2

问题后端网络应用程序是否可以从通过登录前端网络应用程序生成的 AAD 身份验证 cookie 接受并获取用户身份？

背景我想为 JavaScript SignalR 客户端实现 Azure Active Directory 单点登录体验，但我当前的解决方案要求用户登录两次。一次访问托管 js-client 的 Web 应用程序，然后再次访问 js-client-app 可以访问后端。

具有 SSO AAD 身份验证的所需解决方案

  1. 前端（OWIN/MVC/JavaScript）
    • 用于识别用户的 AAD 身份验证 - 已实施
    • JS SignalR 客户端在服务器请求中包含 auth cookie -默认情况下有效
  2. 后端（OWIN/SignalR PersistentConnection）
    • 通过 SignalR 请求中包含的前端身份验证中的加密 .AspNetCookies cookie 识别用户。
    • cookie 不被接受，并且 OWIN 的调试输出是 Microsoft.Owin.Security.Cookies.CookieAuthenticationMiddleware 警告：0：取消保护票证失败

尝试的后端 Startup.cs

public void ConfigureAuth( IAppBuilder app )
   app.SetDefaultSignInAsAuthenticationType( CookieAuthenticationDefaults.AuthenticationType);
   app.UseCookieAuthentication(new CookieAuthenticationOptions());
   app.UseOpenIdConnectAuthentication(
       new OpenIdConnectAuthenticationOptions
           {
              ClientId = clientId,
              Authority = authority,
              RedirectUri = redirectUri,
              PostLogoutRedirectUri = redirectUri,
              TokenValidationParameters = new TokenValidationParameters
              {
                 RoleClaimType = "roles"
              }
            });
}

当前具有不良双重登录的解决方案

  1. 前端 Web 应用程序(OWIN/MVC/JavaScript)
    • Owin 处理 AAD 身份验证
    • MVC根据经过身份验证的用户生成视图
    • ADAL JS 在客户端处理用户身份验证并获取作为 cookie 添加的访问令牌 (my_access_token)
  2. 后端 Web 应用程序(OWIN/SignalR PersistentConnection)
    • OWIN 通过提取在 my-_access_token cookie 中找到的访问令牌并将其添加为承载授权标头来处理身份验证
    • 通过基于经过身份验证的用户覆盖PersistentConnection 中的 Authorize 函数来处理授权

当前前端 Startup.cs

public void ConfigureAuth( IAppBuilder app )
   GlobalFilters.Filters.Add( new AuthorizeAttribute() );
   app.SetDefaultSignInAsAuthenticationType( CookieAuthenticationDefaults.AuthenticationType);
   app.UseCookieAuthentication(new CookieAuthenticationOptions());
   app.UseOpenIdConnectAuthentication(
       new OpenIdConnectAuthenticationOptions
           {
              ClientId = clientId,
              Authority = authority,
              RedirectUri = redirectUri,
              PostLogoutRedirectUri = redirectUri,
              TokenValidationParameters = new TokenValidationParameters
              {
                 RoleClaimType = "roles"
              }
            });
}

当前后端 Startup.cs

public void Configuration( IAppBuilder app ){
   app.Use( ( context, next ) =>
       {
          if (context.Request.Cookies.Any(c => c.Key.Equals("BearerToken")))
          {
            var cookie = context.Request.Cookies.First(c => c.Key.Equals("BearerToken"));
            context.Request.Headers.Add("Authorization", new[] { $"Bearer {cookie.Value}" });
          }

           return next.Invoke();
        });

    app.UseWindowsAzureActiveDirectoryBearerAuthentication(
        new WindowsAzureActiveDirectoryBearerAuthenticationOptions
        {
           Tenant = tenant,
           TokenValidationParameters = new TokenValidationParameters
                                         {
                                             ValidAudience = audience,
                                             RoleClaimType = "roles"
                                          }
        };
     );
}
4

1 回答 1

0

是的，这是可能的。您需要指定用于 cookie 加密和解密的共享密钥。 https://docs.microsoft.com/en-us/aspnet/core/security/cookie-sharing?view=aspnetcore-3.1

添加 AzureAd 后，您只需从两个应用程序中的相同密钥注入具有共享 cookie 名称和 dataProtectionProvider 的共享 cookie 设置。

于 2019-12-31T18:00:19.210 回答