Xác thực và Ủy quyền với Entra ID

Azure API Management

Fiodar Sazanavets

Senior Software Engineer at Microsoft

Khái niệm OAuth cơ bản

Tích hợp Entra ID - APIM

Vì sao dùng nhà cung cấp danh tính

So sánh với dịch vụ đỗ xe

Có thể coi IdP như dịch vụ đỗ xe
Xe của bạn có đồ giá trị trong hộc để (dữ liệu bảo mật)
Bạn đưa họ chiếc chìa khóa valet đặc biệt
- chỉ cho phép đỗ xe, không mở được đồ giá trị
Tương tự, IdP quản lý bảo mật ứng dụng nhưng không truy cập dữ liệu bảo mật trong ứng dụng
Ví dụ: Entra ID là IdP, API Manager là client

Đăng ký ứng dụng Entra ID

Entra ID có trong Azure Portal
Cần quyền cộng tác cao để quản trị
Để áp dụng OAuth, thêm thực thể mới trong App Registration
Mỗi đăng ký cần tên tùy chỉnh và redirect URL hợp lệ
Với APIM, redirect URL là địa chỉ của phiên bản APIM
Điều này đảm bảo Entra ID chuyển hướng lại APIM sau đăng nhập

Đăng ký ứng dụng Entra ID

Thu thập thông tin client

Thông tin client Entra ID

Client ID và Tenant ID
- Tạo địa chỉ công khai của ứng dụng
- Code dùng để cho Entra ID biết "ứng dụng là ai"
Client Secret
- Như mật khẩu của ứng dụng
- Code xuất trình để chứng minh danh tính
- Luôn lưu trữ an toàn, không để lộ trong mã phía client

Lấy URL endpoint

Lấy URL endpoint của IdP trước khi kết nối client với IdP
- Trong Entra ID, nhấp Endpoints ở trang Overview của app registration
- Ghi lại endpoint OAuth 2.0 authorization và token
Authorization Endpoint
- Nơi mã chuyển hướng người dùng để đăng nhập
Token Endpoint
- Backend đổi authorization code lấy access token

Luồng xác thực Entra ID

Kết nối APIM với Entra ID

Kết nối OAuth và OIDC trong APIM

Trong APIM, mở OAuth 2.0 + OpenID Connect dưới APIs
- Tạo authorization server mới
Cấu hình server với:
- Authorization và token endpoints
- Client ID và Client Secret
- Scopes do API của bạn công bố

Ayo berlatih!

Azure API Management

Preparing Video For Download...