Adquirir tokens para llamar a una API web mediante una aplicación daemon

Este es un ejemplo de definición de los ámbitos de la API web como parte de la configuración en un archivo appsettings.json. Este ejemplo se ha tomado del ejemplo de código del demonio de consola de .NET de GitHub.

{
    "AzureAd": {
        // Same AzureAd section as before.
    },

    "MyWebApi": {
        "BaseUrl": "https://localhost:44372/",
        "RelativePath": "api/TodoList",
        "RequestAppToken": true,
        "Scopes": [ "[Enter here the scopes for your web API]" ]
    }
}

En Java, defina el ámbito de Microsoft Graph predeterminado como una constante:

final static String GRAPH_DEFAULT_SCOPE = "https://graph.microsoft.com/.default";

En Node.js, especifique el ámbito en el objeto de solicitud de token:

const tokenRequest = {
    scopes: [process.env.GRAPH_ENDPOINT + '.default'], // e.g. 'https://graph.microsoft.com/.default'
};

En MSAL Python, el archivo de configuración es similar a este fragmento de código:

{
    "scope": ["https://graph.microsoft.com/.default"],
}

En código de .NET de bajo nivel, compile el ámbito anexando /.default al identificador de recurso:

ResourceId = "someAppIDURI";
var scopes = new [] {  ResourceId+"/.default"};

Con Microsoft. Identity.Web, no es necesario adquirir un token directamente. Puede usar API de nivel superior, como puede ver en Llamada a una API web desde una aplicación daemon. Sin embargo, si usa un SDK que requiere un token, puede obtener un token de aplicación a través de la ITokenAcquirer abstracción, como se muestra en el ejemplo siguiente:

using Microsoft.Extensions.DependencyInjection;
using Microsoft.Identity.Abstractions;
using Microsoft.Identity.Web;

// In the Program.cs, acquire a token for your downstream API

var tokenAcquirerFactory = TokenAcquirerFactory.GetDefaultInstance();
ITokenAcquirer acquirer = tokenAcquirerFactory.GetTokenAcquirer();
AcquireTokenResult tokenResult = await acquirer.GetTokenForUserAsync(new[] { "https://graph.microsoft.com/.default" });
string accessToken = tokenResult.AccessToken;

El siguiente ejemplo de adquisición de tokens Java se extrae de los ejemplos de desarrollo de MSAL Java.

private static IAuthenticationResult acquireToken() throws Exception {

     // Load token cache from file and initialize token cache aspect. The token cache will have
     // dummy data, so the acquireTokenSilently call will fail.
     TokenCacheAspect tokenCacheAspect = new TokenCacheAspect("sample_cache.json");

     IClientCredential credential = ClientCredentialFactory.createFromSecret(CLIENT_SECRET);
     ConfidentialClientApplication cca =
             ConfidentialClientApplication
                     .builder(CLIENT_ID, credential)
                     .authority(AUTHORITY)
                     .setTokenCacheAccessAspect(tokenCacheAspect)
                     .build();

     IAuthenticationResult result;
     try {
         SilentParameters silentParameters =
                 SilentParameters
                         .builder(SCOPE)
                         .build();

         // try to acquire token silently. This call will fail since the token cache does not
         // have a token for the application you are requesting an access token for
         result = cca.acquireTokenSilently(silentParameters).join();
     } catch (Exception ex) {
         if (ex.getCause() instanceof MsalException) {

             ClientCredentialParameters parameters =
                     ClientCredentialParameters
                             .builder(SCOPE)
                             .build();

             // Try to acquire a token. If successful, you should see
             // the token information printed out to console
             result = cca.acquireToken(parameters).join();
         } else {
             // Handle other exceptions accordingly
             throw ex;
         }
     }
     return result;
 }

El siguiente fragmento de código muestra la adquisición de tokens en una aplicación cliente confidencial MSAL Node:

try {
    const authResponse = await cca.acquireTokenByClientCredential(tokenRequest);
    console.log(authResponse.accessToken) // display access token
} catch (error) {
    console.log(error);
}

En el ejemplo siguiente se muestra el patrón de Python MSAL para adquirir un token de acceso de solo aplicación con credenciales de cliente:

result = None

# First, the code looks up a token from the cache.
# Because we're looking for a token for the current app, not for a user,
# use None for the account parameter.
result = app.acquire_token_silent(config["scope"], account=None)

if not result:
    logging.info("No suitable token exists in cache. Let's get a new one from Azure AD.")
    result = app.acquire_token_for_client(scopes=config["scope"])

if "access_token" in result:
    # Call a protected API with the access token.
    print(result["token_type"])
else:
    print(result.get("error"))
    print(result.get("error_description"))
    print(result.get("correlation_id"))  # You might need this when reporting a bug.

using Microsoft.Identity.Client;

// With client credentials flows, the scope is always of the shape "resource/.default" because the
// application permissions need to be set statically (in the portal or by PowerShell), and then granted by
// a tenant administrator.
string[] scopes = new string[] { "https://graph.microsoft.com/.default" };

AuthenticationResult result = null;
try
{
 result = await app.AcquireTokenForClient(scopes)
                  .ExecuteAsync();
}
catch (MsalUiRequiredException ex)
{
    // The application doesn't have sufficient permissions.
    // - Did you declare enough app permissions during app creation?
    // - Did the tenant admin grant permissions to the application?
}
catch (MsalServiceException ex) when (ex.Message.Contains("AADSTS70011"))
{
    // Invalid scope. The scope has to be in the form "https://resourceurl/.default"
    // Mitigation: Change the scope to be as expected.
}

AcquireTokenForClient usa la caché de tokens de la aplicación.

En MSAL.NET, AcquireTokenForClient usa la caché de tokens de aplicación. (Todos los demás métodos AcquireTokenXX usan la caché de tokens de usuario). No llame a AcquireTokenSilent antes de llamar a AcquireTokenForClient, ya que AcquireTokenSilent usa la caché de tokens de usuario. AcquireTokenForClient comprueba la propia caché de tokens de aplicación y la actualiza.

Continúe con el siguiente artículo en este escenario, Llamar a una API web.

Pase al siguiente artículo en este escenario, Llamar a una API web.

Pase al siguiente artículo en este escenario, Llamar a una API web.

Pase al siguiente artículo en este escenario, Llamar a una API web.

Pase al siguiente artículo en este escenario, Llamar a una API web.