Transcription

1

2

3 /oauth2

4 Protected API

5 Your Client App Your Client App Your Client App Microsoft Account v2.0 endpoint Unified AuthN/Z endpoint Outlook.com ( Unified API endpoint (OneDrive, Outlook, etc) Azure AD Exchange Online

6 Web Mobile

7 開発者的関心 IT 管理者的関心 開発者にとってのブラックボックス など....

8

9 Microsoft Authentication Library (MSAL)

10 Senario オフライン接続複数リソースの使用 Impersonation ( 偽装 ) Client Type Web Client Native Client Single Page Web Client Daemon / Service Client Access Pattern refresh token を使用した access token の取り直し ( 別 resource も指定可能 ) access token を使用した access token の取り直し (on_behalf_of パラメーターを使用 ) Access Pattern client id と client secret の使用 (client secret で なりすまし を防止 ) refresh token を使用した なりすまし 防止 (client secret は不使用 ) refresh token も client secret も使わない方式 (token 取り直しには hidden iframe を使用 ) Login UI を伴わない App-only context (client secret を使用 )

11 Senario オフライン接続複数リソースの使用 Impersonation ( 偽装 ) Client Type Web Client Native Client Single Page Web Client Daemon / Service Client Access Pattern refresh token を使用した access token の取り直し ( 別 resource も指定可能 ) access token を使用した access token の取り直し (on_behalf_of パラメーターを使用 ) Access Pattern client id と client secret の使用 (client secret で なりすまし を防止 ) refresh token を使用した なりすまし 防止 (client secret は不使用 ) refresh token も client secret も使わない方式 (token 取り直しには hidden iframe を使用 ) Login UI を伴わない App-only context (client secret を使用 )

12 POST Content-Type: application/x-www-form-urlencoded grant_type=refresh_token&refresh_token=<received refresh token>&client_id=<client id>&resource=<another resource id> { } "access_token":"eyj0exaioijkv1...", "token_type":"bearer", "expires_in":"28800", "expires_on":" ",...

13 Senario オフライン接続複数リソースの使用 Impersonation ( 偽装 ) Client Type Web Client Native Client Single Page Web Client Daemon / Service Client Access Pattern refresh token を使用した access token の取り直し ( 別 resource も指定可能 ) access token を使用した access token の取り直し (on_behalf_of パラメーターを使用 ) Access Pattern client id と client secret の使用 (client secret で なりすまし を防止 ) refresh token を使用した なりすまし 防止 (client secret は不使用 ) refresh token も client secret も使わない方式 (token 取り直しには hidden iframe を使用 ) Login UI を伴わない App-only context (client secret を使用 )

14 POST Content-Type: application/x-www-form-urlencoded grant_type=urn%3aietf%3aparams%3aoauth%3agrant-type%3ajwt-bearer& assertion=<received access token>&requested_token_use=on_behalf_of& resource=<new resource>&scope=openid& client_id=<new client id>&client_secret=<new client secret> { } "access_token":"eyj0exaioijkv1...", "token_type":"bearer", "expires_in":"28800", "expires_on":" ",...

15 Senario オフライン接続複数リソースの使用 Impersonation ( 偽装 ) Client Type Web Client Native Client Single Page Web Client Daemon / Service Client Access Pattern refresh token を使用した access token の取り直し ( 別 resource も指定可能 ) access token を使用した access token の取り直し (on_behalf_of パラメーターを使用 ) Access Pattern client id と client secret の使用 (client secret で なりすまし を防止 ) refresh token を使用した なりすまし 防止 (client secret は不使用 ) refresh token も client secret も使わない方式 (token 取り直しには hidden iframe を使用 ) Login UI を伴わない App-only context (client secret を使用 )

16 en&client_id=2ecc2d71-8fcc-4007-b18e cae&resource=https%3A%2F%2Ftestsv.azurewebsites.net&redirect_uri=https%3A%2F%2Ftest.com%2Ftest.html ires_in=3599&session_state=eb83c98a b18-b1a1-bdf483104d66 HTML Azure AD #access_token=eyj0exaioi...

17 Senario オフライン接続複数リソースの使用 Impersonation ( 偽装 ) Client Type Web Client Native Client Single Page Web Client Daemon / Service Client Access Pattern refresh token を使用した access token の取り直し ( 別 resource も指定可能 ) access token を使用した access token の取り直し (on_behalf_of パラメーターを使用 ) Access Pattern client id と client secret の使用 (client secret で なりすまし を防止 ) refresh token を使用した なりすまし 防止 (client secret は不使用 ) refresh token も client secret も使わない方式 (token 取り直しには hidden iframe を使用 ) Login UI を伴わない App-only context (client secret を使用 )

18 App Azure AD POST Content-Type: application/x-www-form-urlencoded resource=... &client_id=... &client_assertion_type=urn%3aietf%3aparams%3aoauth%3aclient-assertion-type%3ajwt-bearer &client_assertion=eyjhbgcioijsuzi...&grant_type=client_credentials

19 v2.0 endpoint Your Client App Unified AuthN/Z endpoint ( Unified API endpoint (OneDrive, Outlook, etc) Microsoft Graph

20 USERS GROUPS FILES MAIL CALENDAR TASKS Insights and relationships

21 /drive/items/{id}/lastmodifiedbyuser/manager SharePoint AD manager USER modifiedby

22 trendingaround Shared with me CONVERSATIONS EVENTS manager USER workingwith directreports createdby manager trendingaround TASKS FILES modifiedby GROUPS memberof workingwith TASKS NOTES FILES createdby MESSAGES NOTES

23 1 Windows Hello User 2 IDP Intranet Resource 4 Windows 10 3 Active Directory Azure AD Microsoft Account Other IDP s Intranet Resource 4

24

25 // get Microsoft Web Account Manager Provider var provider = await WebAuthenticationCoreManager.FindAccountProviderAsync( " "organizations"); // request result token to Web Account Manager WebTokenRequest webtokenrequest = new WebTokenRequest( provider, "", "553bd5ae-0b5c-40b3-abeb-4ffa34eca2d3"); webtokenrequest.properties.add( "resource", " WebTokenRequestResult webtokenresult = await WebAuthenticationCoreManager.RequestTokenAsync( webtokenrequest); // retrieve access token // webtokenresult.responsedata[0].token に入っている

26

27 // Create the credential KeyCredentialRetrievalResult createres = await KeyCredentialManager.RequestCreateAsync("key1", KeyCredentialCreationOption.ReplaceExisting); // if the status is success, retrieve the public key. var pubkey = createres.credential.retrievepublickey(); // convert string to binary buffer var inputbuf = CryptographicBuffer.ConvertStringToBinary( "Test Data 1", BinaryStringEncoding.Utf8); // sign using retrieved private key KeyCredentialOperationResult signres = await res.credential.requestsignasync(inputbuf); // get the base64 encoded data to cryptographically sign string base64encsignature = CryptographicBuffer.EncodeToBase64String(signRes.Result);

28 柔軟でコンシューマ中心ストレスのないコンシューマ体験 高い信頼性 セキュア高い信頼性 セキュア すべてのビジネスが対象使った分だけの課金 マーケットへの迅速展開拡張可能で標準に準拠

29