Аутентификация на предъявителя Azure с помощью OAuth или сертификата?

Question

Я новичок в Azure, поэтому мне жаль, если моя терминология немного не работает. Я унаследовал веб-службу, которая аутентифицирует пользователей, использующих OAuth 2 на Azure. Мне было предложено создать приложение, которое также обращается к службе, используя сертификаты, такие как this.

Я реализовал вышеупомянутое решение, и оно работает хорошо. Однако я должен был изменить аудиторию сервиса от GUID к URL, например:

Was: <add key="ida:Audience" value="709a****-****-****-****-*************" /> 
Now: <add key="ida:Audience" value="https://***.onmicrosoft.com/cafc****-****-****-****-*************" /> 

Это означает, что пользователи могут больше не войти в систему с OAuth. Можно ли использовать одну и ту же аудиторию для обоих сценариев или указать две аудитории?

Спасибо,

Джо

Answer 1

Возможно ли использовать одну аудиторию для обоих сценариев или указать две аудитории?

Да, это возможно. Веб-сервис, защищенный Azure AD, не заботится о том, как вы приобретаете токен. В этом случае вы хотите получить токен, используя OAuth 2.0 поток предоставления кода и Клиентский учетный поток. Он будет проверять маркер на основе конфигурации, например, как аудитории, арендатора и т.д.

на основе описания, вы изменили аудиторию в вашем веб-службы. Чтобы веб-служба продолжала поддерживать токен, полученный с использованиемпотока предоставления кода OAuth 2.0, необходимо также изменить ресурс с использованием новой аудитории . (Кажется, что вы приобрели токен, используя указатель в старый запрос).

Answer 2

Вы должны разделить ваше приложение на двух зарегистрированных приложений в Azure Active Directory. Вы можете увидеть сценарии аутентификации в documentation. Там сценарии:

• веб-браузер для веб-приложения
• Одна страница приложения
• Native приложение к Web API
• веб-приложение Web API
• Daemon или сервер приложений для Web API

Ниже приведена схема, показывающая точки взаимодействия для каждого сценария аутентификации:

Как вы можете видеть, каждый сценарий имеет конкретный метод аутентификации запросов к нему. Для вашего сценария вам нужен веб-API, который запрашивает необходимую вам информацию, а затем приложение браузера, с которым взаимодействуют ваши пользователи, а затем демон, который может взаимодействовать с одним и тем же API.