Configuration d'Azure Active Directory pour les applications monopage

Aperçu

Les applications JavaScript s'exécutant dans un navigateur sont souvent difficiles à sécuriser à cause de la nature ouverte du Web. Le stockage sécurisé est non-existant, et tout est en texte clair (pour HTTP version 1.1). Voici une citation (en anglais) de l'équipe Azure Active Directory qui synthétise l'état de l'authentification avec les applications monopage (« single-page applications ») :

The OAuth2 implicit grant is notorious for being the grant with the longest list of security concerns in the OAuth2 specification. And yet, that is the approach implemented by ADAL JS and the one we recommend when writing SPA applications. What gives? It’s all a matter of tradeoffs: and as it turns out, the implicit grant is the best approach you can pursue for applications that consume a Web API via JavaScript from a browser.

(Source : https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-dev-understanding-oauth2-implicit-grant)

Il est donc important de faire toutes les vérifications nécessaires pour assurer la validité de vos demandes et les réponses.

Cette section contient les instructions sur comment configurer Azure AD avec une application monopage (« SPA ») avec laquelle les utilisateurs pourront s'authentifier et faire des requêtes à l'API GraphQL. Cette configuration est constituée de trois étapes : l'inscription de la SPA, donner accès à l'API et régler quelques URLs de redirection.

Prérequis

• Assurez-vous d'avoir une copie de WorkflowGen sous licence installée et en fonctionnement sur un serveur.

• Assurez-vous d'avoir l'accès d'administrateur Azure AD pour pouvoir configurer Azure AD.

• Assurez-vous d'avoir approvisionné un utilisateur Azure AD existant depuis lequel vous pourrez vous authentifier à WorkflowGen pour pouvoir utiliser l'application.

• Assurez-vous d'avoir bien configuré l'authentification déléguée à Azure AD sur votre instance de WorkflowGen en suivant les instructions dans la section Authentification Azure Active Directory.

Configuration d'Azure Active Directory

Étape 1 : Inscrivez une nouvelle application Web

1. Dans le portail Azure, cliquez sur Inscriptions d'applications dans la section Azure Active Directory.

2. Cliquez sur Nouvelle inscription, puis entrez les propriétés :

   • Nom : Mon nom SPA

   • Types de comptes pris en charge : Comptes dans cet annuaire d'organisation uniquement ✏️ Note : En fonction du contexte, vous devez choisir la bonne option pour votre cas d'utilisation pour la valeur du type de compte supporté.

   • URI de redirection :

     • Type : Web

     • Valeur : https://<mon URL de connexion SPA>

3. Cliquez sur S'inscrire en bas de la page.

Vous devriez maintenant voir la page d'aperçu de votre application inscrite.

Étape 2 : Autorisez le flux d'octroi implicite sur l'inscription

1. Cliquez sur Authentification.

2. Naviguez à la sous-section Octroi implicite dans la section Paramètres avancés.

3. Cochez les boîtes à cocher Jetons d'accès et Jetons d'identificateur.

4. Cliquez sur Enregistrer.

Étape 3 : Accordez l'accès à l'API GraphQL

Maintenant que vous avez enregistré avec succès votre application monopage, vous devez lui accorder l'accès à l'application WorkflowGen GraphQL API, qui devrait déjà être inscrite si vous avez rempli les conditions préalables.

1. Cliquez sur API autorisées.

2. Dans la section Autorisations configurées, cliquez sur Ajouter une autorisation.

3. Cliquez sur Mes API, puis sélectionnez l'application WorkflowGen Server.

4. Cliquez sur Autorisations déléguées, puis sélectionnez user_impersonation.

5. Cliquez sur Ajouter des autorisations.

Vous devriez maintenant voir l'API GraphQL de WorkflowGen dans la liste des permissions requises de votre SPA inscrite. Lors d'une requête de jeton d'accès à Azure, selon l'audience vous devriez pouvoir obtenir un jeton valide que vous enverrez vers l'API GraphQL de votre instance de WorkflowGen en plus de la demande.