Aktivera inloggning för Java Tomcat-appar med MSAL4J med Azure Active Directory B2C

Den här artikeln demonstrerar en Java Tomcat-applikation som autentiserar användare mot Azure Active Directory B2C (Azure AD B2C) med hjälp av Microsoft Authentication Library for Java (MSAL4J).

Följande diagram visar appens topologi:

Diagram som visar appens topologi.

Appen använder MSAL4J för att logga in användare och hämta en ID-token från Azure AD B2C. ID-token bevisar att användaren autentiseras mot en Azure AD B2C-klientorganisation.

Förutsättningar

• JDK version 8 eller senare
• Maven 3
• En Azure AD B2C-klientorganisation. Mer information finns i Självstudie: Skapa en Azure Active Directory B2C-klientorganisation
• Ett användarkonto i din Azure AD B2C-klientorganisation.

• Tomcat 9
• Visual Studio Code
• Azure Tools för Visual Studio Code

Rekommendationer

• Viss kännedom om Java / Jakarta Servlets.
• Viss kunskap om Linux/OSX-terminalen.
• jwt.ms för att granska dina token.
• Fiddler för att övervaka nätverksaktivitet och felsöka.
• Följ Microsoft Entra-bloggen för att hålla dig up-to-date med den senaste utvecklingen.

Konfigurera exemplet

I följande avsnitt visas hur du konfigurerar exempelprogrammet.

Klona eller ladda ned exempellagringsplatsen

Om du vill klona exemplet öppnar du ett Bash-fönster och använder följande kommando:

git clone https://github.com/Azure-Samples/ms-identity-msal-java-samples.git
cd 3-java-servlet-web-app/1-Authentication/sign-in-b2c

Du kan också gå till lagringsplatsen ms-identity-msal-java-samples och sedan ladda ned den som en .zip-fil och extrahera den till hårddisken.

Registrera exempelappen med din Azure AD B2C-klientorganisation

Exemplet levereras med ett förregistrerat program i testsyfte. Om du vill använda din egen Azure AD B2C-klientorganisation och din egen applikation kan du följa stegen i följande avsnitt för att registrera och konfigurera applikationen i Azure-portalen. Annars fortsätt med stegen för Kör exemplet.

Välj den Azure AD B2C-klientorganisation där du vill skapa dina program

Så här väljer du din klientorganisation:

1. Logga in i Azure-portalen.

2. Om ditt konto finns i mer än en Azure AD B2C-klientorganisation väljer du din profil i hörnet i Azure-portalen och väljer sedan Växla katalog för att byta session till den önskade Azure AD B2C-klientorganisationen.

Skapa användarflöden och anpassade principer

Om du vill skapa vanliga användarflöden som registrering, inloggning, profilredigering och lösenordsåterställning kan du läsa självstudien Skapa användarflöden i Azure Active Directory B2C.

Du bör även överväga att skapa anpassade principer i Azure Active Directory B2C, men detta ligger utanför ramen för den här självstudien.

Lägga till externa identitetsprovidrar

Se Självstudie: Lägga till identitetsleverantörer i dina program i Azure Active Directory B2C.

Registrera appen (ms-identity-b2c-java-servlet-webapp-authentication)

Använd följande steg för att registrera appen:

1. Gå till Azure-portalen och välj Azure AD B2C.

2. Välj Appregistreringar i navigeringsfönstret och välj sedan Ny registrering.

3. På sidan Registrera ett program som visas anger du följande information för programregistreringen:

   • I avsnittet Namn anger du ett beskrivande appnamn som visas för appens användare - till exempel .
   • Under Kontotyper som stöds väljer du Konton i valfri organisationskatalog och personliga Microsoft-konton (t.ex. Skype, Xbox Outlook.com).
   • I avsnittet Omdirigerings-URI (valfritt) väljer du Web i kombinationsrutan och anger följande omdirigerings-URI: .

4. Välj Registrera för att skapa programmet.

5. På appens registreringssida letar du reda på och kopierar värdet för Program-ID (klient) som du ska använda senare. Du använder det här värdet i appens konfigurationsfil eller filer.

6. Välj Spara för att spara dina ändringar.

7. På appens registreringssida väljer du Certifikat och hemligheter i navigeringsfönstret för att öppna sidan där du kan generera hemligheter och ladda upp certifikat.

8. Under avsnittet Klienthemlighet välj Ny klienthemlighet.

9. Skriv en beskrivning – till exempel apphemlighet.

10. Välj en förfallotid för hemligheten eller ange en anpassad livslängd. Klienthemligheter är begränsade till en maximal livslängd på 24 månader och Microsoft rekommenderar ett utgångsdatum på mindre än 12 månader. För produktionsappar föredrar du ett certifikat eller federerade identitetsautentiseringsuppgifter framför en klienthemlighet.

11. Välj Lägg till. Det genererade värdet visas.

12. Kopiera och spara det genererade värdet för användning i senare steg. Du behöver det här värdet för kodens konfigurationsfiler. Det här värdet visas inte igen och du kan inte hämta det på något annat sätt. Se därför till att spara den från Azure Portal innan du går till någon annan skärm eller ett annat fönster.

Konfigurera appen (ms-identity-b2c-java-servlet-webapp-authentication) för att använda din appregistrering

Använd följande steg för att konfigurera appen:

1. Öppna projektet i din IDE.

2. Öppna filen ./src/main/resources/authentication.properties.

3. Leta upp egenskapen och ersätt det befintliga värdet med program-ID:t eller för programmet från Azure-portalen.

4. Leta upp egenskapen och ersätt det befintliga värdet med det värde som du sparade när du skapade programmet i Azure-portalen.

5. Leta upp egenskapen och ersätt det befintliga klient-ID:t för programmet med det värde som du angav i i steg 1 i det här avsnittet.

6. Leta upp egenskapen och ersätt den första instansen av med namnet på den Azure AD B2C-klientorganisation där du skapade programmet i Azure-portalen.

7. Hitta egenskapen och ersätt den andra förekomsten av med namnet på den Azure AD B2C-klientorganisation där du skapade programmet i Azure-portalen.

8. Leta upp egenskapen och ersätt den med namnet på användarflödesprincipen för registrering/inloggning som du skapade i den Azure AD B2C-klientorganisation där du skapade programmet i Azure-portalen.

9. Leta reda på egenskapen och ersätt den med namnet på användarflödesprincipen för lösenordsåterställning som du skapade i den Azure AD B2C-klientorganisation där du skapade programmet i Azure-portalen.

10. Leta upp egenskapen och ersätt den med namnet på den användarflödesprincip för redigering av profil som du skapade i den Azure AD B2C-klientorganisation där du skapade programmet i Azure-portalen.

Skapa exemplet

Om du vill skapa exemplet med Maven går du till katalogen som innehåller pom.xml-filen för exemplet och kör sedan följande kommando:

mvn clean package

Det här kommandot genererar en .war-fil som du kan köra på olika programservrar.

Kör exemplet

Please confirm webapp properties
AppName : msal4j-servlet-auth-1707209552268
ResourceGroup : msal4j-servlet-auth-1707209552268-rg
Region : centralus
PricingTier : P1v2
OS : Linux
Java Version: Java 11
Web server stack: Tomcat 9.0
Deploy to slot : false
Confirm (Y/N) [Y]: [INFO] Saving configuration to pom.
[INFO] ------------------------------------------------------------------------
[INFO] BUILD SUCCESS
[INFO] ------------------------------------------------------------------------
[INFO] Total time:  37.112 s
[INFO] Finished at: 2024-02-06T08:53:02Z
[INFO] ------------------------------------------------------------------------

<build>
    <plugins>
        <plugin>
            <groupId>com.microsoft.azure</groupId>
            <artifactId>>azure-webapp-maven-plugin</artifactId>
            <version>x.xx.x</version>
            <configuration>
                <schemaVersion>v2</schemaVersion>
                <resourceGroup>your-resourcegroup-name</resourceGroup>
                <appName>your-app-name</appName>
            ...
            </configuration>
        </plugin>
    </plugins>
</build>

az login

mvn package azure-webapp:deploy

Utforska exemplet

Använd följande steg för att utforska exemplet:

1. Observera den inloggade eller utloggade statusen som visas i mitten av skärmen.
2. Välj den sammanhangskänsliga knappen i hörnet. Den här knappen läser Logga in när du först kör appen.
3. På nästa sida följer du anvisningarna och loggar in med ett konto för din valda identitetsprovider.
4. Observera att den sammanhangskänsliga knappen nu säger Logga ut och visar ditt användarnamn.
5. Välj Information om ID-token om du vill se några av ID-tokenens avkodade anspråk.
6. Du kan också redigera din profil. Välj länken för att redigera information som ditt visningsnamn, bostadsort och yrke.
7. Använd knappen i hörnet för att logga ut.
8. När du har loggat ut går du till följande URL för sidan med tokeninformation: . Här kan du se hur appen visar ett -fel i stället för anspråken i ID-token.

Om koden

Det här exemplet visar hur du använder MSAL4J för att logga in användare i din Azure AD B2C-klientorganisation.

Innehåll

I följande tabell visas innehållet i exempelprojektmappen:

ConfidentialClientApplication

En -instans skapas i filen AuthHelper.java, som visas i följande exempel. Det här objektet hjälper dig att skapa Azure AD B2C-auktoriserings-URL:en och hjälper även till att byta ut autentiseringstoken mot en åtkomsttoken.

IClientSecret secret = ClientCredentialFactory.createFromSecret(SECRET);
confClientInstance = ConfidentialClientApplication
                     .builder(CLIENT_ID, secret)
                     .b2cAuthority(AUTHORITY + policy)
                     .build();

Följande parametrar används för instansiering:

• Appens klient-ID.
• Klienthemligheten, som är ett krav för konfidentiella klientprogram.
• Azure AD B2C-auktoriteten sammanfogad med lämpliga för registrering, inloggning, profilredigering eller återställning av lösenord.

I det här exemplet läss dessa värden från filen authentication.properties med hjälp av en egenskapsläsare i filen Config.java .

Stegvis genomgång

Följande steg innehåller en genomgång av appens funktioner:

1. Det första steget i inloggningsprocessen är att skicka en begäran till slutpunkten för din Azure Active Directory B2C-klientorganisation. MSAL4J-instansen används för att konstruera en auktoriserings-URL, och appen omdirigerar webbläsaren till denna URL, som visas i följande exempel:

   final ConfidentialClientApplication client = getConfidentialClientInstance(policy);
   final AuthorizationRequestUrlParameters parameters = AuthorizationRequestUrlParameters
       .builder(REDIRECT_URI, Collections.singleton(SCOPES)).responseMode(ResponseMode.QUERY)
       .prompt(Prompt.SELECT_ACCOUNT).state(state).nonce(nonce).build();
   
   final String redirectUrl = client.getAuthorizationRequestUrl(parameters).toString();
   Config.logger.log(Level.INFO, "Redirecting user to {0}", redirectUrl);
   resp.setStatus(302);
   resp.sendRedirect(redirectUrl);
   

   I följande lista beskrivs funktionerna i den här koden:

   • : Parametrar som måste ställas in för att bygga en AuthorizationRequestUrl.

   • : Dit Azure AD B2C omdirigerar webbläsaren – tillsammans med auktoriseringskoden – efter att användarens inloggningsuppgifter har samlats in.

   • : Omfattningar är behörigheter som begärs av programmet.

     Vanligtvis brukar de tre omfången räcka för att få ett svar med en ID-token. MSAL4J kräver dock att alla svar från Azure AD B2C även innehåller en åtkomsttoken.

     För att Azure AD B2C ska kunna dela ut en åtkomsttoken och en ID-token måste begäran innehålla ytterligare ett resursomfång. Eftersom den här appen inte kräver något externt resursomfång lägger den till ett eget klient-ID som ett fjärde omfång för att kunna ta emot en åtkomsttoken.

     Du hittar en fullständig lista över omfång som begärs av appen i filen authentication.properties .

   • : Azure AD B2C kan returnera svaret som formulärparametrar i en HTTP POST-begäran eller som parametrar i frågesträngen i en HTTP GET-begäran.

   • : Azure AD B2C bör be användaren välja det konto som autentiseringen ska göras med.

   • : En unik variabel som ställs in av appen i sessionen vid varje tokenbegäran och tas bort efter att motsvarande Azure AD B2C-omdirigeringsåteranrop har mottagits. Tillståndsvariabeln säkerställer att Azure AD B2C-begäranden till faktiskt kommer från Azure AD B2C-auktoriseringsförfrågningar som härrör från den här appen och den här sessionen, vilket förhindrar CSRF-attacker. Detta görs i filen AADRedirectServlet.java .

   • : En unik variabel som appen anger i sessionen vid varje tokenbegäran och som tas bort efter att motsvarande token har tagits emot. Den här nonce transkriberas till de resulterande token som har delats ut från Azure AD B2C, vilket säkerställer att det inte sker någon tokenreprisattack.

2. Användaren får en inloggningsprompt av Azure Active Directory B2C. Om inloggningsförsöket lyckas omdirigeras användarens webbläsare till appens omdirigeringsslutpunkt. En giltig begäran till den här slutpunkten innehåller en auktoriseringskod.

3. -instansen utbyter sedan denna auktoriseringskod mot en ID-token och en åtkomsttoken från Azure Active Directory B2C, vilket visas i följande exempel:

   final AuthorizationCodeParameters authParams = AuthorizationCodeParameters
                       .builder(authCode, new URI(REDIRECT_URI))
                       .scopes(Collections.singleton(SCOPES)).build();
   
   final ConfidentialClientApplication client = AuthHelper
           .getConfidentialClientInstance(policy);
   final Future<IAuthenticationResult> future = client.acquireToken(authParams);
   final IAuthenticationResult result = future.get();
   

   I följande lista beskrivs funktionerna i den här koden:

   • : Parametrar som måste anges för att kunna byta ut auktoriseringskoden mot ett ID-token och/eller en åtkomsttoken.
   • : Auktoriseringskoden som togs emot vid omdirigeringsslutpunkten.
   • : omdirigerings-URI:n som användes i föregående steg måste anges igen.
   • : De scope som användes i föregående steg måste skickas med igen.

4. Om lyckas extraheras anspråken i token, och nonce-anspråket valideras mot noncen som lagras i sessionen, som visas i följande exempel:

   parseJWTClaimsSetAndStoreResultInSession(msalAuth, result, serializedTokenCache);
   validateNonce(msalAuth)
   processSuccessfulAuthentication(msalAuth);
   

5. Om noncen valideras korrekt lagras autentiseringsstatusen i en serversidesession med hjälp av metoder som tillhandahålls av -klassen, som visas i följande exempel:

   msalAuth.setAuthenticated(true);
   msalAuth.setUsername(msalAuth.getIdTokenClaims().get("name"));
   

Mer information

• Vad är Azure Active Directory B2C?
• Programtyper som kan användas i služba Active Directory B2C
• Rekommendationer och bästa praxis för Azure Active Directory B2C
• Azure AD B2C-session
• Microsofts autentiseringsbibliotek (MSAL) för Java

Mer information om hur OAuth 2.0-protokoll fungerar i det här och andra scenarier finns i Autentiseringsscenarier för Microsoft Entra ID.