Vid utloggning gör appen en POST-begäran till slutpunkten logout, som visas i följande exempel:

<form action="#" th:action="@{/logout}" method="post">
  <input class="btn btn-warning" type="submit" value="Sign Out" />
</form>

Autentiseringsberoende gränssnittselement

appen har enkel logik i gränssnittets mallsidor för att avgöra vilket innehåll som ska visas beroende på om användaren är autentiserad, vilket visas i följande exempel med hjälp av Spring Security Thymeleaf-taggar:

<div sec:authorize="isAuthenticated()">
  this content only shows to authenticated users
</div>
<div sec:authorize="isAnonymous()">
  this content only shows to not-authenticated users
</div>

Skydda vägar med AADWebSecurityConfigurerAdapter

Som standard skyddar appen sidan Information om ID-token så att endast inloggade användare kan komma åt den. Appen konfigurerar dessa rutter med hjälp av egenskapen app.protect.authenticated från filen application.yml. Om du vill konfigurera appens specifika krav använder du metoden AadWebApplicationHttpSecurityConfigurer#aadWebApplication på instansen HttpSecurity. Ett exempel finns i den här appens SecurityConfig-klass, som visas i följande kod:

@Configuration
@EnableWebSecurity
@EnableMethodSecurity
public class SecurityConfig  {
    
    @Value("${app.protect.authenticated}")
    private String[] allowedOrigins;
    
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        // @formatter:off
        http.apply(AadWebApplicationHttpSecurityConfigurer.aadWebApplication())
            .and()
            .authorizeHttpRequests(auth -> auth
                .requestMatchers(allowedOrigins).authenticated()
                .anyRequest().permitAll()
                );
        // @formatter:on
        return http.build();
    }

    @Bean
    @RequestScope
    public ServletUriComponentsBuilder urlBuilder() {
        return ServletUriComponentsBuilder.fromCurrentRequest();
    }    
}

Mer information

• Microsoft Identity Platform (Microsoft Entra ID för utvecklare)
• Översikt över Microsofts autentiseringsbibliotek (MSAL)
• Snabbstart: Registrera en app med Microsofts identitetsplattform
• Snabbstart: Konfigurera ett klientprogram för att få åtkomst till webb-API:er
• Förstå upplevelser för programmedgivande i Microsoft Entra ID
• Förstå användar- och administratörsmedgivande
• Programobjekt och tjänsthuvudobjekt i Microsoft Entra ID
• Nationella moln
• MSAL-kodexempel
• Microsoft Entra ID Spring Boot Starter-klientbibliotek för Java
• Microsoft Authentication Library for Java (MSAL4J)
• MSAL4J Wiki
• ID-token
• Åtkomsttoken i Microsofts identitetsplattform

Mer information om hur OAuth 2.0-protokoll fungerar i det här scenariot och andra scenarier finns i Autentiseringsscenarier för Microsoft Entra ID.